攻防世界Misc新手习题集
日期：2024.04.01
from 故人叹、
1. Ditf
考察点：png图片改宽高、流量分析
附件给到一张图片，拖入010分析，发现底部有CRC报错信息，怀疑原始宽高被更改。
尝试更改高度，获得一段编码，可能为某个压缩包的密码。
StRe1izia
将图片进行foremost分离，发现一个加密压缩包；将上述字符输入，打开压缩包得到一个流量包。
筛选HTTP请求，发现一段GET请求访问kiss.png的流量，追踪其HTTP流，发现一段base编码，解码得到flag。
flag{Oz_4nd_Hir0_lov3_For3ver}
2. a_good_idea
考察点：Stegsolve工具使用
附件给到一张图片，010分析、查看图片属性无果，拖入虚拟机分离得到提示和两张图片。
提示找到像素中的秘密，通过图片名字的提示猜测需要对两张图片进行合成操作，打开Stegsolve进行操作。
通过SUB操作得到一个二维码，保存并修改颜色，扫描得到flag。
NCTF{m1sc_1s_very_funny!!!}
3. Aesop_secret
考察点：gif动图分解
附件给到一张动图，逐帧分解发现“ISCC”，推测为秘钥或压缩包密码。
010分析在文件结尾发现一段编码。
有秘钥的输出格式为base编码的加密，个人目前所知的为AES和Rabbit，尝试发现为两次AES加密。
密文：
U2FsdGVkX19QwGkcgD0fTjZxgijRzQOGbCWALh4sRDec2w6xsY/ux53Vuj/AMZBDJ87qyZL5kAf1fmAH4Oe13Iu435bfRBuZgHpnRjTBn5+xsDHONiR3t0+Oa8yG/tOKJMNUauedvMyN4v4QKiFunw==
第一次AES：
U2FsdGVkX18OvTUlZubDnmvk2lSAkb8Jt4Zv6UWpE7Xb43f8uzeFRUKGMo6QaaNFHZriDDV0EQ/qt38Tw73tbQ==
第二次AES：
flag{DugUpADiamondADeepDarkMine}
4. something in image
考察点：010分析图片
010分析图片直接获得flag。
5. glance-50
考察点：gif动图分解
一个好用的动图分解网站：GIF动态图片分解，多帧动态图分解成多张静态图片_图片工具网页版 (sioe.cn)
动图分解成静态图片获得flag。
6. hit-the-core
考察点：core文件、strings命令使用
百度了core文件是个什么东西：
core文件是在程序异常崩溃时生成的文件，它包含了程序在崩溃瞬间的内存状态信息，主要是用来调试和分析问题。
拖入010分析无果，文件放入kali虚拟机，执行命令strings，发现一段可疑字符串。
strings命令的作用：在对象文件或二进制文件中查找可打印的字符串。字符串是4个或更多可打印字符的任意序列，以换行符或空字符结束。
可以看到，组成flag的字符从第四个字符开始，间隔都为4，通过python脚本提取：
s="cvqAeqacLtqazEigwiXobxrCrtuiTzahfFreqc{bnjrKwgk83kgd43j85ePgb_e_rwqr7fvbmHjklo3tews_hmkogooyf0vbnk0ii87Drfgh_n kiwutfb0ghk9ro987k5tfb_hjiouo087ptfcv}"
flag = ""
for i in range(3,len(s),5):
flag+=s[i]
print(flag)
flag: ALEXCTF{K33P_7H3_g00D_w0rk_up}
7. What-is-this
考察点：图片合并
附件给到一个压缩包，解压后获得两张图片，眼尖的朋友可以察觉到两张图片的黑白像素互补。
根据图片名字的提示，猜测需要进行图片合并，使用工具Stegsolve进行操作，异或后发现信息。
8. Hear-with-your-Eyes
考察点：音频隐写--频谱图
附件给到一个压缩包，得到一段音频，直接听听不出来什么东西，拖入音频分析工具Anducity。
打开音频的频谱图，发现flag。
9. reverseMe
考察点：图片处理工具使用
使用系统自带的画图工具进行翻转：
10. misc_pic_again
考察点：LSB隐写、zip文件识别、strings命令使用
附件给到一张图片，010分析无果，使用Stegsolve进行数据分析，发现zip压缩包的十六进制字符特征。
点击“Save Bin”保存为二进制文件，格式为zip，打开压缩包获得一个无后缀文件，010分析为elf格式，拖入kali使用strings命令，发现flag。
11. Test-flag-please-ignore
考察点：010分析、base16编码
010分析出一段编码，base16解码：
12. János-the-Ripper
考察点：zip十六进制识别、压缩包爆破
附件010分析为压缩包，改后缀打开有密码，尝试爆破：
得到flag。
flag{ev3n::y0u::bru7us?!}
13. Erik-Baleog-and-Olaf
考察点：LSB隐写、图片合并
给到一张图片，图片名字提示使用Stegsolve打开，在blue plane1发现残缺的二维码。
010分析文件发现一个网站，提供了另一张图片。
思路：
（1）将两张图片的blue plane1图片保存并合并为 xor1.png。
（2）将两张图片的blue plane2图片保存并合并为 xor2.png。
（3）将上述合并出来的两张图片进行合并，得到完整的二维码，扫描得flag。
flag{#justdiffit}
14. can_has_stdio?
