2019 De1CTF WriteUp

🏛️ 组织架构

  • 主办方：De1ta 战队

  • 技术支持：赛宁网安

  • 赞助商：华为、天融信、陌陌安全、红帽安全实验室

📊 赛事规模

本次比赛规模盛大，共吸引了来自全球 77 个国家和地区的 1362 支队伍参赛

🏆 比赛结果

排名 队伍名称 解题数 总分
1 Whitzard (复旦大学) 23 11226
2 0ops (上海交通大学) 21 9117
3 Balsn (中国台湾) 20 8852
4 NU1L (联合战队) 18 7559
5 Venom 17 7016
6 AAA 16 6569
7 W&M 17 6526
8 天枢 17 6169
9 Vidar-Team 16 5039
10 bi0s 16 4947

Crypto

xorz（重复密钥 XOR）

pasted_1788275713310_drgvzn.png

加密逻辑是

1
cipher[i] = plain[i] ^ key[i % len(key)] ^ salt[i % len(salt)]

其中 salt 已知，所以先异或回去

1
tmp[i] = cipher[i] ^ salt[i % 14]

得到

1
tmp[i] = plain[i] ^ key[i % len(key)]

这就变成了经典的 repeating-key XOR。因为明文是英文长文本，key 长度又小于 38，所以可以用英文频率分析、重合指数 IC、汉明距离或者 printable 约束恢复 key

去 salt 后，对 key_len = 2..37 分组

1
subs = [cipher[i::key_len] for i in range(key_len)]

每一组都相当于被同一个 key 字节 XOR 的英文字符列，所以正确 key_len 下，各列的英文统计特征会更明显

拿到 key_len = 30 后，每一位单独爆破

1
2
3
4
5
for pos in range(30):
    column = tmp[pos::30]
    for k in range(256):
        plain_column = bytes(c ^ k for c in column)
        # 判断是否像英文：可打印字符、空格、e/t/a/o/i/n 频率等
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
from itertools import cycle
import string

ct_hex = "49380d773440222d1b421b3060380c3f403c3844791b2026..."  # 填完整 output
salt = b"WeAreDe1taTeam"

ct = bytes.fromhex(ct_hex)

# 1. 去掉 salt
tmp = bytes(c ^ salt[i % len(salt)] for i, c in enumerate(ct))

# 2. 英文评分
freq = {
    ' ': 13.0, 'e': 12.7, 't': 9.1, 'a': 8.2, 'o': 7.5,
    'i': 7.0, 'n': 6.7, 's': 6.3, 'h': 6.1, 'r': 6.0,
    'd': 4.3, 'l': 4.0, 'u': 2.8
}

def score(bs):
    try:
        s = bs.decode("latin1")
    except:
        return -10**9

    if any(ch not in string.printable for ch in s):
        return -10**9

    return sum(freq.get(ch.lower(), 0) for ch in s)

# 3. 已知 WP 里 key_len = 30，也可以自己先用 IC/Hamming 跑
key_len = 30
key = b""

for pos in range(key_len):
    col = tmp[pos::key_len]
    best = None

    for k in range(256):
        dec = bytes(c ^ k for c in col)
        sc = score(dec)
        if best is None or sc > best[0]:
            best = (sc, k)

    key += bytes([best[1]])

print("candidate key =", key)

# 4. 用最终 key 解密验证
key = b"W3lc0m3tOjo1nu55un1ojOt3m0cl3W"
pt = bytes(tmp[i] ^ key[i % len(key)] for i in range(len(tmp)))

print(pt.decode(errors="ignore"))
print("flag = de1ctf{%s}" % key.decode())

Reverse

Mine Sweeping（Unity）

pasted_1784452494440_ldg9s1.png

打开附件可以看到这是一个 Unity 游戏，Unity C# 题的核心逻辑通常都在 Mine Sweeping_Data/Managed/Assembly-CSharp.dll

直接用 dnSpy 反编译，其中

1
2
Elements    单个格子的逻辑
Grids       整个扫雷棋盘的逻辑

pasted_1784485727027_csth12.png

在 Elements.Awake() 中有一段非常关键的判断

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
private void Awake()
{
    // 获取当前对象的网格坐标
    int num = (int)base.transform.position.x;
    int num2 = (int)base.transform.position.y;

