BadPDF

附件：20200308-sitrep-48-covid-19.pdf.lnk

就是个快捷方式不是PDF，差点手贱直接点了

%SystemRoot%\system32\cmd.exe /c copy "20200308-sitrep-48-covid-19.pdf.lnk" %tmp%\\g4ZokyumBB2gDn.tmp /y&for /r C:\\Windows\\System32\\ %i in (*ertu*.exe) do copy %i %tmp%\\msoia.exe /y&findstr.exe "TVNDRgAAAA" %tmp%\\g4ZokyumBB2gDn.tmp>%tmp%\\cSi1r0uywDNvDu.

在虚拟机上的cmd试运行，发现tmp下最新生成了oGhPGUDC03tURV，是个压缩包，解压得到

9sOXN6Ltf0afe7.js就是上面附带的cmd命令，cSi1r0uywDNvDu.tmp是病毒附带的xml配置
ps.原病毒：https://www.freebuf.com/articles/network/241414.html

<?xml version='1.0'?>
<stylesheet
xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt"
xmlns:user="placeholder"
version="1.0">
<output method="text"/><ms:script implements-prefix="user" language="VBScript"><![CDATA[rBOH7OLTCVxzkH=HrtvBsRh3gNUbe("676d60667a64333665326564333665326564333665326536653265643336656564333665327c"):execute(rBOH7OLTCVxzkH):function HrtvBsRh3gNUbe(bhhz6HalbOkrki):for rBOH7OLTCVxzkH=1 to len(bhhz6HalbOkrki)step 2:HrtvBsRh3gNUbe=HrtvBsRh3gNUbe&chr(asc(chr("&h"&mid(bhhz6HalbOkrki,rBOH7OLTCVxzkH,2)))xor 1):next:end function:]]> </ms:script>
</stylesheet>

VBScript

rBOH7OLTCVxzkH=HrtvBsRh3gNUbe("676d60667a64333665326564333665326564333665326536653265643336656564333665327c")
execute(rBOH7OLTCVxzkH)function HrtvBsRh3gNUbe(bhhz6HalbOkrki)
for rBOH7OLTCVxzkH=1 to len(bhhz6HalbOkrki)step 2
HrtvBsRh3gNUbe=HrtvBsRh3gNUbe&chr(asc(chr("&h"&mid(bhhz6HalbOkrki,rBOH7OLTCVxzkH,2)))xor 1)
next
end function

把execute换掉，改成Wscript.Echo弹出flag。

gogogo

附件：puzzle.zip，2.raw

拼图，把图片合起来，然后比例调成1：1

gaps自动拼图

得到密码3e8f092d4d7b80ce338d6e238efb01（听说非预期，剪切板里面有这个密码欸，clipboard可以）

然后看raw镜像，取出压缩包

0x0000000002182dc0      1      0 R--rw- \Device\HarddiskVolume1\Documents and Settings\Administrator\桌面\csgo.zip.zip

解压得到一张图片，binwalk可以看到里面夹了一张图片，

手动分离

根据枪的提示发现是Aztec code（一种定位在中间的二维码），在线解码器：https://products.aspose.app/barcode/zh-hans/recognize/aztec#

参考文章：
https://renjikai.com/2022-hws-wc-precomp-writeup/
https://www.cnblogs.com/c10udlnk/p/15846190.html

【2022HWS硬件安全冬令营预选赛 misc】BadPDF+gogogo WriteUp相关推荐

西湖论剑预选赛Misc第二题Write-UP
近期铺天盖地宣传的"西湖论剑"网络安全技能赛预选已经结束了.在这里随便糊一篇文章(也是我第一次写Write-Up文章),就聊聊杂项最先放出的那个第二题的解法. 首先拿到题,解压,发 ...
BugKu-杂项(Misc)的部分Writeup（持续更新，直到刷完）
MISC题的部分writeup(持续更新) 1.签到题 2.这是一张单纯的图片 3.隐写 4.telnet 5.眼见非实(ISCCCTF) 6.啊哒 7.又一张图片,还单纯吗 8.猜 9.宽带信息泄露 ...
BUUCTF笔记之Misc系列部分WriteUp（二）
1.爱因斯坦 binwalk分离出一个压缩包. 查看图片备注: 解压得到flag. 2.easycap 追踪TCP流: 3.另外一个世界 binwalk和steg一无所获,图片备注也看了没有收获,wi ...
Raccoon——(Misc)Black Night writeup
下载后发现打开这个压缩包需要输入密码,使用010editor打开这里需要补充一些关于zip文件结构的知识:(伪加密) zip文件是由3部分组成:压缩源文件数据区+压缩源文件目录区+压缩源文件目录结 ...
2020湖湘杯MISC全解-writeup
MISC1 导出index-demo.html,查看代码发现隐藏了一长串base64 使用base64隐写进行解密 key:"lorrie" 得到key说明可能存在某种隐写,是sn ...
2022-01-24
babyrsa 来源:2022HWS硬件安全冬令营 X DASCTF Jan import os from secret import FLAG,p,q,e from Crypto.Util.numb ...
CTFshow DJBCTF MISC(大吉杯) WP
只做了misc的菜鸡,来写写misc部分的writeup,狸神的FM到最后也看不懂,太难了呜呜呜. 博客原文:http://www.7yue.top/djbctf/ 十八般兵器 hint1:JPHS ...
CTF-i春秋网鼎杯第一场misc部分writeup
CTF-i春秋网鼎杯第一场misc部分writeup 最近因为工作原因报名了网鼎杯,被虐了几天后方知自己还是太年轻!分享一下自己的解题经验吧 minified 题目: 一张花屏,png的图片,老方法, ...
【CTF WriteUp】网鼎杯青龙组 Misc题解复现（整理，WP非原创）
(原本还打算四场Crypto全刷的,结果第四场被教做人了,算了整理点别的当补偿了) (另:求白虎组 Misc-boot 的 WP) Misc 虚幻2 图片在RGB信道各有一张图,提出来 R: G: B ...

【2022HWS硬件安全冬令营预选赛 misc】BadPDF+gogogo WriteUp

2022HWS硬件安全冬令营预选赛 misc

BadPDF

gogogo

【2022HWS硬件安全冬令营预选赛 misc】BadPDF+gogogo WriteUp相关推荐

最新文章

热门文章