choiys

<?php
$val = $_REQUEST['val'];
$id = '';
for ($i=0;$i<count($val);$i++) {
    if ($val[$i] > 32 && $val[$i] < 127) unset($val);
    else $id .= chr($val[$i]);
    echo $val[$i]."<br>";
    echo chr($val[$i])."<br>";
    if ($id == '15hackingcamp') {
        echo 'hello '.$id.'!<br />';
        echo $flag;
    }
}
?>

해캠 풀다 처음 알았네

[Problem]

소가 있다.

소를 눌러보면

아래와 같은 수열이 나온다.

[Scenario]

소 아래에서 볼 수 있듯이, a[30]에 해당하는 수열의 길이를 구하는 것이 이 문제의 핵심이다.

이 수열이 무엇인고 하니, 개미수열이라고 하더라.

하지만 잘 살펴보면 일반적인 개미수열과 달리, 수가 뒤집혀 있다는 것을 알 수 있다.

그에 맞게 코딩해주자. 물론 나는 코알못이기 때문에 발코딩인 것은 이해해주자.

[Payload]

#coding: utf-8
import sys

ant_list = [1,]
for i in range(30):
    string = str(ant_list[i])[::-1]
    cnt = 1
    result = ""
    for j in range(len(string)):
        if j+1 >= len(string):
            result += string[j] + str(cnt)
            break
        elif string[j] == string[j+1]:
            cnt += 1
        else:
            result += string[j] + str(cnt)
            cnt = 1
    ant_list.append(result[::-1])
    print ant_list[i]

print len(ant_list[30])

payload.py

[Result]

a[30] = 5808

next stage : 5808.html

[Problem]

문제를 보면 무슨 점이 찍혀있다.

소스를 확인해보면 웬 좌표값이 나열되어 있다. 이를 통해 문제를 풀어야한다.

[Scenario]

first와 second를 더하라고 했으니, 두 좌표값을 이용하여 선을 잇거나, 다른 방법을 이용해야 한다.

선을 이용해봤을때 문제를 풀긴 했으나, 이상한 점이 발견되어 write up을 찾아보니, ImageDraw 모듈의 polygon을 이용하면 정확한 값을 도출해 낼 수 있다고 하였다.

[Payload]

#coding: utf-8
from PIL import Image, ImageDraw
import sys

first = [146,399,163,403,170,393,169,391,166,386,170,381,170,371,170,355,169,346,167,335,170,329,170,320,170,310,171,301,173,290,178,289,182,287,188,286,190,286,192,291,194,296,195,305,194,307,191,312,190,316,190,321,192,331,193,338,196,341,197,346,199,352,198,360,197,366,197,373,196,380,197,383,196,387,192,389,191,392,190,396,189,400,194,401,201,402,208,403,213,402,216,401,219,397,219,393,216,390,215,385,215,379,213,373,213,365,212,360,210,353,210,347,212,338,213,329,214,319,215,311,215,306,216,296,218,290,221,283,225,282,233,284,238,287,243,290,250,291,255,294,261,293,265,291,271,291,273,289,278,287,279,285,281,280,284,278,284,276,287,277,289,283,291,286,294,291,296,295,299,300,301,304,304,320,305,327,306,332,307,341,306,349,303,354,301,364,301,371,297,375,292,384,291,386,302,393,324,391,333,387,328,375,329,367,329,353,330,341,331,328,336,319,338,310,341,304,341,285,341,278,343,269,344,262,346,259,346,251,349,259,349,264,349,273,349,280,349,288,349,295,349,298,354,293,356,286,354,279,352,268,352,257,351,249,350,234,351,211,352,197,354,185,353,171,351,154,348,147,342,137,339,132,330,122,327,120,314,116,304,117,293,118,284,118,281,122,275,128,265,129,257,131,244,133,239,134,228,136,221,137,214,138,209,135,201,132,192,130,184,131,175,129,170,131,159,134,157,134,160,130,170,125,176,114,176,102,173,103,172,108,171,111,163,115,156,116,149,117,142,116,136,115,129,115,124,115,120,115,115,117,113,120,109,122,102,122,100,121,95,121,89,115,87,110,82,109,84,118,89,123,93,129,100,130,108,132,110,133,110,136,107,138,105,140,95,138,86,141,79,149,77,155,81,162,90,165,97,167,99,171,109,171,107,161,111,156,113,170,115,185,118,208,117,223,121,239,128,251,133,259,136,266,139,276,143,290,148,310,151,332,155,348,156,353,153,366,149,379,147,394,146,399]

second = [156,141,165,135,169,131,176,130,187,134,191,140,191,146,186,150,179,155,175,157,168,157,163,157,159,157,158,164,159,175,159,181,157,191,154,197,153,205,153,210,152,212,147,215,146,218,143,220,132,220,
125,217,119,209,116,196,115,185,114,172,114,167,112,161,109,165,107,170,99,171,97,167,89,164,81,162,77,155,81,148,87,140,96,138,105,141,110,136,111,126,113,129,118,117,128,114,137,115,146,114,155,115,158,121,157,128,156,134,157,136,156,136]

with Image.open("good.jpg") as im:
    new_im = Image.new("RGB", im.size, (255,255,255))
    draw = ImageDraw.Draw(new_im)
    draw.polygon(first, fill='black')
    draw.polygon(second, fill='black')
    del draw
    new_im.save("result.jpg")

payload.py

[Result]

bull.html

[Problem]

문제를 살펴보면 벌 한마리가 꿀빨고있다.

여기서 벌을 눌러보면 ../return/good.html로 redirect 되는 것을 확인 할 수 있다. 물론 소스 상에서도 확인 가능하다.

그리고 소스를 확인 해 보면 위와 같은 주석이 달려있다.

[Scenario]

2번째 그림에서 보이는 un과 pw의 헤더 부분인 'BZh91AY&SY'를 검색해보면 bz로 압축된 메시지인 것을 알 수 있는데, python의 bz2 모듈을 이용하여 decompress 해준다.

[Payload]

#coding: utf-8
import bz2

id = 'BZh91AY&SYA\xaf\x82\r\x00\x00\x01\x01\x80\x02\xc0\x02\x00 \x00!\x9ah3M\x07<]\xc9\x14\xe1BA\x06\xbe\x084'

pw = 'BZh91AY&SY\x94$|\x0e\x00\x00\x00\x81\x00\x03$ \x00!\x9ah3M\x13<]\xc9\x14\xe1BBP\x91\xf08'

decompressed_id = bz2.decompress(id)
decompressed_pw = bz2.decompress(pw)
print decompressed_id
print decompressed_pw

id : huge

pw : file

[Problem]

중간 부분의 명암이 다른 것으로 보아, 해당 부분에 플래그가 있을 것이다.

[Scenario]

python PIL 라이브러리를 이용하여 해당 부분의 rgb 값을 찾아내어 ascii 변환을 통해 flag를 도출해낸다.

[Payload]

#coding: utf-8
from PIL import Image

with Image.open("oxygen.png") as im:
    rgb_im = im.convert('RGB')
    width, height = im.size
    res = ""
    for x in range(0, width,7):
        r, g, b = rgb_im.getpixel((x, 45))
        res += chr(r)
    print res

payload.py

#coding: utf-8

data = [105, 110, 116, 101, 103, 114, 105, 116, 121]

res = ""
for d in data:
    res += chr(d)

print res

flag.py

flag : integrity