GDOUCTF2023 Reverse题解

已于 2023-04-20 11:31:41 修改
阅读量6k 收藏 3
点赞数
文章标签： Reverse Tea加密算法 keypatch GDOUCTF2023 CTF
于 2023-04-17 19:28:40 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/OrientalGlass/article/details/130185290
版权

文章目录

题目附件

链接：https://pan.baidu.com/s/1W0GisS4R-rHYHK4Bu167_g?pwd=nw4c

Check_Your_Luck

可以看到五条方程,根据方程可以求解出对应的值

请添加图片描述

Z3库解不出来,所以用了在线解方程云算网(原名云算子)－在线求解线性方程组 (yunsuan.info)

flag: NSSCTF{4544_123_677_1754_777}

TEA

基本逻辑:

  1. 调用show函数,提示输入输出
  2. 以十六进制读取输入,可以得知共10*4=40字符
  3. 设置key数组
  4. 将input复制到arr数组中
  5. tea加密
  6. judge判断是否正确
  7. 输出flag
    请添加图片描述

mainfun代码:

__int64 mainfun()
{
  char *v0; // rdi
  __int64 i; // rcx
  char v3[32]; // [rsp+0h] [rbp-20h] BYREF
  char v4; // [rsp+20h] [rbp+0h] BYREF
  int v5; // [rsp+24h] [rbp+4h]
  int result; // [rsp+44h] [rbp+24h]
  unsigned int key[12]; // [rsp+68h] [rbp+48h] BYREF
  int input[16]; // [rsp+98h] [rbp+78h] BYREF
  int arr[31]; // [rsp+D8h] [rbp+B8h] BYREF
  int j; // [rsp+154h] [rbp+134h]
  int k; // [rsp+174h] [rbp+154h]
  int m; // [rsp+194h] [rbp+174h]

  v0 = &v4;
  for ( i = 102i64; i; --i )//没作用
  {
    *v0 = 0xCCCCCCCC;
    v0 += 4;
  }
  sub_7FF7B3C8137F(&unk_7FF7B3C93009);	//没作用
  v5 = 32;//tea循环次数
  result = 0;
  key[0] = 1234;
  key[1] = 5678;
  key[2] = 9012;
  key[3] = 3456;	//设置key,但是这里设置的值是混淆的,下方会重新设置
  memset(input, 0, 40ui64);
  arr[15] = 0;
  arr[23] = 0;
  show();			//提示flag输入是以0x12345678这样的形式
  for ( j = 0; j < 10; ++j )
    scanf("%x", &input[j]);	//以16进制读取,共10个,所以有10*4=40字符
  setKey(key);		//设置key
  copy(input, arr);		//将input的内容复制到arr
  encode(input, key);	//对input加密
  result = judge(input);	//判断加密后的数组是否正确
  if ( result )	
  {
    printf("you are right\n");
    for ( k = 0; k < 10; ++k )
    {
      for ( m = 3; m >= 0; --m )
        printf("%c", (arr[k] >> (8 * m)));	//如果正确则输出input,即flag
    }
  }
  else
  {
    printf("fault!\nYou can go online and learn the tea algorithm!");
  }
  sub_7FF7B3C81311(v3, &unk_7FF7B3C8AE90);
  return 0i64;
}

show函数

请添加图片描述

setKey函数

请添加图片描述

encode函数(tea算法):

__int64 __fastcall tea(unsigned int *arr, unsigned int *key)
{
  __int64 result; // rax
  int v3; // [rsp+44h] [rbp+24h]
  int i; // [rsp+64h] [rbp+44h]
  unsigned int v5; // [rsp+84h] [rbp+64h]
  unsigned int sum; // [rsp+C4h] [rbp+A4h]

  result = sub_7FF7B3C8137F(&unk_7FF7B3C93009);//没用
  for ( i = 0; i <= 8; ++i )
  {
    v5 = 0;
    sum = 0xF462900 * i;//delta与标准的tea并不同
    v3 = i + 1;
    do
    {
      ++v5;
      arr[i] += sum ^ (arr[v3] + ((arr[v3] >> 5) ^ (16 * arr[v3]))) ^ (sum + key[sum & 3]);
      arr[v3] += (sum + key[(sum >> 11) & 3]) ^ (arr[i] + ((arr[i] >> 5) ^ (16 * arr[i])));
      sum += 0xF462900;//关键算法和tea区别不大
    }
    while ( v5 <= 32 );                         // 注意这里是从0到32,共33次循环
    result = (i + 1);
  }
  return result;
}

