2018 HCTF WriteUp

🏛️ 组织架构

  • 主办单位：杭州电子科技大学通信工程学院

  • 承办方：杭电学生社团 “信息安全协会”（即知名的 Vidar 战队）

  • 赞助方：本届比赛由杭州拜思科技友情赞助，因此也被称为 “拜思杯”

决赛排名：

  • 冠军：天枢战队（北京邮电大学）

  • 亚军：Redbud 战队（清华大学）

  • 季军：Nu1L 战队（联合战队）

Web

warmup（文件包含 ? 绕过）

网页注释中的 source.php 给了源码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
<?php
    highlight_file(__FILE__);
    class emmm
    {
        public static function checkFile(&$page)
        {
            $whitelist = ["source"=>"source.php","hint"=>"hint.php"];
            if (! isset($page) || !is_string($page)) {
                echo "you can't see it";
                return false;
            }

            if (in_array($page, $whitelist)) {
                return true;
            }

            $_page = mb_substr(
                $page,
                0,
                mb_strpos($page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }

            $_page = urldecode($page);
            $_page = mb_substr(
                $_page,
                0,
                mb_strpos($_page . '?', '?')
            );
            if (in_array($_page, $whitelist)) {
                return true;
            }
            echo "you can't see it";
            return false;
        }
    }

    if (! empty($_REQUEST['file'])
        && is_string($_REQUEST['file'])
        && emmm::checkFile($_REQUEST['file'])
    ) {
        include $_REQUEST['file'];
        exit;
    } else {
        echo "<br><img src=\"https://i.loli.net/2018/11/01/5bdb0d93dc794.jpg\" />";
    }  
?>

白名单是 source.php 和 hint.php，于是再找到 hint.php

1
flag not here, and flag in ffffllllaaaagggg

想触发文件包含，需要满足三个条件

1
2
3
! empty($_REQUEST['file'])
is_string($_REQUEST['file'])
emmm::checkFile($_REQUEST['file'])

checkFile() 里定义了白名单

1
$whitelist = ["source"=>"source.php","hint"=>"hint.php"];

代码里有这段

1
2
3
4
5
6
7
8
9
$_page = mb_substr(
    $page,
    0,
    mb_strpos($page . '?', '?')
);

if (in_array($_page, $whitelist)) {
    return true;
}

它的意思是：

  • 找到 $page 里第一个 ? 的位置

  • 截取 ? 前面的内容

  • 判断截取出来的内容是否在白名单里

所以我们可以构造 Payload：source.php?file=source.php?../../../../../../../../ffffllllaaaagggg

对于 include 来说，这不是 HTTP 请求里的 query string，而是一个本地文件路径字符串

其中 ? 在本地文件路径里不是特殊的参数分隔符，而更像普通字符，所以可以绕过

Misc

difficult programming language

打开流量包发现是 USB 流量

USB 键盘的数据包一般是 8 字节 HID report

  • modifier 表示 Shift / Ctrl / Alt 等组合键

  • key1~key6 表示当前按下的键码

1
[modifier][reserved][key1][key2][key3][key4][key5][key6]

万能提取脚本

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
pcap_path = "difficult_programming_language.pcap"

# 普通键位
normal_map = {
    4:'a', 5:'b', 6:'c', 7:'d', 8:'e', 9:'f', 10:'g', 11:'h',
    12:'i', 13:'j', 14:'k', 15:'l', 16:'m', 17:'n', 18:'o',
    19:'p', 20:'q', 21:'r', 22:'s', 23:'t', 24:'u', 25:'v',
    26:'w', 27:'x', 28:'y', 29:'z',

    30:'1', 31:'2', 32:'3', 33:'4', 34:'5',
    35:'6', 36:'7', 37:'8', 38:'9', 39:'0',

    40:'\n',
    41:'[ESC]',
    42:'[BACKSPACE]',
    43:'\t',
    44:' ',
    45:'-',
    46:'=',
    47:'[',
    48:']',
    49:'\\',
    51:';',
    52:"'",
    53:'`',
    54:',',
    55:'.',
    56:'/',
}

