2016 第五届山东省网络安全竞赛 WriteUp

赛事组织架构

  • 指导单位：中国信息安全认证中心

  • 主办单位：共青团山东省委、山东省互联网信息办公室、山东省经济和信息化委员会、山东省教育厅、山东省通信管理局、山东省学生联合会

  • 承办单位：山东信息协会、山东科技大学、中国信息安全认证中心山东分中心、浪潮集团有限公司

共有来自山东省内 44 所高校的 130 余名大学生和 170 余名网络安全技术爱好者参加了决赛

详细获奖名单

  • 团体奖 (一等奖)：山东科技大学（获得团体奖共 3 项：一等奖、二等奖、三等奖各 1 项）

  • 团体奖 (二等奖)：中国海洋大学

  • 团体奖 (三等奖)：山东科技大学泰安校区、山东理工大学（网络爱好者协会团队）、山东师范大学、齐鲁师范学院、聊城大学

  • 个人奖 (高校组一等奖)：申一鸣（中国海洋大学，总成绩第一名）

  • 个人奖 (爱好组一等奖)：王鹏

  • 个人奖 (高校组二等奖)：山东科技大学 3 人

  • 个人奖 (高校组三等奖)：山东科技大学 4 人；李耀磊（齐鲁师范学院）；卜祥杰（山东科技大学泰安校区）；王健（山东理工大学）

  • 个人奖 (爱好组二等奖)：山东科技大学 1 人

  • 个人奖 (爱好组三等奖)：山东科技大学 6 人；王玉琪（山东科技大学泰安校区）

Misc

word 文件本质（Word 隐写）

Word 文件本质是一个压缩包

直接解压缩拿到 flag

相机制造商（图片文本隐写）

vim 打开即可看到图片

好孩子看不见（关键字搜索）

搜索大法拿到 flag

蛛丝马迹（签到）

每个文件翻一翻，在 .me.swp 里找到 flag

1
Flag-1s4g76jk89f

暴力破解（ZIP 爆破 + Word 隐写）

爆破出密码是 563412，使用的是 ZipCracker 工具

解压 Word 文档，在 document.xml 中找到 flag

1
Flag{oRuesP57WAaGhBJk}

数据包分析一（HTTP 协议）

过滤 HTTP，找到可疑请求

1
FLAG-GehFMsqCeNvof5szVpB2Dmjx

图片修复（文件头篡改）

pasted_1784194896227_ayicox.png

修复文件头

pasted_1784195107071_9xw9tw.png

再打开拿到 flag

pasted_1784195140085_z3qvu7.png

Forensics

磁盘恢复（ext2 文件恢复）

非预期解法如下

1
2
3
strings -a 86b265d37d1fc10b721a2accae04a60d | grep -i FLAG

FLAG-ggmgk05096

预期解法如下

使用 Sleuth Kit 工具中 fsstat 命令对文件解析

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
FILE SYSTEM INFORMATION  # 文件系统信息部分
--------------------------------------------  # 分隔线
File System Type: Ext2  # 文件系统类型：Ext2
Volume Name:  # 卷标为空
Volume ID: ba2c0a9181cbbbfe3443dbd20fdc091  # 卷 UUID，唯一标识该文件系统
  # 
Last Written at: 2014-02-05 10:15:19 (Last Checked at: 2014-02-04 09:41:10 (  # 最后写入时间（括号内为最后一次 fsck 检查时间，早于写入时间）
Last Mounted at: 2014-02-05 10:15:19 (Unmounted Improperly  # 最后挂载时间，状态为非正常卸载（Unmounted Improperly）
  # 
Source OS: Linux  # 文件系统来源操作系统：Linux
Dynamic Structure  # 支持动态结构（如在线扩容）
Compat Features: Ext Attributes, Resize Inode, Dir Index  # 兼容特性：扩展属性、预留调整 inode、目录索引
InCompat Features: Filetype,  # 不兼容特性：目录项包含文件类型字段
Read Only Compat Features: Sparse Super,  # 只读兼容特性：稀疏超级块（仅部分块组有超级块备份）
  # 
METADATA INFORMATION  # 元数据信息部分
--------------------------------------------  # 分隔线
Inode Range: 1 - 137  # inode 范围：1 到 137，共 137 个 inode
