Bugku分析题目解析

朱雀 2023-03-03 15:24 563阅读 0赞

# Bugku分析 #

--------------------

### 目录 ###

*  Bugku分析
 *   *   *  1.flag被盗
         *  2.中国菜刀caidao
         *  3.这么多数据包
         *  4.手机热点
         *  5.抓到一只苍蝇
         *  6.日志审计
         *  7.weblogic
         *  8.信息提取
         *  9.特殊后门

--------------------

### 1.flag被盗 ###

flag被盗，赶紧溯源！

一个shell.php  
里面包含一个flag的text

或者http筛选，右键，追踪流，http流

得到flag：flag\{This\_is\_a\_f10g\}

### 2.中国菜刀caidao ###

参考： https://ctf.yuanlichenai.cn/2018/03/19/Bugku/Misc-2  
下载得到一个压缩包，解压出来是流量包  
用wireshark打开，因为是菜刀，猜测是http

追踪http流

将中间的base解码  
QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtpZihQSFBfVkVSU0lPTjwnNS4zLjAnKXtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO307ZWNobygiWEBZIik7JEY9IkM6XFx3d3dyb290XFxmbGFnLnRhci5neiI7JGZwPUBmb3BlbigkRiwncicpO2lmKEBmZ2V0YygkZnApKXtAZmNsb3NlKCRmcCk7QHJlYWRmaWxlKCRGKTt9ZWxzZXtlY2hvKCdFUlJPUjovLyBDYW4gTm90IFJlYWQnKTt9O2VjaG8oIlhAWSIpO2RpZSgpOw  
https://base64.supfree.net/  
解码得到

@ini_set("display_errors","0");@set_time_limit(0);if(PHP_VERSION<'5.3.0'){
        @set_magic_quotes_runtime(0);};
    echo("X@Y");$F="C:\\wwwroot\\flag.tar.gz";$fp=@fopen($F,'r');
    if(@fgetc($fp)){
        @fclose($fp);@readfile($F);}else{
        echo('ERROR:// Can Not Read');};echo("X@Y");die();

从代码里可以看出传输文件flag.tar.gz，前后还有字符“X@Y”，正是刚才追踪到的传输的数据。  
方法1：追踪http流  
最后一个http包，显示分组字节，

解码为 压缩，显示为ASCII，开始于3，得到flag

方法2，  
将流量包用binwalk分离

方法2：

key\{8769fe393f2b998fa6a11afe2bfcd65e\}

### 3.这么多数据包 ###

参考 https://ctf.yuanlichenai.cn/2018/03/19/Bugku/Misc-2/  
这么多数据包找找吧，先找到getshell的流  
下载文件后解压，用wireshark打开CTF.pcapng，发现有很多包，快速浏览后发现  
前面都是攻击机（192.168.116.138）在向目标机（192.168.116.159）进行端口扫描，  
再往后看到5542已经getshell，追踪TCP数据流，发现txt文件

对：Q0NURntkb195b3VfbGlrZV9zbmlmZmVyfQ==  
Base64解码 https://base64.supfree.net/  
得到：CCTF\{do\_you\_like\_sniffer\}

### 4.手机热点 ###

题干：httppan.baidu.coms1cwwdVC 有一天皓宝宝没了流量只好手机来共享，  
顺便又从手机发了点小秘密到电脑，你能找到它吗？

（1）用wireshark 打开以后很多蓝牙的数据包  
（2）怎么看蓝牙的数据包？既然有文件传送，使用binwalk查看一下

有一个flag.gif文件  
得到flag  
SYC\{this\_is\_bluetooth\}

### 5.抓到一只苍蝇 ###

参考 http://www.atomsec.org/ctf/idf-ctf%E8%AE%AD%E7%BB%83%E8%90%A5%E4%B9%8B%E6%8A%93%E5%88%B0%E4%B8%80%E5%8F%AA%E8%8B%8D%E8%9D%87/  
（1）wireshark打开抓取的包，首先分析过滤出HTTP的包，在HTTP的第一个POST包中看到如下信息