judge函数

请添加图片描述

解题脚本

#include <stdio.h>
int main()
{
int v3; // [rsp+44h] [rbp+24h]
int i; // [rsp+64h] [rbp+44h]
unsigned int v5; // [rsp+84h] [rbp+64h]
int sum; // [rsp+C4h] [rbp+A4h]
int key[4] = {2233,4455,6677,8899 };
unsigned int arr[10];
arr[0] = 0x1A800BDA;
arr[1] = 0xF7A6219B;
arr[2] = 0x491811D8;
arr[3] = 0xF2013328;
arr[4] = 0x156C365B;
arr[5] = 0x3C6EAAD8;
arr[6] = 0x84D4BF28;
arr[7] = 0xF11A7EE7;
arr[8] = 0x3313B252;
arr[9] = 0xDD9FE279;
for (i = 8; i >=0; i--)
{
v5 = 0;
sum = 0xF462900 * i;
for (int j = 0; j < 33; j++)
sum += 0xF462900;
v3 = i + 1;
do
{
sum -= 0xF462900;
arr[v3] -= (sum + key[(sum >> 11) & 3]) ^ (arr[i] + ((arr[i] >> 5) ^ (16 * arr[i])));
arr[i] -= sum ^ (arr[v3] + ((arr[v3] >> 5) ^ (16 * arr[v3]))) ^ (sum + key[sum & 3]);
++v5;
} while (v5 <= 32);//33次循环
}
for (int k = 0; k < 10; ++k)
{
    for (int m = 3; m >= 0; --m)
        printf("%c", (arr[k] >> (8 * m)));
}
//HZCTF{hzCtf_94_re666fingcry5641qq}
return 0;

doublegame

进来找不到关键函数,查看strings看到类似迷宫的东西,根据字符串可以定位到关键函数

请添加图片描述
然后一路用交叉引用往上找就可以找到第一和第二个游戏的函数
在这里插入图片描述

snakefun

第一个游戏贪吃蛇
通过patch可以修改得分判断条件,从而进入game2
请添加图片描述
patch在edit>keypatch(或patch progeam)>patcher
在这里插入图片描述
然后会弹出窗口
在这里插入图片描述
修改之后在patch program>apply patches to即可保存修改后的程序(记得改一下程序名)
在这里插入图片描述

__int64 __fastcall snakefun(int a1, int a2)
{
  char *v2; // rdi
  __int64 i; // rcx
  char v5[32]; // [rsp+0h] [rbp-20h] BYREF
  char v6; // [rsp+20h] [rbp+0h] BYREF
  char chr[212]; // [rsp+24h] [rbp+4h] BYREF

  v2 = &v6;
  for ( i = 10i64; i; --i )
  {
    *(_DWORD *)v2 = -858993460;
    v2 += 4;
  }
  sub_7FF6BD89141A((__int64)&unk_7FF6BD8A90A6);
  if ( dword_7FF6BD8A1E60[42 * a2 + 42 * dword_7FF6BD8A0178 + a1 + dword_7FF6BD8A0174] == 2 )
  {
    ++dword_7FF6BD8A0170;
    score += 10;
    sub_7FF6BD8911A9(7i64);
    sub_7FF6BD89130C(0i64, 22i64);
    printf(aD_2, (unsigned int)score);          // 当前得分
    setFood();                                  // 生成食物
  }
  else if ( dword_7FF6BD8A1E60[42 * a2 + 42 * dword_7FF6BD8A0178 + a1 + dword_7FF6BD8A0174] == 1
         || dword_7FF6BD8A1E60[42 * a2 + 42 * dword_7FF6BD8A0178 + a1 + dword_7FF6BD8A0174] == 4 )
  {
    Sleep(0x3E8u);
    system("cls");
    sub_7FF6BD8911A9(7i64);
    sub_7FF6BD89130C(28i64, 8i64);
    sub_7FF6BD8911DB();                         // 分数还差一点
    if ( score > 16 )                           // score13371337
      sub_7FF6BD89136B();                       // jump to game 2
    sub_7FF6BD8910E6();                         // 保存最高记录失败
    sub_7FF6BD89130C(28i64, 11i64);
    printf("GAME OVER");
    while ( 1 )
    {
      sub_7FF6BD89130C(28i64, 14i64);
      printf(asc_7FF6BD89D320);                 // 是否再来一局
      scanf_0("%c", chr);
      if ( chr[0] == 'y' || chr[0] == 'Y' )
        break;
      if ( chr[0] == 'n' || chr[0] == 'N' )
      {
        sub_7FF6BD89130C(28i64, 16i64);
        exit(0);
      }
      sub_7FF6BD89130C(28i64, 16i64);
      printf(asc_7FF6BD89D3A0);                 // 选择错误
    }
    system("cls");
    someidea();                                 // 提示
  }
  return sub_7FF6BD8913B1(v5, &unk_7FF6BD89CFC0);
}

