[原创]KCTF2026 - 第八题：亥子合辰·塔影迷楼题解（AI）-CTF对抗-看雪安全社区

[原创]KCTF2026 - 第八题：亥子合辰·塔影迷楼题解（AI）

发表于: 2026-8-21 15:47 33

[原创]KCTF2026 - 第八题：亥子合辰·塔影迷楼题解（AI）

星野安全

2026-8-21 15:47

## Summary

27KB 的 x64 控制台 crackme。三层自解密，每层的密钥都是**上一层代码自身的 FNV-1a 哈希**——改一个字节，后续全部解成垃圾；反调试标志不走分支，而是**直接异或进密钥种子**，下断点不会报错，只会静默算出错误答案。核心是 GF(2^127−39) 上的 base-94 Horner 求值 + 五次多项式 + 20 轮 Feistel。

关键剪枝：输入在整个校验函数里**只被引用两次**——一次字节和、一次 Horner——于是 16 字节输入塌缩成单个 128 位未知量 `h`，逆 Feistel + 解五次方程即可直接反解。全程静态，零穷举。

## Solution

### Step 1: 剥三层壳

`.tgt` 节区（`0x14000A000`，0x70 字节，**明文未加密**）是解包表：

| 偏移 | 值 | 含义 |
|---|---|---|
| +0x00 | `0x4962` / `0x1D10` | stage-3 长度 / RVA |
| +0x10 | `0x500` | 字节和目标（=1280） |
| +0x18 | `0x0` | 密钥种子扰动项 |
| +0x20 | `0x510` / `0x1800` | stage-1 长度 / RVA |
| +0x30…+0x6F | 密文 | 四个目标常量（被 PRNG 掩码异或过） |

**第一层**：`start()` 把 `0x1800..0x1D10` 逐字节 XOR `0x5A`。

**第二层**：解出来的 `sub_1400018D0` 对**自己所在的那 0x510 字节**跑两遍 FNV-1a（basis `0xCBF29CE484222325` 与 `0x9E3779B97F4A7C15`），得 `h1`/`h2`，再用它们生成 murmur3-finalizer 密钥流解出 stage-3：

```
x = h1 ^ h2 ^ (0x9E3779B97F4A7C15 * i)
byte[i] ^= (0xFF51AFD7ED558CCD * (x ^ (x >> 33))) >> 56
```

实测 `h1 = 0x73FB4F498AAB364F`，`h2 = 0xB157C7E044B966DF`。

![图片描述](upload/attach/202608/1085268_TDVAA8VW5WTFDZY.webp)

**第三层**：stage-3 的主体 `sub_140004380` 再对**自己那 0x4962 字节**求同样两个 FNV-1a，作为 SplitMix64 双流交叉反馈的种子，产出 86 个 qword 写进栈上的 `CONTEXT` 结构（`Context+0x000 … +0x2B0`）。所有后续常量都从这块出：

| 用途 | Context 偏移 | qword 索引 |
|---|---|---|
| 五次多项式系数 c₀…c₄ | 0x00,0x10,0x20,0x30,0x40 | 0/1 … 8/9 |
| 轮内乘法常量 K | 0x50 / 0x58 | 10, 11 |
| S-box（256 字节） | 0x60…0x160 | 12…43 |
| loop1 轮密钥 ×20 | 0x160… | 44…63 |
| loop2 轮密钥 ×20 | 0x1F8… | 64…83 |
| 目标掩码 A / B | 0x2A0 / 0x2A8 | 84, 85 |

> 伪代码里的 `Context.Dr1` / `Legacy` / `Xmm5` 等字段名全是误导——那块内存已被 PRNG 覆写，跟调试寄存器无关。

### Step 2: 定位真实约束，反解

`sub_140004380` 有 0x22F2 字节、1900 行伪代码，但在里面 grep 输入指针 `a1` 只有两处命中：

**引用一：字节和 gate**（SIMD 横向求和）——必须 `sum(input) == 0x500 = 1280`，否则直接 `return 0`。
同一屏还能看到 stage-3 自校验和反调试位的收集：

![图片描述](upload/attach/202608/1085268_7M4PQNH64YAAC9A.webp)

