CTF浅尝 - Water Space

Capture The Flag
题目位置南京邮电大学网络攻防训练平台

签到题#

打开题目，只有key在哪里？几个字，打开开发者工具，直接找到 flag

1
<body>
2
  <a style="display:none">nctf{flag_admiaanaaaaaaaaaaa}</a>key在哪里？
3
</body>

第二个签到题，尝试输入口令，失败，打开控制台，发现输入框限制输入长度，直接编辑 html 删去限制，再次输入口令，得到 flag

签到2

1
<form action="./index.php" method="post">
2
  <p>
3
    输入框：<input type="password" value="" name="text1" maxlength="10" /><br />
4
    请输入口令：zhimakaimen
5
    <input type="submit" value="开门" />
6
  </p>
7
</form>

md5 collision#

题目

1
$md51 = md5('QNKCDZO');
2
$a = @$_GET['a'];
3
$md52 = @md5($a);
4
if(isset($a)){
5
if ($a != 'QNKCDZO' && $md51 == $md52) {
6
    echo "nctf{*****************}";
7
} else {
8
    echo "false!!!";
9
}}
10
else{echo "please input a";}

以为是普通的 MD5 碰撞，尝试生成 MD5 查询碰撞，均查询不到

1
echo -n 'QNKCDZO' | md5sum
2
0e830400451993494058024219903391

询问MZI大佬后查询相关资料了解到是 PHP 弱类型转换漏洞，查找一个 hash 开头为0e的字符串通过
PHP Hash 比较存在缺陷，影响大量 Web 网站登录认证、忘记密码等关键业务
PHP 处理 0e 开头 md5 哈希字符串缺陷/bug

这题不是 WEB#

答案又是啥。。答案应该藏在附图中，保存图片，尝试用解压工具打开，失败。拖入 WinHex 中，在文件尾部找到 flag

这题不是WEB

AAencode#

直接看是个乱码文件，看到文件是个 txt ，保存成文件打开，变成了颜文字 ~~(≧▽≦)/~~ 结合题目提示(javascript aaencode)将颜文字贴到控制台运行得到 flag (神奇的 JS)

