PlaidCTF 2022 coregasm writeup

最新推荐文章于 2024-10-16 22:28:24 发布

1mmorta1

最新推荐文章于 2024-10-16 22:28:24 发布

阅读量869

点赞数 1

分类专栏： reverse 文章标签： linux 安全

本文链接：https://blog.csdn.net/qq_41866334/article/details/124100130

版权

reverse 专栏收录该内容

24 篇文章 0 订阅

订阅专栏

题目给了elf文件coregasm 和它crash以后的coredump文件，我们需要利用coredump文件里的信息来逆向elf文件。这一题分成四个部分：

在这里插入图片描述

flag1

这是最简单的，因为crash后的coredump文件里一定是有异或了0xa5的flag1. 所以我们直接对于整个coredump文件异或0xa5，就找到了flag1 。

flag2

在这里插入图片描述
找到我们发现这部分的加密用到了从./otp里读取的数据，这部分数据也应该残留在了coredump文件里。用010Editer打开人工翻翻找到了0x80长度的数据如下：
请添加图片描述

import base64
import string
flag1 = b'PCTF{banana_banana}\x00                                            '

# flag1 = [int.from_bytes(flag1[i:i+8],'little') for i in range(0,64,8)]

xrn = [0x80083ED7E794313B,0x75136EBBBF60734F,0x6C46A704AF4D8380,0xC1991AB8C1674BBF,0xDC0B819132401105,0xAF4464465D7D4DC0,0x9EAD54BD51956632,0xC4D2C981312F974]
xrn = b''.join([i.to_bytes(8,'little') for i in xrn])
def xor(a,b):
    assert(len(a)==len(b))
    return [a[i]^b[i] for i in range(len(b))]
tmp = xor(xrn,flag1)
# print(tmp)
with open("core","rb") as f:
    con = f.read()
    

num = 'G4Ay2niMDfJlxqAyl7/afx8n+/F9ZSje0YF+CIKn7AEKQBD1OBdjZ+pOuiB/EEjaQGvAiW6GJHJLDLmJgUyjOTsxlOfXPgiAT3NgyrtuE3WAgxTNRekHIv5KJYD2W9eAWDFAMpGBC9zATX1dRmRErzJmlVG9VK2edPkSE5gsTQw='
num = base64.b64decode(num)

print(bytes(xor(tmp,num[64:128]))) # b'PCTF{banana*banana$banana!banana}\x00                              '

flag3

请添加图片描述

flag3 一开始一直卡住了，因为发现后面这些赋值的信息是不够的，它只能推出：s[1]+s[0], s[6]*s[7] 和s[12]==s[13] 这些信息，而且coredump文件里也没有额外的信息，这明显是推不出flag的。因此怀疑前面还有信息。去找了找flag4的加密函数（截图在下文中），发现flag4最后赋值时每个u_int64都是一样的。

因此我们可以通过s[1]+s[0]的值以及，s[0]=‘PCTF’ 推出这个一样的值，最后正着推出整个flag3.

PCTF{bananabnanbnanannanbnabnnabnanbnanbnanbnabanananananba}

flag4

请添加图片描述
这个逆向是关于intel fst浮点数计算。这个伪代码翻译的挺差的，其实看汇编指令会更加清楚一点。事实上程序把flag每六个字节取出来放在double的后六个字节，前面补上0x3fff，然后将double转成long double
形式做连加和连乘。由于整个程序在crash之前只有这里用到了st寄存器，因此我们可以从coredump里获得8个st寄存器的值。具体做法是命令行运行gdb coregasm coredump 然后info all-register
请添加图片描述
接下来我们调试一下这个elf文件coregasm，发现fmulp st(1), st指令中的pop 并不是直接把st(0) 删除，而是所有其他寄存器都往上pop一步，同时原来的st(0)赋值给了st(7) 。因此留下来的8个寄存器的值分别代表什么就很清楚了. st(0)是八个数字的和，而st(1)-st(7) 分别是乘积。

因此写出solve代码，利用union可以对一块内存做出两种解释。

#include <stdio.h>
#include <stdlib.h>
#include <string.h>

union LDC
{
   long double f;
   unsigned char s[10];
};

union DC
{
   double f;
   unsigned char s[8];
};

int main(){
    union LDC st[8];
    int i, j;
    union DC tmp;

    memcpy(st[0].s,"\x00M\x01\x1cX\xe7\x86\xfa\x02@",10);
    memcpy(st[1].s,"\xf5\xbf\x8d\x80+\xf2\xd4\xd6\x06@",10);
    memcpy(st[2].s,"\xce\x05\xb0\xb4\xef\xa3\xe3\x9d\n@",10);
    memcpy(st[3].s,"c\x9c\x83@\xaf\t_\xc1\r@",10);
    memcpy(st[4].s,"\xbeR8ro\x03p\xbd\x10@",10);
    memcpy(st[5].s,"x\xb5,\x15\xb4' \x8b\x13@",10);
    memcpy(st[6].s,"\x8f\x84\xf5\x89<\xc9\n\x88\x15@",10);
    memcpy(st[7].s,"\xb3\xc5\xf7\"qd\xa4\x85\x16@",10);

    for(i = 7; i >= 1; i--)
    {
        st[i].f /= st[i-1].f;
    }

    for(i = 0; i < 7; i++)
    {
        st[i].f -= st[i+1].f;
    }
    
    for(i = 7; i >= 0; i--)
    {
        tmp.f = st[i].f;
        for (j = 0; j <= 5; j++)
            printf("%c", tmp.s[j]);
    }
	printf("\n"); //PCTF{orange%zou&gl`d$i!dldn't^pay#bapana*aeain}
    return 0;
}