攻防世界Misc新手习题集

攻防世界Misc新手习题集

日期：2024.04.01

from 故人叹、

1. Ditf

考察点：png图片改宽高、流量分析

附件给到一张图片，拖入010分析，发现底部有CRC报错信息，怀疑原始宽高被更改。

尝试更改高度，获得一段编码，可能为某个压缩包的密码。

StRe1izia

将图片进行foremost分离，发现一个加密压缩包；将上述字符输入，打开压缩包得到一个流量包。

筛选HTTP请求，发现一段GET请求访问kiss.png的流量，追踪其HTTP流，发现一段base编码，解码得到flag。

flag{Oz_4nd_Hir0_lov3_For3ver}

2. a_good_idea

考察点：Stegsolve工具使用

附件给到一张图片，010分析、查看图片属性无果，拖入虚拟机分离得到提示和两张图片。

提示找到像素中的秘密，通过图片名字的提示猜测需要对两张图片进行合成操作，打开Stegsolve进行操作。

通过SUB操作得到一个二维码，保存并修改颜色，扫描得到flag。

NCTF{m1sc_1s_very_funny!!!}

3. Aesop_secret

考察点：gif动图分解

附件给到一张动图，逐帧分解发现“ISCC”，推测为秘钥或压缩包密码。

010分析在文件结尾发现一段编码。

有秘钥的输出格式为base编码的加密，个人目前所知的为AES和Rabbit，尝试发现为两次AES加密。

密文：
U2FsdGVkX19QwGkcgD0fTjZxgijRzQOGbCWALh4sRDec2w6xsY/ux53Vuj/AMZBDJ87qyZL5kAf1fmAH4Oe13Iu435bfRBuZgHpnRjTBn5+xsDHONiR3t0+Oa8yG/tOKJMNUauedvMyN4v4QKiFunw==
第一次AES：
U2FsdGVkX18OvTUlZubDnmvk2lSAkb8Jt4Zv6UWpE7Xb43f8uzeFRUKGMo6QaaNFHZriDDV0EQ/qt38Tw73tbQ==
第二次AES：
flag{DugUpADiamondADeepDarkMine}

4. something in image

考察点：010分析图片

010分析图片直接获得flag。

5. glance-50

考察点：gif动图分解

一个好用的动图分解网站：GIF动态图片分解，多帧动态图分解成多张静态图片_图片工具网页版 (sioe.cn)

动图分解成静态图片获得flag。

6. hit-the-core

考察点：core文件、strings命令使用

百度了core文件是个什么东西：

core文件是在程序异常崩溃时生成的文件，它包含了程序在崩溃瞬间的内存状态信息，主要是用来调试和分析问题。

拖入010分析无果，文件放入kali虚拟机，执行命令strings，发现一段可疑字符串。

strings命令的作用：在对象文件或二进制文件中查找可打印的字符串。字符串是4个或更多可打印字符的任意序列，以换行符或空字符结束。

可以看到，组成flag的字符从第四个字符开始，间隔都为4，通过python脚本提取：

s="cvqAeqacLtqazEigwiXobxrCrtuiTzahfFreqc{bnjrKwgk83kgd43j85ePgb_e_rwqr7fvbmHjklo3tews_hmkogooyf0vbnk0ii87Drfgh_n kiwutfb0ghk9ro987k5tfb_hjiouo087ptfcv}"
flag = ""
for i in range(3,len(s),5):
    flag+=s[i]
print(flag)

flag: ALEXCTF{K33P_7H3_g00D_w0rk_up}

7. What-is-this

考察点：图片合并

附件给到一个压缩包，解压后获得两张图片，眼尖的朋友可以察觉到两张图片的黑白像素互补。

根据图片名字的提示，猜测需要进行图片合并，使用工具Stegsolve进行操作，异或后发现信息。

8. Hear-with-your-Eyes

考察点：音频隐写--频谱图

附件给到一个压缩包，得到一段音频，直接听听不出来什么东西，拖入音频分析工具Anducity。

打开音频的频谱图，发现flag。


9. reverseMe

考察点：图片处理工具使用

使用系统自带的画图工具进行翻转：

10. misc_pic_again

考察点：LSB隐写、zip文件识别、strings命令使用

附件给到一张图片，010分析无果，使用Stegsolve进行数据分析，发现zip压缩包的十六进制字符特征。

点击“Save Bin”保存为二进制文件，格式为zip，打开压缩包获得一个无后缀文件，010分析为elf格式，拖入kali使用strings命令，发现flag。

11. Test-flag-please-ignore

考察点：010分析、base16编码

010分析出一段编码，base16解码：

12. János-the-Ripper

考察点：zip十六进制识别、压缩包爆破

附件010分析为压缩包，改后缀打开有密码，尝试爆破：

得到flag。

flag{ev3n::y0u::bru7us?!}

13. Erik-Baleog-and-Olaf

考察点：LSB隐写、图片合并

给到一张图片，图片名字提示使用Stegsolve打开，在blue plane1发现残缺的二维码。

010分析文件发现一个网站，提供了另一张图片。

思路：

（1）将两张图片的blue plane1图片保存并合并为 xor1.png。

（2）将两张图片的blue plane2图片保存并合并为 xor2.png。

（3）将上述合并出来的两张图片进行合并，得到完整的二维码，扫描得flag。

flag{#justdiffit}

14. can_has_stdio?