得知是传送的一个fly.rar的文件，文件大小为525701bytes，以及md5和sha验证  
（2）然后查看到其中一个POST包中的信息  
筛选更多post请求，逐个分析  
http.request.method==“POST”

对这几个包分析发现这是一封带fly.rar附件的邮件发送。

发信人是81101652@qq.com，收件人是king@woldy.net，fly.rar大小为525701bytes

（3）其中倒数第二个包的内容是：

跟题目描述相匹配，证明POST提交的rar文件就是我们需要还原的文件  
（4）进一步分析发现附件rar是从192.168.1.101发送到59.37.116.102的包

分五次发送，每次发送的大小为：

4次131436bytes + 1次1777bytes = 527521bytes  
（5）使用wireshark将每个包提取出来，提取方式是选中每个包的media type数据块  
右键 –> 导出分组字节流 –> 分别保存为1,2,3,4,5

（6）五个数据包合起来的大小比fly.rar要大，  
主要是每次数据传输会带上一些标志位等信息，需要将这些信息踢出来。  
每个包多加的大小为：(527521bytes – 525701bytes) / 5 = 364 bytes  
使用Kali中的dd工具将包处理这5个数据包，分别将其前364个字节去除：  
dd if=1.bin bs=1 skip=364 of=1out

将这5个文件合并  
cat \*out > fly.rar  
对文件进行md5和sha验证  
得到跟抓包信息相同的结果，可以证明还原的数据包fly.rar是正确的

（7）然后打卡fly.rar文件，但是打不开，需要输入密码，可能是伪加密  
使用zipCenOp.jar去伪加密，失败。

查阅资料发现需要修改标志位，将fly.rar文件放入HxD中，可以看到flag.txt文件，重点修改标志位0x84为0x80

（8）修改完成后的文件保存，然后解压就可以得到flag.txt文件  
解压失败  
flag\{m1Sc\_oxO2\_Fly\}

### 6.日志审计 ###

sqlmap盲注日志审计。  
题目描述  
请从流量当中分析出flag。  
考点  
本题考查根据日志，还原sqlmap采用二分法注入获得的数据。  
解题过程  
题目是sqlmap采用二分法进行注入的日志，办法很多，可以手撕，可以根据特征进行分析。  
这里举例说一种。如果对Apache日志熟悉的话，应该知道，access.log里面会记录Response的状态码和Response包的长度。  
猜解正确或错误，返回的长度是不同的。  
urldecode解码几条记录：

以猜解的第24位为例，猜解正确的时候，返回的状态码为200，长度为1765；猜解错误的状态码为404，长度为5476。  
而且可以得出结论，sqlmap采用二分法进行注入的时候，正确的值为最后一次进行＞比较正确的值+1，即为125。  
简单写个脚本，匹配一下即可。

# coding:utf-8
    import re
    import urllib
     
    f = open('access.log','r')
    lines = f.readlines()
    datas = []for line in lines:
        t = urllib.unquote(line)    
        if '1765' in t and 'flag' in t:  # 过滤出与flag相关，正确的猜解
            datas.append(t)
     
    flag_ascii = {
        }  
    for data in datas:
        matchObj = re.search( r'LIMIT 0,1\),(.*?),1\)\)>(.*?) AND', data)   
        if matchObj:
            key = int(matchObj.group(1))
            value = int(matchObj.group(2))+1
            flag_ascii[key] = value     # 使用字典，保存最后一次猜解正确的ascii码
            
    flag = ''
    for value in flag_ascii.values():
        flag += chr(value)
        
