type
Post
status
Published
date
slug
summary
tags
CTF
推荐
category
CTF-WP
category (1)
icon
password
comment
NoPasswd
下载得到附件attachmen.doc文件，用office2john尝试爆破发现失败，最后查看属性发现可疑点
image-20231025143310589
宏孩儿让我想到了宏加密，在比赛的时候用的查看宏代码的应用要钱，所以当时没出，现在发现了一个可以免费查看宏代码的工具oletools然后就可以进行分析了。
image-20231025143841164
image-20231025143858577
分析一下可以知道就是简单的异或，enc应该就是备注中的16进制字符串，写个脚本解密一下可以得到doc的密码，解开doc可以发现base64字符串，解码一下可知是zip文件
image-20231025160112423
得到密码去解密
image-20231025160159534
解密成功，发现一大段文字，经过检查发现可能是base64，去大厨解密一下
image-20231025160349790
发现可能是压缩包，去用二进制保存一下
image-20231025160446583
发现打开压缩包又要密码，发现可能是伪加密，更改以下加密位
image-20231025161841254
image-20231025161856642
解压缩发现报png文件格式错误，说明压缩包里的是png，我们看看变量的数据
image-20231025162038200
发现文件名应该是flag.png一共8个字节，但是变量那边的name长度只有4个字节，所以我们要改成8个字节
image-20231025162133293
改完之后打开压缩包就可以了
image-20231025162211367
SecretZip
解压缩题目附件
image-20231026181506350
给了两个压缩包和一个key，猜测可能用key文件去明文攻击purezip.zip（虽然不是store格式，但是也可以）
image-20231026181603693
得到了解密出来的serect key.zip但是由于加密方式是deflate，所以要用bkcrack所带的脚本进行解压缩一下
image-20231026181823558
得到了解压缩文件1.zip
将解压缩文件打开，发现有一个secret key.txt，但是解压要密码，我们先用010看一下
image-20231026182352542
提示密码是两个字节，那我们写脚本爆破
爆破得到了secret key.txt文件，我们进行打开
得到三段密钥e48d3828 5b7223cc 71851fb0，我们用bkcrack自带的密钥还原功能去还原原始密钥
恢复密码
根据给定的内部密钥，bkcrack还可以尝试找出原始密码：
我们还可以指定最小的密码长度：
用010打开flag.zpaq，得到提示
image-20231026183927346
运行密钥bkcrack密钥恢复，得到16进制8be7dc
image-20231026184352436
根据提示，我们要这个密钥的md5值
image-20231026184228120
image-20231026184707975
得到密钥bb9cceb294113270da5eaed47a545f55
去解密flag.zpaq(用bindzip打开)
image-20231026185422006
得到DASCTF{8ed70caa-dc92-4817-b111-0d4fc9f6f8ec}
- 作者:qetx
- 链接:http://qetx.top/article/f3cecf33-6f6f-4a01-b498-fa96a18ddc6a
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
