H/NCTF复现

John Doe 发布于

最后更新于

题目附件:

1
2
3
4
通过百度网盘分享的文件：MISC.rar
链接：https://pan.baidu.com/s/1D1eKiJv6Jw497XKLKPtgUA?pwd=4kgd 
提取码：4kgd 
--来自百度网盘超级会员V3的分享

secret

题目描述:

1
薛学姐有一只好看的小猫咪，一起来撸猫吧！

下载附件

binwalk发现图片藏有压缩包

foremost提取

解压压缩包

一眼零宽隐写

得到密码，结合情况猜测应该是隐写

010查看图片，发现9E97BA2A

9E97BA2A是oursecret加密的特征

查看flag.txt

一眼snow隐写

1
兑震乾兑乾坤乾艮乾兑兑艮兑乾震兑乾坎兑艮乾兑乾艮乾艮巽兑离震兑坎坤兑乾艮兑坎离兑兑巽兑艮离兑震兑兑坎震兑离离兑兑离兑坤乾兑艮离兑兑坎兑兑震兑艮巽兑坎坤兑兑巽兑艮兑兑艮乾兑离艮兑兑坤兑坎艮兑乾离兑离巽兑兑坎兑兑离兑艮坤兑艮乾兑离乾兑巽兑兑坤乾兑艮离兑兑巽兑艮兑兑艮乾兑离艮兑离乾兑巽离兑坎坤乾坎震

八卦解码，随波逐流一把梭

xxencode解密

最后flag为H&NCTF{Do_y0u_want_mak3_a_5now_man}

帮帮我 图灵先生！

下载附件

010查看附件，发现末尾有base编码

提取编码

1
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

base解码

翻译得到

1
艾伦·马蒂森·图灵（Alan Mathison Turing，1912年6月23日-1954年6月7日）是英国著名的数学家和逻辑学家，被誉为计算机科学和人工智能之父。他是计算机逻辑学的创始人，提出了“图灵机”和“图灵测试”等重要概念。协助英国军方破译著名的密码系统，并帮助盟军在第二次世界大战中取得胜利。现在请与他并肩作战，破解混沌的密码和谜题。SQFCDAJJRMPZRCGUGTYNAMQXAZDNWBGONJWFBADHQJJVSYRZGOJHLRQRZHSUVKOIVN

文章中还有一些关键字：第二次世界大战、破解混乱的密码和谜题、破译著名的密码系统

百度一下这些信息：图灵在第二次世界大战期间破译著名的密码系统，可以知道是恩尼格玛 加密

在线网址：http://www.atoolbox.net/Tool.php?Id=993&ac=csdn

解码的话需要知道恩尼格玛的转子和转速,文件是png图片，尝试lsb隐写，zsteg一把梭

1
"now you get your hint1(slow) hint2{5 2 1} and hint3(1 1 4) m"

得到转子和轮速

恩格尔码解密

1
ZEROPOINTONEONEFOURFIVEONEFOURTHREEPOINTONEFOURONEFIVEFIVEHUNDRED

翻译一下

1
0.114514 3.1415 500

看一下图片属性 这里注意到是48位的图片位深度

1
2
3
位深度：存储图片一个像素需要消耗多少个bit位。
图像色深：图像的一个像素可以表示多少个bit的颜色。
通道：不同格式图片存储像素的方式，RGB图像的通道为3，的通道为1.

当24位深度时，使用24bit显示一个像素点， 由8bit Red 8bit Green 8bit Blue组合颜色而成，每一个原始颜色（R/G/B）都可以完全显示（0~0xff），所以24位及以上，我们就叫做真彩色

这张图片位深度为48 又有R G B三个通道 所以每个通道占16bit 但是我们只能看到8bit的信息 所以我们需要将低位的数据提取出来

1
2
3
4
5
6
7
8
9
10
# 提取低位
import cv2
import numpy as np

img = cv2.imread("E:\\turing.png", cv2.IMREAD_UNCHANGED) 

img2 = img & 0xFF   
img2 = img2.astype(np.uint8)

cv2.imwrite("E:\\turing1.png", img2)

运行得到

可以在中间部分依稀看到一些字符 但是并不清楚，结合上面提到的混沌之谜 可知这是Logistic混沌变换加密

混沌加密:

1
图片的混沌加密是先把所有像素点平坦化了，按照一位数组处理的，然后再重组为图片

恢复脚本exp:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
import cv2
import numpy as np
from PIL import Image

def logistic(Img, x, u,times):
    M = Img.shape[0]
    N = Img.shape[1]
    for i in range(1, times):
        x = u * x * (1 - x)
    array = np.zeros(M * N)
    array[1] = x
    for i in range(1, M * N - 1):
        array[i + 1] = u * array[i] * (1 - array[i])
    array = np.array(array * 255, dtype='uint8')
    code = np.reshape(array, (M, N))
    xor = Img ^ code
    v = xor
    return v

x = 0.114514
u = 3.1415
times = 500

Img = cv2.imread('E:\\diwei\\a\\turing1.png')
Img = Img[:, :, [2, 1, 0]]
(r, g, b) = cv2.split(Img)
R = logistic(r, x, u, times)
G = logistic(g, x, u, times)
B = logistic(b, x, u, times)
merged = np.ones(Img.shape, dtype=np.uint8)
merged[:, :, 2] = B
merged[:, :, 1] = G
merged[:, :, 0] = R

Img = Image.fromarray(merged)
Img.save('E:\\diwei\\a\\turing1_logistic.png')

运行得到

得到字符串

1
R<TYN\a_t+}wZE{t~EV*}sin+yg

赛博厨子一把梭

最后flag为H&NCTF{En1gm@_and_L0gist1c}

onist

题目描述:

1
模糊的城市一座模糊的夜景，模糊的雨点，落在不知名街亭。

hint：

1
2
3
4
1.左下角的建筑在卫星地图上显示为建筑地基
2.图片拍摄的日期为4月22日
3.航线查询网站:https://flightadsb.variflight.com/
4.第三空没有格式，如XX大厦/XX公路/XX高速等等

下载附件

开启环境，一共三个问题

1
2
3
1.目的地（例如长沙黄花国际机场）
2.航班号（英文大写）
3.黄色灯光处

百度识图，确定是海南航空

根据飞机机翼标识，发现后面涂装改了，改成全红机翼尖尖

发现这个和图片中的很相似

搜索海南机场

最后确定是海口美兰国际机场

通过飞机机翼上的注册号提示可知B-22xx，进行注册号搜索

根据图片创建时间为23日，可推测图片拍摄于23日前

https://flightadsb.variflight.com/，利用网站搜索HU7006（23号的）

查看回放

根据提示1： 左下角的建筑在卫星地图上显示为建筑地基

确定是海南大学（观澜湖校区）体育馆地基

黄色灯光处对比位置，确定为羊山大道

onist_pro

题目描述:

1
SWDD结束了长城杯的赛程登上了进京的飞机，沿途拍下了一张照片。下机后发现图片损坏了，你能找到他途中拍摄的地点吗？

hint:

1
2
1.什么？！坐飞机也能赚钱，也算是给SWDD赚到辣
2. 奇怪？SWDD上午的飞机，下午才到北京，为什么中午就把照片发给余了？

下载附件

问题:

