2019年CTF3月比赛记录（二）：UTCTF AeroCTF 部分题目writeup

这次的比赛基本上是连着的几个，先是AeroCTF，然后是PragyanCTF，然后是UTCTF，Pragyan的比赛之前注册没注册成功，就放弃了，只参加了剩下的两个，先说AeroCTF，不会，一道Web题目都不会 ╭(╯^╰)╮，知识有限未能作出解答，只能看别人的writeup了；至于UTCTF，Web题目起码还是做出来一个简单的题目，然后做了一个基础密码，一个基础杂项，其他的就呵呵了。但是说实话，当我看到解题人数不多时我也就放心了(￣▽￣")
比赛时间：2019年3月9日至2019年3月10日
重解时间：2019年3月11日至2019年3月12日
（比完赛后，UTCTF和AeroCTF的比赛网址关闭了，重解的话可能有些困难，我大部分是凭着记忆来的，没有图片，我从自己的思路出发去理解这个题到底该怎么做，事实上我觉得凭着记忆直接看大佬的writeup来得更快一些）
一、writeup：
1.[basics]crypto：（我是学web方向的，被迫做了道密码题，可能解题的方式比较蠢，还望密码学的大佬谅解）
首先是个二进制编码txt：

编码很长，自行体会…
因为我不是密码这个方向的，所以没有一个大概的方向，或是说一个解题的框架。我首先的想法是通过进制之间的转换或是尝试其他的编码来解，毕竟有神器：http://ctf.ssleye.com/。
后来误打误撞的在摩尔斯电码里碰出来点东西，例如当我输入01010101时，解码会得到%u55,很明显55是转换后的16进制，后来又通过自己查询资料，觉得跟Escape有点关系，于是全部在%u后面加上两个00，进行解码，得到的是以下内容：


很明显地从提示中发现下一个编码应该是base64，但是给我的段落内容中不含有大写字母，这就说明我转换的有问题，后来又找了好多资料，好多解码工具来找问题，最后终于找到了，找到了正确的段落：

这样的话，直接base64求解：

很惊（扯）喜（淡）地发现还有密码，直接维吉尼亚无密钥解密走起：

嗯，真会玩，还差最后一步，给出的提示很明确词频分析走一波：

顺利得到flag。
二、[basic]forensics：
这题目也蛮简单的，直接view-source看源码就行了：



三、HabbyDabby’s Secret Stash：
这道题目刚出来的时候是1000分，等到结束的时候贬到650分了，反倒是之前450的题目涨到了1000分，这道题其实也蛮简单的，直接试出来的：

打开网页后，无论是view-source还是burpsuite抓包都找不到有用的信息，或是说根本没有信息，最后只能上御剑扫下后台，还挺幸运的找到了：


直接下面的文件夹一路点下去：



直接拿到flag。
二、重解：（有必要说明的是在我想重解的时候，UTCTF解题链接好像已经关掉了，AeroCTF的还是可以用的）
1.DragonScim Workshops（UTCTF)：
这道题怎么讲，一开始是Web题目里分值最少的，只有450分，但是遗憾的是一开始并没有队伍做出来，后来给出了许多提示，也把分数提高到100分，但比赛结束后也只有15支队伍解出。
一开始是这样的：

后来就这样了：

真是可以了，但是我还是不会，我已知的所有方法全部都试了一遍，但是真的没个卵用，绝望之情溢于言表，后来看了大佬的writeup，又把这道题重解了一遍，真是…，这解题思路我尼玛，学不来啊。一开始的界面是这样的：

做过题目的基本上都会到CONTACT US这个页面去，因为在这里可以进行输入名字的操作，也只可能在这个地方出点问题，（由于UTCTF的网站关闭了，我做题的时候也没多少图片，所以只能脑补）大佬的思路是先传参："?name[]=aaa"然后会出现一个关于MD5的提示（我提交的时候后怎么没看到 (・ε・｀) ），之后的操作我就知道了什么是大佬和我这种菜鸡的区别，对问题的把握以及解读差距还是很大的。我还是没懂他咋得出来的结论，大佬最后落脚点是在php弱类型比较上，因为根据题目提示是要使得输入的字符串和其本身MD5计算后哈希值一致，通过php的这个特性，可以轻易的构造true出来，可以通过在前面添加0e绕过，最后输入得到flag。
大佬的具体writeup：https://graneed.hatenablog.com/entry/2019/03/11/122020
2.board tracking system：（AeroCTF）
题目描述如下：


我在一开始拿到这道题的时候是没有思路的，我的工具箱里好像没有找到能解决这种题目的工具，说来惭愧，还是知识的问题，了解的太少，以前没见过，这次就当长见识了，涨姿势。
因为链接关闭了，我也不好直接说，有兴趣的可以直接去看大佬writeup：https://rawsec.ml/en/AeroCTF-2019-write-ups/
3.VisageNovel：（UTCTF)
这道题我一开始就没看，也是比较遗憾的。因为心思一直在第一道web题目上，到后来比赛结束也没看上一眼，但最后解出的人数也是蛮少的，直接附上writeup链接好了：
https://graneed.hatenablog.com/entry/2019/03/11/121643
三、小结：
1.这次比赛挺集中的，加上自己的时间也不是很多，所以有的题目也没顾上仔细思考，以后的话尽量降低这样的做题频率，还是先弄明白前面的一部分知识，再去了解下一部分，现在还是有点着急了，应该先去丰富丰富学识。
2.还是像上次讲的，差距还是有的，既要往前看，也要多看看自己，有些天赋差距那真是比不上，付出和时间的差距也比不上，但有些知识上的差距是可以弥补的，自己以后也要多注意。
3.日常感谢乐于分享writeup的大佬们，谢谢你们的分享；无论是在ctftime上的，还是在github上的，本人在这里一并感谢。