1
ﾟωﾟﾉ = /｀ｍ´）ﾉ ~┻━┻   / /*´∇｀*/["_"];
2
o = ﾟｰﾟ = _ = 3;
3
c = ﾟΘﾟ = ﾟｰﾟ - ﾟｰﾟ;
4
ﾟДﾟ = ﾟΘﾟ = (o ^ _ ^ o) / (o ^ _ ^ o);
5
ﾟДﾟ = {
6
  ﾟΘﾟ: "_",
7
  ﾟωﾟﾉ: ((ﾟωﾟﾉ == 3) + "_")[ﾟΘﾟ],
8
  ﾟｰﾟﾉ: (ﾟωﾟﾉ + "_")[o ^ _ ^ (o - ﾟΘﾟ)],
9
  ﾟДﾟﾉ: ((ﾟｰﾟ == 3) + "_")[ﾟｰﾟ],
10
};
11
ﾟДﾟ[ﾟΘﾟ] = ((ﾟωﾟﾉ == 3) + "_")[c ^ _ ^ o];
12
ﾟДﾟ["c"] = (ﾟДﾟ + "_")[ﾟｰﾟ + ﾟｰﾟ - ﾟΘﾟ];
13
ﾟДﾟ["o"] = (ﾟДﾟ + "_")[ﾟΘﾟ];
14
ﾟoﾟ =
15
  ﾟДﾟ["c"] +
16
  ﾟДﾟ["o"] +
17
  (ﾟωﾟﾉ + "_")[ﾟΘﾟ] +
18
  ((ﾟωﾟﾉ == 3) + "_")[ﾟｰﾟ] +
19
  (ﾟДﾟ + "_")[ﾟｰﾟ + ﾟｰﾟ] +
20
  ((ﾟｰﾟ == 3) + "_")[ﾟΘﾟ] +
21
  ((ﾟｰﾟ == 3) + "_")[ﾟｰﾟ - ﾟΘﾟ] +
22
  ﾟДﾟ["c"] +
23
  (ﾟДﾟ + "_")[ﾟｰﾟ + ﾟｰﾟ] +
24
  ﾟДﾟ["o"] +
25
  ((ﾟｰﾟ == 3) + "_")[ﾟΘﾟ];
26
ﾟДﾟ["_"] = (o ^ _ ^ o)[ﾟoﾟ][ﾟoﾟ];
27
ﾟεﾟ =
28
  ((ﾟｰﾟ == 3) + "_")[ﾟΘﾟ] +
29
  ﾟДﾟ.ﾟДﾟﾉ +
30
  (ﾟДﾟ + "_")[ﾟｰﾟ + ﾟｰﾟ] +
31
  ((ﾟｰﾟ == 3) + "_")[o ^ _ ^ (o - ﾟΘﾟ)] +
32
  ((ﾟｰﾟ == 3) + "_")[ﾟΘﾟ] +
33
  (ﾟωﾟﾉ + "_")[ﾟΘﾟ];
34
ﾟｰﾟ += ﾟΘﾟ;
35
ﾟДﾟ[ﾟεﾟ] = "\\";
36
ﾟДﾟ.ﾟΘﾟﾉ = (ﾟДﾟ + ﾟｰﾟ)[o ^ _ ^ (o - ﾟΘﾟ)];
37
oﾟｰﾟo = (ﾟωﾟﾉ + "_")[c ^ _ ^ o];
38
ﾟДﾟ[ﾟoﾟ] = '"';
39
ﾟДﾟ["_"](
40
  ﾟДﾟ["_"](
41
    ﾟεﾟ +
42
      ﾟДﾟ[ﾟoﾟ] +
43
      ﾟДﾟ[ﾟεﾟ] +
44
      ﾟΘﾟ +
45
      ﾟｰﾟ +
46
      ﾟΘﾟ +
47
      ﾟДﾟ[ﾟεﾟ] +
48
      ﾟΘﾟ +
49
      (ﾟｰﾟ + ﾟΘﾟ) +
50
      ﾟｰﾟ +
51
      ﾟДﾟ[ﾟεﾟ] +
52
      ﾟΘﾟ +
53
      ﾟｰﾟ +
54
      (ﾟｰﾟ + ﾟΘﾟ) +
55
      ﾟДﾟ[ﾟεﾟ] +
56
      ﾟΘﾟ +
57
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
58
      ((o ^ _ ^ o) - ﾟΘﾟ) +
59
      ﾟДﾟ[ﾟεﾟ] +
60
      ﾟΘﾟ +
61
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
62
      ﾟｰﾟ +
63
      ﾟДﾟ[ﾟεﾟ] +
64
      (ﾟｰﾟ + ﾟΘﾟ) +
65
      (c ^ _ ^ o) +
66
      ﾟДﾟ[ﾟεﾟ] +
67
      ﾟｰﾟ +
68
      ((o ^ _ ^ o) - ﾟΘﾟ) +
69
      ﾟДﾟ[ﾟεﾟ] +
70
      ﾟΘﾟ +
71
      (ﾟｰﾟ + ﾟΘﾟ) +
72
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
73
      ﾟДﾟ[ﾟεﾟ] +
74
      ﾟΘﾟ +
75
      ﾟｰﾟ +
76
      (o ^ _ ^ o) +
77
      ﾟДﾟ[ﾟεﾟ] +
78
      ﾟΘﾟ +
79
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
80
      ﾟｰﾟ +
81
      ﾟДﾟ[ﾟεﾟ] +
82
      ﾟΘﾟ +
83
      ﾟｰﾟ +
84
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
85
      ﾟДﾟ[ﾟεﾟ] +
86
      ﾟΘﾟ +
87
      (ﾟｰﾟ + (o ^ _ ^ o)) +
88
      (o ^ _ ^ o) +
89
      ﾟДﾟ[ﾟεﾟ] +
90
      ﾟΘﾟ +
91
      (ﾟｰﾟ + ﾟΘﾟ) +
92
      ((o ^ _ ^ o) - ﾟΘﾟ) +
93
      ﾟДﾟ[ﾟεﾟ] +
94
      ﾟΘﾟ +
95
      ﾟｰﾟ +
96
      ﾟΘﾟ +
97
      ﾟДﾟ[ﾟεﾟ] +
98
      ﾟΘﾟ +
99
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
100
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
101
      ﾟДﾟ[ﾟεﾟ] +
102
      ﾟΘﾟ +
103
      ﾟｰﾟ +
104
      ﾟΘﾟ +
105
      ﾟДﾟ[ﾟεﾟ] +
106
      ﾟΘﾟ +
107
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
108
      (o ^ _ ^ o) +
109
      ﾟДﾟ[ﾟεﾟ] +
110
      ﾟΘﾟ +
111
      ﾟｰﾟ +
112
      (o ^ _ ^ o) +
113
      ﾟДﾟ[ﾟεﾟ] +
114
      ﾟΘﾟ +
115
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
116
      ((o ^ _ ^ o) - ﾟΘﾟ) +
117
      ﾟДﾟ[ﾟεﾟ] +
118
      ﾟΘﾟ +
119
      (ﾟｰﾟ + ﾟΘﾟ) +
120
      ﾟΘﾟ +
121
      ﾟДﾟ[ﾟεﾟ] +
122
      ﾟΘﾟ +
123
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
124
      (c ^ _ ^ o) +
125
      ﾟДﾟ[ﾟεﾟ] +
126
      ﾟΘﾟ +
127
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
128
      ﾟｰﾟ +
129
      ﾟДﾟ[ﾟεﾟ] +
130
      ﾟΘﾟ +
131
      (o ^ _ ^ o) +
132
      (ﾟｰﾟ + (o ^ _ ^ o)) +
133
      ﾟДﾟ[ﾟεﾟ] +
134
      ﾟΘﾟ +
135
      ﾟｰﾟ +
136
      ﾟΘﾟ +
137
      ﾟДﾟ[ﾟεﾟ] +
138
      ﾟΘﾟ +
139
      ﾟｰﾟ +
140
      ﾟΘﾟ +
141
      ﾟДﾟ[ﾟεﾟ] +
142
      ﾟΘﾟ +
143
      ﾟｰﾟ +
144
      (ﾟｰﾟ + ﾟΘﾟ) +
145
      ﾟДﾟ[ﾟεﾟ] +
146
      ﾟΘﾟ +
147
      (ﾟｰﾟ + ﾟΘﾟ) +
148
      ((o ^ _ ^ o) + (o ^ _ ^ o)) +
149
      ﾟДﾟ[ﾟεﾟ] +
150
      ﾟΘﾟ +
151
      ﾟｰﾟ +
152
      (o ^ _ ^ o) +
153
      ﾟДﾟ[ﾟεﾟ] +
154
      ﾟΘﾟ +
155
      (ﾟｰﾟ + ﾟΘﾟ) +
156
      (ﾟｰﾟ + (o ^ _ ^ o)) +
157
      ﾟДﾟ[ﾟεﾟ] +
158
      ﾟΘﾟ +
159
      ﾟｰﾟ +
160
      ﾟｰﾟ +
161
      ﾟДﾟ[ﾟεﾟ] +
162
      ﾟΘﾟ +
163
      ﾟｰﾟ +
164
      (ﾟｰﾟ + ﾟΘﾟ) +
165
      ﾟДﾟ[ﾟεﾟ] +
166
      ﾟΘﾟ +
167
      (ﾟｰﾟ + (o ^ _ ^ o)) +
168
      (ﾟｰﾟ + ﾟΘﾟ) +
169
      ﾟДﾟ[ﾟεﾟ] +
170
      ﾟｰﾟ +
171
      ((o ^ _ ^ o) - ﾟΘﾟ) +
172
      ﾟДﾟ[ﾟεﾟ] +
173
      (ﾟｰﾟ + ﾟΘﾟ) +
174
      ﾟΘﾟ +
175
      ﾟДﾟ[ﾟoﾟ]
176
  )(ﾟΘﾟ)
177
)("_");

