攻防世界simple_js-CTF对抗-看雪-安全社区|安全招聘|kanxue.com

攻防世界simple_js

发表于: 2023-8-6 16:13 3411

攻防世界simple_js

mb_ixwlmqcr 活跃值

2023-8-6 16:13

3411

作为攻防世界唯一一道关于有关js的题目。大多WriteUP都是一笔带过，直接就是ascall编码转换成字符拼接。却没有一个WriteUP分析过源码并且修改源码通关的。

小宁发现了一个网页，但却一直输不对密码。(Flag格式为 Cyberpeace{xxxxxxxxx} )

一进网页弹出了输入密码，输入密码错误返回FAUX PASSWORD HAHA，那我们应该怎么做呢，我的建议是爆破(开玩笑的)

打开控制面板看看有没有前端代码，题目起名有js那么题目肯定是与js有关的

哟西，文件里面果然有段js代码，接下来便对这段代码进行逆向分析！

初始js代码:

我总共总结了几种方法可以得到flag。但万物不离其宗，都是为了把正确密码传进dechiffre函数里面执行。

初始代码太复杂了，我们可以通过逆向调试的手段去掉一些无关紧要的代码

把初始代码扣进编译器，首先分析函数里面的pass_enc.split(','),可以初步判断传进去的pass_enc参数是有逗号隔开的，不然直接就爆错。由于dechiffre函数没有用到传进去的pass_enc参数所以代码没有报错。

分析dechiffre函数外面的代码：

传进dechiffre函数的参数总共有两个，第一个是"\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"，

第二个便是我们刚进入网页需要输入的密码，第二个直接pass掉了，难道这个世界上真的有人的密码是用逗号隔开的吗，如果有的话，那肯定是"逗逼"。

第一个参数他并没有逗号隔开的，不过明眼一看就是十六进制，转成十进制看看是什么！

复制到控制台运行，得到了用逗号隔开的密码。

改写代码，直接把第一个参数转为十进制传进dechiffre函数

改写后的代码：

在dechiffre函数的最后一段代码加入debugger丢到浏览器执行看看代码是如何执行的。

这样子的代码并不容易分析，因为有一些误导的代码。

下面是需要改写的代码

i = (o=0)—>i=0

i < (k = j = n)—>i<n

k = j + (l) + (n=0)—>k=j

改写之后的代码：

在未修改前的代码19行下个断点，刷新。p="FAUX PASSWORD HAH"

在未修改前的代码20行下个断点，单步调试。p="FAUX PASSWORD HAHA"

p += String.fromCharCode(tab2[17])的作用就是在所有ascall转字符拼接完了之后再拼接一个A。

而传进来的数组pass_enc并没有第十七个数值，所以是个未定义。拼接也是空。而他的本意就是拼接pass的第十七个字符也就是"65"字符A,所以修改后的代码完全可以把这一行删掉。

tab是传下来的数组pass_enc分割的，把拼接的tab2全部修改成tab。把tab2的长度n也修改成tab的长度j，并且把p += String.fromCharCode(tab2[17]);删掉。这样子我们就能把传进来的数组全部转换成字符并且拼接起来。

修改后的代码：

结果：

从代码可以看出两次for循环都是把tab2数组从ascall码转换成字符

而tab2数组是内置的var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65"

所以我们直接把tab2数组转换成传进来的参数

改写之后的代码：

执行结果：

电脑麦克风坏了，后续视频录好了会发在b站上面。

b站主页：灵魂给了傀

此文章仅供技术交流使用，如有侵权联系我删除。

function dechiffre(pass_enc){

    var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65";

    var tab  = pass_enc.split(',');

            var tab2 = pass.split(',');var i,j,k,l=0,m,n,o,p = "";i = 0;j = tab.length;

                    k = j + (l) + (n=0);

                    n = tab2.length;

                    for(i = (o=0); i < (k = j = n); i++ ){o = tab[i-l];p += String.fromCharCode((o = tab2[i]));

                            if(i == 5)break;}

                    for(i = (o=0); i < (k = j = n); i++ ){

                    o = tab[i-l];

                            if(i > 5 && i < k-1)

                                    p += String.fromCharCode((o = tab2[i]));

                    }

    p += String.fromCharCode(tab2[17]);

    pass = p;return pass;
}

String["fromCharCode"](dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"));
 
h = window.prompt('Enter password');
alert( dechiffre(h) );

function dechiffre(pass_enc){

var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65";

var tab = pass_enc.split(',');

var tab2 = pass.split(',');var i,j,k,l=0,m,n,o,p = "";i = 0;j = tab.length;

k = j + (l) + (n=0);

n = tab2.length;

for(i = (o=0); i < (k = j = n); i++ ){o = tab[i-l];p += String.fromCharCode((o = tab2[i]));

if(i == 5)break;}

for(i = (o=0); i < (k = j = n); i++ ){

o = tab[i-l];

if(i > 5 && i < k-1)

p += String.fromCharCode((o = tab2[i]));

}

p += String.fromCharCode(tab2[17]);

pass = p;return pass;

}

String["fromCharCode"](dechiffre(

"\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"

));

h = window.prompt('Enter password');

alert( dechiffre(h) );

String["fromCharCode"](dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"));
 

h = window.prompt('Enter password');
alert( dechiffre(h) );

String["fromCharCode"](dechiffre(

"\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30"

));

h = window.prompt('Enter password');

alert( dechiffre(h) );

function dechiffre(pass_enc){

var pass = "70,65,85,88,32,80,65,83,83,87,79,82,68,32,72,65,72,65";

var tab  = pass_enc.split(',');

var tab2 = pass.split(',');var i,j,k,l=0,m,n,o,p = "";i = 0;j = tab.length;

    k = j + (l) + (n=0);

    n = tab2.length;

    for(i = (o=0); i < (k = j = n); i++ ){o = tab[i-l];p += String.fromCharCode((o = tab2[i]));

            if(i == 5)break;}

    for(i = (o=0); i < (k = j = n); i++ ){

    o = tab[i-l];

            if(i > 5 && i < k-1)

                    p += String.fromCharCode((o = tab2[i]));

        }

p += String.fromCharCode(tab2[17]);

pass = p;return pass;
}

pwd = dechiffre("\x35\x35\x2c\x35\x36\x2c\x35\x34\x2c\x37\x39\x2c\x31\x31\x35\x2c\x36\x39\x2c\x31\x31\x34\x2c\x31\x31\x36\x2c\x31\x30\x37\x2c\x34\x39\x2c\x35\x30")
console.log(pwd)