0x01:这是一张单纯的图片

先丢binwalk里面看一下,没有发现什么,那么直接改后缀为txt,然后打开
发现:

一段unicode,那么直接在线unicode转ascii,得到flag

1
key{you are right}

0x02:隐写

解压得到一张png图片,先用pngcheck看一下:

发现图片的crc有问题,而图片的crc是由图片的IHDR数据块计算而来的,一张图片仅有一个IHDR数据块,其中包含了图片的宽,高,图像深度,颜色类型,压缩方法等。

crc有问题一般很有可能是图像的宽或者高被改小了,我们可以借助一个工具直接将图片的高和宽改大一些,然后重新计算一下crc使它不会出错。

用010 editor打开图片,然后运行模板(template)

我们可以先把图片的高改大一些

然后再用crc calculator重新计算crc值


计算出CRC为 AEA66B47
然后修改crc值

保存后再打开图片可以得到flag

1
BUGKU{a1e5aSA}

0x03:telnet

直接用wireshark打开
然后追踪tcp流就可以得到flag了

1
flag{d316759c281bf925d600be698a4973d5}

0x04:眼见非实(ISCCCTF)

下载下来文件没有后缀,拖进16进制编辑器看文件头为50 4B,那么添加扩展名zip,然后解压得到一个word文件

点击打开word文件,出错

然后又丢进十六进制编辑器,发现文件头又是50 4B
那么又改文件后缀为zip
解压得到很多个xml文件

直接拖到编辑器进行全局搜索

得到flag

1
flag{F1@g}

0x05:又一张图片,还单纯吗

先丢binwalk跑一下,发现里面有隐藏的图片

然后再用foremost分离里面的文件

然后查看分离出来的图片,得到flag

这flag手输还是有点麻烦,文字提取又有缺失……

1
falg{NSCTF_e6532a34928a3d1dadd0b049d5a3cc57}

0x06:猜

题目说flag是某人名字的拼音
给了一个图片:

直接上百度识图

得到flag

1
key{liuyifei}

0x07:宽带信息泄漏

下载得到一个conf.bin文件,结合题目可以猜测是路由器配置文件
考点应该是用RouterPassView从路由器配置文件中找到宽带账号和密码
题目说flag就为宽带用户名
用RouterPassView直接打开conf.bin,然后搜索username

得到flag

1
flag{053700357621}

0x08:隐写2

先把图片丢binwalk里面看下

可以看到里面隐藏了一些其它的文件,那么我们用foremost将这些文件都分离出来

然后得到一个zip文件,解压得到一个rar包,和一个提示图片

试了下解压,需要密码,那么弄懂提示应该就可以得到密码了
提示如下:

通过查找资料:
我们可以知道查理曼是扑克中的红心K,雅典娜是扑克中的黑桃Q,兰斯洛特是扑克中的梅花J

然而试了很久,密码不是KQJ 或者 JQK,题目提示是三个数
然后把rar包放进16进制编辑器,发现文件头是50 4B,所以改后缀为zip,然后用arpz爆破三位数密码得到871,不知道这个提示是拿来干嘛的。。。
解压得到一张图片,放到十六进制编辑器看下,在底部得到flag

然后还需要base64解码得到最终flag:

1
flag{y0u Are a h@cker!}

0x09:多种解决方法

下载下来解压得到KEY.exe
先拖到十六进制编辑器看下

很明显是个图片base64
直接改后缀为txt,然后复制下来在线解码得到一张二维码:

然后在线扫描一下:

得到flag

1
KEY{dca57f966e4e4e31fd5b15417da63269}

0x0a:linux

下载1.tar.gz,解压得到一个flag文件

我们注意到一个地方,压缩包才20kb,解压后就14MB了,有点不太正常

直接用binwalk -e或者foremost分离一下,得到flag.txt

cat一下,得到flag:

1
key{feb81d3834e2423c9903f4755464060b}

0x0b:中国菜刀

下载解压,得到如下文件:

直接可以用wireshark打开
直接追踪tcp流看看,在tcp.stream eq2处发现了下面这段经过url编码的base64编码:

1
QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7JEY9IkM6XFx3d3dyb290XFxmbGFnLnRhci5neiI7JGZwPUBmb3BlbigkRiwncicpO2lmKEBmZ2V0YygkZnApKXtAZmNsb3NlKCRmcCk7QHJlYWRmaWxlKCRGKTt9ZWxzZXtlY2hvKCdFUlJPUjovLyBDYW4gTm90IFJlYWQnKTt9O2VjaG8oIlhAWSIpO2RpZSgpOw%3D%3D

将其url解码后再base64解码得到如下:

1
@ini_set("display_errors","0");@set_time_limit(0);if(PHP_VERSION<'5.3.0'){@set_magic_quotes_runtime(0);};echo("X@Y");$F="C:\\wwwroot\\flag.tar.gz";$fp=@fopen($F,'r');if(@fgetc($fp)){@fclose($fp);@readfile($F);}else{echo('ERROR:// Can Not Read');};echo("X@Y");die();

在这段代码里面我们可以看到有个文件叫flag.tar.gz,应该就是我们的目标了

或者直接在下面数据部分也可以看到

如果猜的没错的话,这应该是菜刀列目录的流量

看了下网上很多人都是使用binwalk直接分离caidao.pcapng文件得到flag的
直接
binwalk -e caidao.pcapng
得到以下文件:

然后改后缀为tar.gz,然后解压得到flag

1
key{8769fe393f2b998fa6a11afe2bfcd65e}

这里再给出另外一种解法,虽然没有binwalk直接分离容易,但是我觉得这才是这道题正确的解法
我们知道了有个文件叫flag.tar.gz,很明显我们要的flag就在这里面,那么这个文件很可能就在流量包里面
wireshark提供了一个功能看,可以把数据包里面的文件给保存下来。
点击文件,导出对象,http

然后可以看到6个文件

我们全部保存下来,选择save all,然后依次查看
其中有一个文件很可疑,直接打开如下:

那么我们就将其放入binwalk查看一下,发现了gzip文件

然后直接binwalk -e 文件名来分离文件,得到一个没有后缀的文件,我们给它加上tar.gz后缀就可以正常解压得到flag了

1
key{8769fe393f2b998fa6a11afe2bfcd65e}

0x0c:这么多数据包

下载解压得到一个CTF.pcapng文件,题目提示先找到getshell流
一打开,,,,果然是很多数据包
我们先看看能不能导出什么有用的文件,试了下没有什么可导出的文件
那么就只能先找getshell流了

最后更新: 2018年08月03日 11:08

原始链接: http://drac0nids.top/2018/08/01/bugku杂项/

× 请我吃糖~
打赏二维码