DASCTF_六月赛MISC部分wp
DASCTF_六月赛MISC部分wp
MISC
cryptographic_call
题目描述中给了一串密文
PiTXPBoBd3OVOMdheMGSOZXXeJXXOJ1ge64WPMGBc3cCPJKDc7W=下载附件得到一张bmp图片，和一个tip
secret is in the picture but does not destroy the picture除此之外线索都没给，开局一张图，剩下全靠猜，结果考点是个工具提取盲水印，一点与水印相关信息也不给，就硬猜，感觉给点相关信息会成为一个不错的考点吧……
提取出水印，很明显的换表base64，脚本一把梭
from string import maketrans
a = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
b = '0123456789abcdefGHIJKLMNOPQrstuvwXYZghijklmnopqRSTUVW*ABCDEF@xyz'
c = 'PiTXPBoBd3OVOMdheMGSOZXXeJXXOJ1ge64WPMGBc3cCPJKDc7W='
print (c.translate(maketrans(b,a))).decode('base64')PhysicalHacker
打开流量包
很明显是802.11的无线数据包，破解密码，可参考此文章中恶臭的数据包一题
基本过程都一样，先查看BSSID及ESSID
然后需要用到password.txt爆破密码，不同的是在本题的hint.txt中给了password.txt生成方法，题目难度直线下降
r = ''
with open('password.txt', 'w') as f:
for i in range(0,10):
r += str(i)*8 + '\n'
f.write(r)运行上述python代码，得到password.txt，然后
得到密码：66666666
再解密流量包
得到解密后的1-dec.cap，直接binwalk一把梭，分离出一个flag.txt，其中由空格和制表符构成了隐写的信息，尝试转换成01序列，但是解不出有用的信息，所以想到snow隐写，工具在该网址下载，无密钥直接解即可
得到一长串字符串，解base32得到flag
flag is: Nep{670b14728ad9902aecba32e22fa4f6bd} congradulations!!!BaiduYun&Gcode
这道题的质量是真的高，最后3D打印的设计是真滴nb！
题目描述
你了解百度网盘的秒传原理么？hint
数据库中的xshadow.png与平台首页中xshadow.png的前256KB相同根据题目描述搜一下秒传原理，大概可以了解到
y老师给了一个相关网站，接下来解题需要用到
查看附件的数据库（我用了sqlite），在第一个文件中可以看到
有一个异常大的xshadow.png，而且恰好符合hint所给信息，在平台首页将xshadow.png下载下来，再看刚刚提到的那个网站
这个网站利用百度网盘秒传的原理进行文件的转存，但是需要上图中的这些信息，其中路径、文件大小、文件MD5在数据库中都有提到
路径：/X计划平台_files/xshadow.png
文件大小：30038207
文件MD5：72b6273dc5c54e8af2490e4acd3a6a3f所以接下来需要得到前256KB的MD5值，根据提示与首页的那个图片前256KB相同，所以可以用010editor将那个图片修改大小为256KB，即262144Bytes
编辑 → 设置文件大小
修改后再求得此文件的MD5值，windows下利用certutil命令即可
将这些信息都填好后（上面的bdstoken也要填，可以参考使用教程，在此不多赘述）点击转存，在自己的百度网盘中就能找到这个文件，将其下载后进行binwalk分离，得到一个gcode文件，gcode为3D打印命令，在线网站读取一下，可以看到
将其切换成3D模式，可以在最长的h的那条边上看到flag
Keyboard
安恒4月赛原题，可见：https://cloud.tencent.com/developer/article/2272832
透明度
题目描述
你知道RGBA吗？下载附件得到一张png图片，结合题目描述与RGBA相关，直接zsteg分析
看到在其中一个通道有zip文件，将其提取出来
zsteg Rgba.png -e 'b8,a,lsb,xy' > out.zip在windows下打开发现文件被加密，文件名为密码是nep__，两个下划线提示掩码爆破，工具爆破一下得到压缩包密码nepnb，打开得到flag
SMB
先说一句y老师nb！
题目描述
坏女人开机登陆后发现收到了一封邮件，你能发现其中的秘密吗？内存取证题，vol一把梭，感觉题目里可能有很多线索没找到，都是猜出来的2333
先查看镜像配置
volatility -f memory.raw imageinfo
然后查看进程
volatility -f memory.raw --profile=Win7SP1x64 pslist
可以看到有TrueCrypt这个进程，是用来加密磁盘的一个工具，推测SMB是被加密的磁盘
用取证大师打开后数据恢复 → 自动取证，可以在回收站删除记录中看到
再结合题目描述中提到的开机登录，推测加密磁盘的密钥就是admin登录密码
volatility hivelist -f memory.raw --profile=Win7SP1x64
通过注册表来提取密码，可参考文章
volatility hashdump -f memory.raw --profile=Win7SP1x64 -y 0xfffff8a000024010 -s 0xfffff8a001584010 > hash.txt
找个md5的在线破解网站破解一下，得到密码：qweasd!123
用取证大师选择加密磁盘模式挂载一下
将其中的文件导出，strings查看一下可以发现
参考下面两篇文章
对包含上图中类似信息的文件进行ole对象提取
在_OVID-19文件中可以提取出一个bin文件，strings查看
可以得到一长串字符串，丢进CyberChef，提示base58，解得flag