迷宫

第二个游戏走迷宫救猫

这是迷宫图:

请添加图片描述

注意这里多了一堵墙

请添加图片描述

由于patchd的分数要大于16,贪吃蛇游戏吃两个食物撞墙之后即可进入游戏2
游戏2就是走迷宫了,一次输入一个操作符然后回车即可
在这里插入图片描述

下面还有一个大循环

关键循环

v24 = 0;
  key = 0;
  hang = 15;
  lie = 0;
  shang = 7;                                    // 8行
  slie = 20;                                    // 21列
  for ( j = 0; j <= 20; ++j )
    puts(&Buffer[22 * j]);                      // 打印迷宫
  printf("Please to save the cat!\n");
  while ( hang != shang || lie != slie )        // 好像不是走到@的位置
  {
    chr = getchar();
    switch ( chr )
    {
      case 's':
        if ( Buffer[22 * hang + 22 + lie] != '0' )
        {
          Buffer[22 * hang++ + lie] = ' ';
          Buffer[22 * hang + lie] = '@';
        }
        break;
      case 'w':
        if ( Buffer[22 * hang - 22 + lie] != '0' )
        {
          Buffer[22 * hang-- + lie] = ' ';
          Buffer[22 * hang + lie] = '@';
        }
        break;
      case 'a':
        if ( Buffer[22 * hang - 1 + lie] != '0' )
        {
          if ( Buffer[22 * hang - 1 + lie] == '*' )// 先到*这里
            v7[20] = '0';	//设置墙
          Buffer[22 * hang + lie--] = ' ';
          Buffer[22 * hang + lie] = '@';
        }
        break;
      default:
        if ( chr == 'd' && Buffer[22 * hang + 1 + lie] != '0' )
        {
          Buffer[22 * hang + lie++] = ' ';
          Buffer[22 * hang + lie] = '@';
        }
        break;
    }
    system("cls");
    for ( j = 0; j <= 20; ++j )
      puts(&Buffer[22 * j]);                    // 打印迷宫
    puts(&v19[100 * v24]);                      // 请救猫
    if ( v7[20] == '0' )
    {
      key = judge(0i64);                        // 判断key
      if ( key == 13376013 )
      {
        v24 = 1;
        v7[20] = ' ';                           // 打通终点前的墙
        Buffer[22 * hang + lie] = ' ';
        hang = 15;
        lie = 0;
        v11[0] = '@';                           // 回到起点
        ++v24;
      }
      else
      {
        printf("error");
      }
    }
  }

循环功能:

  1. shang,slie是终点;hang,lie是当前位置

  2. 从@的位置出发,经路径dddssssddwwwwddssddwwwwwwddddssa救到小猫后回到起点;同时小猫所在位置由’*‘变为’ ',且第8行第20列的空格变为0

  3. 然后要求输入key,key可以根据judge函数反推出来是13371337

  4. 再从起点出发,经路径dddssssddwwwwddssddwwwwwwddddssaassddddwwwwddwwwwddd走出迷宫

  5. 所以path:dddssssddwwwwddssddwwwwwwddddssaassddddwwwwddwwwwddd key:13371337

  6. 根据提示可以求出flag:NSSCTF{811173b05afff098b4e0757962127eac13371337}

提示函数:

请添加图片描述

L!S!

1.安装BinDiff

这里需要使用到BinDiff,下载地址zynamics.com
在这里插入图片描述
点击msi文件即可下载,如果没反应可以右键复制链接用迅雷等下载工具下载
在这里插入图片描述
安装时注意路径即可,默认在C盘,可以自己修改,他会自动绑定IDA的路径
在这里插入图片描述
这里就不演示BinDiff分析数据库文件了,相对比较麻烦,直接用ida

2.IDA分析

先用ida分别打开ls-original和ls-patched,生成对应数据库文件
在这里插入图片描述
然后打开ls-patched.i64文件,选择Edit>Plugins>BinDiff,
在这里插入图片描述

