[原创]第五题申时·忆海倒带 Writeup-CTF对抗-看雪安全社区

# KCTF 2026「申时·忆海倒带」Reverse Writeup

## 1. 样本概况

题目附件 `cm.exe` 是一个 32 位 Windows PE。程序读取序列号后输出 `verify success.` 或 `verify fail.retry it...`。

样本中包含以下字符串：

```text
admin123
r3v3rs3!
password
// FIXME: author confirmed password is 'admin123' ...
TODO: exception handler contains real verification logic ...
```

这些内容是诱饵。`admin123` 等字符串只进入无关比较或调试陷阱，几条开发注释也只被构造、转换后丢弃。真正的成功分支位于 `main` 的大整数运算、校验和、模幂及置换查表逻辑中。

## 2. 输入解析

程序用 `gets_s` 读取输入，随后把字符逐个转成数值：

```text
'0'..'9' -> 0..9
'A'..'F' -> 10..15
'a'..'f' -> 10..15
```

每读入一个字符，当前大整数都会执行：

```text
x = x * 16 + digit
```

主函数另有一层字符检查，成功输入使用大写十六进制字符即可。解析后的大整数必须占 11 个 32 位 limb，因此输入长度固定为：

```text
11 * 8 = 88 个十六进制字符
```

程序从最高 limb 向最低 limb 遍历，每个 limb 又按高字节到低字节导出。最终得到的 44 字节正好等于对输入十六进制串做常规大端解码的结果。

## 3. 两道校验和

44 字节首先经过整体异或：

```text
data[0] ^ data[1] ^ ... ^ data[43] == 0x8F
```

第二道检查维护一个 16 位状态：

```c
uint16_t state = 0;
for (int i = 0; i < 44; i++) {
    state += data[i] * ((state & 0x7F) + 1);
}
```

要求最终结果为：

```text
state == 0xBEFF
```

这两项适合在构造出完整输入后用于验证，不需要猜测或枚举。

## 4. 还原最终置换查表

程序大量使用一种带置换索引的大整数和数组封装。其核心访问逻辑可简化为：

```text
logical_get(i) = data[perm[i]]
```

最终比较前，程序对 44 个字节逐一执行：

```text
output[i] = logical_get(data[i] - 1)
```

结果必须等于固定字符串：

```text
Welcome to KCTF2026! Come and give it a try.
```

从二进制中取出数据表和置换表，对目标字符串逐字节查找逆像，可以唯一还原出进入该查表前的 44 字节：

```text
323C47184B0D3C44254B445842552F365C362C1144424B0D3C441643
0F4439374E3C44372544164425151D1B
```

前 28 字节直接来自序列号。最后 16 字节由序列号末尾 16 字节经过模幂后产生，因此还要逆运算模幂。

## 5. 逆向 128 位模幂

模幂函数使用标准平方乘算法：

```text
y = x^e mod n
```

指数表中只有一个有效 limb：

```text
e = 0x10001 = 65537
```

模数以四个小端 32 位 limb 存储：

```text
5DD67371 D6519C94 EC693F3E 8C91CB79
```

合并后得到：

```text
n = 0x8C91CB79EC693F3ED6519C945DD67371
```

期望的模幂输出是查表逆像的最后 16 字节：

```text
y = 0x0F4439374E3C44372544164425151D1B
```

模数只有 128 位，可精确分解为两个素数：

```text
p = 13636154180376482939
q = 13702465297157554691
```

计算欧拉函数和私钥指数：

```text
phi = (p - 1) * (q - 1)
d   = e^(-1) mod phi
    = 0x721A022D849DE5CC5AD9BBB701F9FB65
```

于是模幂输入为：

```text
x = y^d mod n
  = 0x3B0DD6B12A0D3D95FA65B5E0ADE5E11B
```

验证可得：

```text
pow(x, 65537, n) == y
```

将 `x` 拼接到前 28 个固定字节后，整体异或恰好为 `0x8F`，16 位递推状态恰好为 `0xBEFF`，所有校验同时成立。

## 6. Exp

下面的脚本只使用 Python 标准库中提供的整数模幂，不依赖额外文件：

```python
from functools import reduce
from operator import xor

POST_RSA = bytes.fromhex(
    "323C47184B0D3C44254B445842552F365C362C1144424B0D3C441643"
    "0F4439374E3C44372544164425151D1B"
)

P = 13636154180376482939
Q = 13702465297157554691
N = P * Q
E = 0x10001

def checksum16(data: bytes) -> int:
    state = 0
    for byte in data:
        state = (state + byte * ((state & 0x7F) + 1)) & 0xFFFF
    return state

phi = (P - 1) * (Q - 1)
d = pow(E, -1, phi)

y = int.from_bytes(POST_RSA[28:], "big")
x = pow(y, d, N)
raw = POST_RSA[:28] + x.to_bytes(16, "big")
flag = raw.hex().upper()

assert len(flag) == 88
assert reduce(xor, raw, 0) == 0x8F
assert checksum16(raw) == 0xBEFF
assert pow(x, E, N) == y

print(flag)
```
## Flag

```text
323C47184B0D3C44254B445842552F365C362C1144424B0D3C4416433B0DD6B12A0D3D95FA65B5E0ADE5E11B
```

登录后可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-8-21 12:30 被F1ux_Team编辑，原因：题目序号打错了

[原创]第五题 申时·忆海倒带 Writeup

[原创]第五题申时·忆海倒带 Writeup