2021湖北省工匠杯预赛WriteUP

点击"仙网攻城狮”关注我们哦~

不当想研发的渗透人不是好运维

让我们每天进步一点点

简介

第一次参加CTF比赛目前预赛已经完结，预赛有6道题由于本人太菜只做出4道，感觉进决赛应该没有问题，本文分享解题思路

实战

WEB两题、其他的每种各一题

一、BabyWeb--绕过

1.打开题目说是使用post提交admin参数

2.构建POST参数后无果

3.添加其他参数后提示需要把referer配置成www.google.com

4.修改后获得flag

二、Welcome_Site---SQL注入

1.打开题目看到有一串加密值，解密后发现表名和加密值长度

解密后

2.1-4可以显示，输入0发现返回nonono

3.尝试字符是否过滤发现|可以使用，显示1的界面字符，可以判断存在布尔型sql注入

4，编辑脚本跑出flag

三、how_to_calc_xor--密码学

1.这是道密码学的题，修改源代码分别打印仅base64和加上后面异或值的结果

2.经过分析发现后比b64 和 flag2 区别在与去掉一位之后还有2位不一样，它是从33到127异或一个树可以先整体乘10然后再拼后面两位。

3.按这个规律修改130718273607293498287621488815973154xxx暴力破解flag1，得到flag

四、Guessing--图片隐写

1.开启题目后是一张图片

2.Hexdump 查看flag.jpeg，后面有一串加密字符，单独提取出来。

3.分析后发现有点像base32反码

4.用python反转字符

5.用base32解码

6.分析后发现是zip格式，16进制转换为字符串

7.使用16进制编辑工具生成ascii

8.保存为zip格式获取flag

总结：还是太菜了

往期内容

CTFHub SSRF(服务器请求伪造) WriteUP

ATT&CK实战-红队评估之二

Web常见漏洞&逻辑漏洞学习文档分享

更多资讯长按二维码 关注我们

觉得不错点个“赞”呗