REVERSE-PRACTICE-BUUCTF-23

• • [2019紅帽杯]Snake
  • [BSidesSF2019]blink
  • [De1CTF2019]Re_Sign
  • [ACTF新生賽2020]Splendid_MineCraft

[2019紅帽杯]Snake

unity游戲，dnSpy打開(kāi)Snake\Snake_Data\Managed\Assembly-CSharp.dll
發(fā)現(xiàn)要載入Interface這個(gè)dll

ida打開(kāi)Snake\Snake_Data\Plugins\Interface.dll
交叉引用字符串"You win! flag is "來(lái)到GameObject函數(shù)
分析GameObject函數(shù)，該函數(shù)只有一個(gè)參數(shù)a1，當(dāng)a1∈[0,99]時(shí)，會(huì)執(zhí)行if語(yǔ)句包絡(luò)的代碼，其中就有輸出flag的語(yǔ)句


于是考慮爆破，寫C代碼，載入Interface.dll，調(diào)用GameObject函數(shù)，傳入從0到99之間的整數(shù)，爆破成功即可得到flag，從flag可以知道是RSA加密算法

#include<iostream> #include<Windows.h> #include"ida_defs.h" //函數(shù)指針 typedef signed __int64(*Dllfunc)(int); using namespace std; int main() {Dllfunc GameObject;//GameObject是dll中想要調(diào)用的函數(shù)名稱HINSTANCE hdll = NULL;hdll = LoadLibrary("Interface.dll");//加載dll if (hdll == NULL){cout << "加載動(dòng)態(tài)庫(kù)失敗\n";}else{GameObject = (Dllfunc)GetProcAddress(hdll, "GameObject");//到dll中定位函數(shù)if (GameObject == NULL){cout << "加載動(dòng)態(tài)庫(kù)方法失敗\n";}else{for (int i = 0; i <= 99; i++){signed __int64 res = GameObject(i);}}}FreeLibrary(hdll);//釋放dllreturn 0; } /* You win! flag is flag{Ch4rp_W1th_R$@} */

[BSidesSF2019]blink

apk文件，jadx-gui打開(kāi)，com.example.blink.MainActivity什么都沒(méi)有
在com.example.blink.r2d2中，將一段字符串解base64，分割成byte數(shù)組，填入一個(gè)圖像文件中

apk在模擬器中雙擊運(yùn)行會(huì)直接退出
按照jeb調(diào)試apk smali的方法，在啟動(dòng)apk activity時(shí)，將MainActivity改成r2d2，即adb shell am start -D -n com.example.blink/com.example.blink.r2d2，jeb附加后運(yùn)行即可得到flag

[De1CTF2019]Re_Sign

exe程序，運(yùn)行后輸入，有upx殼，ESP定律脫殼后ida分析
交叉引用字符串"Success"來(lái)到sub_401000函數(shù)，程序脫殼后不能運(yùn)行，ida和x32dbg配合分析
調(diào)試發(fā)現(xiàn)，sub_402BA0函數(shù)讀取輸入，sub_402E40函數(shù)和sub_sub_402F80函數(shù)都是簡(jiǎn)單的賦值，調(diào)試的輸入為"abcdefg"，經(jīng)過(guò)sub_401233函數(shù)變換為"GD9MH6SeHd=="，而正常的base64編碼結(jié)果為"YWJjZGVmZw=="，猜測(cè)sub_401233函數(shù)是變表base64，重要的是找到變表

F7單步步入sub_401233函數(shù)，在這個(gè)地方找到變表

驗(yàn)證一下，sub_401233函數(shù)的變表就是找到的這個(gè)表

分析sub_401F0A函數(shù)，輸入經(jīng)變表base64編碼后，在while循環(huán)體中，一個(gè)字節(jié)一個(gè)字節(jié)拷貝到v30，v30賦給v37，v37傳入sub_2160函數(shù)，返回值與v25(ebx)指向的int數(shù)據(jù)比較

sub_402160函數(shù)中使用到了常規(guī)base64表，調(diào)試輸入為"abcdefg"，變表base64后為"GD9MH6SeHd=="，第一個(gè)字節(jié)"G"傳入sub_402160函數(shù)，返回值為7，也就是"G"在常規(guī)base64表中的位置(下標(biāo)從1開(kāi)始)，于是可知要去比較的數(shù)據(jù)也是某字符在常規(guī)base64表中的位置(下標(biāo)從1開(kāi)始)

x32dbg調(diào)試得到要去比較的數(shù)據(jù)