Root Directory: 2  # 根目录 inode 号为 2（Ext 文件系统固定约定）
Free Inodes: 119  # 空闲 inode 数量：119 个（已用 18 个）
  # 
CONTENT INFORMATION  # 数据内容信息部分
--------------------------------------------  # 分隔线
Block Range: 0 - 1071  # 块编号范围：0 到 1071，共 1072 个块
Block Size: 1024  # 块大小：1024 字节（1 KB）
Reserved Blocks Before Block Groups: 1  # 第一个块组之前的保留块数：1（通常为引导块或保留空间）
Free Blocks: 858  # 空闲数据块数量：858 个
  # 
BLOCK GROUP INFORMATION  # 块组信息部分
--------------------------------------------  # 分隔线
Number of Block Groups: 1  # 块组总数：1 个
Inodes per group: 136  # 每个块组分配的 inode 数：136 个
Blocks per group: 8192  # 每个块组最大块数：8192（创建时设定，实际未用满）
  # 
Group: 0:  # 块组 0 信息
  Inode Range: 1 - 136  # 组内 inode 范围：1 到 136
  Block Range: 1 - 1071  # 组内块范围：1 到 1071（块 0 为保留区域）
  Layout:  # 块组布局详情
    Super Block: 1 - 1  # 超级块占用块 1
    Group Descriptor Table: 2 - 2  # 组描述符表占用块 2
    Data bitmap: 7 - 7  # 数据块位图占用块 7
    Inode bitmap: 8 - 8  # inode 位图占用块 8
    Inode Table: 9 - 25  # inode 表占用块 9 至 25（共 17 个块）
    Data Blocks: 26 - 0  # 数据块区域从块 26 开始，'0' 为显示异常或表示到结尾
  Free Inodes: 119 (0%)  # 组内空闲 inode：119（显示 0%，实际空闲率约 87.5%）
  Free Blocks: 858 (0%)  # 组内空闲块：858（显示 0%，实际空闲率约 80%）
  Total Directories: 4  # 目录总数：4 个（含根目录）

接下来我们查找被删除的文件

1
2
3
4
5
fls.exe -f ext2 -r -d 86b265d37d1fc10b721a2accae04a60d

# -f ext2   指定文件系统类型
# -r        递归遍历目录
# -d        只显示删除文件

$OrphanFiles 是 Sleuth Kit 构造出来的虚拟目录，表示这些 inode 已经没有正常目录项引用了，但 inode 和数据块还残留在文件系统中

目录里还能看到 secret.txt 这个删除文件名痕迹，但它的 inode 号已经不可用，TSK 显示成 0

1
r/- * 0:        secret.txt

转换方向去恢复虚拟目录拿到 flag

1
FLAG-ggmgk05096

文件恢复（ext3 文件恢复）

pasted_1784197879256_ti7l4p.png

用 Sleuth Kit 识别文件类型

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
FILE SYSTEM INFORMATION
--------------------------------------------
File System Type: Ext3                      # 文件系统类型为 Ext3（第三代扩展文件系统）
Volume Name:                                # 卷名（此处为空）
Volume ID: 809a1caaa174a48d5a4aeac6914601ca # 卷的唯一标识符（UUID）

Last Written at: 2016-08-20 10:23:55        # 最后写入时间
Last Checked at: 2014-02-07 09:28:31        # 最后一次文件系统检查（fsck）的时间
Last Mounted at: 2016-08-20 10:22:56        # 最后挂载时间
Last mounted on: /mnt/test                  # 最后挂载的目录