单身二十年/单身一百年也没用#

单身二十年/这题可以靠技术也可以靠手速！老夫单身二十年，自然靠的是手速！点击题目链接，观察到链接跳转行为，使用 curl 访问跳转前地址得到 flag 。由于这道题使用 javascript 跳转，也可以通过禁用 javascript 得到 flag

1
root@~$ curl http://chinalover.sinaapp.com/web8/search_key.php
2
<script>window.location="./no_key_is_here_forever.php"; </script>
3
key is : nctf{yougotit_script_now}
4
root@~$

单身一百年也没用/是的。。这一题你单身一百年也没用和上一题一样，点击链接会发生跳转，但是这次是 302 跳转。同样使用 curl 获取页面，在 Headers 中获得 flag (这题也可以通过查看浏览器开发者工具获得 flag)

1
root@~$ curl -v http://chinalover.sinaapp.com/web9/index.php
2
< HTTP/1.1 302 Found
3
< Server: sae
4
< Date: Sun, 17 Dec 2017 09:49:12 GMT
5
< Content-Type: text/html
6
< Content-Length: 0
7
< Connection: keep-alive
8
< flag: nctf{this_is_302_redirect}
9
< Location: http://chinalover.sinaapp.com/web8/no_key_is_here_forever.php
10
< Via: 1527
11
<
12
* Connection #0 to host chinalover.sinaapp.com left intact

进入题目后提示please login first!，根据题目提示，查找页面 cookies
看到一个Login的 cookies ，使用工具将值修改为 1，刷新，得到 flag

Py 交易#

题目给了一个 .pyc 文件，使用工具(如 uncompyle2)反编译得到如下代码

1
#!/usr/bin/env python
2
# encoding: utf-8
3
import base64
4

5
def encode(message):
6
    s = ''
7
    for i in message:
8
        x = ord(i) ^ 32
9
        x = x + 16
10
        s += chr(x)
11

12
    return base64.b64encode(s)
13

14
correct = 'XlNkVmtUI1MgXWBZXCFeKY+AaXNt'
15
flag = ''
16
print 'Input flag:'
17
flag = raw_input()
18
if encode(flag) == correct:
19
    print 'correct'
20
else:
21
    print 'wrong'

