- 博客(199)
- 收藏
- 关注
RSS订阅原创 第二届帕鲁杯时间折叠（TimeFold Paradox）
某服务器系统日志中发现异常的时间戳记录，所有时间均显示为"1970-01-01 08:00:00"。技术员发现日志中存在与时间无关的二进制干扰信号，你能从被折叠的时空中找到隐藏的flag吗？一眼看出后面两位都是十六进制的，fe ef e2之类的，提取出来。
2025-05-20 20:59:40
381
原创 第二届帕鲁杯时空交织的密语
我们在暗网服务器中发现了一个神秘文件，据说是某个黑客组织的「时空密钥」，文件内容似乎由大量时间戳构成。情报显示，只有将时间维度与二进制低语结合才能解开秘密。线索隐藏在时空的起点与终点之间。根据题目提示“隐藏在时空的起点与终点之间”，数据开头和结尾可能存在填充字符，去除开头的7，得到前半段flag。
2025-05-20 20:58:40
513
原创 第二届帕鲁杯时间循环的信使
某神秘组织通过时间循环传递加密信息，我们在捕获的流量日志中发现异常时间戳。日志文件显示："在错误的时间做正确的事，在正确的时间解开谜题"，flag格式为palu{xxx}按时间戳排序->保留'|'右侧字符重复数据->取右侧1位组成十六进制字符串解码。感觉里面有一些十六进制数据，八个相同的字符？
2025-05-20 20:57:24
158
原创 第二届帕鲁杯TopSecret
很多Classified Document -1 2 3 ...和一些看起来像base64的字符串。你从某机密设施偷取了一份文件,但你被发现了,最后只收到一份乱码,你能从中提取到有用的信息吗?
2025-05-20 10:30:20
217
原创 第二届帕鲁杯几何闪烁的秘密
我们找到了一张神秘的GIF图片，里面似乎隐藏着重要信息。仔细观察，你会发现四个几何体在不同时刻闪现出一些奇怪的字符。你能从中提取出完整的Flag吗？正方形：YXN0XJfYN0ZXfYXNZXJf。三角形：b2Zf2VvbZfZ2vb2ZZ2Vv。五边形：bWV0nl9bV0cn9bWVcnl9。圆形：cGFsXttcFsdXtcGFdXtt。四个几何图形不断移动且里面的字符不断变化。
2025-05-20 10:29:06
222
原创 vulnhub靶场——secarmy
，但是从返回的数据中可以推测出它可能是某种密码恢复设施接口。提到WASTE和token，一般都是nc连接才用得到（之前做过中科大hackergame2024时遇到过需要输入token），而且对应上先前的1337/waste，下一步应该就是nc连接了。将这一组凭证保存下来，放置在文件test.txt中，使用hydra进行验证这一组凭证，因为有先前的两个端口21/ftp和22/ssh。根据hint.txt的提示，Base 10和Base 256进行某种运算结果是Base 265，这里应该是提示进行位运算。
2025-05-14 16:31:14
687
原创 攻防靶场——没有Web怎么打
现在还是uid=1000(lucy) gid=1000(lucy) groups=1000(lucy)，无root权限。发现能在root权限且无密码的情况下运行/usr/bin/python2 /opt/exp.py。利用刚才爆出来的MySQL的root/preetywoman来登录MySQL服务。--reason: 显示每个状态判断的原因（例如，SYN-ACK响应）。-sV: 进行服务版本检测，尝试确定开放端口上运行的服务及其版本。-Pn: 假设目标主机是活动的，不进行ping扫描。
2025-05-13 13:14:46
277
原创 应急响应靶机——WhereIS?
根据第一问和第二问通过docker容器获得的答案，猜测应该是通过docker来提权，直接journalctl _COMM=sudo > sudo.txt，使用systemd的系统查看sudo命令的历史，保存为sudo.txt文件。经了解，攻击者获取到docker的权限之后是利用的容器逃逸进行的提权，而容器逃逸需要一定条件，去检查docker.sock是否可访问。猜测应该是打错文件名了，正确的应该是systemd_null文件，因为前面看到了有个systemd_null文件。
2025-05-12 20:39:56
762
原创 应急响应基础模拟靶机-security2
答案：/var/www/html/lot/admin/assets/uploads/maps/1701324180_Shell123.php my_is_user_agent。答案：/var/www/html/lot/admin/assets/vendor/.shell/.decodeshell.php。去/var/www/html/lot/admin/assets/uploads该目录下看一下有什么文件。表名首个攻击者IP是192.168.150.2，后个攻击者IP是192.168.150.1。
2025-05-11 21:04:44
837
原创 应急响应基础模拟靶机-security1
继续在sudo.txt中查找关键词“mv”，发现securityy用户在/var/www/blog目录下创建了.ShEllHAha目录，并且将原本的shell从../html/uploads/admin.jpg移动到./.ShEllHAha/.hackba.php。6、攻击者将shell删除并放到了其他web目录，文件名被改变了，找出它的绝对路径及文件名。答案：/var/www/blog/.ShEllHAha/.hackba.php。3、审计流量日志，攻击者反弹shell的地址及端口?