Source OS: Linux                            # 创建此文件系统的操作系统为 Linux
Dynamic Structure                           # 使用动态结构（如 flex_bg 等）
Compat Features: Journal, Ext Attributes, Resize Inode, Dir Index  
# 兼容特性：支持日志、扩展属性、可变 inode 大小、目录索引
InCompat Features: Filetype,                # 不兼容特性：文件类型（必须支持才能挂载）
Read Only Compat Features: Sparse Super,    # 只读兼容特性：稀疏超级块（若不支持则只能只读挂载）

Journal ID: 00                              # 日志 ID
Journal Inode: 8                            # 日志文件所在的 inode 号

METADATA INFORMATION
--------------------------------------------
Inode Range: 1 - 1281                       # inode 编号范围
Root Directory: 2                           # 根目录的 inode 号（通常为 2）
Free Inodes: 1265                           # 剩余可用 inode 数量

CONTENT INFORMATION
--------------------------------------------
Block Range: 0 - 5119                       # 数据块编号范围（从 0 开始）
Block Size: 1024                            # 每个块的大小（字节）
Reserved Blocks Before Block Groups: 1      # 块组前保留的块数（用于引导块等）
Free Blocks: 3879                           # 剩余可用块数量

BLOCK GROUP INFORMATION
--------------------------------------------
Number of Block Groups: 1                   # 块组总数
Inodes per group: 1280                      # 每个块组所含 inode 数
Blocks per group: 8192                      # 每个块组所含块数（超级块记录的值）

Group: 0:                                   # 块组 0 的详细信息
  Inode Range: 1 - 1280                     # 该组管理的 inode 范围
  Block Range: 1 - 5119                     # 该组管理的块范围（逻辑块号）
  Layout:                                   # 组内布局
    Super Block: 1 - 1                      # 超级块占用的块号（备份在块组内）
    Group Descriptor Table: 2 - 2           # 组描述符表占用的块号
    Data bitmap: 22 - 22                    # 数据块位图块号
    Inode bitmap: 23 - 23                   # inode 位图块号
    Inode Table: 24 - 183                   # inode 表占用的块范围（共 160 块，1280*128/1024 = 160）
    Data Blocks: 184 - 0                    # 数据块起始（184）到结束（0 表示环回或全范围，实际最后一块可能为 5119）
  Free Inodes: 1265 (0%)                    # 该组剩余 inode 数（占比）
  Free Blocks: 3879 (0%)                    # 该组剩余块数（占比）
  Total Directories: 4                      # 该组内目录总数

使用 fls 查看递归查看被删除的文件

pasted_1784199930688_yhdhfk.png

Flag.txt 对应的 inode 为 16，还没有被删除

但是使用 icat 查看缺为空

pasted_1784200107571_22d36w.png

文件名还在目录项残留里，但 inode 数据块信息已经丢失

因此要换思路，去未分配空间里搜残留数据

blkls 可以提取文件系统中未分配的数据块，也就是删除文件可能残留的位置

pasted_1784200220238_y9d7bl.png

打开文件搜索关键字拿到 flag

pasted_1784200288913_9w5338.png

Crypto

回转十三位（ROT13 + Base64）

先 ROT13 再 Base64

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
import codecs
import base64

cipher = "EzkuM0yGAzA2n3WbEaOJEHuOFmuOpN=="

# 1. ROT13
rot13_result = codecs.decode(cipher, "rot_13")
print("[+] ROT13:", rot13_result)

# 2. Base64 decode
plain = base64.b64decode(rot13_result).decode()
print("[+] plain:", plain)

# 3. 提取 flag 内容
flag_body = plain.replace("FlagIS", "")
flag = f"flag{{{flag_body}}}"

print("[+] flag:", flag)

滴答滴答（摩斯密码）

一眼摩斯密码，flag 是 flag{ALPHALAB}

栅栏解救（栅栏密码）

枚举一下就行

Reverse

CrackMe1（签到）

IDA 打开就是