2019--国赛--第一次参加线上赛的自己的整理

杨利霞

7 Z7 K# W' c& c( _3 T2019--国赛--第一次参加线上赛的自己的整理
: M9 h$ G* x, _2 p. F7 `misc第一题：签到
$ [( S1 u" j* |" \* s$ l5 d
+ s( w+ a% \, ^) j' ~9 A打开压缩包，发现一个exe文件和一个txt，要三个人一起站到摄像机，然后等软件识别，就出flag了

; p2 Y& Q, m/ D: j但是我发现，你拿手机放一张照片（有三个人或比三人多）上去也可以出flag，所以推测出，该软件是甄别像素点来进行识别的
) x! r, ?" K: J8 ^# X; ]& T4 v( Y& ?
1 D6 y3 \# M8 S: l! u/ dmisc第二题：saleae
. U1 P6 |- b" T4 v3 F8 _
7 b1 G3 U" ~1 K% t+ g; e# T下载压缩包，得到一个.logic的程序，都是新东西，没人知道这是用什么软件来打开的，我发现这个特别考百度能力（捂脸）就是需要logicdata软件
+ R$ M. I# q( \+ {0 o
: U7 L6 q7 j1 ]- I1 ^下载后，发现其中给的是波形

) N; t$ k7 W; f- m- d( l然后去百度，发现这个软件是与芯片的输入输出有关，（后面是可以利用旁边的软件来读取flag的）

2 x* [4 m/ }# k  [4 e) B' K8 R当时的我们没发现这个好办法，只能是0101010101的将flag读出来，然后进行转换成字符串

, i; w8 o. c/ I' h8 l( I5 v  Omisc第三题：24C
2 p. _( @; E( Y: i! S5 H
7 @8 k. Y8 w, B与第二题类似，但是需要一点脑洞，就是记得改变它的读取顺序就好了
' N- Y5 |. u' V* X* w
( g4 |2 a. e$ j# b1 M4 s+ |crypto第一题：puzzle
- M* \) O9 _. ^5 V3 U" ^
首先是给了一个网站，心想还是不是web+密码，那就有点…舒（zi）适（nue）了吧

让我深深的感受到数学的重要性，三重积分还没学的我，简直看的如痴如醉，第一题的素数来找规律，让我懵逼好久，这是什么题哦
1 j( T8 j, s& l/ o
所有的一切都是从0开始的感觉，于是就开启了自学之旅

提示一下：1、question0 记得化简运算，当然网上也有计算器（当时死算到无奈，后面还错了）
4 f. A! V0 c5 v9 ?% K$ A1 @4 i7 i
               2、question1就是分组找规律，与素数有关

1 t3 e: F" p( ^0 U/ O$ P* r               3、question2是做的最舒服的一道题，简简单单的高数上的计算

; G: k2 f' L* A$ I1 F, c               4、question4是高中的知识，不过用一下大学的思想就就是大物的东西了，记住公式就没啥大问题了

               5、question5是三重积分，与二重积分类似，具体自己去算
1
2
8 g3 ~9 ?, v' b! j% Y' D3 T3
4
5
" U4 D: z" h/ f) f6
( N& ^+ x+ V! f1 ~. s% t% U7
7 S  m- d- f7 G; v8 C$ N! m# i总而言之，这一道题就是叫你好好的去学习高数，一定要认认真真学习高数

7 B% i( b& m$ M! Jmisc第3题：useasp
9 I7 h. t/ ~- n6 ?; `
鬼知道这是东西哦，不过经过昨天的一道题发现，继续使用那个logicdata的软件，就可以了
1 n6 p- z! h4 d) b9 ?2 X2 W$ }! M
首先，将文件拖入软件中，然后果然出现了波形

4 X: A0 d- g: s$ _$ f昨天那道题，是对照着题目一道一道念的，010101010101来着，结果，今天发现了一个神奇的地方，在logicdata的右部分中间，可以发现analyzers右边的加号，点进去，有个SPI，根据芯片的一些特性，确定时间线，MOSI和MISO的行，点击确定，就可以得到一个特别长的“flag”

