2020/4 kctf

设计思路

假的AES静态白盒。AES以16字节为一组加解密，通过固定密钥，预先生成10轮加密的所有情况。

每个字节有256种可能，则生成一个"10x16x256"的表即可覆盖所有情况，从原来的计算转换成查表操作。

因为表未经过其他数学公式变换，所以有很明显的规律和特征，以此推出原始密钥。

解题

把输入的值传入jni函数，根据返回值判断是否是flag，但是却只处理0和1。

注：
设置了测试模式，所以可以通过adb -t install 安装。

壳

so中用了和上次的题差不多一样的花指令，可patch修复。一些函数地址被转成动态计算得到地址，ida无法直接识别，也可以patch。

例如这样patch、跳过垃圾代码(偏移地址可能不一致)

修复后的伪代码：

分析完JNI_OnLoad可以发现，该so加载后启动新的线程又把自身重新加载到内存并卸载首次加载的so，所以这个so自身实现了linker的功能。

但是重新加载的so和原始的so并没有不同，所以其实分析原so即可。

动态调试到注册jni函数或者hook得到地址（注意反调试改变的逻辑），注意首次注册的地址并不是最终的jni函数地址。（或者其他方式，因为很多时候逆向是可以跳跃式的，包括得到真实的jni地址）

jni函数内从data中得到一个so，加载到内存中。

dump下来，发现文件头被抹去了，修复节表或者直接动态调试。

修复后如下，发现真实的逻辑，需要从字符串逆推出flag。

注：
逆向先走一遍流程，梳理出大体的逻辑，不要陷入逆向壳的逻辑中。

算法

通过特征，16字节，9轮相同的操作加1轮，表大小等可以确定应该是AES算法

把表保存出来，发现最后用到的"4 16 256"数据前三个字节都是0，而代码中也只用到最后一个字节，所以其实最后"4 16 256"保存的就是16 * 256个字节。

通过最后一轮猜测表就是扩展后的最后一组key和256个字节的所有情况，怎么验证呢？

AES最后一轮流程：(前边也是轮秘钥加)字节替换(sbox固定)、行移位、轮秘钥加。那么暴力三层循环，和最后一组256字节比对，如果相同则可以逆推出最后一轮扩展密钥，依次推出原始的密钥。

代码如下：

//
// Created by ZT on 2020/4/10.
//

#include <cstdio>
#include <cstdint>


static unsigned const char sbox[256] = {
        0x63, 0x7c, 0x77, 0x7b, 0xf2, 0x6b, 0x6f, 0xc5, 0x30, 0x01, 0x67, 0x2b, 0xfe, 0xd7, 0xab, 0x76,
        0xca, 0x82, 0xc9, 0x7d, 0xfa, 0x59, 0x47, 0xf0, 0xad, 0xd4, 0xa2, 0xaf, 0x9c, 0xa4, 0x72, 0xc0,
        0xb7, 0xfd, 0x93, 0x26, 0x36, 0x3f, 0xf7, 0xcc, 0x34, 0xa5, 0xe5, 0xf1, 0x71, 0xd8, 0x31, 0x15,
        0x04, 0xc7, 0x23, 0xc3, 0x18, 0x96, 0x05, 0x9a, 0x07, 0x12, 0x80, 0xe2, 0xeb, 0x27, 0xb2, 0x75,
        0x09, 0x83, 0x2c, 0x1a, 0x1b, 0x6e, 0x5a, 0xa0, 0x52, 0x3b, 0xd6, 0xb3, 0x29, 0xe3, 0x2f, 0x84,
        0x53, 0xd1, 0x00, 0xed, 0x20, 0xfc, 0xb1, 0x5b, 0x6a, 0xcb, 0xbe, 0x39, 0x4a, 0x4c, 0x58, 0xcf,
        0xd0, 0xef, 0xaa, 0xfb, 0x43, 0x4d, 0x33, 0x85, 0x45, 0xf9, 0x02, 0x7f, 0x50, 0x3c, 0x9f, 0xa8,
        0x51, 0xa3, 0x40, 0x8f, 0x92, 0x9d, 0x38, 0xf5, 0xbc, 0xb6, 0xda, 0x21, 0x10, 0xff, 0xf3, 0xd2,
        0xcd, 0x0c, 0x13, 0xec, 0x5f, 0x97, 0x44, 0x17, 0xc4, 0xa7, 0x7e, 0x3d, 0x64, 0x5d, 0x19, 0x73,
        0x60, 0x81, 0x4f, 0xdc, 0x22, 0x2a, 0x90, 0x88, 0x46, 0xee, 0xb8, 0x14, 0xde, 0x5e, 0x0b, 0xdb,
        0xe0, 0x32, 0x3a, 0x0a, 0x49, 0x06, 0x24, 0x5c, 0xc2, 0xd3, 0xac, 0x62, 0x91, 0x95, 0xe4, 0x79,
        0xe7, 0xc8, 0x37, 0x6d, 0x8d, 0xd5, 0x4e, 0xa9, 0x6c, 0x56, 0xf4, 0xea, 0x65, 0x7a, 0xae, 0x08,
        0xba, 0x78, 0x25, 0x2e, 0x1c, 0xa6, 0xb4, 0xc6, 0xe8, 0xdd, 0x74, 0x1f, 0x4b, 0xbd, 0x8b, 0x8a,
        0x70, 0x3e, 0xb5, 0x66, 0x48, 0x03, 0xf6, 0x0e, 0x61, 0x35, 0x57, 0xb9, 0x86, 0xc1, 0x1d, 0x9e,
        0xe1, 0xf8, 0x98, 0x11, 0x69, 0xd9, 0x8e, 0x94, 0x9b, 0x1e, 0x87, 0xe9, 0xce, 0x55, 0x28, 0xdf,
        0x8c, 0xa1, 0x89, 0x0d, 0xbf, 0xe6, 0x42, 0x68, 0x41, 0x99, 0x2d, 0x0f, 0xb0, 0x54, 0xbb, 0x16
};