他会弹出弹窗,选择Diff Database
在这里插入图片描述
再选中ls-original.i64文件
在这里插入图片描述
注意: 文件不能保存在中文路径下,必须是英文路径,否则可能会报错找不到数据库文件
Error while diffing: Export of the secondary database failed: File not found: C:\Users\admin\Desktop\网安比赛\GDOUCTF2023\L!s!\ls-original.i64

在这里插入图片描述

ida分析之后会出现几个新的窗口,最关键的是这个Matched Functions窗口,绿色代表匹配一致,往下翻在最后可以发现extract_dirs_from_files函数的颜色是黄绿色,双击,按f5反汇编(从文件中提取目录)
在这里插入图片描述

反汇编窗口往下翻可以看到关键函数,这个循环的基本功能应该是对lmao数组的数据进行异或,但并不容易的值用于异或的中间值是什么
在这里插入图片描述

参考了大佬的wp可以使用cyberchef工具爆破出来
先拖入From Hex,再拖入XOR Brute Force,运行后在输出窗口找到key=4c即可发现flag

在这里插入图片描述

flag:HZCTF{b1ndiff_1s_a_us3ful_t00l}

参考文章

  1. 2023 | GDOUCTF
  2. 反混淆神器！CyberChef助你秒解混淆脚本
  3. Win10 + Bindiff 6.0 + IDA 7.5 安装教程
  4. BinDiff安装使用教程
  5. [GDOUCTF 2023]L！s！ Y0ung的WriteUp
OrientalGlass
关注
CTF Reverse
m0_54933823的博客
05-11 717
2021.5.11 CTF Reverse 两题…… ConsoleApplication4_3——Writeup 拿到exe文件，打开，研究一波： 发现是让我们输入1-8，将所有开关闭合，就能获得flag。哈哈，那开始尝试吧。然鹅，得劲的人已经打开了od…… emmm。。翻看了一会儿，好复杂的样子。可以尝试用字符串搜索一些关键字符的位置。 啊这，一开头就出现了“敏感”词汇？？ 双击打开字符串的位置： emmm，大概就是这里调用了一个函数，这个函数在下面一系列的.
【CTF】2023Ciscn WEB方向题解
Sapphire037的博客
05-29 2606
比赛体验一般，一黑灯基本上题都烂掉。
GDOUCTF2023-部分re复现
m0_73393932的博客
04-25 850
逆向比赛
[GDOUCTF 2023]Tea wp
weixin_73003450的博客
09-08 359
[GDOUCTF 2023]Tea详细题解
GDOUCTF2023 Crypto Pwn
qq_41626232的博客
04-16 807
比赛用的蠢方法做的，发现x为52位时可以使用small_roots，（这个很好找到上界，没考虑epsilon参数）然后简单爆破2^12=4096解空间。这个用ctypes库加载libc文件，然后随机数就一模一样了，没见过的话，可以看一看，感觉很好用。参数的默认值为0.05，该默认参数下的bound不足以解出本题的小整数解，根据。我做的时候忘记看题目名字了，溢出大小还行，用常规的ret2libc做的。我直接把fake的base64密文全删了，然后就给了一个压缩包出来了。这不是misc题吗？
GDOUCTF2023-misc方向WP
toto的博客
04-16 2213
mysql的数据库文件被分别打包在四个压缩包里了，提取压缩包的过程就不讲了，拿取证软件直接一把梭，或者diskgenius挂载一下，文件系统硬翻或者搜就好了，其中3.zip被删除了，但可以在mysql.exe（是个zip）里面找到。可以看出后缀.1是frm文件，.2是MYD文件，.3是MYI文件，只要将后缀更改之后，放到软件里即可正确识别mysql表，我这里用火眼自带的数据库分析软件，用DB Browser for SQLite或者navicat也完全可以的。
java-leetcode题解之007-Reverse-Integer
08-31
java入门 java_leetcode题解之007_Reverse_Integer
js-leetcode题解之7-reverse-integer.js
最新发布
10-12
js js_leetcode题解之7-reverse-integer.js
java-leetcode题解之206-Reverse-Linked-List
09-01
java入门 java_leetcode题解之206_Reverse_Linked_List
c语言-leetcode题解541-reverse-string-ii.c
09-27
c语言入门 c语言_leetcode题解541-reverse-string-ii.c
CTF逆向（reverse）入门脑图
10-25
CTF逆向（reverse）入门脑图，xmind格式文件。Reverse即逆向工程，题目涉及到软件逆向、破解技术等，要求有较强的反汇编、反编译扎实功底。主要考查参赛选手的逆向分析能力。 仅供CTF竞赛参考使用，请不要做违法乱纪的事情
