2020全国大学生信息安全大赛-初赛部分writeup

ctf 2020CISCN

Word count: 2.3kReading time: 11 min

 2020/08/21   Share

这里放上合天智汇的wp

Team233_t2战队WRITEUP

一、战队信息

战队名称：Team233_t2

战队排名：428

二、解题情况

三、解题过程

题目序号：1

题目名称：签到

操作内容：

一开始的图找不到了….
每个参赛地区助力人数都达到10个就可以直接获取flag~

flag{同舟共济扬帆起，乘风破浪万里航。}

题目序号：2

题目名称：the_best_ctf_game

操作内容：

下载附件
得到一个命名为flag的文件，通过linux指令file+文件名确定文件类型为data
想到应通过记事本、word文档或者音频视频软件打开
在用记事本打开后，发现是乱码，但是乱码里面又有字符
适当调整记事本，使字符排列整齐

接着就可以看到**flag{}**，采用删除或者替换的方式消去乱码，即可获得flag

flag{65e02f26-0d6e-463f-bc63-2df733e47fbe}

题目序号：3

题目名称：电脑被黑

操作内容：

首先根据题目提示已经附件的文件名，推断是磁盘文件损坏了
采用 ext3grep工具恢复文件

可以看到恢复出了几个文件，其中便包括flag.txt
但是却并不能直接打开又发现demo程序是可执行的
执行打印了一句话“无法打开文件” 猜测应该是需要传递参数
拖进IDA中看看逻辑

可以看到demo会尝试打开传递给它的第一个参数并执行一些操作后再写回这个文件
知道了函数的逻辑以及关键算法我们可以开始写脚本来逆向

a = open("flag.txt", "rb")
v7 = a.read()

v4 = 34
v5 = 0
flag = []
for i in range(len(v7)):
    for j in range(0, 127):
        if chr(v4 ^ (v5+j)) == v7[i]:
            flag.append(chr(j))
    v4 = (v4+34) & 0xff
    v5 = (v5+2) & 0xf

print ("".join(flag))

flag{e5d7c4ed-b8f6-4417-8317-b809fc26c047}

题目序号：15

题目名称：Z3

操作内容：

题目提示常规逆向直接IDA打开看逻辑

发现是利用我们的输入计算后与文件中存储的数据比较，比对成功后打印’win’
那么可以得知我们的输入就是flag，需要做的就是提取文件中的数据再进行逆运算得到结果
数据存放的地方：

由于经验不足… 函数中的计算理解为了解方程题
不过每个方程的系数都是相同的只有结果不一样
考虑通过excel来解这几个六元一次方程
大致操作如下
先将系数和结果按顺序写入表格
再用MINVERSE来求逆矩阵

最后通过MMULT来求方程的结果

得到每个方程组的结果后将其转换为字符串即可得到flag
flag{7e171d43-63b9-4e18-990e-6e14c2afe648}

题目序号：22

题目名称：rceme

操作内容：

题目源码：

进入题目地址得到

<?php
error_reporting(0);
highlight_file(__FILE__);
parserIfLabel($_GET['a']);
function danger_key($s) {
    $s=htmlspecialchars($s);
    $key=array('php','preg','server','chr','decode','html','md5','post','get','request','file','cookie','session','sql','mkdir','copy','fwrite','del','encrypt','$','system','exec','shell','open','ini_','chroot','eval','passthru','include','require','assert','union','create','func','symlink','sleep','ord','str','source','rev','base_convert');
    $s = str_ireplace($key,"*",$s);
    $danger=array('php','preg','server','chr','decode','html','md5','post','get','request','file','cookie','session','sql','mkdir','copy','fwrite','del','encrypt','$','system','exec','shell','open','ini_','chroot','eval','passthru','include','require','assert','union','create','func','symlink','sleep','ord','str','source','rev','base_convert');
    foreach ($danger as $val){
        if(strpos($s,$val) !==false){
            die('很抱歉，执行出错，发现危险字符【'.$val.'】');
        }
    }
    if(preg_match("/^[a-z]$/i")){
        die('很抱歉，执行出错，发现危险字符');
    }
    return $s;
}
function parserIfLabel( $content ) {
    $pattern = '/\{if:([\s\S]+?)}([\s\S]*?){end\s+if}/';
    if ( preg_match_all( $pattern, $content, $matches ) ) {
        $count = count( $matches[ 0 ] );
        for ( $i = 0; $i < $count; $i++ ) {
            $flag = '';
            $out_html = '';
            $ifstr = $matches[ 1 ][ $i ];
            $ifstr=danger_key($ifstr,1);
            if(strpos($ifstr,'=') !== false){
                $arr= splits($ifstr,'=');
                if($arr[0]=='' || $arr[1]==''){
                    die('很抱歉，模板中有错误的判断,请修正【'.$ifstr.'】');
                }
                $ifstr = str_replace( '=', '==', $ifstr );
            }
            $ifstr = str_replace( '<>', '!=', $ifstr );
            $ifstr = str_replace( 'or', '||', $ifstr );
            $ifstr = str_replace( 'and', '&&', $ifstr );
            $ifstr = str_replace( 'mod', '%', $ifstr );
            $ifstr = str_replace( 'not', '!', $ifstr );
            if ( preg_match( '/\{|}/', $ifstr)) {
                die('很抱歉，模板中有错误的判断,请修正'.$ifstr);
            }else{
                @eval( 'if(' . $ifstr . '){$flag="if";}else{$flag="else";}' );
            }

