2023年福建省第四届“闽盾杯”-黑盾赛道-从线上初赛到线下决赛-WriteUp

0x00 前言

0x01 初赛

1.1 DNS流量分析

0x00 前言

今年黑盾杯改为了全国赛道,然后高职组跟本科组的题目也有了区别,今年线下也见到了好多朋友，也认识了很多新的师傅，感谢各位师傅的帮助，线下部分wp来自各位好朋友各位大师傅们，这里特别感谢一下AhiSec跟F5n的师傅。

0x01 初赛

相比较去年的初赛不只有理论题还加上了几道Ctf题,理论题部分还是各种法律题

CTF的就是正常的杂项，web等

1.1 DNS流量分析

打开数据包就能看到很明显的压缩包头504b,这里猜测就是个压缩包

先过滤出请求的数据,然后导出name那块

dns  and ip.dst==192.168.50.1

去掉域名部分只保留前缀部分，然后另存为zip，发现是一个加密的压缩包

然后爆破得到密码Ap3l

1.2 1SHELL

扫目录可以得到1.php,使用工具爆破密码我这里的密码是aj每次启动都会不一样

连接得到flag

1.3 mylog

mysql的二进制文件,在kali下用mysqlbinlog 得到sql语句

然后在里面搜索f1ag 得到关键的sql语句

他里面有用到database() 这里我们搜索 create database可以得到库名是黑盾

执行那些语句出来的结果并不完整,可以看到有替换FLAG为flag，但是插入的里面并没有flag

这里在搜索一下F14g可以看到flag{是这里插入的(手动补个FLAG{也是可以的)

最终得到语句，拿到数据库执行即可获得flag

CREATE DATABASE  `heidun` DEFAULT CHARACTER SET utf8;
CREATE TABLE `heidun`.`f1ag` (
  `Id` int(11),
  `data` varchar(50) default NULL
);
use heidun;
insert into f1ag values (1,'FLAG');
insert into f1ag values (null,'{');
insert into f1ag values(null,'heidun');
insert into f1ag values(null,'_');
insert into f1ag values(null,year(now()));
insert into f1ag values(null,'_');
insert into f1ag values(null,database());
insert into f1ag values(null,']');
update f1ag set data=replace(data,'_','-');
update f1ag set data=replace(data,']','}');
update f1ag set data=replace(data,'FLAG','flag');
select replace(group_concat(data),',','') from f1ag ;

0x02 复赛

复赛10题Ctf题

2.1 威胁情报分析1

给了两个txt一个是访问的ip或域名,一个是恶意地址的

访问日志 and 威胁情报

思路是提取出来然后做比对，首先提取ioc文件，去掉文件首尾的[] 然后在最后一行加上,使用脚本提取出ioc字段

for i in open(r'ioc.txt',encoding="UTF-8"):
    print(eval(i[:-2]).get("ioc",''))

然后改一下脚本同样的去掉文件首尾的[] 然后在最后一行加上,处理一下提取出访问的url

for i in open(r'network.txt',encoding="UTF-8"):
    print(eval(i[:-2]).get("DestHost",''))

然后用命令提取出相同的行得到答案46.21.82.234

sort okioc.txt oknet.txt | uniq -d

2.2 QZ

非预期解

strings 镜像 | grep Zxm

base64解码得到flag

2.3 Py-math-game

开启给了个端口,nc连接发现返回了信息要3秒内完成算术题

用python socket连接然后计算完成发送过去,发现能计算猜测后端是用的eval来接收我们传入的值

传个os.popen('cat flag.txt').readline() 成功读取到flag

脚本只有个截图了

2.4 Pypath

源码

from flask import Flask, request, Response
import os
import shutil
import site



app = Flask(__name__)


@app.route('/')
def index():
    return app.send_static_file('index.html')


@app.route('/upload', methods=['POST'])
def upload():
    f = request.files["data"]
    with open(f'/tmp/storage/{f.filename}', 'wb+') as destination:
        destination.write(f.read())
    return Response("File is uploaded!", 200)


@app.route('/install', methods=['GET'])
def install():
    package_name = request.args.get('package_name')
    if '..' in package_name:
        return Response("Not allowed!", 400)

    src = os.path.join('contrib', 'packages', package_name)
    dst = os.path.join('/tmp/extract', package_name)

    shutil.copy(src, dst)
    shutil.unpack_archive(dst, extract_dir='/tmp/extract')

    return Response("Installed!", 200)


@app.route('/clean', methods=['GET'])
def clean():
    file = os.path.basename(request.args.get('file'))
    file_safe = f'/tmp/storage/{file}'
    os.unlink(file_safe)
    return Response("file removed!", 200)