    print flag

**未解出**  
url转码，根据状态码404和200可分析出，字符是状态码为200的加1，这是状态码为200的

flag LIMIT 0,1),1,1))>101 AND      
     
    flag LIMIT 0,1),2,1))>107 AND      
     
    flag LIMIT 0,1),3,1))>96 AND      
     
    flag LIMIT 0,1),4,1))>102 AND      
     
    flag LIMIT 0,1),5,1))>122 AND      
     
    flag LIMIT 0,1),6,1))>114 AND      
     
    flag LIMIT 0,1),7,1))>112 AND     
     
    flag LIMIT 0,1),8,1))>107 AND      
     
    flag LIMIT 0,1),9,1))>108 AND      
     
    flag LIMIT 0,1),10,1))>51 AND      
     
    flag LIMIT 0,1),11,1))>111 AND      
     
    flag LIMIT 0,1),12,1))>94 AND      
     
    flag LIMIT 0,1),13,1))>48 AND      
     
    flag LIMIT 0,1),14,1))>52 AND      
     
    flag LIMIT 0,1),15,1))>94 AND      
     
    flag LIMIT 0,1),16,1))>111 AND      
     
    flag LIMIT 0,1),17,1))>47 AND   
     
    flag LIMIT 0,1),18,1))>118 AND      
     
    flag LIMIT 0,1),19,1))>100 AND      
     
    flag LIMIT 0,1),20,1))>113 AND      
     
    flag LIMIT 0,1),21,1))>101 AND      
     
    flag LIMIT 0,1),22,1))>116 AND      
     
    flag LIMIT 0,1),23,1))>107 AND

flag LIMIT 0,1),24,1))>124 AND

字符串ASCII为：102 108 97 103 123 115 113 108 109 52 112 95 49 53 95 112 48 119 101 114 102 117 108 125

ascii转码：

flag = [102,108,97,103,123,115,113,108,109,52,112,95,49,53,95,112,48,119,101,114,102,117,108,125]
    flagchar = ""
    for s in flag:
        flagchar += chr(s)
    print(flagchar)
     
    flag{
        sqlm4p_15_p0werful}

### 7.weblogic ###

黑客攻击了Weblogic应用，请分析攻击过程，找出Weblogic的主机名。flag格式：flag\{\}  
Tip：主机名为十六进制。  
来源：第七届山东省大学生网络安全技能大赛

按照题目要求需要寻找主机名，以十六进制的形式提交

hostname命令是查看主机名的命令，从流量来看，是一个暴力破解getshell的过程

直接在过滤器中查找hostname  
http contains “hostname”

追踪http流

搜索hostname

得到flag  
flag\{6ad4c5a09043\}

### 8.信息提取 ###

参考 http://www.bubuko.com/infodetail-2810310.html  
依然使用wireshark打开，只有http和tcp的包，我们只关心http包  
筛选过滤http，只显示http内容  
结合题目的提示“sqlmap用过吗”，可以看出这是一个布尔盲注的过程，从sql注入检测，猜解数据库，表名…  
逐渐向下查看，一位一位的猜取flag，然后用二分法判断其ascii码的范围并最终确定这一位的值。  
第806个包是读取flag第一位的数据包。

为了更明了的查看语句，可以导出对象查看  
记住E64

message.php?id=1%20AND%20ORD%28MID%28%28SELECT%20IFNULL%28CAST%28%60value%60%20AS%20CHAR%29%2C0x20%29%20FROM%20isg.flags%20ORDER%20BY%20%60value%60%20LIMIT%200%2C1%29%2C1%2C1%29%29%3E64

进行URL解码 http://tool.chinaz.com/tools/urlencode.aspx  
message.php?id=1 AND ORD(MID((SELECT IFNULL(CAST(`value` AS CHAR),0x20) FROM isg.flags ORDER BY `value` LIMIT 0,1),1,1))>64  
message.php?id=1%20AND%20ORD%28MID%28%28SELECT%20IFNULL%28CAST%28%60value%60%20AS%20CHAR%29%2C0x20%29%20FROM%20isg.flags%20ORDER%20BY%20%60value%60%20LIMIT%200%2C1%29%2C1%2C1%29%29%3E96  
message.php?id=1 AND ORD(MID((SELECT IFNULL(CAST(`value` AS CHAR),0x20) FROM isg.flags ORDER BY `value` LIMIT 0,1),1,1))>96

