(六星)CTF2023

MISC-snippingTools

cve-2023-28303
找到一个exp

https://gist.github.com/DavidBuchanan314/93de9d07f7fab494bcdf17c2bd6cef02

利用脚本运行，题目中说截取整个屏幕那也就是2560*1600

运行脚本

python 1.py 2560 1600 1.png 2.png

得到2.png图片

flag看不清利用Stegsolve.jar矫正

*ctf{cve-2023-28303-windows-snipping-tool-is-not-secure-4E9019139D9A}

WEB-jwt2struts

考察的知识点：

JWT+HASH扩展攻击+struct2漏洞

将access_token中的解密后可知用户为user，要改为admin，就需要知道key。

查看源码之后发现路径JWT_key.php

<?php
highlight_file(__FILE__);
include "./secret_key.php";
include "./salt.php";
//$salt = XXXXXXXXXXXXXX // the salt include 14 characters
//md5($salt."adminroot")=e6ccbf12de9d33ec27a5bcfb6a3293df
@$username = urldecode($_POST["username"]);
@$password = urldecode($_POST["password"]);
if (!empty($_COOKIE["digest"])) {
    if ($username === "admin" && $password != "root") {
         if ($_COOKIE["digest"] === md5($salt.$username.$password)) {
            die ("The secret_key is ". $secret_key);
        }
        else {
            die ("Your cookies don't match up! STOP HACKING THIS SITE.");
        }
    }
    else {
        die ("no no no");
    }
}

hash长度扩展攻击，这里推荐一篇文章哈希长度扩展攻击
这里使用到工具hashpump

将\x改为%，得到keysk-he00lctf3r

再访问网站跳转到/admiiiiiiiiiiin。

查看源码

使用漏洞检测工具检测，复制网址http://140.210.223.216:55557/admiiiiiiiiiiin/user.action
检测到漏洞

查看环境变量得到flag