根据 encode 编写 decode 函数

1
#!/usr/bin/env python
2
# encoding: utf-8
3
import base64
4

5
# 解码
6
# 字符 -> base64解码 -> 数字 -> -16 -> 异或32 -> 字符
7
def decode(message):
8
    message = base64.b64decode(message)
9
    s = ''
10
    for i in message:
11
        x = ord(i) - 16
12
        x = x ^ 32
13
        s += chr(x)
14

15
    return s
16

17
correct = 'XlNkVmtUI1MgXWBZXCFeKY+AaXNt'
18
flag = decode(correct)
19
print flag

伪装者#

题目如下

1
* * * * * * * * * * * * * * * * * * * * * * * * * *
2
         管理系统只能在本地登陆
3
           本系统外部禁止访问
4
* * * * * * * * * * * * * * * * * * * * * * * * * *
5
不是本地登陆你还想要flag？

看起来需要伪装成内网访问才能获得 flag ，使用 curl 添加 X-Forwarded-For: 127.0.0.1 伪装客户端 IP ，成功得到 flag

1
root@~$ curl http://chinalover.sinaapp.com/web4/xxx.php -H 'Client-IP: 127.0.0.1'
2
<html>
3
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />
4

5
<pre><br><br><br><br>* * * * * * * * * * * * * * * * * * * * * * * * * *<br><br>         管理系统只 能在本地登陆<br><br>           本系统外部禁止访问<br><br>* * * * * * * * * * * * * * * * * * * * * * * * * *<br></pre>nctf{happy_http_headers}
6
</html>

变量覆盖#

题目核心代码如下

1
<?php if ($_SERVER["REQUEST_METHOD"] == "POST") { ?>
2
    <?php
3
    extract($_POST);
4
    if ($pass == $thepassword_123) { ?>
5
        <div class="alert alert-success">
6
            <code><?php echo $theflag; ?></code>
7
        </div>
8
    <?php } ?>
9
<?php } ?>

根据题目提示及代码，推测要利用extract($_POST);覆盖 PHP 的原密码

1
root@~$ curl http://chinalover.sinaapp.com/web18/ -sd "pass=123&thepassword_123=123" | grep nctf
2
                                <code>nctf{bian_liang_fu_gai!}</code>

Remove Boyfriend#

题目是一个文件Remove+Boyfriend.pcapng，查看一下文件头发现是 Wireshark 的抓包文件。导入 Wireshark 分析，根据协议大致能猜出是使用 FTP 传输数据，分析 FTP-DATA 包得到如下三部分信息
第一部分是 FTP 文件列表，可以看到有一个明显的 flag.py

1
total 4
2
-rw-r--r--  1 LiuDong  staff  1608061 Sep 14 19:43 Stan's XX.png
3
-rw-r--r--  1 LiuDong  staff      730 Sep 14 19:39 flag.py
4
-rw-r--r--  1 LiuDong  staff       36 Sep 14 19:20 jiade,doushijiade.txt

第二部分是 flag.py

1
def Upper(ch):
2
    if ch>='A' and ch<='Z':
3
        return True
4

5
def Lower(ch):
6
    if ch>='a' and ch<='z':
7
        return True
8

9
def X1con(s):
10
    flag = ''
11
    for i in s:
12
        if Upper(i) == True:
13
            if i>='A' and i<='M':
14
                flag += chr(ord(i)+13)
15
            else:
16
                flag += chr(ord(i)-13)
17
        elif Lower(i) == True:
18
            if i>='a' and i<='m':
19
                flag += chr(ord(i)+13)
20
            else:
21
                flag += chr(ord(i)-13)
22
        else:
23
            flag += i
24
    return flag
25

26
if __name__ == "__main__":
27
    s = '{synt_vf_abg_urer}'
28
    print X1con(s)
29

30
'''
31
emmmmm......
32
Run this program you can get flag
33
'''

兴奋地运行！得到 flag {flag_is_not_here} (╯‵□′)╯︵┻━┻
只能从后续的 FTP 数据找线索了
第三部分从数据头推断是一个 PNG 文件，结合第一部分的内容，推断这是Stan's XX.png，这个文件被分割成多个数据包传输
尝试使用 Wireshark 的追踪流功能追踪全部数据，将数据以原始数据保存，得到1.53 MB大小的文件，与第一部分信息想吻合，确认是 Stan’s XX.png (也能从 FTP 的数据包得到验证)
将文件重命名为Stan's XX.png打开，在图片左下角得到线索synt{jub_nz_1}
用这条线索替换之前得到的 flag.py 中的字符串，运行得到 flag

参考文献#

CGCTF

签到题#

md5 collision#

这题不是 WEB#

AAencode#

单身二十年/单身一百年也没用#

COOKIE#

Py 交易#

伪装者#

变量覆盖#

Remove Boyfriend#

参考文献#