-
-
[原创]看雪.深信服 2021 KCTF 春季赛 第六题 寻回宝剑 WP
-
2021-5-19 12:07
-
试运行
此题是个console程序，运行情况如下，有错误提示。就是那个提问不知道有什么特殊含义没有。再看阁下的数学成绩堪忧，请回吧。这个错误提示，莫非此题需要深厚的数学功底？
分析
静态加载程序，发现全屏的花指令，没见到一个正常的函数，翻了半天没了看到比较正常的指令，看来真实指令被淹没在代码海中了，又是体力活。看到基本都是call pop xor的样式，于是尝试去花，把这段代码直接改成了jmp，如下图：
但是去完后发现，还有嵌套的这种模式，地址计算除了xor，还有add之类的指令，这可不好去花了。而且还有更复杂的情况：有好几个地址会跳到一小段代码的不同位置。于是放弃继续去花，别寻他法。
想着如果能从中找到什么规律或能大概了解程序的业务流程结构就好了。考虑到既然有校验，那肯定比较，看了下导入函数，有strcmp和strncmp，在访问这两个函数的地方下断，运行后随便输入，有调用strcmp，比较对象竟然是1764，那个提问的答案，又尝试了几次，没什么用。既然函数方面下断没有帮助，那就考虑指令方面吧。试想如果找到跳转的地方，大概结构就可以慢慢动态出来了。于是一计浮上心头：代码搜索+断点大法。
先看有多少跳转，还要筛选出有用的，但是跳转的地方代码看不到数据，不知道因为校验或比较什么而跳转了。为了解决此问题，稍微改变下着手点，把搜索跳转代码改成搜索cmp指令。搜索了下，大概100出头的cmp，直接导入到调试器动态调试，动态过程中去掉无用的断点。慢慢地能看出了一部分的流程。
- 校验输入长度为0x54
- 校验输入字符集为0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ+-*/%=
- 42进制字符转换成42个整形数，并检查后一个数比前一个数大
- 检查42个42进制数的高位和低位分别唯一
再然后只能看到嵌套循环了，不知道计算了什么。于是再来搜索指令，先把所有用到的指令列出来，挑了数目比较少感觉可能用到的，比如sub、idiv、imul，再来下数据大法，多跟了几次，就把算法跟出来了，如下的模拟计算：
1 2 3 4 5 6 7 8 | def get_dis(a,b,c,d): dx = c - d dy = a - b if dx < 0: dy = -dy dx = -dx dy += 0x29 return dy*42+dx |
42个数两两计算，abcd分别为两个数的42进制低位和高位，结果唯一。
解算
综合来看，这应该是一个42*42的矩阵，上面放置42个点，行列唯一，列的出现顺序还要有要求，有点像N皇后问题，但是应该是变形的。要求两两连线不平行。空间有点大，而且可能有多解，比较难算。后来注意到还有个疑似42进制的字串，在strncmp处断下与输入前28个字符比较，这样空间就小多了。解算代码如下：
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 | # -*- coding:utf-8 -*-import copyts = '0123456789ABCDEFGHIJKLMNOPQRSTUVWXYZ+-*/%='mat = [2,5,28,33,35,26,12,29,1,39,13,40,38,21]dis = {}def get_dis(a,b,c,d): dx = c - d dy = a - b if dx < 0: dy = -dy dx = -dx dy += 0x29 return dy*42+dx def get_dis_all(p): dis = [] for i in range(len(p)-1): for j in range(i+1,len(p)): dis.append(get_dis(i,j,p[i],p[j])) return disdef search(cur): global count,mat,dis if cur == 42: out = '' for i in range(42): out += '{}{}'.format(ts[i],ts[mat[i]]) print out prettyprint(mat) exit() for i in range(cur,42): flag = True for j in range(cur): if get_dis(j,cur,mat[j],mat[i]) in dis: flag = False break if flag: for k in range(cur): dis[get_dis(k,cur,mat[k],mat[i])] = 1 mat[i],mat[cur] = mat[cur],mat[i] search(cur+1) mat[i],mat[cur] = mat[cur],mat[i] for k in range(cur): dis.pop(get_dis(k,cur,mat[k],mat[i]))def prettyprint(solution): def line(pos, length=len(solution)): return ' . ' * (pos) + ' x ' + ' . ' * (length - pos - 1) for pos in solution: print(line(pos))def main(): global dis for i in get_dis_all(mat[:14]): dis[i] = 1 for i in range(42): if i not in mat: mat.append(i) search(14) print 'end.'if __name__ == '__main__': main() |
结果为：02152S3X4Z5Q6C7T819/ADB%CDLEIFUG3HRIHJ6K7L0MBNKOJPPQ=RNS+TEUOVWWGXYYMZ9+4-8F/-%V=A
[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。
