【CTF-Misc】积累思路篇

LeeOrange_13

已于 2023-03-30 15:21:57 修改

阅读量620

点赞数 1

分类专栏： CTF初学文章标签： word

于 2023-03-30 15:19:05 首次发布

本文链接：https://blog.youkuaiyun.com/LeeOrange_45/article/details/129846317

版权

CTF初学专栏收录该内容

16 篇文章

订阅专栏

0x1：word文档损坏 winhex修复解密

【粽子的来历】

先在二进制编辑器里头发现这么依托不对劲，然后将其改为FF（因为这一块儿都是FF，索性也改成FF）

修复之后就可以打开了，里面是这个。关于行距有两个取值，一个是1.5一个是1，分别对应1 和0我确实想不到！！！积累思路了。一共有4个这样的文件，都打开去看他们的01串

得到4个01串之后，按照题目给的，转换成MD5加密形式就行了。（4个字符串到底哪个可以，得要一个一个试，最后是第三个可以的，没问题的我试过了。）

0x2[RCTF2019]draw1

cs pu lt 90 fd 500 rt 90 pd fd 100 rt 90 repeat 18[fd 5 rt 10] lt 135 fd 50 lt 135 pu bk 100 pd setcolor pick [ red orange yellow green blue violet ] repeat 18[fd 5 rt 10] rt 90 fd 60 rt 90 bk 30 rt 90 fd 60 pu lt 90 fd 100 pd rt 90 fd 50 bk 50 setcolor pick [ red orange yellow green blue violet ] lt 90 fd 50 rt 90 fd 50 pu fd 50 pd fd 25 bk 50 fd 25 rt 90 fd 50 pu setcolor pick [ red orange yellow green blue violet ] fd 100 rt 90 fd 30 rt 45 pd fd 50 bk 50 rt 90 fd 50 bk 100 fd 50 rt 45 pu fd 50 lt 90 pd fd 50 bk 50 rt 90 setcolor pick [ red orange yellow green blue violet ] fd 50 pu lt 90 fd 100 pd fd 50 rt 90 fd 25 bk 25 lt 90 bk 25 rt 90 fd 25 setcolor pick [ red orange yellow green blue violet ] pu fd 25 lt 90 bk 30 pd rt 90 fd 25 pu fd 25 lt 90 pd fd 50 bk 25 rt 90 fd 25 lt 90 fd 25 bk 50 pu bk 100 lt 90 setcolor pick [ red orange yellow green blue violet ] fd 100 pd rt 90 arc 360 20 pu rt 90 fd 50 pd arc 360 15 pu fd 15 setcolor pick [ red orange yellow green blue violet ] lt 90 pd bk 50 lt 90 fd 25 pu home bk 100 lt 90 fd 100 pd arc 360 20 pu home

根本不会！

Logo Interpreter 👈logo解释器扔进去才可以

这就是了

0x3[SCTF2019]电单车 1

是一个音频文件利用AdobeAudio那个打开

这个我熟悉了！按照他的那个粗细变成01代码:

0 0111010010101010011000100 011101001010101001100010

然后不对！因为PT2242信号：前面4bit表示同步码，中间的20bit表示地址码，后面的4bit表示功能码，最后一位是停止码。

0。。。01110100101010100110。0010。0

👆这里为啥有四位有人知道不（0 。。。）

所以只要中间的黑色的：

flag{01110100101010100110}我真的不会真的想不出来啊啊啊！

0x4.内存取证：[HDCTF2019]你能发现什么蛛丝马迹吗1

给了我光盘映像文件img格式的想着用winhex来看看，emm我看不出花

（总结别人的做法）

打开kali的volatility来做。

1.查看img的版本

vol.py -f ./memory.img imageinfo

因为我的volatility安装有亿点点问题，刚运行的时候会有很多的Failed to……俺也不知道为啥，就耐心等等（3~5min）会显示想要的东西（BTW，为啥我会有很多的Faied to 啊，我把显示的贴在下面，求大佬解释）

Volatility Foundation Volatility Framework 2.6.1
*** Failed to import volatility.plugins.registry.shutdown (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.getservicesids (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.timeliner (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.malware.servicediff (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.registry.userassist (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.getsids (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.registry.shellbags (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.evtlogs (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.tcaudit (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.registry.shimcache (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.registry.dumpregistry (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.registry.lsadump (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.registry.amcache (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.malware.svcscan (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.registry.auditpol (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.registry.registryapi (ImportError: No module named Crypto.Hash)
*** Failed to import volatility.plugins.envars (ImportError: No module named Crypto.Hash)

👇我们要观察的内容

INFO    : volatility.debug    : Determining profile based on KDBG search...
          Suggested Profile(s) : Win2003SP0x86, Win2003SP1x86, Win2003SP2x86
                     AS Layer1 : IA32PagedMemoryPae (Kernel AS)
                     AS Layer2 : FileAddressSpace (/home/lsd8058055/桌面/memory.img)
                      PAE type : PAE
                           DTB : 0xe02000L
                          KDBG : 0x8088e3e0L
          Number of Processors : 1
     Image Type (Service Pack) : 1
                KPCR for CPU 0 : 0xffdff000L
             KUSER_SHARED_DATA : 0xffdf0000L
           Image date and time : 2019-04-25 08:43:06 UTC+0000
     Image local date and time : 2019-04-25 16:43:06 +0800

可以发现哈，Suggested Profile（Line 2）有好多，也就是说支持的配置文件有这三个。

2.指定版本查看内部内容

vol.py -f memory.img --profile=Win2003SP1x86 pslist

确实挺多的内容的哈。不过我们可以看到，图片里头最后一个文件的名字很奇怪，他太规整了，难道不是嘛？？？？？？

3.我想查看那个文件（DumpIt.exe）的内容

vol.py -f memory.img --profile=Win2003SP1x86 memdump -p 1992 --dump-dir=./

通过这条指令，就可以把那个dump（转储）出来。

这种dmp的文件，直接打开就是wireshark了，但是打开报错了…………

binwalk看一下里头隐藏了啥文件

binwalk <文件名>

确实好多东西啊，我们可以foremost把他们全部分离出来

foremost <文件名字>

出来之后，在output文件夹里头：

挨个看看都有啥。其他的我都点了进去看了看，打不开…………but！！！！png

4.png的解密

二维码就扫，还能咋办啊

好消息！好消息！特大好消息！两个二维码扫出来的都是一样的

jfXvUoypb8p3zvmPks8kJ5Kt0vmEw0xUZyRGOicraY4=

那两张白色图片也都是如下图:

感觉答案呼之欲出啊啊啊！！！！！！！！！！

我以为是base64加密，但是想想嗷，base64加密为啥要给我key和iv。

虽然我不知道iv和key是啥，但是我会搜索

我知道不是加密锁，也不是java 也不是那个数据块因为都没有我想要的，我知道aes加密哟

AES解密一波

这道题收获挺大的。1:img格式用volatility2.volatility的使用3.foremost4.aes加密（aes加密一般都会有iv偏移向量和key的！）

【我想下次弄个流量分析】

0x5流量分析：[SUCTF2019]protocol1（还在想+看攻略）(看下次的流量分析的套题吧……)

USB流量分析学习资料：CTF流量分析之题型深度解析 - 腾讯云开发者社区-腾讯云 (tencent.com)