@app.route('/add', methods=['GET'])
def add():
    site_dir = "/tmp/extract"
    name = request.args.get('name')
    site.addpackage(site_dir, name, None)



if __name__ == "__main__":
    app.run(debug=True, host='0.0.0.0')

upload方法默认传/tmp/storage/到下没有限制,可目录穿越,add方法是/tmp/extract目录，这里先上传到add方法的目录下,内容是通过dnslog外带信息

add方法时候触发

dnslog接到flag

0x03 线下决赛

今年线下决赛开始了收手机,比赛开始的时候要把手机交上去后面也会有人巡逻看你是否上网,赛题数量也比去年更多了。

3.1 任务一

总共4个小题

用的onenav版本v0.9.12-20210726 下载地址 https://github.com/helloxz/onenav

3.1.1 任务一第一题

通过备份文件的config.simple.php得到账号密码

登入后台即可看到flag

3.1.2 任务一第二题

提示数据库好小巧

通过备份文件知道数据库路径然后去访问下载data/onenav.db3,然后打开里面就有flag

3.1.2 任务一第三题

Fscan扫描得到CVE-2012-1823

然后cat web目录下的flag.php

3.1.2 任务一第四题

提示缓存数据库,这里6379开放那就是Redis

去找Redis配置文件得到密码，然后连接发现有很多键

分别查看f l a g这4个键的值然后里面是base64的解密拼接即可得到flag

3.2 任务二

题目是java_web 用的程序是ofcms,同样也是4小题

3.2.1 任务二第一题

admin 123456 登入

然后F12在flag1的分类下找到flag1

3.2.2 任务二第二题

tomcat tomcat直接登入tomcat

部署war包上webshell

上了shell试试看suid提权,发现了less这个可以用于读文件,还有pkexec让我想到了CVE-2021-4043

这里提一嘴ssh 账号ubuntu 密码 123456直接上然后上POC提权去读根目录的FI@G_2文件

3.2.3 任务二第三题

找配置文件得到数据库账号密码root toor

然后连接数据库查询得到flag3

3.2.4 任务二第四题

root 目录下有fLog_4

3.3 任务三

题目名称内网渗透用的系统是 dreamer cms 总共7个小题不过他第一题用是0 ,这里flag不一定对位置因为图片没有全截赛后也忘记了哪个是哪个,所以可能顺序会有点问题

漏洞详细链接 : https://forum.butian.net/share/2183

3.3 任务三第零题

首页有个base64编码的解密后是admin888

admin admin888登入

然后在编辑权限的位置得到flag

3.3 任务三第？题

附件处存在任意文件读取，读取根目录flag

然后下载即可

3.3.x 任务三第？题

备份数据库然后通过读取数据库文件得到flag

3.3.x 任务三第？题

通过写计划任务反弹shell然后查看flag

3.4 任务四

4个小题,给了一个防火墙日志

3.4.1 任务四第一题

要找出总共有多少个ip，得到39个ip

cat FwLog.txt |cut -d ',' -f 2 | sort | uniq -c  |grep "sa"  | wc -l

3.4.2 任务四第二题

这里我搜了一下bak.php 因为只有扫描器会访问这种文件然后提交这个ip一次过

3.4.3 任务四第三题

要找出爆破IP

查看日志能发现爆破的特征是/webfire/portal/sp/login.php?loginFailed=1&error=user_password_incorrect

这里直接脚本找出含有user_password_incorrect的ip

import re
pattern = r"sa=(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})"
count = {} 
with open(r"FwLog.txt",encoding='utf-8')  as f:
    for line in f:
        if "user_password_incorrect" in line:
            ip = re.search(pattern, line).group(1)
            if ip in count: 
                count[ip] += 1 
            else: 
                count[ip] = 1 

for ip, freq in count.items(): 
    print(ip, freq)

然后排序一下答案就就是 10_6_4_4_2_2

3.4.4 任务四第四题

找出ssrf的ip，搜索http即可得到 192.168.80.1

3.5 任务五

一个日志一个流量分析

3.5.1 任务五第一题

数据量太大没做出来

3.5.2 任务五第二题

打开发现是sql注入的流量

这里需要取出sbustrings取的某个位数最后一次判断的字符，也就是比较成功的这里用的是遍历所以到成功的就会停止

举个例子这里为1的最后一次比较是102然后就判断第二位了102转为ascii字符为f

这里直接脚本提取出来

import re
 
with open("misc.pcapng", "rb") as f:
    contents = f.read()
    res = re.compile(r'0,1\),(\d+),1\)\)=(\d+)%23').findall(str(contents))
    dic = {}
    for a, b in res:
        if a in dic:
            if int(b) > dic[a]:
                dic[a] = int(b)
        else:
            dic[a] = int(b)
    flag = ""
    for i in range(1,39):
        flag += chr(dic[str(i)])
    print(flag)