index.phps의 내용을 보자

오... ㅂㄷㅂㄷ

근데 뭐... 의외로 간단하네

여기서 저 두개가 인코딩되서 나중에 디코드되서 적히는 거니까 

쿠키값 변조를 하면 되는구만~ ㅇㅋ

코드를 똑같이 배껴서 위 $val_id와 $val_pw를 admin으로 바꿔서 나온값을 쿠키변조시켜서 다시 보내면된다.

간단하군

admin을 넣은 결과 :

Vm0wd@QyUXlVWGxWV0d^V!YwZDRWMVl$WkRSV0!WbDNXa!JTVjAxV@JETlhhMUpUVmpBeFYySkVUbGhoTVVwVVZtcEJlRll&U@tWVWJHaG9UVlZ$VlZadGNFSmxSbGw!VTJ0V!ZXSkhhRzlVVmxaM!ZsWmFjVkZ0UmxSTmJFcEpWbTEwYTFkSFNrZGpSVGxhVmpOU!IxcFZXbUZrUjA!R!UyMTRVMkpIZHpGV!ZFb$dWakZhV0ZOcmFHaFNlbXhXVm!wT!QwMHhjRlpYYlVaclVqQTFSMWRyV@&kV0!ERkZVbFJHVjFaRmIzZFdha!poVjBaT@NtRkhhRk&sYlhoWFZtMXdUMVF$TUhoalJscFlZbGhTV0ZSV@FFTlNiRnBZWlVaT!ZXSlZXVEpWYkZKRFZqQXhkVlZ!V@xaaGExcFlXa!ZhVDJOc@NFZGhSMnhUVFcxb@IxWXhaREJaVmxsM!RVaG9hbEpzY0ZsWmJGWmhZMnhXY!ZGVVJsTk&WMUo!VmpKNFQxWlhTbFpYVkVwV!lrWktTRlpxUm!GU@JVbDZXa!prYUdFeGNHOVdha0poVkRKT@RGSnJhR@hTYXpWeldXeG9iMWRHV@&STldHUlZUVlpHTTFSVmFHOWhiRXB*WTBac!dtSkdXbWhaTVZwaFpFZFNTRkpyTlZOaVJtOTNWMnhXWVZReFdsaFRiRnBZVmtWd!YxbHJXa$RUUmxweFVtMUdVMkpWYkRaWGExcHJZVWRGZUdOSE9WZGhhMHBvVmtSS!QyUkdTbkpoUjJoVFlYcFdlbGRYZUc&aU!XUkhWMjVTVGxOSGFGQlZiVEUwVmpGU!ZtRkhPVmhTTUhCNVZHeGFjMWR0U@tkWGJXaGFUVzVvV0ZreFdrZFdWa$B*VkdzMVYySkdhM@hXYTFwaFZURlZlRmR!U@s!WFJYQnhWVzB^YjFZeFVsaE9WazVPVFZad@VGVXlkREJXTVZweVkwWndXR0V^Y0ROV@FrWkxWakpPU!dKR!pGZFNWWEJ@Vm!0U!MxUXlUWGxVYTFwb!VqTkNWRmxZY0ZkWFZscFlZMFU!YVUxcmJEUldNalZUVkd^a!NGVnNXbFZXYkhCWVZHdGFWbVZIUmtoUFYyaHBVbGhDTmxkVVFtRmpNV!IwVTJ0a!dHSlhhR0ZVVnpWdlYwWnJlRmRyWkZkV@EzQjZWa@R*TVZZd0!WWmlla!pYWWxoQ!RGUnJXbEpsUm!SellVWlNhVkp!UW&oV!YzaHJWVEZzVjFWc!dsaGlWVnBQVkZaYWQyVkdWWGxrUkVKWFRWWndlVmt$V@&kWFIwVjRZMFJPV@!FeVVrZGFWM@hIWTIxS!IxcEhiRmhTVlhCS!ZtMTBVMU!^VlhoWFdHaFlZbXhhVjFsc!pHOVdSbXhaWTBaa@JHSkhVbGxhVldNMVlWVXhXRlZyYUZkTmFsWlVWa@Q0YTFOR!ZuTlhiRlpYWWtoQ!NWWkdVa@RWTVZwMFVtdG9VRll&YUhCVmJHaERUbXhrVlZGdFJtcE&WMUl$VlRKMGExZEhTbGhoUjBaVlZucFdkbFl$V@&OT@JFcHpXa@R$YVZORlNrbFdNblJyWXpGVmVWTnVTbFJpVlZwWVZGYzFiMWRHWkZkWGJFcHNVbTFTZWxsVldsTmhWa$AxVVd^d!YySllVbGhhUkVaYVpVZEtTVk&zYUdoTk!VcFZWbGN^TkdReVZrZFdiR!JvVW&wc@IxUldXbmRsYkZsNVkwVmtWMDFFUmpGWlZXaExWMnhhV0ZWclpHRldNMmhJV!RJeFMxSXhjRWhpUm!oVFZsaENTMVp0TVRCVk!VMTRWbGhvV0ZkSGFGbFpiWGhoVm!^c@NscEhPV$BTYkhCNFZrY$dOVll^V@&OalJXaFlWa!UxZGxsV!ZYaFhSbFp&WVVaa!RtRnNXbFZXYTJRMFdWWktjMVJ!VG!oU@JGcFlXV$hhUm!ReFduRlJiVVphVm0xU!NWWlhkRzloTVVwMFlVWlNWVlpXY0dGVVZscGhZekZ$UlZWdGNFNVdNVWwzVmxSS0!HRXhaRWhUYkdob!VqQmFWbFp0ZUhkTk!WcHlWMjFHYWxacmNEQmFSV!F$VmpKS@NsTnJhRmRTTTJob!ZrUktSMVl^VG&WVmJFSlhVbFJXV!ZaR!l*RmlNV!JIWWtaV!VsZEhhRlJVVm!SVFpXeHNWbGRzVG!oU!ZFWjZWVEkxYjFZeFdYcFZiR@hZVm!^d!lWcFZXbXRrVmtwelZtMXNWMUl*YURWV0!XUXdXVmRSZVZaclpGZGliRXB&Vld0V!MySXhiRmxqUldSc!ZteEtlbFp0TURWWFIwcEhZMFpvV@sxSGFFeFdNbmhoVjBaV@NscEhSbGROTW!oSlYxUkplRk!^U!hoalJXUmhVbXMxV0ZZd!ZrdE&iRnAwWTBWa!dsWXdWalJXYkdodlYwWmtTR0ZHV@xwaVdHaG9WbTE0YzJOc!pISmtSM0JUWWtad0&GWlhNVEJOUmxsNFYyNU9hbEpYYUZoV@FrNVRWRVpzVlZGWWFGTldhM0I@VmtkNFlWVXlTa!pYV0hCWFZsWndSMVF^V@tOVmJFSlZUVVF$UFE9PQ==

