首页
社区
课程
招聘
[原创] XYCTF两道Unity IL2CPP题的出题思路与题解
2024-4-28 23:35 7952

[原创] XYCTF两道Unity IL2CPP题的出题思路与题解

2024-4-28 23:35
7952
目录

前言

在这次的“新生赛”上出了两道unity il2cpp逆向的题,没有设计游戏内容,只有一个check,单纯的考察il2cpp逆向的知识。因为考虑了是新生赛,所以check部分没有设计的很复杂,并且比赛时长接近一个月,所以目的就是让新生们通过搜索资料学习来解出这两题,并且对游戏引擎逆向有一些了解和经验。事实证明有很多新人师傅们做到了,这里也夸夸师傅们太强了哈哈。

baby unity

出题思路

因为看到ez unity让大家坐牢太久了,所以连夜又赶了一个简单版本的出来
这题没有对il2cpp部分做任何魔改,单纯为了压缩题目文件,所以加了个upx

解题思路

本题属于游戏引擎逆向,引擎为unity,并使用il2cpp打包
如果熟悉il2cpp的话,可以知道他把C#中的类名、方法名、属性名、字符串等地址信息记录在global-metadata.dat文件中,程序启动时会按需从中读取。
这里我们可以使用Il2CppDumper来静态dump

  1. 首先要脱掉GameAssembly.dll的upx壳
    脱壳
  2. 然后使用Il2CppDumper,依次选择GameAssembly.dll,global-metadata.dat,然后就可以dump了
    图片描述
  3. 用dnspy分析DummyDll\Assembly-CSharp.dll,可以看到有个Check类,所以我们重点关注OnClick,CheckkkkkkkkkkFlag, EEEEEEEEEEEEEncrypt这三个方法即可,但是Il2CppDumper是无法将代码还原的,不明白的话可以去理解一下IL2CPP(IL to CPP)是什么意思,所以我们要去IDA里去看这个三个方法到底在做什么
    图片描述
  4. 用IDA加载GameAssembly.dll,然后使用il2CppDumper目录下的ida_with_struct_py3.py脚本,依次选择script.jsonil2cpp.h,稍等之后就可以恢复符号表。
    这里先放个核心源码
    图片描述
    实际上编译的时候将这三个方法全都内联到一起了,不过不影响解题,为了方便直接看CheckkkkkkkkkkFlag这个方法了
    图片描述
    简单分析一下流程就是 输入 -> base64编码 -> 异或0xF,最后和密文进行比较,密文实际上也是一个StringLiteral,在脚本恢复符号的时候也一起写在注释里了
    图片描述
  5. 最后厨子一把梭就好了
    图片描述

总结

学会检索资料和使用工具,更重要的是在用之前多阅读一下工具的文档,就不会有一些奇奇怪怪的问题了
比如有问我为什么dump后的dll里没有源码,首先在README里有说明,其次再去理解一下什么是IL to CPP
还有问我为什么找不到libil2cpp.so的,这是Windows呀,肯定不会有so嘛

ez unity

出题思路

出这题的时候思考了很久,单纯的加密global-metadata.dat文件直接内存中dump即可拿到解密后的文件,感觉有点过于简单,所以考虑直接修改Il2CPP的东西了。但是我尝试了直接修改libil2cpp的源码,结果就是要么编译失败,要么游戏运行直接崩了,不确定具体是什么问题
最后的方案是去分析了一下build的部分,修改了sanity,然后在Il2cppGlobalMetadataHeader中间插入了一个magic(第一张图里忘记写了,应该还有一个list.Add()的),但貌似这样会导致最后一个成员被挤掉了,但是不影响游戏正常运行我也就没管了,有大佬会这方面的还请提提意见Orz
图片描述
图片描述

解题思路

首先这题对global-metadata.dat的结构做了一些特殊修改,所以工具是无法直接使用的
这里有两种做法,一个是逆向修复结构(力气活),然后 Il2cppDumper->ida脚本恢复符号信息->找到关键方法->AES+BASE64解密
理论上这样做会很耗时耗力,但是这题我没有对结构做很复杂的魔改,所以这样解也在预期解内
这里简单讲讲另一种做法,Runtime下调用 il2cpp api,原理可以自行了解一下,这里直接使用 frida-il2cpp-bridge来解决了

  1. 按照官方文档安装,然后注入下面的脚本,得到 dump.cs
1
2
3
4
5
6
7
import "frida-il2cpp-bridge";
 
Il2Cpp.perform(() => {
    console.log(Il2Cpp.unityVersion);
 