void reverse(const unsigned char dest[256], int index, unsigned char expKey[16]) {
    bool found = false;
    int key = 0;
    for (size_t lastKey = 0; lastKey < 256; ++lastKey) {
        for (size_t curKey = 0; curKey < 256; ++curKey) {
            for (size_t k = 0; k < 256; ++k) {
                unsigned char tmp = sbox[k ^ lastKey];
                size_t st = tmp ^ curKey;
                if (st != dest[k]) {
                    found = false;
                    break;
                }
                found = true;
                key = k;
            }
            if (found) {
                expKey[index] = curKey;
                expKey[index - 16] = lastKey;
                printf("found[%d] lastKey=0x%02x, x=%d, curKey=0x%02x !\n", index, lastKey, key, curKey);
                return;
            }
        }
    }
}

// uint8_t y[4] -> uint32_t x
#define LOAD32H(x, y) \
  do { (x) = ((uint32_t)((y)[0] & 0xff)<<24) | ((uint32_t)((y)[1] & 0xff)<<16) | \
             ((uint32_t)((y)[2] & 0xff)<<8)  | ((uint32_t)((y)[3] & 0xff));} while(0)

// uint32_t x -> uint8_t y[4]
#define STORE32H(x, y) \
  do { (y)[0] = (uint8_t)(((x)>>24) & 0xff); (y)[1] = (uint8_t)(((x)>>16) & 0xff);   \
       (y)[2] = (uint8_t)(((x)>>8) & 0xff); (y)[3] = (uint8_t)((x) & 0xff); } while(0)

// 从uint32_t x中提取从低位开始的第n个字节
#define BYTE(x, n) (((x) >> (8 * (n))) & 0xff)

// uint32_t x循环左移n位
#define ROF32(x, n)  (((x) << (n)) | ((x) >> (32-(n))))
// uint32_t x循环右移n位
#define ROR32(x, n)  (((x) >> (n)) | ((x) << (32-(n))))

#define MIX(x) (((sbox[BYTE(x, 2)] << 24) & 0xff000000) ^ ((sbox[BYTE(x, 1)] << 16) & 0xff0000) ^ \
                ((sbox[BYTE(x, 0)] << 8) & 0xff00) ^ (sbox[BYTE(x, 3)] & 0xff))

//逆行移位, 第一行不变，第二行循环右移8位/一个字节，第三行循环右移16位/2个字节，第四行循环右移24位/3个字节。
int invShiftRows(unsigned char (*state)[4]) {
    uint32_t block[4] = {0};
//    printf("逆行移位[%d]:\n", ++shiftRowsCount);

    /* i: row */
    for (int i = 0; i < 4; ++i) {
        LOAD32H(block[i], state[i]);
        block[i] = ROR32(block[i], 8*i);
        STORE32H(block[i], state[i]);
        printf("0x%02x, 0x%02x, 0x%02x, 0x%02x, \n", state[i][0], state[i][1], state[i][2], state[i][3]);
    }

    return 0;
}

void rightShift(unsigned char expKey[16]) {
    unsigned char tmp[4][4];
    for (int i = 0; i < 4; ++i) {
        for (int j = 0; j < 4; ++j) {
            tmp[j][i] = expKey[i*4 + j];
        }
    }

    invShiftRows(tmp);
    for (int i = 0; i < 4; ++i) {
        for (int j = 0; j < 4; ++j) {
            expKey[i*4 + j] = tmp[j][i];
        }
    }