이제 이 값을 이용해서 쿠키값을 변조하면 된다.

---

You have cleared the 6 problems.

Score + 100

문제

음... 이게 다다.

일단 base64 디코딩을 해봣다.

결과 : c4033bff94b567a190e33faa551f411caef444f2

음... Password를 제출하는 칸이 있어서 저값을 넣고 해보았으나... 아무일도 없었다.

혹시 hex값일까 싶어.. python으로 decode('hex')해봤지만; 

;gUA라는 값(읽을수 있는)만 나왔다.

화나서 저 결과 그대로를 구글에 검색했다( ... 좋은 생각이 아니였던것같다)

그만 정답이 나와버렸다 허... 

문자수를 세어보면 40자리라는 것을 알수 있고, 이것은 SHA-1의 특징(40*4bit = 160bit)이다.

40*4bit = 160bit

 - sha1 란?

   sha1 는 단방향 암호의 한 종류로 Secure Hash Algorithm 라고 합니다.

   1993 년에 sha0가 고안되었다고 하며, 2년뒤에 sha1이 발표되었습니다.

   현재는 md5 와 같이 결함이 발견되어 보안용도로는 사용하지 않도록 권장하는 알고리즘입니다

위와 같다.

sha1은 이미 깨진지 오래라서 디코드해주는 사이트가 많다.

https://md5hashing.net/

https://hashkiller.co.uk/sha1-decrypter.aspx

한번 디코면 a94a8fe5ccb19ba61c4c0873d391e987982fbbd3가 나오고.. 한번 더 하면

a94a8fe5ccb19ba61c4c0873d391e987982fbbd3 SHA1 : test로 test가 나온다.

이제 test를 넣고 제출하면 성공

문제다.

무언가 굉장히 어렵다.;;

어드민 페이지를 찾아내고.. 보드(게시판)에 수상한 글이 있는건 알았지만;; ㅠ;

풀이 페이지

http://dosnipe.tistory.com/67

http://blog.hax0r.info/entry/%ED%92%80%EC%9D%B4-%EC%98%AC%EB%93%9C%EC%A2%80%EB%B9%84%EB%8B%98%EC%9D%98-Webhackingkr-2%EB%B2%88-%EB%AC%B8%EC%A0%9C-%ED%92%80%EC%9D%B4

https://blog.naver.com/PostView.nhn?blogId=sbd38&logNo=220242365752&proxyReferer=https%3A%2F%2Fwww.google.co.kr%2F

cipher.py

encrypted.txt 내용 7c153a474b6a2d3f7d3f7328703e6c2d243a083e2e773c45547748667c1511333f4f745e

message | key

랜덤한 0~128 사이의 아스키문자 하나를 뽑아내고 그것을 이용해 (message | key)의 첫글자를 암호화한다.