2025-05-09 21:10:21
434
原创 2023蓝帽杯初赛内存取证-7
vol.py --plugin=/opt/volatility/plugins -f memdump.mem --profile Win7SP1x64 chromehistory | grep "维斯塔斯"先装个chromehistory插件和sqlite_help插件，安装方法详情可见《volatility及部分插件的安装与配置》（插件链接：https://github.com/superponible/volatility-plugins）
2025-04-22 19:55:34
657
原创 2023蓝帽杯初赛内存取证-3
2023-06-20 17:01:25 UTC+0000是世界标准时间，还要转换为北京时间。答案：2023-06-21 01:01:25。
2025-04-22 19:51:13
266
原创 2023蓝帽杯初赛内存取证-1
得知Image local date and time : 2023-06-21 01:02:27 +0800。Image local date and time是本地时区（中国——东八区）答案：2023-06-21 01:02:27。
2025-04-22 19:47:25
252
原创 [陇剑杯 2021]内存分析（问2）
python kobackupdec.py -vvv W31C0M3_T0_THiS_34SY_F0R3NSiCX "E:\downloads\内存分析\HUAWEI P40_2021-aa-bb xx.yy.zz" E:\downloads\内存分析\result。"E:\downloads\内存分析\HUAWEI P40_2021-aa-bb xx.yy.zz"是解压出来的文件夹。“E:\downloads\内存分析\result”是要解压到的文件夹（注意不能已经有result文件夹，否则会失败）
2025-04-21 20:54:58
517
原创 [陇剑杯 2021]内存分析（问1）
（按理说是flag{W31C0M3_T0_THiS_34SY_F0R3NSiCX}，对应没有空格，但有下划线）（volatility命令可以看“电脑基础知识”部分的volatility及部分插件的安装与配置）没有空格，但有下划线。
2025-04-21 20:53:31
207
原创 [SWPUCTF 2021 新生赛]Does your nc work？
开启靶场：nc连接看看情况：cd nsslscd ctflscat flag成功得到flag：
2025-03-06 16:09:25
142
原创 [LitCTF 2023]只需要nc一下~
发现设置了环境变量FLAG并将其值写入了/flag.txt文件，那接下来就是查看/flag.txt的文件内容。得到flag：NSSCTF{123456}，但尝试后发现是错误的flag。发现是刚才错误的flag。
2025-03-06 15:15:31
252
原创 [SWPUCTF 2021 新生赛]nc签到
if i in command:：如果黑名单中的某一项出现在用户输入的命令中，则执行 exit(0)，退出程序。os.system(command)：如果命令中没有黑名单中的内容，则通过 os.system 执行该命令。打印"My_shell_ProVersion"，打印了一个提示符，表示这是一个自定义的 shell。'${IFS}'：禁止使用 ${IFS}，这是一个特殊的环境变量，通常用于分隔字段。blacklist（字面意思：黑名单）是一个列表，包含了一些被禁止的命令或字符。
2025-03-04 19:14:00
290
原创 加密容器检材处理
挂载/解压密码:/TP2G-h`q#(Ss!坏了，MAGNETAXIOM没法直接对这个检材取证，后面花费了点时间去了解怎么处理这个容器，了解到需要使用VeraCrypt来加载容器。哈希校验值:容器文件MD5值：4AAA79BA46C2065FC5C4D5DC97202F3D。为了方便，将所有文件复制粘贴到别的物理磁盘，之后就可以卸载F盘了。（本人第一次接触加密容器检材，所以有挺多猪鼻操作，请见谅）
2025-01-20 16:05:21
265
原创 [羊城杯 2024]data-analy3
某公司在内部做了一个收集个人信息的简易网站供员工进行登记，但网站管理员在整理时误删了数据库里的数据，现在请你根据日志，还原出所有用户的个人信息，个人信息包括【username、password、name、idcard、phone】。现在请你参考附件中“个人信息数据规范文档.pdf”所示对整理出的个人信息进行数据脱敏，脱敏后保存到 csv 文件中（文件编码为 utf-8），并将其上传至检验平台，检验达标即可拿到 flag。成功得到“数据脱敏”后的.csv文件。
