[NSSCTF][Misc]小白练手（二）

Misc

[陇剑杯 2021]webshell（问1）

通过对http流和分组字节流的分析，

直接搜索password可找到flag

NSSCTF{Admin123!@#}

[陇剑杯 2021]webshell（问2）

从发现他登录之后开始追踪他的TCP流

到第23个流时，发现他在执行某些指令

继续追踪，发现地址和执行的命令whoami

第33个TCP流发现传递了一个1.php文件

/var/www/html/data/Runtime/Logs/Home/21_08_07.log

NSSCTF{/var/www/html/data/Runtime/Logs/Home/21_08_07.log}

[HUBUCTF 2022 新生赛]最简单的misc

切换色调没发现异常

去掉三色

保存

发现二维码

再利用工具解得flag

NSSCTF{aacc4238460996f0178c18d7637c9dd5}

Misc

[陇剑杯 2021]webshell（问3）

通过查询语法：http contains "whoami"

或者 http contains "id"等等的特征查询

查询到的第一个HTTP流为404

过滤此流

查看下一个

发现状态码为200即成功

则可确定权限为www-data

www_date是一个比较常见的php网站权限控制名

NSSCTF{www-data}

[陇剑杯 2021]webshell（问4）

这题刚开始我猜了一下1.php，没想到直接对了

这题我为什么会猜测1.php勒，

因为在上面找修改文件的时候，我发现他可能对1.php动了手脚

紧接着我在他下一个TCP流里面就发现了，他在请求这个文件

NSSCTF{1.php}

查看文件头

先解压zip整合包

打开第一个文件夹

将里面的压缩包丢入010发现是PNG格式的文件，修改压缩包后缀zip->png

发现是一张二维码，放入工具中得出flag

NSSCTF{i_am_a_tupian}

Misc

[陇剑杯 2021]webshell（问5）

Frp是一个开源的内网穿透

根据上面的题目知道了，解密写入内容

木马连接密码为aaa

所以我们在流量包里寻找aaa的信息

过滤规则：http.request.method==POST

这里我追踪TCP流发现在执行1.php文件后，在第39个流中，发现了客服端的工具frpc

NSSCTF{frpc}

[陇剑杯 2021]webshell（问6）

在上一题中我们解出了连接时的工具，因此，在这个流之前肯定有回连地址

发现了加密的value

5B636F6D6D6F6E5D0A7365727665725F61646472203D203139322E3136382E3233392E3132330A7365727665725F706F7274203D20373737380A746F6B656E3D586133424A66326C35656E6D4E365A3741386D760A0A5B746573745F736F636B355D0A74797065203D207463700A72656D6F74655F706F7274203D383131310A706C7567696E203D20736F636B73350A706C7567696E5F75736572203D2030484446743136634C514A0A706C7567696E5F706173737764203D204A544E32373647700A7573655F656E6372797074696F6E203D20747275650A7573655F636F6D7072657373696F6E203D20747275650A

用工具解密可得

192.168.239.123

NSSCTF{192.168.239.123}

[SWPUCTF 2021 新生赛]here_is_a_bug

将压缩包成文件夹

发现里面全是文件，放进D盾扫描

扫出后门程序，用记事本打开发现flag

NSSCTF{oh_you_catch_the_bug}

Misc

[陇剑杯 2021]webshell（问7）

通过上面的回流地址解密中发现

账号密码也在加密的内容里

NSSCTF{0HDFt16cLQJ#JTN276Gp}

[陇剑杯 2021]日志分析（问1）

搜状态码200可以发现成功下载了www.zip

这里的%2e为 . 的URL编码

NSSCTF{www.zip}

Web

[NCTF 2018]签到题

访问网站发现被重定向百度了

刷新抓一下包

发现这里给了flag，尝试了一下，并不是答案，看这题考的信息收集，我们看看他有没有其他接口

访问了一下根目录发现已经出来了

NSSCTF{w3lc0m3_t0_nctf2018hhhhhhhhhhhh}

Misc

[陇剑杯 2021]日志分析（问2）

直接搜tmp发现，上传的文件，其中全是url编码

URL解密一下

文件已出

NSSCTF{sess_car}

[陇剑杯 2021]日志分析（问3）

从URL解码出的结果尾部可看到类

NSSCTF{SplFileObject}

[SWPUCTF 2021 新生赛]原来你也玩原神

确实打不开了

看看文件结构

发现这是个mp3文件的头，还是得积累经验啊

用MP3Stego分析一下

工具运行.\Decode.exe -X 路径

这里提示我们需要密码，但是我们没密码，直接回车试试

直接不需要密码解开了

打开.txt看一下

504b压缩包头

将文件改成压缩包

需要密码

看看文件结构

发现是伪加密，改成0保存

得到flag

NSSCTF{So_you_also_play_Genshin_impact}

Misc

[陇剑杯 2021]简单日志分析（问1）

翻到日志最下面可以发现url的参数

NSSCTF{user}

[陇剑杯 2021]简单日志分析（问2）

解码base64即可获得

NSSCTF{/Th4s_IS_VERY_Import_Fi1e}

[SWPUCTF 2021 新生赛]Mooooooooooorse

题目给了一个mp3文件，可以从里面听到，在第51秒的时候，右声道出现了摩斯密码，我们打开Audacity

我们拼出摩斯密码：

-. ... ... -.-. - ..-. -.-- --- ..- .... . .- .-. - .... .- - -- --- .-. ... . -.-. --- -.. . ... ..- -... -- .. - .. -

换成小写得出flag

NSSCTF{youhearthatmorsecodesubmitit}

Misc

tri_it

题目：

整合包加密

解出密码

打开flag.txt

发现为jsfuck编码

放进firefox控制台运行，得出flag

flag{d7da7aeb-a3d6-4637-aff5-57ac9a00582b}

[陇剑杯 2021]SQL注入（问1）

看到日志，不用说太多了，这标准的SQL注入，还是用的python跑的，大概率是SQLmap

可以看到语句有if关键字做判断，且响应码都是200，直接可得出布尔盲注，因为时间盲注没有sleep函数等等的时间函数

NSSCTF{布尔盲注}

[陇剑杯 2021]SQL注入（问2）

直接拉到日志最后，因为黑客肯定要拿到最终的数据，所以我们可以看他已经爆出来的数据库名、表名、字段名

NSSCTF{sqli#flag#flag}