[羊城杯 2024]Check in

下载附件，解压的时候发现注释：5unVpeVXGvjFah

解压得到的flag.txt文件内容如下：

---

注释5unVpeVXGvjFah放到随波逐流中一键解码发现base58解码得出一个正常点的字符串：Welcome2GZ，应该是某个key？

---

去hex解码（十六进制解码）一下：

从输出结果可以看出，基本都是TLS流量，推测还有key.log，可以直接保存为.pcapng文件或者也可以用脚本生成1.pcapng文件：

def hex_to_pcapng(hex_string, output_file):
    # 将十六进制字符串转换为字节数据
    byte_data = bytes.fromhex(hex_string)

    # 将字节数据写入文件
    with open(output_file, 'wb') as f:
        f.write(byte_data)


def clean_hex_string(hex_string):
    # 清理输入，去掉任何非十六进制字符，并确保长度为偶数
    cleaned_hex = ''.join(filter(lambda x: x in '0123456789abcdefABCDEF', hex_string))
    
    # 如果长度是奇数，则移除最后一个字符以确保长度为偶数
    if len(cleaned_hex) % 2 != 0:
        print("警告：十六进制字符串长度为奇数，已自动修正。")
        cleaned_hex = cleaned_hex[:-1]
    
    return cleaned_hex


if __name__ == "__main__":
    # 读取十六进制字符串(假设从文件中读取)
    input_file = r"E:\\downloads\\FLag.txt"
    with open(input_file, 'r') as f:
        hex_string = f.read().strip()

    # 检查文件是否以0d0a开头并去除之
    if hex_string.startswith('0d0a'):
        hex_string = hex_string[4:]

    # 打印出 hex string 以供调试
    print(f"原始十六进制字符串：{hex_string}")

    # 清理输入
    hex_string = clean_hex_string(hex_string)

    # 写入pcapng文件
    output_filename = r"E:\\downloads\\1.pcapng"
    hex_to_pcapng(hex_string, output_filename)

    print(f"已成功转换为 {output_filename}")

---

观察发现Flag.txt中有很多空白字符和空字符，所以猜到用wbstego去提取：

---

得到一个.log文件：

---

导入TLS的日志1.log：

---

http contains "flag"

“GIF89a”很明显的.gif文件，也可以追踪TLS流查看信息：

当然也可以通过NetA工具来分析一下：

一样能检测出有flag.gif的字符串

---

选择原始数据，另存为.gif文件：

---

此时直接打开会显示图片已损坏（因为有报文头的干扰），用010editor打开，按照（.gif文件的文件头和文件尾）的格式来保存文件：

文件头47 49 46 38

文件尾00 38

得到正常的gif图片：

---

用PuzzleSolver提取帧间隔：

---

得到如下内容：

['30', '230', '30', '230', '30', '230', '30', '230', '30', '230', '30', '230', '230', '230', '230', '230', '30', '30', '230', '230', '30', '30', '30', '30', '30', '230', '230', '230', '30', '230', '230', '230', '30', '230', '30', '30', '230', '230', '230', '30', '30', '230', '30', '230', '230', '230', '230', '230', '30', '30', '230', '230', '30', '30', '30', '230', '30', '230', '30', '230', '30', '230', '30', '30']

很明显，30转为0，230转为1，二进制转文本：

得到flag：

DASCTF{U_0wN_1T}