2025-01-13 14:51:32
361
原创 [羊城杯 2024]data-analy2
某公司在统计内部员工个人信息，不过上网流量数据没有进行任何加密处理，现在流量已经被黑客获取。现在请你分析流量，统计出该公司内部员工的个人信息，由于某些员工没认真填写，导致某些数据是不符合数据规范的，因此需要进行数据清洗。数据规范文档参考附件中“个人信息数据规范文档.pdf”。最终将清洗后的垃圾数据（文件格式为 csv，文件编码为 utf-8）上传至检验平台，检验达标即可拿到 flag。成功得到”垃圾数据“文件。
2025-01-13 14:48:02
250
原创 [羊城杯 2024]data-analy1
小王在处理个人信息时，不小心把数据给逐行打乱了，请你帮助他进行数据的整理恢复。具体示例可参考附件中“示例”文件夹所示。最终将整理恢复后的数据文件（文件格式 csv，文件编码 utf-8）上传至检验平台，检验达标即可拿到flag。成功修正person_data.csv文件内容。
2025-01-13 14:45:26
128
原创 [羊城杯 2024]1z_misc
祈解其秘：[43,101,55,16,16,1017,28,812,824,43,55,226,101,55,55,415,1017,1027,28,28,617,824,28,812,1027,16,101,16,55,1027,1017,28,16]心,胃,心,奎,奎,心,奎,心,胃,心,心,心,胃,心,心,胃,心,奎,奎,奎,奎,胃,奎,心,奎,奎,胃,奎,心,奎,心,奎,奎。观察一下发现只有胃没有连着，应该是空格（ ），其他的一个长一个短，奎应该是（-），心应该是（.）
2025-01-01 17:21:39
1037
1原创 [羊城杯 2024]so much
点第一个文件可以发现共有344个文件，也就是说文件名是0-343.crypto。而恰好也是base64解码结果：shift，跟文章中的思路应该也一样。得到提示：key is: 1234567？really?键盘上的shift+1234567的结果是：!
2024-12-31 12:27:24
398
原创 [羊城杯 2024]miaoro
（注意：直接追踪tcp流的这部分的base64编码数据会有缺陷，所以得追踪http流，很多WP都是放了tcp流的截图上去，然后就继续做下去了，实际上是没法复现成功的）发现右侧数据是经典的十六进制数据而且是出现关键字段“4030b405”，压缩包zip的是“504b0304”，刚好反过来了，保存为1.txt文件。没找到关键词flag，用wireshark打开，http contains "flag"也是一片空白，应该是被加密了，只能手动查找相关信息了。（“PK”是zip的头）
2024-12-30 19:18:06
779
原创 [羊城杯 2024]Check in
注释5unVpeVXGvjFah放到随波逐流中一键解码发现base58解码得出一个正常点的字符串：Welcome2GZ，应该是某个key？下载附件，解压的时候发现注释：5unVpeVXGvjFah。一样能检测出有flag.gif的字符串。文件头47 49 46 38。
2024-12-29 15:47:42
775
原创 linux安装tldr
（ -g 选项会将 tldr 安装为全局命令，可以在终端中随时使用）也可以安装x-cmd，里面有个x tldr模块，用起来也挺不错。
2024-12-29 12:01:02
338
原创 国城杯2024——Just_F0r3n51Cs
HKEY_LOCAL_MACHINE\SOFTWARE\Mozilla\Mozilla Firefox中的CurrentVersion有关，但打开注册表就显示了版本号是115.0。HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion中的ProductName的键值有关。2、计算机当前操作系统的产品名称，若有空格则用下划线代替（答案格式：Windows_Server_2016）
2024-12-11 21:51:22
1099
原创 国城杯2024——Curve
相关知识链接：https://tangcuxiaojikuai.xyz/post/187210a7.html。标准型的扭曲爱德华曲线：(Twisted Edwards Curves)在解压后的目录下输入./sage启动。
2024-12-09 17:42:59
428
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人