[原创]KCTF 2026 第三题：午时·永数囚笼 Writeup-CTF对抗-看雪安全社区

# AntiAI Writeup

## 1. 先固定可观测事实

分析中使用的关键地址如下：

| 地址 | 作用 |
|---|---|
| `0x140002588` | 调试状态探测 |
| `0x1400025EC` | `.text` 完整性计算 |
| `0x140002940` | 汇总四份诊断记录 |
| `0x140002BA0` | 26 字节到 32 字节的置换 |
| `0x14000306C` | 总验证函数 |
| `0x14000330C` | 单个 VM worker |

输入读入后会去除 `CR/LF`。`0x14000306C` 内部最多复制 `0x1A` 字节，同时在返回前把长度与 `0x1A` 的差写入最终差异量。因此通过条件包含：

```text
length == 26
```

对 VMCode 计算出的两个常量为：

```text
seed0 = B0ADEFF3
seed1 = 03DB2DD2
```

在正常桌面环境中，调试探测与完整性检查均走未触发分支。为了排除仿真误差，低级指令模型、Unicorn 和 Windows 原生进程分别对多组 26 字节样本进行了比较；每份 240 字节 worker 记录和 16 字节汇总值均一致。

这一步得到的结论很具体：后续求解可以使用已经抽出的整数模型，候选仍需交还原程序确认。

## 2. 32 字节内部状态的来源

设用户数据为 `M[0..25]`。进入 `0x140002BA0` 前，程序构造：

```text
M || 5a a5 f0 e1 d2 c3
```

随后按小端解释为 `A[0..7]` 八个 DWORD。初始加白为：

```text
A[i] ^= 6FECC3EE - 61C88647*i          (mod 2^32)
```

第 `r` 轮先更新两个位置：

```text
A[r] += (6D2B79F5*r) XOR 7F4A7C15
A[(r+3)&7] ^= ROL32(3C6EF372*r + A5A55A5A, r+5)
```

然后调用一次固定的八字 ARX 置换。这样的轮次共八次，输出记作 `X[0..31]`。

所有算子都存在明确逆操作：加法用减法撤销，循环左移用循环右移撤销，异或再次执行即可。八字置换也可按中间量逐项回代。逆回初始数组后，合法状态必须满足：

```text
A[7]            = C3D2E1F0
A[6] & FFFF0000 = A55A0000
```

这 48 个固定位用于淘汰无法来自 26 字节输入的 `X`。

本题最终恢复的内部状态为：

```text
f1b4801d0d18245b437c05da5b354020
262485099321b50a6615bbd15e601d3f
```

将它逆回去，八个原始 DWORD 为：

```text
67616c66 5f34767b 7161706f 745f6575
65636172 3230325f a55a7d36 c3d2e1f0
```

去掉固定尾部后正好留下 26 个答案字节。

## 3. 四份 diagnostic record 的真实语义

每个 worker 写出 15 个 DWORD：

```text
[0]  末态 r
[1]  末态 s
[2]  末态 code key
[3]  末态 VM PC
[4]  输出字节数
[5]  执行指令数
[6]  error bitmap
[7..14] 32 字节 raw output 经四轮混合后的八个 DWORD
```

其中 error 的精确计算式为：

```text
duplicate_primary
OR complement(used_primary)
OR (r_final XOR r_reference)
OR (s_final XOR s_reference)
OR reduce_or(post_words XOR reference_post_words)
```

VM 内部的停止标志只负责离开循环。它与记录中的 error 字段分开保存。外层函数不会看到 `error != 0` 就立即返回；整个 DWORD 会作为第七个字段继续参与 `0x140002940` 的运算。

答案对应的实际记录状态是：

| worker | `r_final` | `s_final` | `error` |
|---:|---:|---:|---:|
| 0 | `CFF5E248` | `97E220EC` | `FFFFFFFF` |
| 1 | `2A976B99` | `C22CF1D0` | `FFFFFFFF` |
| 2 | `E6A68D04` | `2E8C989C` | `00000000` |
| 3 | `68F3BB2B` | `70603C49` | `FFFFFFFF` |

