第二届强网杯wp

web

web签到

利用了md5碰撞

payload为

param1 =%4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%02%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%d5%5d%83%60%fb%5f%07%fe%a2&&

$param2 = %4d%c9%68%ff%0e%e3%5c%20%95%72%d4%77%7b%72%15%87%d3%6f%a7%b2%1b%dc%56%b7%4a%3d%c0%78%3e%7b%95%18%af%bf%a2%00%a8%28%4b%f3%6e%8e%4b%55%b3%5f%42%75%93%d8%49%67%6d%a0%d1%55%5d%83%60%fb%5f%07%fe%a2

Three hit

拿到地址看到你是一个登陆页面，就不注册先登录看看是什么，随便用一个账号测试一下，看看能不能登陆

账号，密码：123 123，（第一次进就是有那么个123用户）发现登陆成功，页面回显4个部分，名字，年龄，相同年龄的用户名，和相同年龄，明显的涉及到SQL语句对数据库进行查询，并且一定是年龄有关系，因为是查询条件是根据年龄数来的，查询相同年龄的那个人。

开始寻找注入点>>>>>>>找半天发现，查源码发现这个注册页面，就在旁边的大铅笔

注册一个

登录没有人和其年龄相同

说明年龄就是SQL后面的where条件，那就简单了使用 union 达到二次注入，获取信息就可以了还有名字可做为可显字段就免去盲注了，构造一个

payload：1 and 1=2 union select (select 1),(select 2) # 来猜猜有多少个字段和可显字段在哪

但是发现age存在限制，只可以是数字，而且名字做了限制只允许数字和字母，剔除标点符号

Age字段就是说只要是数字就OK，常用的套路，用小葵SQL转hex，让payload转化为满足数字类型的16进制就可以bypass了啊，

现在最大问题就是找到union前面是几个字段因为union前后字段数要相同嘛，还要找到哪个字段可显，没办法就是这么狗，一个一个试着来（什么单引号、双引号、全都考虑了）

1 and 1=2 union select (select 1),(select 2),(select 3) #

转化hex 注册登录

1 and 1=2 union select (select 1),(select 2),(select 3),(select 4) #

转化hex 注册登录

发现成了，4个字段就可以了，而且第二个字段是可显的，就在那个地方查到想要的flag

Payload：

查表：

1 and 1=2 union select 1,(select group_concat(table_name) from information_schema.tables where table_schema=database()),3,4#

查字段：

1 and 1=2 union select 1,(select group_concat(column_name) from information_schema.columns where table_name=0x666C6167),3,4#

查内容：

1 and 1=2 union select 1,(select flag from flag),3,4#

得到flag

Share your mind

这道题利用的是rpo 结合xss

在write界面写入xss语句，目的是让bot访问

由于bot在report页面，所以我们要利用rpo将bot转向overview

下面的这个验证码一个脚本

服务器接受提示

使用js转换目录

得到flag

crypto

streamgame1

两个文件

Key文件乱码，没怎么管

看了下streamgame1.py

程序思路

看完之后写了下思路，想通过写个方向算法破解的，想了一下午算了

直接爆破

根据len(flag)=25和

flag.startswith(“flag{“) 和flag.endswith(“}”)

判断flag应该有20位

在根据mask值，flag应该在 0b1000000000000000000~0b1111111111111111111之间

然后根据streamgame1.py的算法生成key与原key中的值相匹配就能得出flag，思路是这样

爆破脚本如下

import binascii
def lfsr(R,mask):
    output = (R << 1) & 0xffffff
    i=(R&mask)&0xffffff
    lastbit=0
    while i!=0:
        lastbit^=(i&1)
        i=i>>1
    output^=lastbit
    return (output,lastbit)

for flag in range(0b1000000000000000000,0b1111111111111111111):
    flag=str(bin(flag)).replace('0b','')
    flag = "flag{"+flag+"}"
    R=int(flag[5:-1],2)
    mask=0b1010011000100011100

    f=open("key","wb")
    for i in range(12):
        tmp=0
        for j in range(8):
            (R,out)=lfsr(R,mask)
            tmp=(tmp << 1)^out
        f.write(chr(tmp))
    f.close()

    fh = open('key', 'rb')
    a = fh.read()
    hexstr = binascii.b2a_hex(a)

    print(hexstr)
    if(hexstr=='5538f742c10db2c7ede0243a'):
        print('get flag!')
        print(flag)
        break

剩下的streamgame2,3,4都是这样一个思路爆破