我们可以以64这个ascii码为一个字符的分界线，我们不需要看返回值，只需要往下看到下一个64就能判断ascii码是什么，我们以第一个字符为例，可以看到第一个字符判断的时候，先判断其是否大于64，后面又判断了是否大于96，说明这个字符肯定大于64，所以此时作比较的ascii码增加64的二分之一，即96，接着向下看，作比较的ascii码变成了80，说明这个字符小于96，所以大于64又小于96，继续向下分32的二分之一，即80，在接着向下看，作比较的ascii码变为了72，说明这个字符依然小于80，继续向下分16的二分之一，即72，继续向下看，作比较的ascii码变为了76，说明这个ascii码大于72，所以向上分8的二分之一，即76，继续向下看，作比较的ascii码变为了74，说明这个ascii码小于76，所以向下分4的二分之一，即74，继续向下看，作比较的ascii码变成了73，且下一个包变为了64，说明已经判断结束，因此大于72又不大于73，这个ascii码为73，对应的字符为I。这就是二分法。

依次做转化 https://www.qqxiuzi.cn/bianma/ascii.htm  
73-I  
83-S  
71-G  
123-\{  
65/66-A/B  
75/76-K/L  
105-i  
109/110-m/n  
99/100-c/d  
95/96-*/’  
83/84-S/T  
81/82-Q/R  
107/108-k/l  
95/96-*/’  
73/74-I/J  
109/110-m/n  
73/74-I/J  
69/70-E/F  
99/100-c/d  
83/84-S/T  
105/106-i/j  
47/48-//0  
77/78-M/N  
95/96-\_/’  
67/68-C/D  
101/102-e/f  
83/84-S/T  
69/70-E/F  
99/100-c/d  
83/84-S/T  
69/70-E/F  
99/100-c/d  
125/126-\}/~  
1/2  
ISG\{BLind\_SQl\_InJEcTi0N\_DeTEcTEd\}

或者直接使用脚本分析pcap文件  
参考链接 https://blog.csdn.net/gwenchill/article/details/48105225

#coding=utf-8
    import zlib
    import re
    f=open('sqlmap.pcap','rb')
    c=f.read()
    f.close()
    mlist=re.finditer(r"Content-Length: (\d+)",c)
    lastpos,nowpos=1,1
    lastchar,nowchar=64,64
    lastline=''
    flags=''
    for mx in mlist:
        if(int(mx.group(1))<100):#长度小于100，应该不是需要的字符串
            continue
        mc=c[mx.span()[1]+48:mx.span()[1]+48+int(mx.group(1))]#按照content-length长度来读取相应字符数
        content=zlib.decompress(mc,16+zlib.MAX_WBITS)#gzip解压
        #print content
        m=re.search('0,1\),(\d+).*>(\d+):',content) #匹配判断的字符和字符位置
        if(m is None):
            continue
        nowchar=int(m.group(2)) #当前判断的字符ACII值
        nowpos=int(m.group(1)) #位置
        if(nowpos!=lastpos): #跳到下个字符位置，说明该位置判断已结束
            d=">\d+:\s(\S+)"#匹配后面的The quick....
            m1=re.search(d,lastline)#保存的上一行中寻找
            if m1 is not None:
                flags+=chr(lastchar+1) #匹配到后面的Fox
            else:
                flags+=chr(lastchar) #未匹配到Fox
        lastpos=nowpos
        lastchar=nowchar
        lastline=content   
    print ('Flag is '+flags) 
     
     
    #Flag is ISG{BLind_SQl_InJEcTi0N_DeTEcTEd}

### 9.特殊后门 ###

题干：  
从通信方式的角度看，后门可分为http/https型、irc型、dns型、icmp型等等。  
安全人员抓到一份可疑的流量包，请从中分析出利用某种特殊协议传输的数据。  
考点：写到数据包的ICMP数据

逐个查看特殊协议，意外发现ICMP包的：第一个ICMP包的内容

挨个查看icmp包  
最后得到：  
flag\{Icmp\_backdoor\_can\_transfer-some\_infomation\}

> 参考[链接][Link 1]

[Link 1]: https://ctf.yuanlichenai.cn/2018/09/18/Bugku/Packet/