[GDOUCTF 2023] ——web方向全Write up
Leaf_initial的博客
04-17 2465
魔术方法，然后可以看到__wakeup()中会指向classroom类的hahaha函数，hahaha所需要的变量条件在school类的。把`’ [] " _ {{}} \ .都过滤了但是比较幸运的是可以用{%%}，看了看他的config和self，发现都可以用。test.txt也看过了，里面和/orzorz.php中的内容一样，不过是文档形式，这里不赘述。可以看出这个通过flask框架写的一个网页，通过代码审计我们可以得知，只需要向。所以，双等号是不要求类型相同的，所以我们可以构造payload。
软件逆向分析初试reverse；ctf-re 入门题，详解
CHERRY_cong的博客
05-01 1818
软件逆向分析初试re；ctf 提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录 前言 一、pandas是什么？ 二、使用步骤 1.引入库 2.读入数据 总结 实验环境：Ubuntu 20.04.1 LTS GNU gdb (Ubuntu 9.1-0ubuntu1) 9.1 Ghidra 9.2.2 Java Version 15 IDA Version 7.5.201028 Windo...
CTF-攻防世界 Reverse新手练习解析
热门推荐
F1ash000
08-20 1万+
博主也是CTF小白，入门ing。。。方向是RE + PWN。文章可能多有纰漏，但会持续更新更正。希望大家多多指出不足之处。 很多时候我也挺奇怪为啥我下载的附件都是一串数字，网上的视频或者博文里面都是语义化的名称······也许这就是非酋吧······[/捂脸] 1. re1 下载文件：1f7dd33440bb499e9f844f4475f3addc.exe 解析： 这道题很简单： 打开.exe随便...
攻防世界 reverse 逆向简单题练习区 答题（1-12题解）
小哈里的博客
01-11 9665
序 传送门：https://adworld.xctf.org.cn/task/ 1、game 题目描述：菜鸡最近迷上了玩游戏，但它总是赢不了，你可以帮他获胜吗 题目思路： 下载获得一个exe游戏文件 翻译： 玩游戏，n是灯的序列号，m是灯的状态，若是第n个灯的m是1，它就亮，若是不是，它就灭。 起初全部的灯都关了，如今你能够输入n来改变它的状态， 可是你要注意一件事，若是你改变第N个灯的状态，（N-1）th和（N+1）th的状态也会改变， 当全部灯都亮起时，将出现flag。 如今，输入n，n的值域
《CTF特训营》——Reverse：逆向分析
PICACHU+++的博客
07-15 2412
一、常规逆向分析流程 1.API断点 API的定义：是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。 在获取文本输入时。对于窗口类程序获取文本方式主要通过GetWindowText和 ........................
CTF Reverse 逆向入门
Sciurdae的博客
10-24 1197
写这篇文章，主要是解决自己当初不知道怎么入门的困惑，算是替曾经的自己写的吧，博主也还在入门，请路过的佬勿喷。在CTF的主流上有五个方向，Web、Pwn、Crypto、Misc和Reverse（逆向），除了这五个，还有诸如IOT，AI，MOBILE，ETH等。CTF竞赛中的逆向：涉及 Windows、Linux、Android 平台的多种编程技术，要求利用常用工具对源代码及二进制文件进行逆向分析，掌握 Android移动应用 APK 文件的逆向分析，掌握加解密、内核编程、算法、反调试和代码混淆技术。
ctf的reverse汇总
m0_57836225的博客
08-28 546
总之，CTF 中的 Reverse 方向需要逆向工程师具备扎实的编程基础、熟练掌握各种逆向工具和技术，以及良好的分析和解决问题的能力。这可能涉及到对网络数据包的捕获和分析、对通信软件的逆向分析等，以了解协议的工作原理和可能存在的漏洞。它提供了丰富的功能，包括代码分析、函数识别、交叉引用等，有助于理解二进制程序的结构和逻辑。这通常涉及到对软件的反汇编和调试，分析软件的保护机制和验证流程，以找到绕过保护的方法。- 对于自定义的加密算法，可以通过分析加密和解密过程中的输入输出关系，逐步推导出加密算法的实现方式。
Comet与Reverse Ajax技术详解
"Comet 和 Reverse Ajax 是网络通信技术中的两个关键概念，它们主要用于实现服务器向客户端的实时数据推送。本书深入探讨了这两种技术及其在现代Web应用中的应用。 Chapter1: What Are Comet and Reverse Ajax? ...
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

OrientalGlass

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值