justCTF 2020
Sanity Check
给出的链接是 Rule The World
的播放链接。而网站上的 RULES 里面有 All flags fall into the following format: justCTF{something_h3re!}, unless the challenge description states otherwise.
的描述。
justCTF{something_h3re!}
PDF is broken, and so is this file
使用 010 editor 打开所给的 pdf 可以发现其中隐藏了很多文件。foremost 分离出来,在 zip 目录下发现可以解压的压缩文档。其中包含一个工具和如下说明。
You didn't think it would be this easy, did you?
https://www.youtube.com/watch?v=VVdmmN0su6E#t=11m32s
Maybe try running
./mutool draw -r 300 -o rendered.png
on this PDF
$ docker run -ti --rm -w /workdir/ --mount type=bind,source="$PWD",target=/workdir ubuntu:bionic ./mutool
按照提示所给的信息运行 mutool 可以生成一张图片。
LMGTFY: Let Me Google That For You
在搜索引擎上找 2642 didier "42 bytes" object
,可以发现一篇文章,讲的是 PDF Stream。读完之后回到 PDF 文件上,找一下 PDF 文件的 Stream。从每一个流的头部可以找到流的类型,长度以及过滤器。如果是图片,还能看到更多信息。
参照这篇文章可知 stream 必须要有一个 generation,查找流的时候可以发现有两个流使用了同一个 object ID,不同的 generation,而这个属性通常为 0。所以猜测 generation 为 1 的 stream 中藏有不同寻常的内容。
这个区块的 filter 有 [/FlateDecode /ASCIIHexDecode /DCTDecode]
这三个,因此需要提取出来之后再依次解码,这里的 FlateDecode 可以直接使用 binwalk -e
分离出来,找到最近的块的文件,即可得到 ASCIIHexDecode 之前的文件。将其使用 From Hex
解码即可得到一张 jpg 文件。将其渲染出来查看即可得到 flag。
justCTF{BytesAreNotRealWakeUpSheeple}
Forgotten name
在这个网站上使用顶级域名搜索可以找到这样一个三级域名。
https://6a7573744354467b633372545f6c34616b735f6f3070737d.web.jctf.pro/
访问它可以得到如下信息。
OH! You found it! Thank you <3
将所得到的域名的第一段,即 6a7573744354467b633372545f6c34616b735f6f3070737d
,经过 From Hex
的解码之后可以得到 flag。
justCTF{c3rT_l4aks_o0ps}
Computeration
report 页面有一个提交网址的页面,提交之后会有 bot 去访问页面,因此想到监听请求。使用这个网站监听一下请求。
很容易发现 referer 里面有一个网址,整理一下得到如下网址。
https://computeration.web.jctf.pro/b811667a5a09db734093a974111d750e
尝试访问一下发现被跳转了。使用某在线工具请求一下,可以得到如下结果。
<script>
localStorage.setItem('notes',JSON.stringify([{
title:'flag',
content:'justCTF{cross_origin_timing_lol}'
}]));
location = (new URL(location.href)).searchParams.get('url');
</script>
justCTF{cross_origin_timing_lol}
Remote Password Manager
Volatility 2 跑一下 imageinfo,得到如下结果。
既然题目说 Remote,那就要找一下远程的程序。先跑一下 pslist 看一下进程列表。可以发现两个可疑进程。
使用 cmdline 先读一下命令行的历史,发现没有值得深入的地方。于是将 mstsc.exe 这个进程的部分 dump 下来。
python2 vol.py -f challenge.vmem --profile=Win10x64_18362 memdump -p 6484 -D ./
放到 Kali 下使用 GIMP 直接打开 raw data,调整宽高可以看到如下图片。
justCTF{7h3r3_15_n0_5uch_7h1n6_45_unh4ck4bl3}