因此只有编号 2 的 worker 符合自身参考记录，其余三份记录依然是外层计算所需的数据。

## 4. 从总比较值定位 worker 2

最终选择器要求 `0x140002940` 的四个输出 DWORD 等于：

```text
892A48AF B45DCD47 006C5AC3 B0B1062A
```

汇总函数尾部是 128 位线性变换。构造它对 128 个基向量的响应矩阵，得到秩 128，所以末态唯一。再把前面的四段 32 位递推按顺序消元，只剩一个 32 位闭合方程。枚举该方程的根并逐个阻断后，只找到下列一组 worker 摘要：

```text
D0 = 1F1CC1BC
D1 = 1B7D21A2
D2 = 47D3D751
D3 = 27FF56E7
```

把二进制内置的四份 worker 参考记录分别送入摘要函数，编号 2 的参考记录恰好产生 `47D3D751`。这给出了一个可直接求原像的单路条件：

```text
PC_final      = 00000400
codekey_final = 408CF867
r_final       = E6A68D04
s_final       = 2E8C989C
error         = 00000000
```

从参考 post words 撤销末尾四轮 ARX 与状态注入后，得到 worker 2 的原始 32 字节目标：

```text
40 e0 86 d0 ce ff 2d 27 0d e6 e2 8b d4 9f 57 af
be b5 31 6b d8 32 29 83 82 09 99 bc cb 16 ab 1d
```

这里没有要求另外三个 worker 也套用各自的参考输出。解出一个满足 worker 2 的 `X` 后，再运行四 worker 的总验证即可判断它是否同时生成另外三个所需摘要。

## 5. 把 worker 2 改写成 32 次记录更新

worker 2 的一次完整运行包含 257 条 VM 指令。逐条记录 opcode、PC、code key 和跨轮寄存器后，可以看到：

```text
前 256 条 = 32 组 × 每组 8 条
最后 1 条 = 终止指令
```

每组只有一次 primary byte 读取和一次 raw byte 提交。把固定的 8 条指令折叠成一项参数后，第 `p` 组可以表示成以下过程。

先由当前两个 32 位状态计算索引：

```text
j = I_p(r, s) & 31
primary = X[j]
```

`I_p` 的常量全部来自该组解码后的 load 指令。primary 经过本组专属的 8 位双射：

```text
u = U_p(primary, r)
```

普通组满足：

```text
raw[p] = u
```

带交叉读取的组满足：

```text
raw[p] = u XOR ROL8(X[k], shift)
```

交叉组只出现在这些记录号：

```text
2, 3
12, 13, 14, 15
22, 23
24, 25, 26, 27
```

其中 `2/3` 与 `22/23` 分别互相引用；`12..15` 和 `24..27` 各自在一个四字节窗口内切换次序。

提交输出后，两个跨组状态更新为：

```text
r_next = ROL32(r + primary*045D9F3B + (p XOR A7), (p mod 13)+5)
         XOR 9E3779B9

s_next = ROL32(s XOR r_next XOR K_p(raw[p], r_next), rotation_p)
         + 6D2B79F5
```

第二式中的 `K_p` 由 code key 指令、记录号和 raw byte 组成；所有量在进入下一组前已经确定。

抽出的 32 组模型用随机 `X` 与低级 VM 逐组比较，检查项包括 primary index、raw byte、`r_next`、`s_next`、PC 和 code key。它们全部相等后才用于恢复答案。

## 6. 专用枚举器

搜索状态只保存：

```text
p, r, s
primary 占用位图
X 的已赋值位图
X[32]
两个四字节交叉组的选择位
12-bit 桶号
```

### 6.1 普通记录不产生 256 路分支

`U_p` 由 8 位加减、旋转、异或和奇数乘法构成。奇数在模 256 下有乘法逆元，所以：

```text
primary = inverse_U_p(raw[p], r)
```

