2018 网鼎杯-第一场 WriteUp

📝 赛事概况

  • 比赛赛制：采用线上 CTF（夺旗赛） 模式

  • 晋级规则：每场线上预选赛取前 50 名进入线下半决赛。比赛结束后，前 50 名需在 12 小时内提交 Writeup 供审核

Misc

minified（通道隐写）

点击向右箭头发现 Red plane 0 是空的

分别把 alpha，green 和 blue 的 0 通道另存为再进行异或处理，最终在 alpha 和 green 的中发现 flag

clip（文件附加隐写）

pasted_1787215232976_1ok06v.png

题目给的是一个坏的 .disk 磁盘镜像文件，使用 010 查看十六进制搜索到图片

pasted_1787229429511_5qw0x0.png

总共有两张图片，图片一如下

pasted_1787230431443_pl8er4.png

图片二如下

pasted_1787230449056_l8f0r7.png

PS 拼接得到 flag

pasted_1787230476538_cxdt2s.png

Reverse

beijing（Switch Case + 异或）

进入 main 函数，每次都输出 sub_804860 函数的结果

进入函数内部发现是 Switch Case 结构

它把 .data 中从 0x804a020 开始的 28 个字节，每两个一组做异或

如果每两个字节一组

1
2
3
4
5
6
7
8
9
10
11
12
13
14
0:  a L
1:  g Y
2:  i )
3:  n B
4:  b \r
5:  e q
6:  f 4
7:  j c6
8:  m 8a
9:  l 7f
10: { ae
11: z 92
12: } ec
13: _ W

这时候注意每组的第一个字符

1
2
3
4
5
6
7
8
9
10
11
12
13
14
index 0  -> a
index 1  -> g
index 2  -> i
index 3  -> n
index 4  -> b
index 5  -> e
index 6  -> f
index 7  -> j
index 8  -> m
index 9  -> l
index 10 -> {
index 11 -> z
index 12 -> }
index 13 -> _

再看我们 main 函数中传入的参数

对应 sub_804860 函数的 a1 变量，也就是选择分支的变量

把这些数据提取出来

得到对应的映射关系

1
2
table = ['a','g','i','n','b','e','f','j','m','l','{','z','}','_']
idx = [6,9,0,1,10,0,8,0,11,2,3,1,13,4,5,2,7,2,3,1,12]

拼接得到 flag：flag{amazing_beijing}

advanced（D 语言）

pasted_1784378477858_uvqoi6.png

IDA 反编译发现 _Dmain 函数，说明程序是 D 语言编写的

pasted_1784379347430_d4rh57.png

运行程序得到密文

1
welcome, here is your identification, please keep it in your pocket: 4b404c4b5648725b445845734c735949405c414d5949725c45495a51

调转到加密函数中

pasted_1784386902563_55ff1k.png

encrypt 里面连续调用了 enc!("111")……，其实就是

1
2
for i in range(1, 500):
    key = str(i) * 3

随便进入一个 enc!(key) 函数中

pasted_1784387387118_g3c17l.png

D 语言看不懂，冷门语言，转为 Python

1
2
3
4
5
6
7
def encrypt(plain: bytes, key: bytes = b"475475475", v7: int = 0) -> bytes:
    """
    公式：cipher[i] = plain[i] ^ key[i % 9] ^ v7
    v7 是编译时常量
    """
    key_len = len(key)
    return bytes(p ^ key[i % key_len] ^ v7 for i, p in enumerate(plain))

编写解密脚本拿到 flag

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
ct_hex = "4b404c4b5648725b445845734c735949405c414d5949725c45495a51"

data = bytearray.fromhex(ct_hex)

def enc(data, key):
    n = len(data)
    key = key.encode()
    out = bytearray()

    for i, b in enumerate(data):
        out.append(b ^ key[i % len(key)] ^ n)

    return out

for i in range(1, 500):
    data = enc(data, str(i) * 3)

print(data.decode())

# flag{d_with_a_template_phew}