首届高校网络安全管理运维赛

type

status

date

slug

summary

Misc

签到

GIF逐帧提取字符，再做个ROT13。

flag{welcome-every-player}

可用的在线网站：在线GIF暂停、GIF逐帧播放、GIF动态图片分解工具、GIF转成帧 (duanzidao.com)

easyshell

1. 追踪流分析，可以看到一堆base码，然后导出http对象有一堆webshell，也都是被加密混淆过的。

猜测是冰蝎，直接上behinder_decrypt-master解密，

python py_decrypt.py -f easyshell.pcap 默认密码解开，得到一堆php混淆代码和数据：

3.在响应包里找到：

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

把这一段拿去base64解密，得到一个压缩包。

4.压缩包需要密码，里面有两个txt文件，去找密码的过程中发现了：

RDovdG9vbHMvc2VjcmV0Mi50eHQ=这个path以及对应的数据

SGVsbG8sIGJ1dCB3aGF0IHlvdSdyZSBsb29raW5nIGZvciBpc24ndCBtZS4=

Base64解密一下，把内容放在secret2.txt里面，用winrar压缩，AAPR做明文攻击得到密码为A8s123/+*，解密即可。

注意一开始用bandzip压缩txt明文攻击无法进行，估计是加密算法不一致。

钓鱼邮件识别

flag1：base64解码ZmxhZ3tXZWxjT21FdE99

flag2：用Base64 在线编码解码 | Base64 加密解密 - Base64.us解码：

5ZCE5L2N6ICB5biI44CB5ZCM5a2m77yaCgoKCgrkuLrph43mlrDnu5/orqHml6Dkurrkvb/nlKjnmoTpgq7nrrHvvIzor7fnmbvlvZXmoKHlm63pl6jmiLfnvZHnq5nnmoTlpIfmoYjlnLDlnYDpqZforYnkvaDnmoTpgq7ku7botKbmiLfjgIIgCgoKCgrmnKrlpIfmoYjpgq7nrrHliJnop4bkuLrml6Dkurrkvb/nlKjvvIzlsIbkuo4yNOWwj+aXtuWGheaaguWBnOacjeWKoe+8geivt+WKoeW/hemBteeFp+S7peS4i+aTjeS9nOaMh+WNl+WujOaIkOWkh+ahiO+8jOS7peWFjee7meaCqOS9v+eUqOmCrueuseW4puadpeS4jeS+v+OAggoKCgoK54K55Ye76YCj57WQ55u06L6+IG9hLmZvb2Jhci5lZHUuY24vYmVpYW7vvIzov5vlhaXpgq7ku7bns7vnu5/lpIfmoYjpobXpnaLmjInnhafmjIfnpLrloavlhpnjgIIKCgoKCueJueatpOmAmuefpQoKMjAyNC0wNS0wMQoKCgoKCgoKCg==

得到：

访问该域名，藏在邮件正文的超链接里。

flag3：分为三段，都是访问邮箱域名的TXT相关内容获取。