数据库2021“安恒·泰山杯”山东省网络安全大赛测试赛部分题目write up

2021“安恒·泰山杯”山东省网络安全大赛测试赛部分题目wp

web1 adminlogin
web2 ezphp
misc1 extractall
misc2 认真你就输了
crypto1 rsa17
crypto2 移位凯撒
reverse ezgo
pwn ez_rop

线上测试赛，两个多小时8道题做出来5道，感觉自己还是太菜，简单记录一下。能down下来的东西都在最后百度云链接里。

web1 adminlogin

扫描得到admin.php

得到登录页面，根据提示flag在数据库里，推测是sql注入。
试了一下substr、database等等能过滤的都过滤了，有点烦，想留到最后做结果也没来得及做。

web2 ezphp

源代码：

<!DOCTYPE html>
<html lang="en">
<head><meta charset="UTF-8"><title>Welcome</title>
</head>
<body >
</div>
<h1 style="text-align: center">Where is flag?</h1>
<!--
foreach ($_POST as $item => $value){$$item=$$value;$secret = $$item;
}
foreach ($_GET as $key => $value){if ($key=='flag'){$str=$value;$$str=$secret;}
}
if (isset($hehe)){echo "

".$hehe."

"; } //flag+flaag=DASCTF{XXXXXXX} --> </body> <center> </html>

代码审计一下，是一个变量覆盖漏洞，具体漏洞原理可参考其他大佬的博客：https://www.cnblogs.com/zzjdbk/p/12985530.html

将两部分拼一下就能得到flag。

http://www.zuowenge.cn

wp来自另外一位大神：
先写一个多层zip解压脚本，并且注意到zip文件名似乎是有规律的，这里顺便把文件名也记录了一下。

import zipfile
import osname = '[REFTQ's = []
while True:s.append(name)with zipfile.ZipFile(name + '.zip', 'r') as ziip:ziip.extractall(pwd=name.encode())delname = namename = ziip.filelist[0].filename[0:6]print(s)os.remove(delname + '.zip')

最深处有个图片，调整图片宽高，最下面有个提示who am i。

有点熟悉，百度一下是斐波那契，想到斐波那契数列，再结合文件名的特点，写出下面的脚本。

s = ['[REFTQ', '1RGe0V', '4dHJhY', 'eht8on', '3RhbGx', '8smjtq', 'zmckit', 'fSXNfU', '9rskp5', 'a93su6', 'al0o68', 'p0l2vq', '29fRnV', 'fco9e2', '7ztjka', 'bvn8ta', 'a27s40', 'dxzk1l', 'yq6ik4', 'gec9bl', 'ufQ==]']print(len(s))
fbnachi = list(map(int, '1、2、3、5、8、13、21'.split('、')))
res = ''
for i in fbnachi:res += s[i-1]
print(res)

base64解密一下即得flag

DASCTF{Extractall_Is_So_Fun}

misc2 认真你就输了

附件是一个Excel文件，但是打开提示文件已经损坏，放到kali里看一下格式。

binwalk命令看到一大堆压缩包，将文件后缀改为zip，挨个翻一下文件得到flag.txt。

crypto1 rsa17

给了一段代码：

from Crypto.Util.number import *
import binascii
import gmpy2
flag = '*****************************************'
hex_flag=int(flag.encode("hex"),16)p=getPrime(256)
q=getPrime(256)
n=p*qe=0x3
c1=pow(hex_flag,e,n)
c2=pow(hex_flag+1,e,n)print("n=",hex(n))
print("e=",hex(e))
print("c1=",hex(c1))
print("c2=",hex(c2))'''
('n=', '0xb28ae8f29f8b90e8b8c5667b2b71e49929446b41f7f7a3e9e45bc52a1e8c45d59c1788be48a9c365d51feee0b2cd3295001cdad1ba5ccf808686b5ce5a269ae5L')
('e=', '0x3')
('c1=', '0x7ba5502ecbc3b15ad8c2db8f30a593eb062dde4d7dfacadf0a28291d1a576389a18dfba0607c0243f843f637449089dd2090d47ee9845d4147f02afd4d891f19L')
('c2=', '0x891ac4f663df41c1f6433ee3513d749c3ba02fe0aacd7f51d791b9bac4f7e5194bd484d78d972c344faf600f7d3aa580485774768efc47ab8ddb67eeeb330fa1L')
'''

e=3，想到关联信息攻击

写一个脚本：

#!/usr/bin/python
# -*- coding: utf-8 -*-
import gmpy2n = 9351035609579912430580224362406913775216485260866801060250235841497131649675821473038044490729550589638048144137033269711790417615294506088800324197718757
e = 3
c1 =6475853636479050645596496086080582816789963066323389815672770714308619633711541909793891052802547415987144453383534840748034987689956953991901404774080281
c2 =7180748878269451580223627474056868509561249251375351465737365567454518806786657134253453800373864987758778056252628950652794949518011402960483137799524257def get_m1(a, b, c1, c2, n):a3 = pow(a, 3, n)b3 = pow(b, 3, n)tmp1 = ((c2 + 2*a3*c1 - b3) * b) % ntmp2 = ((c2 - a3*c1 + 2*b3) * a) % ntmp3 = gmpy2.invert(tmp2, n)tmp4 = (tmp1 * tmp3) % nreturn tmp4m1 = get_m1(1, 1, c1, c2, n)
print(m1)
#m1=0b218774971804085528558358969417603446702511773250904882108354386662296629999644383681650889865769009

将十进制转化为字符串得到flag：

crypto2 移位凯撒

密文：ch\at;X[hUeQZcNU_QL^f
c的ascii码+3=f的ascii码值
h的ascii码+4=l的ascii码值
\的ascii码+5=a的ascii码值
a的ascii码+6=g的ascii码值
t的ascii码+7={的ascii码值
前面拼起来就是flag{
所以是一个变形的凯撒密码，密文和明文的差值从3开始递增

c = r"ch\at;X[hUeQZcNU_QL^f" /  #这里一定要加r，不然\会被当作转义符
move = 3
flag = ""
for i in c:flag += chr(ord(i) + move)move += 1
print(flag)

reverse ezgo

看标题，go语言的逆向，本菜鸡暂时只学过c语言的逆向，时间有限，比赛中暂时搁置了，文件保存了，以后做出来补充。

pwn ez_rop

时间有限，比赛中暂时搁置了，文件保存了，以后做出来补充。

除了web1都能down下来，百度云链接：链接：https://pan.baidu.com/s/19bdOz9z5i3CHQLqC3P7P4g
提取码：mipu
–来自百度网盘超级会员V5的分享