题目来源:SSCTF-2017 题目链接:https://adworld.xctf.org.cn/task/answer?type=misc&number=1&grade=1&id=4978&page=3 碎碎念 这题挺有意思 除了第一步想不到 其他涉及知识点难度不大 但是涉及知识点比较多 多次套娃解密压缩包才得到flag writeup 下载得到zip 解压得到JPG图片 Kali下binwalk分析文件 没有发现隐写 Stegsolve打开 切换颜色通道 检查LSB隐写…

洒家近期参加了 Tokyo Westerns / MMA CTF 2nd 2016(TWCTF) 比赛,不得不说国际赛的玩法比国内赛更有玩头,有的题给洒家一种一看就知道怎么做,但是做出来还需要洒家拍一下脑瓜的感觉.总之很多题还是很有趣的,适合研究学习一番. 以下是洒家做出来的几道小题,类型仅限Web和Misc,给各位看官参考. 关于: T3JpZ2luYWwgQXJ0aWNsZTogd3d3LmNuYmxvZ3MuY29tL2dvMmJlZC8 Global Page Web Warmup We…

i春秋 幻泉 CTF入门课程笔记 视频地址 能力 思维能力 快速学习能力 技术能力 基础 编程基础 (c语言 汇编语言 脚本语言) 数学基础 (算法 密码学) 脑洞 (天马行空的想象推理) 体力耐力(通宵努力学习新知识解决问题) 道路 恶补基础知识 尝试补脑洞 从基础出发 学习信安专业知识 锻炼体力耐力 分类 Pwn Reverse Crypto Web (偏向于发散思维) Misc Pwn Reverse Crypto IDA(f5 插件) !!! 逆向工程 密码学 缓冲区溢出(栈/堆) We…

前言 因为最近在准备开发CTF学习平台,先做一个学习路线的整理,顺便也是对想学web的学弟学妹的一些建议. 学习路线 初期 刚刚走进大学,入了web安全的坑,面对诸多漏洞必然是迷茫的,这时的首要任务就是打好网站开发的基础,曾有伟人说过-"自己不会做网站,何谈去找网站的漏洞",在学习漏洞前,了解基本网站架构.基础网站开发原理,基础的前后端知识,能够让你之后的漏洞学习畅通无阻. html+css+js(2-3天) 前端三要素 html.css.js是被浏览器解析的代码,是构成静态页面的基础…

39.MISCall 得到无类型文件,010 Editor打开,文件头是BZH,该后缀为zip,打开,得到无类型文件,再改后缀为zip,得到一个git一个flag.txt 将git拖入kali中,在git目录下查看log(日志),发现有文件上传,再查看缓冲区 查看缓冲区:git stash show 复原文件:git stash apply 得到s.py,运行就可以得到flag,但是是python2的代码,pyton3的话需要修改 git命令参考:https://baijiahao.baidu.…

Wechall.net是一个国外用于练习CTF和攻防的网站,国内资料writeup不多,只有个别几篇.作为小白,近日玩了几道有意思的题目,在此分享 题目地址:http://www.wechall.net/challenge/Z/aaa/index.php 题目大意是要入侵一个网络,给了一些已知的信息 在源码中找到www.wechall.net/challenge/Z/aaa/partners.html 然后找到技术文档:http://www.wechall.net/challenge/Z/aaa…

碎碎念 咕咕咕了好久的Pwn,临时抱佛脚入门一下. 先安利之前看的一个 Reverse+Pwn 讲解视频 讲的还是很不错的,建议耐心看完 另外感觉Reverse和Pwn都好难!! 不,CTF好难!! 之前学C的时候了解过gets()函数很危险 一般笔者会使用如下代码代替gets() scanf("%[^\n]%*c",a); 学了Pwn更直观地感受到了这一点 关于scanf的更多用法详见 https://blog.csdn.net/jeffasd/article/details/807…

XCTF练习题---CRYPTO---告诉你个秘密 flag:TONGYUAN 步骤解读: 1.观察题目,下载附件 2.打开附件,内容好像有点像十六进制,先进行一下十六进制转换,得到一串字符 网址:http://www.bejson.com/convert/ox2str/ 3.得到的字符串尝试一下base64解密,得出另一串字符 网址:https://base64.supfree.net/ 4.感觉没有任何规律(这道题挺累人的),观察键盘,发现没个字都是被包围的,总结出被包围的字都是什么 5.得…

原作者:darkless 题目描述:抓住那只猫 思路: 打开页面,有个输入框输入域名,输入baidu.com进行测试 发现无任何回显,输入127.0.0.1进行测试. 发现已经执行成功,执行的是一个ping命令,一开始想的应该是命令拼接执行,但是输入任何有关拼接的字符串都会提示invalid url 说明系统对这些字符串都进行了过滤,fuzz测试后发现只有@没有被过滤. 且当输入@时,会将@编码为%40 尝试在url处输入宽字符,比如%bf 出现报错信息,是一段html代码,将这些代码复制出来打…

前言 这两题都是Misc中数据包的题目,一直觉得对数据包比较陌生,不知道怎么处理. 这里放两道题的wp,第一题strings命令秒杀觉得非常优秀,另外一题有涉及RSA加密与解密(本文不具体讨论RSA非对称加密算法) 心仪的公司writeup 题目来源:世安杯 题目链接:https://adworld.xctf.org.cn/task/answer?type=misc&number=1&grade=1&id=4597&page=2 下载后得到rar 解压后得到数据包 对数据包…