이제 암호화한걸 encrypted 문자 뒤에 덧붙이면서 간다.

random.randint = encrypted[0]이고, 실제 encrypted.txt에서 가져와서 보면 "|"로 int값은 124이다.

이걸... 와... 너무 설명이 귀찮고 어려워;

대충 말하자면 Message = FLAG | KEY 로 구성되어 암호화에 KEY가 두번 더해지고 있음, 그걸 이용해서 풀면됨

먼저 Message에 항상 "|"가 들어가므로 이걸 이용해서 Key[8]을 구하고 나머지를 순차적으로 구하면됨. 아래는 답을 구하는 소스

코드를 실행하면 플래그가 나온다.

key : ENJ0YHOLIDAY!
TWCTF{Crypto-is-fun!}|ENJ0YHOLIDAY!

플래그 획득

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
#!/usr/bin/python2
 
import sys
import random
 
key = [0,0,0,0,0,0,0,0,0,0,0,0,0]
encrypted_flag = '7c153a474b6a2d3f7d3f7328703e6c2d243a083e2e773c45547748667c1511333f4f745e'
 
enc = encrypted_flag.decode('hex')
 
key[8]=(ord(enc[22])-ord(enc[21])-ord(enc[0]))%128
 
for j in range(0,13):
  for i in range(0, 13):
    if(key[(i+9)%13]!=0 and key[i]==0):
      key[i]=(ord(enc[i+23])-ord(enc[i+22])-key[(i+9)%13])%128
    
skey=''
for i in range(0,13):
  skey+=chr(key[i])
 
print("key : "+skey)
 
#decipher
 
message = ''
 
for i in range(1, len(enc)):
  message += chr((ord(enc[i])-ord(enc[i-1])-ord(skey[(i-1)%13])) % 128)
  #encrypted += chr((ord(message[i]) + ord(key[i % len(key)]) + ord(encrypted[i])) % 128)
 
print(message)
 
Colored by Color Scripter

1번 문제다. 정말 아무것도 안적혀있다;

위에 보이는 저게 다다;

index.phps에서 phps란 PHP Source의 약자로 php로 되어있는 확장자를 phps로 바꾸어 요청하면, 일부 설정을 잘못한 페이지들은 소스가 그대로 노출된다.

그러므로 http://webhacking.kr/challenge/web/web-01/index.php에 index.phps로 바꾸어서 요청하면 소스코드가 그대로 보여진다.

문제페이지에서 오른쪽클릭으로 보는 소스보기와는 완전히 다른.. php소스까지 다 보여지기 때문에, 웹 개발자 입장에서는 저런 실수를 한다면 꽤나 치명적일것이라고 본다.

근데 웃긴건.. 이게 개발자의 실수가 아니란점(아니 실수일수도 있겠다. 편의를 위해 만들어놓은 기능을 안지워서 생긴것일수있으니)

어쨋든, index.phps로 해서 들어가면 소스를 볼수 있다.

<html>
<head>
<title>Challenge 1</title>
</head>
<body bgcolor=black>
<center>
<br><br><br><br><br>
<font color=white>
---------------------<br>
<br>level : 1<br>
<pre>
<a onclick=location.href='index.phps'>----- index.phps -----</a>
</body>
</html>

그냥 소스보기로 보면 <a onclick=location.href='index.phps'>----- index.phps -----</a> 를 발견할수 있다.
클릭하면 알아서 index.phps로 이동하므로 바로 소스 전체를 볼 수 잇다.


위와 같은 소스 코드이다.
<?
if(!$_COOKIE[user_lv])
{
SetCookie("user_lv","1");
echo("<meta http-equiv=refresh content=0>");
}
?>
<html>
<head>
<title>Challenge 1</title>
</head>
<body bgcolor=black>
<center>
<br><br><br><br><br>
<font color=white>
---------------------<br>
<?
$password="????";
if(eregi("[^0-9,.]",$_COOKIE[user_lv])) $_COOKIE[user_lv]=1;
if($_COOKIE[user_lv]>=6) $_COOKIE[user_lv]=1;
if($_COOKIE[user_lv]>5) @solve();
echo("<br>level : $_COOKIE[user_lv]");
?>
<br>
<pre>
<a onclick=location.href='index.phps'>----- index.phps -----</a>
</body>
</html>

쿠키값을 통해서 문제를 해결해야하는 것 같다.

