2023年磐石行动第一周

1、MISC-trainee

题目如下：

新来的实习生将VIP客户的名单录入系统的时候有几处错误，请你帮他校对纠正一下。database.txt中是公司的所有客户名单，customer.txt是VIP客户。
举例：admin（正确的单词）—>adcin（错误的单词），找到的答案为c
将找到的所有答案拼接，并用md5加密，即为flag。

exp如下：

import string
import hashlib

with open('./database.txt','r') as f:
    database_buff = f.readlines()

with open('./username_vip.txt','r') as f:
    vip_buff = f.readlines()


databases = []
vips = []

for database in database_buff:
    databases.append(database.strip())

for vip in vip_buff:
    vips.append(vip.strip())

#step1:找到不在database中的用户名
error_name_vips = []

for vip in vips:
    if vip not in databases:
        error_name_vips.append(vip)

#step2:找出错误的字母

char_buff = string.ascii_letters
flag = ''

for vip in error_name_vips:
    find_one = False
    for index in range(len(vip)):
        first_name = vip[:index]
        last_name = vip[index+1:]
        for mid_name in char_buff:
            right_name = first_name+mid_name+last_name
            if right_name in databases:
                flag += vip[index]
                find_one = True
                break
        if find_one:
            break

print(hashlib.md5(flag.encode()).hexdigest())

2、WEB-zhimale

题目为众筹的网站

开始查了芝麻乐CMS，发现并没有公开的漏洞，然后开始研究网站的功能

登录部分发现三个功能为登录、注册、修改密码

可以给项目投资，不过需要有钱

同时还有转入和转出功能，发现转入和转出功能有问题，估计考点不在这个地方

然后随便注册一个手机号登录进去，18812341234

然后发现这个提示，那么需要通过18888888888账号进行登录才能获得flag

那么需要知道1888888888的密码，想起来修改密码的那个功能

然后发现直接使用188手机号无法获取到验证码，但是自己的手机号可以获取到验证码，

然后这个时候把用户的密码修改，就可以将任意账号的密码修改，这里存在一个逻辑漏洞，可以任意用户密码

成功将用户的密码修改为qwe@123

这个地方会自动登录进去，但是不显示用户名，需要退出之后重新登录一下，否则后面看不到flag

这个地方正常显示了18888888888用户名

从资金明细发现投资过三个爸爸 1000元。

然后继续投资两次后发现没钱之后就不可以继续投资

然后分析下相关逻辑

投资份数*金额 < 目前资金
剩余资金 =  目前资金 - 投资份数*金额 

那么如果校验不严格，可以通过负数的投资份额和金额使得剩余的资金增加

通过测试发现份数不能为负数，同时不能超过项目剩余的份数

三个爸爸项目总共需要4500000元，一份是1000元，那么共计4500-2=4498份，同时将金额设置为-1000，应该就可以得到4500000元。

发现用户已经有450万元。

然后得到flag，DASCTF{08009800269248961777982938438909}