    Il2Cpp.dump("dump.cs", "./")
});
  1. 分析dump.cs,搜索 Assembly-CSharp,发现了Check这个类,下面有个CheckFlag,接着用ida分析一下,rva 是 0x0027d460
1
2
3
4
5
6
7
8
9
10
11
// Assembly-CSharp
class Check : UnityEngine.MonoBehaviour
{
    System.Void Start(); // 0x0027d670
    System.Void Update(); // 0x0027d670
    System.Void OnClick(); // 0x0027d4e0
    System.Boolean CheckFlag(System.String input); // 0x0027d460
    static System.String AESEncrypt(System.String text, System.String key, System.String iv); // 0x0027d200
    static System.String AESDecrypt(System.String text, System.Byte[] key, System.Byte[] iv); // 0x0027d000
    System.Void .ctor(); // 0x0027d680
}
  1. GameAssembly.dll 加了upx壳并修改了一些特征信息,改回去然后upx -d脱壳
    图片描述
  2. ida分析CheckFlag (Imagebase + RVA),根据dump.cs里的RVA恢复一下符号,可以看到加密只有一个简单的AES,那么只要拿到key和iv就行了,因为字符串信息都是保存在global-metadata.dat里的,所以在GameAssembly.dll里是无法得到的,可以直接调试分析得到,也可以使用下面的方法
    图片描述
  3. 接着我们使用frida-il2cpp-bridgeTracer来追踪一下String
1
2
3
4
5
6
7
8
import "frida-il2cpp-bridge";
 
Il2Cpp.perform(() => {
    console.log(Il2Cpp.unityVersion);
 
    const String = Il2Cpp.corlib.class("System.String");
    Il2Cpp.trace(true).classes(String).and().attach();
});

注入,随便输点击一下按钮,就得到密文了 pNufkEIU9dHjKXYXWiFyrthHYFEfqJAWcPM/t8/zX1w=

1
2
3
4
5
6
7
8
9
10
11
12
13
❯ python .\main.py 'ez unity.exe'
2022.3.17f1c1
il2cpp:
0x0077b6f0 ┌─System.String::FastAllocateString(length = 24)
0x0077b6f0 └─System.String::FastAllocateString = ""       
 
il2cpp:
0x0077afd0 ┌─System.String::op_Equality(a = "arpEeXJzJ5Fh4j+2tx6fIw==", b = "pNufkEIU9dHjKXYXWiFyrthHYFEfqJAWcPM/t8/zX1w=")
0x0077afd0 └─System.String::op_Equality = false
 
il2cpp:
0x0077afd0 ┌─System.String::op_Equality(a = "Wrong!", b = "Wrong!")
0x0077afd0 └─System.String::op_Equality = true
  1. 再去追踪一下Check类
1
2
3
4
5
6
7
8
9
10
import "frida-il2cpp-bridge";
 
Il2Cpp.perform(() => {
    console.log(Il2Cpp.unityVersion);
 
    const AssemblyCSharp = Il2Cpp.domain.assembly("Assembly-CSharp").image
 
    const Check = AssemblyCSharp.class("Check");
    Il2Cpp.trace(true).classes(Check).and().attach();
});

很轻松就拿到了key和iv key = "a216d5d34c2723f5", iv = "9f68268f755b1363"

1
2
3
4
5
6
7
❯ python .\main.py 'ez unity.exe'
2022.3.17f1c1
il2cpp:
0x0027d4e0 ┌─Check::OnClick(this = Button (Check))
0x0027d200 │ ┌─Check::AESEncrypt(text = "", key = "a216d5d34c2723f5", iv = "9f68268f755b1363")
0x0027d200 │ └─Check::AESEncrypt = "arpEeXJzJ5Fh4j+2tx6fIw=="
0x0027d4e0 └─Check::OnClick

再次祭出我们万能的厨子
图片描述

总结

这题的解题方法应该是很开放性的,这里贴一下看到的选手的一些解题方法,基本上都是预期到的解法,不过我是真没想到有人bindiff...还得是ctfer哈哈

  • 使用frida-il2cpp-bridge
  • 自己写dumper
  • 使用CE的mono工具
  • 对比baby unity的文件修复global-metadata.dat
  • 和baby unity恢复符号的GA.dll进行bindiff

结语

小白的第一次出题,最后看到题目解出数量也在预期内,也算是没有失误哈哈,如果有更好的建议还请各位师傅们尽管提!


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

最后于 2024-4-28 23:40 被TubituX编辑 ,原因: 修复一些错误
收藏
免费 10
打赏
分享
最新回复 (6)
雪    币: 20240
活跃值: (29799)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
秋狝 2024-4-29 09:52
2
1
感谢分享
雪    币:
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_dvaiomvi 2024-5-8 09:35
3
0
到哪里看 选手的解题
雪    币: 1263
活跃值: (1025)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
TubituX 2024-5-9 17:52
4
0
mb_dvaiomvi 到哪里看 选手的解题
他们应该有发博客的,可以去搜一下看看
雪    币: 0
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
mb_efeveydv 4天前
5
0
作为第一次来看雪的小白,弱弱的问一句,题目里的GameAssembly.dll和global-metadata在哪里下载啊?
雪    币: 1263
活跃值: (1025)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
TubituX 4天前
6
0

1

最后于 4天前 被TubituX编辑 ,原因:
雪    币: 1263
活跃值: (1025)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
TubituX 4天前
7
0
mb_efeveydv 作为第一次来看雪的小白,弱弱的问一句,题目里的GameAssembly.dll和global-metadata在哪里下载啊?

这是两题的附件

https://www.lanzouw.com/iF6VX21k8j2d

https://www.lanzouw.com/iEfqN21k8isd


游客
登录 | 注册 方可回帖
返回