湖湘杯 | Misc Wp

前言

全程卡死在验证码处，体验感爆棚，上午打铁三，下午吃完饭就进不去，就随便做做MISC算了。

MISC

0x00:passwd(50pt)

提示：we need sha1(password)!!!

这么大，结合提示就是内存取证了

先看一下镜像信息

volatility -f WIN-BU6IJ7FI9RU-20190927-152050.raw imageinfo

再列举一下用户及密码看看

volatility -f WIN-BU6IJ7FI9RU-20190927-152050.raw --profile=Win7SP1x86 printkey -K "SAM\Domains\Account\Users\Names"

发现有一个CTF用户，那接下来获取一下CTF用户的哈希值

volatility -f WIN-BU6IJ7FI9RU-20190927-152050.raw  --profile=Win7SP1x86 hashdump

在线破解一下即可

0x01: 虚实之间

用7z打开可以直接提取出副本文件，是伪加密，看拼音和这种格式的应该就是明文攻击了，但是使用明文攻击时发生报错，两个加密文件的加密算法不一样，可能是这个原因无法进行明文攻击，删除flag.txt即可

爆破出秘钥为123%asd!O，之后打开flag.txt文件发现是栅栏加密，key值为5，偏移一下就可以了。

0x02: 颜文字之谜

提示：颜文字把flag抢走了，你能拿到吗

给了一个流量包，过滤一下http观察一下

有图片还是杂项题，直接http导出看能得到什么

导出后，有一个index-demo.html文件，打开发现有段提示和一些base64编码

之前也没有接触过base64隐写（懒狗，还是做题太少了），网上有通用脚本，直接跑就可以了

这道题还涉及到了SNOW隐写，简单介绍一下SNOW隐写

snow 隐写是在html嵌入隐写信息，它的原理是通过在文本文件的末尾嵌入空格和制表位的方式嵌入隐藏信息，不同空格与制表位的组合代表不同的嵌入信息。

其实源码中已经给了提示

Github找一下工具，得到的lorrie应该就是密钥

SNOW.EXE -p lorrie -f index-demo.html > shy.txt

得到flag

flag{→_→←_←←_←←_←←_← →_→→_→←_←←_←←_← →_→←_←←_←←_← ←_←←_←←_←→_→→_→ ←_←←_←←_←→_→→_→ ←_← ←_←←_←←_←→_→→_→ →_→→_→→_→→_→←_← →_→←_←←_←←_← ←_←←_←←_←←_←←_← ←_←→_→→_→→_→→_→ →_→→_→→_→→_→→_→ ←_←←_←←_←←_←←_← ←_←←_←→_→←_← →_→←_←←_←←_← ←_←←_←←_←←_←→_→ ←_←→_→ ←_←←_←→_→→_→→_→ →_→→_→→_→→_→←_← ←_←←_←←_←←_←←_← ←_←←_←←_←→_→→_→ ←_←→_→ →_→→_→→_→→_→→_→ →_→←_←→_→←_← ←_← →_→→_→←_←←_←←_← →_→→_→→_→→_→←_← →_→←_←→_→←_← ←_←←_←←_←→_→→_→ ←_←←_←←_←→_→→_→ →_→→_→←_←←_←←_← →_→→_→→_→←_←←_←}

但这样的格式肯定是不对的，所以还需要进一步解密，只有两种格式，就先替换成摩斯密码试试

→_→ =》 -
←_← =》 .

最终得到flag

0x03: 隐藏的秘密

隐藏的秘密。附件当时没下载起来，等有附件了再来补充一下