1
2
1.航班号（英文大写）
2.框出的地址

转机

通过描述查找到SWDD，为出题人，再结合主办方，湖南人文或中北大学得到出发地为贵阳或陕西

利用浅显的地理知识判断应该为黄河沿岸

通过图片左下角模糊的高铁线这一特征沿黄河沿岸狂找，在百度卫星地图上找到山西圣天湖景区

通过飞机姿态高度与地理位置判断，飞机处于降落过程，通过搜索附近机场发现运城机场

通过搜索西安，贵阳到运城的飞机（飞机上有国航的标志）

可寻得两班航班

确定是CA4069

小明是个猴子

下载附件

R-STUDIO扫描文件发现有个zip归档，里面两个文件，分别是flag.txt.zip和

xiaoming.txt.zip，给它拿下来

两个文件解压都需要密码,小明是伪加密，010修改

打开文本

1
其实也没啥事‍‍‌‌‌‍‬‍‬‌‌‬‍‍‍‌‬‬‌‍‍‍‌‬‬‌‍‍‍‌‍‍‬‌‌‍‌‍‌‍，‍‍‍‌‬不就是上学吗‍‍‍‌‬，不就是生活吗，‍‍‬‬‌‍‌‍‬‍‍‍‬人活着哪有不疯的时候，‍‍‌‌‌‍‬‍‍‬‌‬‍‌‍不疯的人还活着吗‍‬‍‬‌‬。‍‌‬‌‌‍人又不是葱姜蒜西瓜茄子萝芒果猕猴桃。可能我是猴子呢‍‍‍‬‬‍‍‬‬‌‍‌‍‬‍‍‍‬‍‍‌‌‌‍‬‍‌‌‌‍‍‌‬‬‬‍‬‍‌‌‬‍!我是猴子!‍‍‍‌‬哈‍‍‍‌‬!‍‍‬‬‌‍‌‍‬‍‍‍‬‍‍‌‌‌‍‬‍‍‍‌‌‌嘿!‍‬‍‬‌‌‬吼‍‬‌‬‍‌‍‬‌‌‌‍‍‬‌‌‌‍‍‌‬‌‌‌!哈哈哈哈哈哈哈哈哈哈哈哈哈我是猴子‬‌‌‍‬‬‬，我不用学习的‍‍‍‌‍(‌‌‌‌‍‌‌‌‌‌‍‬‍‍变成猿猴‌‌‌‌‍‬‌‌‌‌‌‍‌‬)(‌‌‌‌‍‬‍‍‌‌‌‌‍‍‌抢夺路人的香蕉)‍‍‬‬‌‍‌(飞入丛林‍‍‬‌‍‬‍‬‌‌‌‌‍‌‌‌‍‍‌‌‌) (‍‬‍‬‌‌‬在藤蔓中荡来荡去)‍‍‌‌‬‌(在藤蔓中荡来荡去‍‌‬‌‌‍‍‬‍‬‌‬)‬‌‍‌‍‌‍(‍‍‬‍‍‌‬‌‍‌‬‍‌‬‌‬‍‍在藤蔓中荡来荡去)‍‍‌‍‌(‬‌‌‌‌‍‌在藤蔓中荡来荡去)‍‍‬‍‍‌‌‬‌‍‌‌‍‍‬‌‌‬‬‍‌‬‍‬‍‬‍‌‍‌‌‍‍‍(‍‌‌‍‌‍‬‬‌‍‌‌高声吼叫‌‌‌‍‍‌‌‌‍‬‍‬‌‌‬)(‍‬‍‬‌‬‍‌‌‍‌高声吼叫)‍‍‬‍‍‌‌(‌‌‌‌‌‬‌‍‍‍‍‌‌‬‌‌‌‌‌‌‬‌‍‍‍‍‬‌在藤蔓中荡来荡去)‌‌‌‌‌‬‌‍‍‍‍‌‌‌‌‌‌‌‌‬‌‍‍‍‍‌‌‬‌(‍‍‍‌‌‬‌‍‍‍‌‌‬‌高声吼叫‍‍‍‌‌‬‌‍‍‍‌‌‬‌)(‍‍‍‌‌‬‌‍‍‍‌‌‬‌在藤蔓中荡来荡去‍‍‍‌‌‬‌‍‍‍‌‌‬‌)‍‍‍‌‌‬‌‍‍‍‌‌‬‌(‍‍‍‌‌‬‌高声吼叫‍‍‍‌‌‬‌‍‬‍‬‌‬)‍‌‌‍‌‍‍‬‍‍‌‌‌‌‌‍(在藤蔓中荡来荡去)

0宽隐写

1
小明在用电脑画画的时候才是不疯的时候，只有画画的时候小明才能想到自己secret的密码，小明又不是葱姜蒜西瓜茄子萝芒果猕猴桃，小明是猴子!哈!嘿!吼!哈哈哈哈哈哈哈哈哈哈哈哈哈是猴子！

跟画画有关？vol提取一下进程看看

1
vol -f xiaoming.raw --profile=Win7SP1x64 pslist

1
vol -f xiaoming.raw --profile=Win7SP1x64 memdump -p 2980 -D ./

然后改后缀名为.data，gimp打开,调整数据

拿到key: #2a92ak@dz7e

解压secret.zip得到flag

最后flag为H&NCTF{U_r_a_f0rensic_m4s7er}

ice的秘密

题目描述:

1
注意项目文档，ccx的第一层密码格式为user_domain_password

下载附件

vol使用mimikatz直接破解哈希值（需要装插件）获取第一层密码：ice_CTF_CFRS[]

然后使用Cncrypt进行挂载，输入第一层密码ice_CTF_CFRS[]

获得一个tips.txt

1
key分为三段，拼接起来才是真密码哦，key3的第一位是_

R-STUDIO扫描文件发现Users—ice—Desktop下存在main.py和key2.txt

main.py

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
def encode (OO0OOO0O0OOO00000):
    O0O0000000O0OOO00 =[]
    for O0O0OO00O00OOO0OO in OO0OOO0O0OOO00000:
        O000OOOO000O000O0 =(ord (O0O0OO00O00OOO0OO )^0x114000 ^0x514)+114000-514
OO       O0O0000000O0OOO00 .append (O000OOOO000O000O0 &0xff)
    return O0O0000000O0OOO00
def decode (OOOOOOOOO0OOO0O00):
    O0O00O00O000OOOOO =''
    for O00OO00000OOOO00O in OOOOOOOOO0OOO0O00:
        OO0OO0O0OO0O0O00O = ?
        O0O00O00O000OOOOO += ?
    return O0O00O00O000OOOOO 

