2024数信杯南区WP

hihopkc2024-04-172024-04-19

数据分析

不安全的U盘.1

题目内容：

小明在一家数据安全公司上班，今天在公司捡到了一个U盘，好奇心冒出的他将它插入到自己的电脑中，并查看里面的README.pdf后，打开后发现自己的电脑变卡了，并且一段时间后，有很大的下载的流量传入。小明在想，难道这个pdf文件是木马？于是有着安全意识的小明，紧急将当前电脑的内存状态给进行了一个保存，并进行了断网操作。

（本题附件见于提前下载的加密压缩包file1.7z，解压密码为03feb52b45d074a82c064ee0f73f089e）

请提交小明电脑中的test账户的密码(格式为hash对应的明文,长度为9)

volatility_2.6_win64_standalone.exe -f "D:\UserData\Desktop\春秋杯\不安全的U盘_3ba0c570fac7eef3e90acc3eaabb5c8d\WIN-T89OD3C9LOC-20231229-081734.raw" --profile=Win7SP1x64 hashdump
Volatility Foundation Volatility Framework 2.6
Administrator:500:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::
test:1000:aad3b435b51404eeaad3b435b51404ee:a06a10e99b2d8d53a7514fd0e73d42e1:::

Module   User             Domain           Password
-------- ---------------- ---------------- ----------------------------------------
wdigest  test             WIN-T89OD3C9LOC  hahaha123
wdigest  WIN-T89OD3C9LOC$ WORKGROUP

flag{hahaha123}

不安全的U盘.2

题目内容：

请提交导致小明点击pdf后被控的危险软件名字(格式为包含完整路径的危险软件名字,并去除空格,去除空格后长度为56)

通过CMDline得到危险软件名字

1 2	AcroRd32.exe pid: 1588 Command line : "C:\Program Files (x86)\Adobe\Reader 9.0\Reader\AcroRd32.exe" "C:\Users\test\Desktop\aaa\README.pdf"

1	C:\Program Files (x86)\Adobe\Reader 9.0\Reader\AcroRd32.exe

不安全的U盘.3

题目内容：

请提交控制小明的服务器地址:端口(格式为”ip:port”,长度为19)

通过netscan

1	0x7e4895a0 TCPv4 192.168.255.131:49166 192.168.31.238:4444 ESTABLISHED 1588 AcroRd32.exe

1	192.168.31.238:4444

不安全的U盘.4

题目内容：

攻击者在控制了小明电脑后，似乎上传了用于后渗透的文件，请找到该文件对应的配置文件，从配置文件中溯源到攻击者的公网服务器的ip地址和监听端口(格式为”ip_port”,长度为19)

frp最新文件后缀为.toml

1	vol -f 1.raw --profile=Win7SP1x64 filescan \| grep .toml

dump下来

1	118.180.126.13_6770

网站的数据绝对安全.1

题目内容：

系统中存在的用户名是什么？

只有这个用户返回的result code不一样，所以他是存在的用户

livwdaw

网站的数据绝对安全.2

题目内容：

key3的的值是什么？

导出对象HTTP，在safe.html里找到

csSs Be xsO2: UYYGDKuhidwhd729434

在data.html

here is key:ng2dadaDAEd3raaIU

<!DOCTYPE html>


<head>
    <title>我就说我们的数据是安全的</title>
</head>

<body>
    <p>csSs Be xsO2: UYYGDKuhidwhd729434</p>
</body>
<style>
@font-face {
    font-family: "datasec";
    src: url("datasec.ttf");
}
html {
    font-family: datasec;
}
</style>

这里面有个字体datasec，我们导出字体就可以显示key3

网站的数据绝对安全.3

题目内容：

图片中泄漏的信息是什么？

Bitcoin.1

题目内容：

（本题附件见于提前下载的加密压缩包file2.7z，解压密码为ea22f6a70e24c3aa682aa43ab1c19220）

计算机上的加密货币钱包程序在何时被安装？（时间以东八区为准，格式为YYYY/MM/DD-HH:MM:SS）

Bitcoin.2

题目内容：

隐藏的加密货币钱包文件的完整路径是什么？

Bitcoin.3

题目内容：

钱包中记录着一笔交易，这笔交易的接收方地址是什么？

Bitcoin.4

题目内容：

在合约CTF.sol中存在一处漏洞，该漏洞是由哪一函数造成的(比如:exec)？

数据安全

Classic_image_steganography

题目内容：

很经典的图片隐写

Classic_image_steganography

观察图片，可以得到这是rgb隐写，先对图片进行翻转，确保图片有数据的像素点从上到下，从左到右

Classic_image_steganography

from PIL import Image

image_path = './Classic_image_steganography.png'
image = Image.open(image_path)

width, height = image.size
data = b''

for y in range(height):
    for x in range(width):
        pixel = image.getpixel((x, y))
        if len(pixel) == 4:
            r, g, b, a = pixel
        else:
            r, g, b = pixel
        data += bytes([r, g, b])


output_file_path = 'out.bin'
with open(output_file_path, 'wb') as f:
    f.write(data)