很可惜，这是个陷阱，就是假的flag，flag{you-know-it-can-not-be-such-easy}

) j5 ~/ i4 e  B5 p5 l0 [于是我们进行了多种尝试，利用这个软件其他的一些工具进行解码，结果一无所获，但是，后来我们决定修改参数，因为之前的配置是可以得出flag的，于是猜测要更改SPI的某个特殊点。
/ O; {% l+ v/ L4 L- v0 M
# c. o6 |4 q6 j更改SPI的某个特殊点后，进行一个对照，发现只有将setting中最后的一个参数，改成high值，原屏幕的右下角就出现了flag。

web第一题
6 j9 W- K; V. A- g8 U
$ y$ C  h9 W/ F0 |0 ^/ Z. E! T5 mJust so so
" W8 @5 B5 I9 ^
3 [$ ]. R7 o- _开始时，用伪协议拿到源码，然后就是反序列化利用了
: ]: V- T( r6 |. h* P
, _( `- U" a6 t5 ^: C1 [& p3 n<?php index.php error_reporting(0); $file = $_GET["file"]; $payload = $_GET["payload"]; if(!isset($file)){ echo 'Missing parameter'.'
'; } if(preg_match("/flag/",$file)){ die('hack attacked!!!'); } @include($file); if(isset($payload)){ $url = parse_url($_SERVER['REQUEST_URI']); parse_str($url['query'],$query); foreach($query as $value){ if (preg_match("/flag/",$value)) { die('stop hacking!'); exit(); } } $payload = unserialize($payload); }else{ echo "Missing parameters"; } ?> hint.php <?php class Handle{ private $handle; public function __wakeup(){ foreach(get_object_vars($this) as $k => $v) { $this->$k = null; } echo "Waking up\n"; } public function __construct($handle) { $this->handle = $handle; } public function __destruct(){ $this->handle->getFlag(); } }
2 f- R- y) ?. n' ], jclass Flag{
public $file;
public $token;
public $token_flag;

function __construct($file){
- C" x+ Z; {4 g6 `9 D0 N        $this->file = $file;
% n  R0 l% M! N. }! X+ L' V        $this->token_flag = $this->token = md5(rand(1,10000));
9 \. d- D7 h. n/ v) W8 U, @}
% I: y9 J2 E  P
+ Z4 j( ^5 o! b! d( a" m3 ipublic function getFlag(){
2 C8 s# C5 c$ {4 T        $this->token_flag = md5(rand(1,10000));
! L5 }$ {  u* r, l- X& ?* O  }    if($this->token === $this->token_flag)
. ^: Z$ D, X5 k8 O* f  b        {
                if(isset($this->file)){
/ Y8 b4 T! n5 S/ z* }                        echo @highlight_file($this->file,true);
: A% h6 S$ Z; p% F        }  
    }
}
  e; C+ e9 P+ C, n# N8 o1 H* q1
2
  E/ i# x& C+ {% y4 Q2 l) v7 K$ m( x3
4
4 e8 H, T- H& o1 U5
6
7
+ t# m5 u) S: @% g9 ~. F8
; u9 Q5 E. E$ O9
10
11
12
& r+ _6 M' |; h+ z* a13
14
; I' p) }% Z9 \4 y+ e}
4 @* }. }# P  v  P$ f( D# D?>
　大佬说：　可以看到Handle类有个__destruct函数，该函数可以触发getFlag函数，但是__wakeup函数会将所有东西清空，这里改下属性个数就能绕过，参考SugerCRM漏洞，然后getFlag函数的条件可以用指针绕过，以前安恒的月赛也考过，最后flag的匹配可以利用parse_url漏洞，三个斜杠就能绕过了
1 U& |  Y9 s* y1 nexp

1 Q* ?  }. s( Y( l9 ^; [View Code

! `, [3 y% x3 I, y; m0 _. i
) X- \% I7 K' Z+ r; J; S
; ~9 J$ l2 {* q) hhttps://xi4or0uji.github.io/2019/04/22/2019-4-22-2019-全国大学生信息安全竞赛-writeup/#more

总结：本次比赛只是做了misc的题，web的题目打的也太少了，要继续加油，多进行php的审计，同时多做一些web题总结经验，下次争取多打几道web题
---------------------
作者：Jeff King
) i. h: E9 B. y- S9 w( y( d+ B& u来源：CSDN
  ]: R3 X9 p( h
5 e5 v( f. D) _1 v: v- w% f
- f! E. J3 P! t6 g- L$ T
/ a$ ^: N: H$ ]1 Z0 b+ ^