寫逆運(yùn)算腳本即可得到flag

#coding:utf-8 import base64 table="ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=" table_changed="0123456789QWERTYUIOPASDFGHJKLZXCVBNMqwertyuiopasdfghjklzxcvbnm+/=" data=[0x08,0x3b,0x01,0x20,0x07,0x34,0x09,0x1f,0x18,0x24,0x13,0x03,0x10,0x38,0x09,0x1b,0x08,0x34,0x13,0x02,0x08,0x22,0x12,0x03,0x05,0x06,0x12,0x03,0x0f,0x22,0x12,0x17,0x08,0x01,0x29,0x22,0x06,0x24,0x32,0x24,0x0f,0x1f,0x2b,0x24,0x03,0x15,0x41,0x41] s="" ss="" for i in data:s+=table[i-1] #s賦完值其實(shí)是輸入經(jīng)變表base64后的結(jié)果 for c in s:ss+=table[table_changed.find(c)] #由變表和常規(guī)表的映射得到常規(guī)base64編碼的結(jié)果 print(base64.b64decode(ss)) #de1ctf{E_L4nguag3_1s_K3KeK3_N4Ji4}

[ACTF新生賽2020]Splendid_MineCraft

exe程序，運(yùn)行后輸入，無(wú)殼，ida分析
交叉引用字符串"Welcome to ACTF_Splendid_MineCraft!“來(lái)到sub_401080函數(shù)
讀取輸入，驗(yàn)證輸入的長(zhǎng)度是否為26，strtok函數(shù)用字符’_'將輸入分割成三個(gè)部分，于是可知輸入的格式為"ACTF{xxxxxx_yyyyyy_xxxxxx}”，v12-v13(v14-v15)為{}中的第一部分"xxxxxx"，v8-v9為{}中的第二部分"yyyyyy"，v10-v11為{}中的第三部分"xxxxxx"

v12-v13，即{}中的第一部分要進(jìn)入dword_4051D8，經(jīng)SMC后，驗(yàn)證{}中的第一部分
來(lái)到data段dword_4051D8，按d轉(zhuǎn)成字節(jié)形式的數(shù)據(jù)，按c轉(zhuǎn)成代碼，可看到SMC的代碼

調(diào)試，SMC執(zhí)行完成后是這個(gè)樣子

往下走，來(lái)到驗(yàn)證{}內(nèi)的第一部分的代碼，“3@1b;b"和"elcome"兩個(gè)字符串異或，再加0x23，結(jié)果與傳入的{}內(nèi)的第一部分比較，可知正確的第一部分的6個(gè)字符為"yOu0y*”

由于v5與{}內(nèi)的第一部分的6個(gè)字符相關(guān)，更新輸入后調(diào)試，可知v5==0x20
執(zhí)行完SMC后，來(lái)到驗(yàn)證{}內(nèi)第二部分的代碼，eax指向的是數(shù)組byte_DC5018，于是這段代碼的驗(yàn)證思路就是，cl=byte_DC5018[input[i]^(i+0x83)]，寫腳本可知第二部分為"knowo3"

往下走（期間要修改幾次ZF的值），來(lái)到驗(yàn)證第三部分的代碼，這里直接比較第三部分和已知字符串"5mcsM<"