然后检查 `X[j]` 是否已经被赋成不同的值。普通记录通常只产生一个后继状态。

### 6.2 交叉记录的分支规则

令 secondary 位置为 `k`。

- `X[k]` 已赋值时，raw 可唯一确定 primary；
- `X[j]` 已赋值时，raw 可唯一确定 secondary；
- 两处都空时，枚举 256 个 primary，每个 primary 反推出唯一 secondary。

赋值冲突当场丢弃，无需等到 32 组结束。

### 6.3 primary 占用位图

worker 2 的 error 必须为零，因此：

```text
32 次 primary index 互不重复
```

索引域也是 32 个元素，所以最终自然覆盖全部 `0..31`。每次得到 `j` 后先查占用位图，重复索引直接终止该分支。

答案分支的索引顺序为：

```text
13,10,17,15,4,7,6,24,
0,28,23,31,19,16,3,20,
27,25,14,1,22,18,21,11,
12,8,2,9,30,29,26,5
```

### 6.4 用组内赋值数量拆任务

进入记录 12 时，统计 `X[12..15]` 已经填入几个位置。答案路径的计数为 2。枚举器仅保留该计数等于 2 的任务；记录 22 和 24 处不额外限制。

另一个任务维度是 `X` 的 12 位桶号。桶计算为：

```text
d = C3D2E1F0
for i = 0..7:
    z  = LE32(X[4*i:4*i+4]) - 61C88647*(i+1)
    z ^= d
    n  = ((z >> 27) & 7) + 5
    d  = C2B2AE35 - ROL32(z,n)*7A143595

h = ((((d >> 9) XOR d) >> 7) XOR d) & FFF
```

worker 的 `s0` 由 `h` 计算，因而每个桶可以独立执行。本次复现取：

```text
h mod 8 = 0
```

依次处理 `0, 8, 16, ...`，在 `h=0x110` 时找到唯一完整叶子。

### 6.5 叶子检查

记录 31 完成后依次检查：

```text
r == E6A68D04
s == 2E8C989C
primary bitmap == FFFFFFFF
assigned bitmap == FFFFFFFF
hash12(X) == h
inverse_preprocess(X) 的固定 48 位正确
```

编译参数为：

```text
--edition 2021 -C opt-level=3 -C target-cpu=native
```

本机复现耗时 8.59 秒，关键输出为：

```text
FLAG=flag{v4_opaque_trace_2026}
FLAG_HEX=666c61677b76345f6f70617175655f74726163655f323032367d
HASH=110
STATE=f1b4801d0d18245b437c05da5b354020262485099321b50a6615bbd15e601d3f
```

## 7. 候选的完整运行记录

候选的 worker 2 raw output 与目标逐字节相等：

```text
40e086d0ceff2d270de6e28bd49f57af
beb5316bd8322983820999bccb16ab1d
```

四份 60 字节记录经汇总后得到：

```text
worker digests:
1F1CC1BC 1B7D21A2 47D3D751 27FF56E7

aggregator output:
892A48AF B45DCD47 006C5AC3 B0B1062A
```

