2022DASCTF MAY 出题人挑战赛

提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档

文章目录

• 前言
• 一、misc

  • 1.不懂PCB的厨师不是好黑客

  • 2.卡比
• 二、web
  • 1.
  • 2.
• 总结

---

前言

提示：这里可以添加本文要记录的大概内容：

例如：随着人工智能的不断发展，机器学习这门技术也越来越重要，很多人都开启了学习机器学习，本文就介绍了机器学习的基础内容。

---

提示：以下是本篇文章正文内容，下面案例可供参考

一、misc

1.不懂PCB的厨师不是好黑客

用记事本或Notepad++打开PCB文件夹里的epcb文件，直接搜索DASCTF即可看到flag

 

2.卡比

链接：

 你能看懂《星之卡比：探索发现》中的神秘文字吗？有人已成功破译 - 哔哩哔哩

对照密码表翻译过来就是：PTRH{GWDVSWVQBFISZSZ}，但多次提交发现这是错的，由于翻译过来的都是字母，而有一种叫维吉尼亚密码的加密方式得到的密文也都是字母，所以联想到维吉尼亚密码：维吉尼亚密码在线加密解密 - 千千秀字

维吉尼亚密码解密是需要密钥的，经过测试发现密钥就是题目里的：kirby，解密后得到：FLAG{IMVERYLIKEKIRBY}，把花括号里的内容换成小写，再用DASCTF包裹即可：

DASCTF{imverylikekirby}

3.rootme

本题考查suid提权：linux系统suid提权_istan1ey的博客-CSDN博客_linux suid提权

先用kali上的ssh连接到目标主机：

用户名和密码题目已经给出，连接到目标主机后，依次执行下面两条命令：

find / -perm -u=s -type f 2>/dev/null

date -f /root/flag.txt

 

第一条命令请查看链接，说一下第二条命令：date -f --file=日期文件：从日期文件中按行读入时间描述

可以显示文件日期，也可以读取文件内容

4.神必流量

先放到010editor里查看有没有压缩包流量，压缩包格式一般为.zip,.7z,.rar。发现确实包含了.7z的流量包

 wireshark打开

 导出分组字节

可以看到压缩包包含了flag.txt文件，下面的123456就是解压密码，下面到处字节流文件：

保存为.7z文件，文件名任取，用密码打开flag.txt文件，得到下面的链接：

https://drive.google.com/file/d/140MxBVh-OGvQUuk8tmOw4Xm8it9utIzo/view

浏览器访问，的到一个压缩包：

密码还是123456，打开后是一个.exe文件和一个out.txt,用VSC运行一下main.exe

逆向分析，把文件名改为flag.txt,在运行得到：

二、web

1.Power Cookie

---

bp抓包一下

将set-cookie返回的值上送，并修改成管理员即可 

 2.魔法浏览器

查看网站源码，发现有下面一段java代码，F12,直接复制到浏览器控制台运行

 得到的浏览器代理：Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Magic/100.0.4896.75

bp抓包：

 user-agent里的内容修改为：Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Magic/100.0.4896.75，再send一下即可得到flag:

3.getme

查看源码

 本题考查CVE-2021-42013-Apache HTTP Server 2.4.50路径穿越漏洞：CVE-2021-42013 Apache HTTPd 2.4.49 2.4.50 路径穿越以及RCE漏洞 - L0ading - 博客园

先bp抓包：

​

访问界面抓包，查看根目录下的文件，什么也没找到

​

代码执行

​

 修改抱头查看日志文件，发现了与flag有关的内容

​

访问flag.txt,没发现，但注意到flag.txt下面有个目录：GET /icons/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/diajgk/djflgak/qweqr/eigopl/fffffflalllallalagggggggggg HTTP/1.1，接着访问

​

​

成功拿到flag

总结

总的来说，这次的比赛收获很多，其实我也是ctf刚入门的人，ctf比赛要求具备的知识很多，很多遇到的东西对我来说都是新的，把每一次做题当成一次学习，通过写博客的方式让学到的知识巩固下来，最后希望这篇文章对你有所帮助。