于是三個(gè)部分的腳本放在一起就是，輸入flag，驗(yàn)證成功

#coding:utf-8 flag="ACTF{" #第一部分 s1="3@1b;b" s2="elcome" data=[] for i in range(len(s1)):data.append(ord(s1[i])^ord(s2[i])) for i in range(len(data)):data[i]+=0x23 flag+=''.join(chr(i) for i in data) flag+='_' #第二部分 data=[0xF6, 0xA3, 0x5B, 0x9D, 0xE0, 0x95, 0x98, 0x68, 0x8C, 0x65,0xBB, 0x76, 0x89, 0xD4, 0x09, 0xFD, 0xF3, 0x5C, 0x3C, 0x4C,0x36, 0x8E, 0x4D, 0xC4, 0x80, 0x44, 0xD6, 0xA9, 0x01, 0x32,0x77, 0x29, 0x90, 0xBC, 0xC0, 0xA8, 0xD8, 0xF9, 0xE1, 0x1D,0xE4, 0x67, 0x7D, 0x2A, 0x2C, 0x59, 0x9E, 0x3D, 0x7A, 0x34,0x11, 0x43, 0x74, 0xD1, 0x62, 0x60, 0x02, 0x4B, 0xAE, 0x99,0x57, 0xC6, 0x73, 0xB0, 0x33, 0x18, 0x2B, 0xFE, 0xB9, 0x85,0xB6, 0xD9, 0xDE, 0x7B, 0xCF, 0x4F, 0xB3, 0xD5, 0x08, 0x7C,0x0A, 0x71, 0x12, 0x06, 0x37, 0xFF, 0x7F, 0xB7, 0x46, 0x42,0x25, 0xC9, 0xD0, 0x50, 0x52, 0xCE, 0xBD, 0x6C, 0xE5, 0x6F,0xA5, 0x15, 0xED, 0x64, 0xF0, 0x23, 0x35, 0xE7, 0x0C, 0x61,0xA4, 0xD7, 0x51, 0x75, 0x9A, 0xF2, 0x1E, 0xEB, 0x58, 0xF1,0x94, 0xC3, 0x2F, 0x56, 0xF7, 0xE6, 0x86, 0x47, 0xFB, 0x83,0x5E, 0xCC, 0x21, 0x4A, 0x24, 0x07, 0x1C, 0x8A, 0x5A, 0x17,0x1B, 0xDA, 0xEC, 0x38, 0x0E, 0x7E, 0xB4, 0x48, 0x88, 0xF4,0xB8, 0x27, 0x91, 0x00, 0x13, 0x97, 0xBE, 0x53, 0xC2, 0xE8,0xEA, 0x1A, 0xE9, 0x2D, 0x14, 0x0B, 0xBF, 0xB5, 0x40, 0x79,0xD2, 0x3E, 0x19, 0x5D, 0xF8, 0x69, 0x39, 0x5F, 0xDB, 0xFA,0xB2, 0x8B, 0x6E, 0xA2, 0xDF, 0x16, 0xE2, 0x63, 0xB1, 0x20,0xCB, 0xBA, 0xEE, 0x8D, 0xAA, 0xC8, 0xC7, 0xC5, 0x05, 0x66,0x6D, 0x3A, 0x45, 0x72, 0x0D, 0xCA, 0x84, 0x4E, 0xF5, 0x31,0x6B, 0x92, 0xDC, 0xDD, 0x9C, 0x3F, 0x55, 0x96, 0xA1, 0x9F,0xCD, 0x9B, 0xE3, 0xA0, 0xA7, 0xFC, 0xC1, 0x78, 0x10, 0x2E,0x82, 0x8F, 0x30, 0x54, 0x04, 0xAC, 0x41, 0x93, 0xD3, 0x3B,0xEF, 0x03, 0x81, 0x70, 0xA6, 0x1F, 0x22, 0x26, 0x28, 0x6A,0xAB, 0x87, 0xAD, 0x49, 0x0F, 0xAF] res=[0x30,0x4,0x4,0x3,0x30,0x63] for i in range(len(res)):for j in range(len(data)):if data[j]==res[i]:flag+=chr(j^(i+0x83)) flag+='_' #第三部分 flag+="5mcsM<" flag+='}' print(flag) #ACTF{yOu0y*_knowo3_5mcsM<}

總結(jié)

以上是生活随笔為你收集整理的REVERSE-PRACTICE-BUUCTF-23的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。