            if ( preg_match( '/([\s\S]*)?\{else\}([\s\S]*)?/', $matches[ 2 ][ $i ], $matches2 ) ) {
                switch ( $flag ) {
                    case 'if':
                        if ( isset( $matches2[ 1 ] ) ) {
                            $out_html .= $matches2[ 1 ];
                        }
                        break;
                    case 'else':
                        if ( isset( $matches2[ 2 ] ) ) {
                            $out_html .= $matches2[ 2 ];
                        }
                        break;
                }
            } elseif ( $flag == 'if' ) {
                $out_html .= $matches[ 2 ][ $i ];
            }
            $pattern2 = '/\{if([0-9]):/';
            if ( preg_match( $pattern2, $out_html, $matches3 ) ) {
                $out_html = str_replace( '{if' . $matches3[ 1 ], '{if', $out_html );
                $out_html = str_replace( '{else' . $matches3[ 1 ] . '}', '{else}', $out_html );
                $out_html = str_replace( '{end if' . $matches3[ 1 ] . '}', '{end if}', $out_html );
                $out_html = $this->parserIfLabel( $out_html );
            }
            $content = str_replace( $matches[ 0 ][ $i ], $out_html, $content );
        }
    }
    return $content;
}
function splits( $s, $str=',' ) {
    if ( empty( $s ) ) return array( '' );
    if ( strpos( $s, $str ) !== false ) {
        return explode( $str, $s );
    } else {
        return array( $s );
    }
}

通过源码关键字搜索，以及经验得知本题和zzzphp模板有关

题目提示和命令执行有关

再通过搜索引擎搜索zzzphp有没有远程命令执行漏洞

找到两篇参考博客：

链接：https://xz.aliyun.com/t/4471

链接：https://xz.aliyun.com/t/6068

引入模板相关函数：

1	20 function parserIfLabel( $content )

发现eval 函数，且有$ifstr 变量，只要该变量可控，即可执行任意代码

1	44 @eval( 'if(' . $ifstr . '){$flag="if";}else{$flag="else";}' );

查看过滤条件

1	21 $pattern = '/\{if:([\s\S]+?)}([\s\S]*?){end\s+if}/';

即需要满足如下格式

1
2
3

{if:条件}
代码
{end if}

再跟进danger_key() 函数的代码

1	8 $s = str_ireplace($key,"*",$s);

发现使用了str_ireplace函数来替换关键字

1
2

$key=array('php','preg','server','chr','decode','html','md5','post','get','request','file','cookie','session','sql','mkdir','copy','fwrite','del','encrypt','$','system','exec','shell','open','ini_','chroot','eval','passthru','include','require','assert','union','create','func','symlink','sleep','ord','str','source','rev','base_convert');
$danger=array('php','preg','server','chr','decode','html','md5','post','get','request','file','cookie','session','sql','mkdir','copy','fwrite','del','encrypt','$','system','exec','shell','open','ini_','chroot','eval','passthru','include','require','assert','union','create','func','symlink','sleep','ord','str','source','rev','base_convert');