考察点：brainfuck编码

010分析得到编码，解码：

flag{esolangs_for_fun_and_profit}

15. Training-Stegano-1

考察点：010分析

010分析图片得到flag。

16. simple_transfer

考察点：文件分离、流量分析

题目给出提示文件中有flag，猜测附件包含flag文件，拖入kali虚拟机foremost，得到一个pdf文件，打开得到flag。

17. 2017_Dating_in_Singapore

考察点：细心

附件给到一张日历，题目提示信息给出一大堆数字。

01081522291516170310172431-050607132027262728-0102030209162330-02091623020310090910172423-02010814222930-0605041118252627-0203040310172431-0102030108152229151617-04050604111825181920-0108152229303124171003-261912052028211407-04051213192625

每两个数字来看，貌似是对应日历上的日期，使用-来区分月份，我们就此规律在日历上进行连线，得到flag。

HITB{CTFFUN}

18. pure_color

考察点：LSB隐写

010分析无果，Stegsolve得到flag。

19. misc1

考察点：十六进制数

题目给到一段编码，看特征像是十六进制数，每次取两个转换发现太大，不符合ASCII码字母范围，故减去128，python脚本处理：

s = "d4e8e1f4a0f7e1f3a0e6e1f3f4a1a0d4e8e5a0e6ece1e7a0e9f3baa0c4c4c3d4c6fbb9e1e6b3e3b9e4b3b7b7e2b6b1e4b2b6b9e2b1b1b3b3b7e6b3b3b0e3b9b3b5e6fd"
flag = ""
for i in range(0,len(s),2):
    flag+=chr(int(s[i:i+2],16)-128)
print(flag)

That was fast! The flag is: DDCTF{9af3c9d377b61d269b11337f330c935f}

20. 第四扩展FS

考察点：010分析、分离文件、词频统计

附件给到一张图片，大小不是正常图片该有的，猜测内部藏有文件，拖入kali分离，发现一个加密压缩包。

0101分析无果，在图片属性的备注中发现疑似密码的字段：

打开压缩包发现一个文本文档，内部信息杂乱；题目提示“频率”，尝试统计词频。

flag： DCTF{ka1f4NgxlntAi}

21. 4433

考察点：LSB隐写、摩斯密码

题目给到一张图片，010分析无果，拖入Stegsolve在Red plane 1发现二维码，扫描得到一段摩斯密码。

...--.----...--..

题目提示4433，可能为每段摩斯的长度，手动添加间隔符并解密，得到五个字母，提交发现不对。

百度得知VY和GUD在摩斯电码中具有特殊含义，特定缩写：

VY表示“VERY”

GUD表示“GOOD”

连起来即为flag。

flag{VERYGOOD}

22. 心仪的公司

考察点：流量分析、strings命令使用

题目给到一个流量包，根据文件名提示该流量包中含有webshell内容，有下列两种方法：

（1）wireshark分析

过滤http请求，筛选含有“webshell”内容的请求，发现疑似shell文件。

追踪HTTP流，在结尾发现flag。

（2）strings命令

在kali终端使用strings打印流量包内容，同时使用grep筛选含义“{”的内容，在结尾发现flag。

23. 适合作为桌面

考察点：LSB隐写、python反编译文件

附件给到一张图片，010分析无果，使用Stegsolve工具查看，在Red plane 1发现二维码，扫描得到十六进制信息。

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

猜测为十六进制格式文件数据，找一个在线网站或winhex放入新建文件，发现该文件为pyc文件，另存为某处。

使用反编译工具还原为python文件，代码如下，执行可得flag。

def flag():
    str = [
        102,
        108,
        97,
        103,
        123,
        51,
        56,
        97,
        53,
        55,
        48,
        51,
        50,
        48,
        56,
        53,
        52,
        52,
        49,
        101,
        55,
        125]
    flag = ''
    for i in str:
        flag += chr(i)
    
    print flag

24. low

考察点：LSB隐写、png文件头信息

题目给到一张bmp格式图片，010分析发现文件头为png，改后缀之后没有明显变化，Stegsolve分析在Red plane 0发现二维码，扫描得到flag。

flag{139711e8e9ed545e}

25. Banmabanma

考察点：图片隐写、条形码

题目给到一张斑马的图片，身上的内容很像条形码，找了几个网站扫不出来，看了别人wp提供的网站扫描得到flag。

Barcode Reader. Free Online Web Application (inliteresearch.com)