考察点：brainfuck编码
010分析得到编码，解码：
flag{esolangs_for_fun_and_profit}
15. Training-Stegano-1
考察点：010分析
010分析图片得到flag。
16. simple_transfer
考察点：文件分离、流量分析
题目给出提示文件中有flag，猜测附件包含flag文件，拖入kali虚拟机foremost，得到一个pdf文件，打开得到flag。
17. 2017_Dating_in_Singapore
考察点：细心
附件给到一张日历，题目提示信息给出一大堆数字。
01081522291516170310172431-050607132027262728-0102030209162330-02091623020310090910172423-02010814222930-0605041118252627-0203040310172431-0102030108152229151617-04050604111825181920-0108152229303124171003-261912052028211407-04051213192625
每两个数字来看，貌似是对应日历上的日期，使用-来区分月份，我们就此规律在日历上进行连线，得到flag。
HITB{CTFFUN}
18. pure_color
考察点：LSB隐写
010分析无果，Stegsolve得到flag。
19. misc1
考察点：十六进制数
题目给到一段编码，看特征像是十六进制数，每次取两个转换发现太大，不符合ASCII码字母范围，故减去128，python脚本处理：
s = "d4e8e1f4a0f7e1f3a0e6e1f3f4a1a0d4e8e5a0e6ece1e7a0e9f3baa0c4c4c3d4c6fbb9e1e6b3e3b9e4b3b7b7e2b6b1e4b2b6b9e2b1b1b3b3b7e6b3b3b0e3b9b3b5e6fd"
flag = ""
for i in range(0,len(s),2):
flag+=chr(int(s[i:i+2],16)-128)
print(flag)
That was fast! The flag is: DDCTF{9af3c9d377b61d269b11337f330c935f}
20. 第四扩展FS
考察点：010分析、分离文件、词频统计
附件给到一张图片，大小不是正常图片该有的，猜测内部藏有文件，拖入kali分离，发现一个加密压缩包。
0101分析无果，在图片属性的备注中发现疑似密码的字段：
打开压缩包发现一个文本文档，内部信息杂乱；题目提示“频率”，尝试统计词频。
flag： DCTF{ka1f4NgxlntAi}
21. 4433
考察点：LSB隐写、摩斯密码
题目给到一张图片，010分析无果，拖入Stegsolve在Red plane 1发现二维码，扫描得到一段摩斯密码。
...--.----...--..
题目提示4433，可能为每段摩斯的长度，手动添加间隔符并解密，得到五个字母，提交发现不对。
百度得知VY和GUD在摩斯电码中具有特殊含义，特定缩写：
VY表示“VERY”
GUD表示“GOOD”
连起来即为flag。
flag{VERYGOOD}
22. 心仪的公司
考察点：流量分析、strings命令使用
题目给到一个流量包，根据文件名提示该流量包中含有webshell内容，有下列两种方法：
（1）wireshark分析
过滤http请求，筛选含有“webshell”内容的请求，发现疑似shell文件。
追踪HTTP流，在结尾发现flag。
（2）strings命令
在kali终端使用strings打印流量包内容，同时使用grep筛选含义“{”的内容，在结尾发现flag。
23. 适合作为桌面
考察点：LSB隐写、python反编译文件
附件给到一张图片，010分析无果，使用Stegsolve工具查看，在Red plane 1发现二维码，扫描得到十六进制信息。
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
猜测为十六进制格式文件数据，找一个在线网站或winhex放入新建文件，发现该文件为pyc文件，另存为某处。
使用反编译工具还原为python文件，代码如下，执行可得flag。
def flag():
str = [
102,
108,
97,
103,
123,
51,
56,
97,
53,
55,
48,
51,
50,
48,
56,
53,
52,
52,
49,
101,
55,
125]
flag = ''
for i in str:
flag += chr(i)
print flag
24. low
考察点：LSB隐写、png文件头信息
题目给到一张bmp格式图片，010分析发现文件头为png，改后缀之后没有明显变化，Stegsolve分析在Red plane 0发现二维码，扫描得到flag。
flag{139711e8e9ed545e}
25. Banmabanma
考察点：图片隐写、条形码
题目给到一张斑马的图片，身上的内容很像条形码，找了几个网站扫不出来，看了别人wp提供的网站扫描得到flag。
Barcode Reader. Free Online Web Application (inliteresearch.com)