if(!$_COOKIE[user_lv])
{
SetCookie("user_lv","1");
echo("<meta http-equiv=refresh content=0>");
}





$password="????";
if(eregi("[^0-9,.]",$_COOKIE[user_lv])) $_COOKIE[user_lv]=1;
//쿠키 값이 숫자 0-9를 제외한 값으로 나오면 쿠키 값을 1로
if($_COOKIE[user_lv]>=6) $_COOKIE[user_lv]=1;
if($_COOKIE[user_lv]>5) @solve();

자... 먼저 쿠키값이 설정되있지 않으면 user_lv를 1로 설정한다.
그 후 eregi 문자열 필터링 함수를 이용해 쿠키값에 0~9이외의 값이 있으면 쿠키값을 1로 설정한다.

그러니 숫자만 들어가야한다.

숫자만 있는 문자열을 찾을 경우 : "^[0-9]$" : 0~9까지 숫자만있는 문자열
숫자를 제외한 문자열을 찾을 경우 : "[^0-9]" : 0~9까지 숫자를 제외한 문자열



그 후 if문이 실행되는데 중요한건 @solve(); 인것같다. 저게 문제를 푸는 부분인것같다.

쿠키값이 6이상이면 쿠키값을 강제로 1로 설정하고 5를 초과한 값이면 @solve();이다.
애매하다 애매해; 5보다는 크고 6보다는 작은 쿠키값이 있으면 성공할듯싶다.

쿠키값을 변조시키는 웹툴은 찾아보면 많이 있다. 필자는 크롬 확장프로그램에서 EditThisCookie를 이용해서 쿠키값을 바꿔보겠다.
5보다는 크고 6보다는 작은 정수값만 생각했었는데, 꼭 정수가 아니라도 되는걸 깨닫고. 5.5로 쿠키값을 변조해보앗다.





문제가 풀렷다.

You have cleared the 1 problems.

Score + 200

이미지 첨부가 안되서 너무 슬프다...

(필자가 글쓰기 능력이 현저히 낮기때문에, 이미지 첨부가 안되는 것은 매우 치명적이다.)

어쨋든 http://webhacking.kr/ 로 접속해서 웹해킹문제 풀면서 공부하려고 했다만 회원가입에 해당되는 부분이 없다. 

알아서 어떻게든 가입해서 들어오라는 건데 (...)

일단 페이지 소스를 보도록 하자.

수상한 부분을 발견했다. 주석처리되어 있어 페이지에서는 보이지 않고, 또한 쓰이지 않고있는 기능이다.

주석처리된 내용은 레지스터(Register)라는 버튼에 대한것이다. 

여기서 join/includ2_join__frm__0001.php?mode=fea8b0334aa2e2cf950e8af26c83e3e2 이 부분이 중요하다.

결국 저 등록버튼을 누르면 저기로 이동하게 되므로, 직접 주소로 이동하도록하자

http://webhacking.kr/join/includ2_join__frm__0001.php?mode=fea8b0334aa2e2cf950e8af26c83e3e2

이동하면 ID,PW,EMAIL과 decode me라면서 base64코드가 나오는데, base64 디코드해보면 내 아이피주소다.

회원가입에 필요한 정보를 넣고 회원가입후 로그인 하면 성공...

참고로 다른 방법으로는 크롬 개발자툴(F12)를 이용해서 소스코드를 수정하여(Edit as HTML) 주석부분을 지워주면 Register 버튼이 생긴다.

그 버튼을 눌러 회원가입하는 방법이 있다.

포너블

포너블 케이알  http://pwnable.kr/

포너블 티더블유  https://pwnable.tw

오버더 와이어  http://overthewire.org/wargames/vortex/

http://overthewire.org/wargames/leviathan/

http://overthewire.org/wargames/bandit/

익스플로잇 https://exploit-exercises.com/

엑서사이즈

웹

웹해킹 케이알 http://webhacking.kr/

오버더 와이어 http://overthewire.org/wargames/natas/

리버싱

리버싱 케이알 http://reversing.kr/

코드엔진 http://codeengn.com/challenges/

암호

오버더 와이어 http://overthewire.org/wargames/krypton/

위첼 https://www.wechall.net/challs/Crypto/by/chall_score/ASC/page-1

포렌식

포엠디 http://for-md.org/service/formd_chall/formd_chall.php

1 리뷰

http://playwares.com/userreview/20657875

https://reviewrepublic.net/p/%EC%9C%84%EC%B2%98-2-%EB%A6%AC%EB%B7%B0-r1iV4oDSg

2 리뷰

https://reviewrepublic.net/p/%EC%9C%84%EC%B3%90-1-%EB%A6%AC%EB%B7%B0-HJx0zmWHl