候选分别经过三套实现：

1. 从反汇编重写的整数模型；
2. 运行原 VM 指令的 Unicorn 环境；
3. 未处于调试状态的 Windows 原生进程。

三者都给出：

```text
6f 6b 0d 0a
```

即 `ok\r\n`。

## 8. Flag

```text
flag{v4_opaque_trace_2026}
```

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

上传的附件：

AntiAiSolver.rs （15.35kb，19次下载）

最新回复 (36) 1 2 ▶
viper333 雪币： 400 活跃值： (70) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 2 粉丝 0 关注私信	viper333 2 楼 6666 2026-8-15 12:34 0
mb_jknsfoag 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_jknsfoag 3 楼 6666 2026-8-15 12:43 0
风子雪币： 1260 活跃值： (1337) 能力值： ( LV3，RANK：20 ) 在线值：发帖 2 回帖 23 粉丝 1 关注私信	风子 4 楼坑了不少token 2026-8-15 13:11 0
kairoCron 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	kairoCron 5 楼 66666 2026-8-15 13:16 0
Kazusa 雪币： 2177 活跃值： (1280) 能力值： ( LV6，RANK：90 ) 在线值：发帖 6 回帖 23 粉丝 2 关注私信	Kazusa 2 6 楼 666 2026-8-15 13:16 0
mb_kgkuhada 雪币： 223 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_kgkuhada 7 楼 666 2026-8-15 13:28 0
Midsw 雪币： 29 活跃值： (1235) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 118 粉丝 1 关注私信	Midsw 8 楼 666666666 2026-8-15 13:50 0
秋白雪币： 260 活跃值： (110) 能力值： ( LV2，RANK：10 ) 在线值：发帖 6 回帖 12 粉丝 0 关注私信	秋白 9 楼 111 2026-8-15 14:00 0
TimeQvQ 雪币： 420 活跃值： (65) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 15 粉丝 0 关注私信	TimeQvQ 10 楼 11 2026-8-15 14:04 0
S_i_d 雪币： 653 活跃值： (355) 能力值： ( LV3，RANK：20 ) 在线值：发帖 5 回帖 1 粉丝 2 关注私信	S_i_d 11 楼 2026-8-15 14:07 0
mb_ktrizhsc 雪币： 209 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_ktrizhsc 12 楼 nb 2026-8-15 14:19 0
brucy 雪币： 854 活跃值： (1398) 能力值： ( LV7，RANK：101 ) 在线值：发帖 9 回帖 16 粉丝 4 关注私信	brucy 13 楼 nb 2026-8-15 14:23 0
多啦A梦B 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 2 粉丝 0 关注私信	多啦A梦B 14 楼 nb 2026-8-15 18:58 0
mb_tnqoqsdv 雪币： 0 活跃值： (2104) 能力值： ( LV2，RANK：10 ) 在线值：发帖 4 回帖 59 粉丝 1 关注私信	mb_tnqoqsdv 15 楼 66666 2026-8-15 19:09 0
wufake 雪币： 366 活跃值： (208) 能力值： ( LV2，RANK：10 ) 在线值：发帖 3 回帖 6 粉丝 0 关注私信	wufake 16 楼 nb 2026-8-15 19:14 0
mb_gvbpcqrf 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_gvbpcqrf 17 楼 66 2026-8-15 21:02 0
lzq2000 雪币： 926 活跃值： (2075) 能力值： ( LV4，RANK：47 ) 在线值：发帖 6 回帖 6 粉丝 1 关注私信	lzq2000 18 楼 111 2026-8-15 23:24 0
\|_\|sher 雪币： 3430 活跃值： (2203) 能力值： ( LV13，RANK：254 ) 在线值：发帖 9 回帖 12 粉丝 44 关注私信	\|_\|sher 3 19 楼 666 2026-8-16 00:15 0
roysue 雪币： 3907 活跃值： (7346) 能力值： ( LV12，RANK：200 ) 在线值：发帖 108 回帖 517 粉丝 727 关注私信	roysue 3 20 楼 666 2026-8-16 15:40 0
5m10v3 雪币： 2704 活跃值： (3990) 能力值： ( LV8，RANK：134 ) 在线值：发帖 3 回帖 33 粉丝 7 关注私信	5m10v3 21 楼 66 2026-8-16 18:29 0
xingbing 雪币： 158 活跃值： (5706) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1381 粉丝 2 关注私信	xingbing 22 楼感谢分享 2026-8-16 20:09 0
hrh123 雪币： 48 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	hrh123 23 楼 666 2026-8-16 22:52 0
落音吹雪雪币： 205 活跃值： (140) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 41 粉丝 0 关注私信	落音吹雪 24 楼 nb 2026-8-16 23:38 0
mb_rxwybeek 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_rxwybeek 25 楼 666666 2026-8-17 10:03 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复