# Shift 后的键位
shift_map = {
    4:'A', 5:'B', 6:'C', 7:'D', 8:'E', 9:'F', 10:'G', 11:'H',
    12:'I', 13:'J', 14:'K', 15:'L', 16:'M', 17:'N', 18:'O',
    19:'P', 20:'Q', 21:'R', 22:'S', 23:'T', 24:'U', 25:'V',
    26:'W', 27:'X', 28:'Y', 29:'Z',

    30:'!', 31:'@', 32:'#', 33:'$', 34:'%',
    35:'^', 36:'&', 37:'*', 38:'(', 39:')',

    40:'\n',
    41:'[ESC]',
    42:'[BACKSPACE]',
    43:'\t',
    44:' ',
    45:'_',
    46:'+',
    47:'{',
    48:'}',
    49:'|',
    51:':',
    52:'"',
    53:'~',
    54:'<',
    55:'>',
    56:'?',
}

data = open(pcap_path, "rb").read()

# pcap global header 24 字节
pos = 24

payloads = []

while pos + 16 <= len(data):
    ts_sec, ts_usec, incl_len, orig_len = struct.unpack("<IIII", data[pos:pos+16])
    pos += 16

    pkt = data[pos:pos+incl_len]
    pos += incl_len

    if len(pkt) < 2:
        continue

    # USBPcap header 的前 2 字节是 headerLen，小端序
    header_len = struct.unpack("<H", pkt[:2])[0]

    hid = pkt[header_len:]

    if len(hid) == 8:
        payloads.append(hid)

result = []
prev_keys = set()

for hid in payloads:
    modifier = hid[0]
    keys = set(k for k in hid[2:8] if k != 0)

    # 只记录新按下的键，避免一个键长按时重复输出
    new_keys = keys - prev_keys

    for key in sorted(new_keys):
        # 0x02 是 Left Shift，0x20 是 Right Shift
        if modifier & 0x22:
            ch = shift_map.get(key, f"[0x{key:02x}]")
        else:
            ch = normal_map.get(key, f"[0x{key:02x}]")

        result.append(ch)

    prev_keys = keys

print("".join(result))

运行后得到

1
D'`;M?!\mZ4j8hgSvt2bN);^]+7jiE3Ve0A@Q=|;)sxwYXtsl2pongOe+LKa'e^]\a`_X|V[Tx;:VONSRQJn1MFKJCBfFE>&<`@9!=<5Y9y7654-,P0/o-,%I)ih&%$#z@xw|{ts9wvXWm3~c

结合题目文件名 difficult_programming_language

很容易联想到著名的 “困难编程语言”

1
Malbolge

把整段输入作为 Malbolge 代码直接执行时，会发现最后一个字符 c 会导致源码校验失败

Malbolge 源码中，每个位置的字符需要满足特定规则

1
(ord(ch) + index) % 94 ∈ {4, 5, 23, 39, 40, 62, 68, 81}

去掉最后一个字符后，得到合法 Malbolge 程序

1
D'`;M?!\mZ4j8hgSvt2bN);^]+7jiE3Ve0A@Q=|;)sxwYXtsl2pongOe+LKa'e^]\a`_X|V[Tx;:VONSRQJn1MFKJCBfFE>&<`@9!=<5Y9y7654-,P0/o-,%I)ih&%$#z@xw|{ts9wvXWm3~

可以用 Python 的 malbolge 库执行

1
2
3
4
5
import malbolge

code = r"""D'`;M?!\mZ4j8hgSvt2bN);^]+7jiE3Ve0A@Q=|;)sxwYXtsl2pongOe+LKa'e^]\a`_X|V[Tx;:VONSRQJn1MFKJCBfFE>&<`@9!=<5Y9y7654-,P0/o-,%I)ih&%$#z@xw|{ts9wvXWm3~"""

print(malbolge.eval(code))

拿到 flag：hctf{m4lb0lGe}