"""
>>>encode("key1")
[205, 191, 187, 115, 124, 117, 110, 181, 187, 153, 199, 110, 174, 202, 153]
"""

写个逆过程先拿到key1，exp:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
def decode(OOOOOOOOO0OOO0O00):
    O0O00O00O000OOOOO = ''
    for O00OO00000OOOO00O in OOOOOOOOO0OOO0O00:
        # 撤销编码过程中执行的操作
        OO0OO0O0OO0O0O00O = (O00OO00000OOOO00O - 114000 + 514) ^ 0x114000 ^ 0x514
        # 确保结果是一个有效的 ASCII 字符（0-255）
        OO0OO0O0OO0O0O00O &= 0xff
        # 将整数转换回字符
        O0O00O00O000OOOOO += chr(OO0OO0O0OO0O0O00O)
    return O0O00O00O000OOOOO


# 测试 decode 函数
print(decode([205, 191, 187, 115, 124, 117, 110, 181, 187, 153, 199, 110, 174, 202, 153]))  # 应该输出 "key1"

运行得到

查看key2.txt

1
RSCRC[[[FCCSFCF]]]RSR[[[FCSCF]]]CRR[[[FCFF]]][CRRCR][[[FCSSSCCCSFF]]][RCSRR][[[FCFFSSS]]]CF[[[[FC]]]][RRR][[[[FCCF]]]][FFF][R][[[[FCC]]]][R][[[FCF]]]RR[[FCFCF]]FFFFRR[RR][[FCFCF]][[[]]]]]FF[RCCRR][[[F]]][[[FF]]][RRCR][[[FF]]][FFCF]RRCRCRRCRCFFCFFFCFCF[FFCF]FFCFCF

一眼丁真为cfrs[]语言

参考网址:仅5个字符的新绘图语言火了，ChatGPT都学会了_澎湃号·湃客_澎湃新闻-The Paper

在线编译器只能执行256bytes，阅读项目文件可知c,s都是可删去的，删去后发现网站报错信息变为‘]’，观察一下删去多余的‘]’

1
2
3
RSR[[[FSFF]]]RSR[[[FSF]]]RR[[[FFF]]][RRR][[[FSSSSFF]]][RSRR][[[FFFSSS]]]F[[[[F]]]]
[RRR][[[[FF]]]][FFF][R][[[[F]]]][R][[[FF]]]RR[[FFF]]FFFFRR[RR][[FFF]]FF[RRR][[[F]]]
[[[FF]]][RRR][[[FF]]][FFF]RRRRRRFFFFFFF[FFF]FFFF

运行得到2b

查看进程发现画图软件

1
vol -f ice_secret.raw --profile=Win7SP1x64 pslist

导出进程

1
vol -f ice_secret.raw --profile=Win7SP1x64 memdump -p 2920 -D ./

改后缀为data文件，gimp打开，如下（参数在下图中）：

得到key3:_pic

组合一下就是：34sy_m4th_2b_pic

拿到真正的密码后删除上次加载后的盘，再选择一个新的盘挂载，输入此密码即可得到flag.txt

ez_pcap

下载附件

分析题目给的两个流量包，我们可以在第二个流量包中导出http对象里可以看到一个

Secret.zip，然后保存下来。

里面有个带密码的dmp文件，密码只能通过流量来找了。 寻找发现TCP流16的地方存在冰蝎4.x的xor加密

通过明文来反推一下key

流量一把梭

得到压缩包密码 HNctf14789（测试出来的）

解压成功后进行密文碰撞，参考：https://github.com/minhangxiaohui/CSthing

首先先提取出密文：

1
python3 cs-parse-http-traffic.py -k unknown ctf1.pcapng

拿这段长度为80的密文进行碰撞

1
python3 ./cs-extract-key.py -t 8e98a938c83fb8beeadfc9f521342c49b25e2b3570fc39634cd8524e6a41c34dd9038058135076f40ff1947bc49e1cff5f064cf0a4d87312b4ac2ef72f38ddac593aae5a253c02dccaf6f8f5d1d0e74c dmp.dmp

成功碰撞出SHA256 raw key，再用raw key对整个流量包的通讯密文进行解密

1
python3 ./cs-parse-http-traffic.py -k 3e2c8bd57d043ae78caa33c1f76fb3de:0406b3801de60f1fd4d7391d618eec81 ctf1.pcapng

1

1

1

12
1
2
NOTICE

flex-block主题部分重构，详情查看https://github.com/miiiku/flex-block

CATEGORIES
TAGS
misc web