反调试共四位，全部异或进 PRNG 种子：`BeingDebugged`、`PEB+0x68 & 0x70`、`DR0-3/DR7`、`rdtsc` 超时（阈值 5×10⁷）。
其中第二项是**作者的 bug**：`NtGlobalFlag` 在 x64 PEB 里位于 `0xBC`，`0x68` 是 32 位 PEB 的偏移，在 x64 上对应 `ApiSetMap`——一个页对齐指针，低位恒为 0，`& 0x70 == 0x70` 永远不成立。这条检测是死的。干净运行下四位全零。

**引用二：base-94 Horner**——`h = (h*94 + (input[i] − 33)) mod (2^127−39)`，循环 16 次：

![图片描述](upload/attach/202608/1085268_WECRB8JBKTRJTN5.webp)

`0x140004CB1  mov r9d, 5Eh` 即基数 94；`−33` 把可打印 ASCII `!`~`~` 映射到 0…93；`+78 = 2×39` 是 `2^127 ≡ 39 (mod p)` 的高位折叠。

其余全是 `h` 的确定性函数：

```
S    = h^5 + c₀h⁴ + c₁h³ + c₂h² + c₃h + c₄   (mod p)     ← 4 次域乘的 Horner 展开
V415 = Feistel20(S)
```

Feistel 单轮（每次 do-while 迭代含两个半轮，轮密钥按奇偶异或两个 FNV 常量之一）：

```
op   = ((state << 64) | k) mod p          # 状态高 64 位与轮密钥拼成域元素
prod = op · K mod p
y    = lo(prod) ^ k ^ ROR64(hi(prod), 47)
new  = other ^ Sbox64(y) ^ ROR64(y, 51)   # Sbox64(x) = Σ sbox[byte_i(x)] << 8i
```

写成状态对 `(A,B)`：`B' = A ^ G(B,k₁)`，`A' = B ^ G(B',k₂)`——**标准 2 轮 Feistel**。
S-box 由 PRNG 生成、**不是双射**（256 个值里只有 166 个互不相同），但 Feistel 结构下轮函数 `G` 无需可逆，整体仍是双射。这是能反解的关键判断。

最终判定是四个等式的 and：两个 128 位（loop1 / loop2 输出）+ 两个 64 位（对输出再求 FNV-1a），目标常量均由 `.tgt` 密文异或 `Context[0x2A0]/[0x2A8]` 得到。

因为 `94^16 ≈ 2^105 < p`，Horner 不发生模环绕，base-94 解码唯一。于是：**逆 20 轮 Feistel 拿到 S → 解五次方程 P(h)=S（Cantor–Zassenhaus，恰好 1 个根）→ base-94 解码 → 校验字节和 = 1280**。

完整求解脚本见 solve_full.py：

```bash
$ python solve_full.py kctf2026_CrackMe08.exe
FLAG: kanxue@2o26o8!@#
  h        = 0x00000174a5e1d4cf4f146e72f70092ac
  字节和   = 1280  (要求 1280)
```

### Step 3: 验证

```bash
$ printf 'kanxue@2o26o8!@#\n' | kctf2026_CrackMe08.exe
Input:correct        # exit=0；5 次运行稳定

$ printf 'kanxue@2026o8!@#\n' | kctf2026_CrackMe08.exe
Input:fault          # 邻近变异（o→0）失败
```

## Flag

```
kanxue@2o26o8!@#
```

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最后于 2026-8-23 22:32 被星野安全编辑，原因：

#CrackMe

上传的附件：

solve_full.py （6.82kb，2次下载）

收藏・0

点赞・3

打赏

[原创]KCTF2026 - 第八题：亥子合辰·塔影迷楼 题解（AI）

[原创]KCTF2026 - 第八题：亥子合辰·塔影迷楼题解（AI）