}


constexpr uint32_t rcon[] = {
        0x01000000, 0x02000000, 0x04000000,
        0x08000000, 0x10000000, 0x20000000,
        0x40000000, 0x80000000, 0x1b000000,
        0x36000000, 0x6c000000, 0xd8000000,
        0xab000000, 0x4d000000, 0x9a000000
};

void reverse(unsigned char expKey[16], int round) {
    uint32_t w[4];
    uint32_t top[4];

    for (int i = 0; i < 4; ++i) {
        LOAD32H(w[i], expKey + 4*i);
    }
    top[3] = w[3] ^w[2];
    top[2] = w[2] ^w[1];
    top[1] = w[1] ^w[0];
    printf("0x%02x ^ 0x%02x ^ 0x%02x\n", w[0], rcon[round -1], MIX(top[3]));
    top[0] = w[0] ^rcon[round -1] ^ MIX(top[3]);

    unsigned char *tmp = expKey - 16;
    for (int j = 0; j < 4; ++j) {
        tmp[j*4] = top[j] >> 24;
        tmp[j*4 + 1] = (top[j] >> 16) ;
        tmp[j*4 + 2] = top[j] >> 8;
        tmp[j*4 + 3] = top[j];
    }

}

void check(const unsigned char expKey[16]) {
    uint32_t top[8];
    uint32_t *w = top;

    for (int i = 0; i < 8; ++i) {
        LOAD32H(top[i], expKey + 4*i);
    }

    for (int i = 0; i < 1; ++i) {
        if (w[4] != (w[0] ^ MIX(w[3]) ^ rcon[9])) {
            printf("error expkey!\n");
            break;
        }
        if (w[5] != (w[1] ^ w[4])){
            printf("error expkey!\n");
            break;
        }
        if (w[6] != (w[2] ^ w[5])) {
            printf("error expkey!\n");
            break;
        }
        if(w[7] != (w[3] ^ w[6])){
            printf("error expkey!\n");
            break;
        }

        printf("right expkey!\n");
        w += 4;
    }

}

int main() {
    unsigned char expKey[11][16] = {0};

    //把最后的一组int数组提取出来转成字节数组，放入
    const unsigned char Tboxes[16][256] = {...};

    //暴破最后两组16字节的扩展key
    for (int i = 0; i < 16; ++i) {
        reverse(Tboxes[i], i, expKey[10]);
    }

    rightShift(expKey[9]);

    check(expKey[9]);

    //倒着推出上一组key
    for (int j = 9; j > 0; --j) {
        reverse(expKey[j], j);
    }

    printf("expKey:\n");
    for (int k = 0*16; k < 11*16; k++ ) {
        if (k && k % 4 == 0) {
            printf("\n");
            if (k % 16 == 0) {
                printf("\n");
            }
        }
        printf("0x%02x, ", expKey[0][k]);
    }
    printf("\nend expKey\n");

    return 0;


}

得到初始key，"you get the key!"，之后解密0b6f04a3427089858041945e70082508得到flag。

只是给出一种通过分析逻辑和AES算法特征，猜测验证的方式，其他攻击方式DFA等也可以。

补充

因为时间和能力有限，逆向的某壳厂商的动态白盒未能实现加入，把动态白盒的加密算法逆出来了，但是数学和密码学知识欠缺，没推理还原出动态白盒的二次密钥(就这么叫吧，因为它这个动态白盒下发的更像二次密钥，不是表)生成算法。

关于壳，引入了一个某APP的壳，原来是打算按照该APP的壳的方式实现一遍的，但是时间和兼容性等问题未能完成，自己写的这个壳其实还是很弱的，很多都还没实现。最后折衷了一下把这个APP的壳引用进来，但是其实只是虚晃一枪并没起作用，只是展示下还有这样一种壳的实现方式。

因为jni函数返回值只处理了0和1的情况，但是第一次注册的jni函数每次都是随机生成的密钥，无法逆推、无法触发返回1的情况(也不可能达到题目的要求：CrackMe在没有被附加调试的情况下运行时，第一次运行时输入正确注册码，必须显示成功提示信息，若是重启验证的，在重启后必须显示。)。小陷阱，对于经验不足的可能会陷入逆推假的jni函数？其实有很多逻辑都暴漏了真实的jni函数，可以一步到位直接获取到。

写完之后ctf群听大佬们吐槽逆向题的代码保护，认为只是浪费时间。默默的把算法所在的so撤掉了代码保护，壳只加了低级的保护，去掉了函数运行时解密、自定义elf结构等。自己和朋友做了下，如果直接逆(包括壳)，一天足够逆出来，而如果直接hook、系统插桩直接绕过壳找到jni函数定位到算法，那应该秒破。所以就算是个白盒加密的入门题吧，同时展示下Android elf壳的两种实现方式，我实现的无限嵌套壳等(可以再加一层upx壳，以及递归加载自己等，壳中壳，不过既然大佬们觉得浪费时间，就去掉吧)。

最后能力有限、水平一般，只能写个半成品的壳和假的白盒加密，抱歉了。

flag

cf02c524c20e8711

[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。