    // 通过异或和运算判断该格是否为“雷”
    // 条件：(MayWorldBeAtPeace[x,y] ^ AreYouFerryMen[x,y] - 233) / 2333 == 1
    this.bIsMine = (((Elements.MayWorldBeAtPeace[num, num2] ^ Elements.AreYouFerryMen[num, num2]) - 233) / 2333 == 1);

    // 将当前对象注册到网格管理器
    Grids._instance.eleGrids[(int)base.transform.position.x, (int)base.transform.position.y] = this;
    // 标记该格的状态（1 为雷，0 为安全）
    Grids._instance.DevilsInHeaven[(int)base.transform.position.x, (int)base.transform.position.y] = (this.bIsMine ? 1 : 0);

    // 隐藏重置按钮，防止棋盘被重置
    this.resetButton = GameObject.FindGameObjectWithTag("resetButton");
    if (this.resetButton)
    {
        this.resetButton.SetActive(false);
    }
}

也就是 “雷” 的生成逻辑是先异或，再减 233，再整除 2333

思路一是通过这一步直接逆向写脚本生成所有雷所在的位置，但是很麻烦，我们可以直接 patch 游戏逻辑

比如修改 OnMouseUpAsButton()

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
private void OnMouseUpAsButton()
{
    // 检查游戏是否已经结束，并且当前格子是否还没有被翻开
    // bGameEnd 为 true 表示游戏已结束（赢或输），bIsOpen 为 true 表示该格子已翻开
    if (!Grids._instance.bGameEnd && !this.bIsOpen)
    {
        // 将当前格子标记为已翻开，防止重复点击
        this.bIsOpen = true;

        // 获取当前格子在网格中的坐标（x, y），使用世界坐标的整数部分
        int num = (int)base.transform.position.x;   // 列索引 x
        int num2 = (int)base.transform.position.y;  // 行索引 y

        // 根据 Awake 中计算出的 bIsMine 来判断是否踩雷
        if (this.bIsMine)
        {
            // ---------- 踩到地雷的处理 ----------
            // 调用 SafeAndThunder(0) 显示地雷的视觉表现（参数 0 可能代表雷）
            this.SafeAndThunder(0);

            // 设置游戏结束标志，并调用 GameLose() 执行失败逻辑（如显示所有雷）
            Grids._instance.bGameEnd = true;
            Grids._instance.GameLose();

            // 在控制台输出失败信息（调试用）
            MonoBehaviour.print("game over: lose");
        }
        else
        {
            // ---------- 安全格子的处理 ----------
            // 计算当前格子周围 8 个方向的地雷数量
            int adjcent = Grids._instance.CountAdjcentNum(num, num2);

            // 显示周围雷数（若为 0 则可能显示空白）
            this.SafeAndThunder(adjcent);

            // 触发 Flood Fill 自动翻开相邻的安全格子（传入一个表示已访问格的布尔数组）
            // 这里数组大小 29x29 可能对应游戏网格尺寸（索引 0-28）
            Grids._instance.Flush(num, num2, new bool[29, 29]);
        }

        // 每次翻开操作后都检查是否满足胜利条件
        if (Grids._instance.GameWin())
        {
            // 所有安全格子都被翻开，游戏胜利
            Grids._instance.bGameEnd = true;
            MonoBehaviour.print("game over: win");
        }
    }
}

我们可以完全取消输赢判断

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
using System;
using UnityEngine;

// Token: 0x02000003 RID: 3
public partial class Elements : MonoBehaviour
{
	// Token: 0x0600000A RID: 10
	private void OnMouseUpAsButton()
	{
		if (!this.bIsOpen)
		{
			this.bIsOpen = true;

			int x = (int)base.transform.position.x;
			int y = (int)base.transform.position.y;

			if (this.bIsMine)
			{
				// 雷格显示雷
				this.SafeAndThunder(0);
			}
			else
			{
				// 安全格显示周围雷数
				int adjcent = Grids._instance.CountAdjcentNum(x, y);
				this.SafeAndThunder(adjcent);
			}
		}
	}
}

pasted_1784488161284_1ycf9b.png

最后保存模块

pasted_1784487968933_vypkh6.png

这样子最后会得到一张二维码图片，但还是需要手动点击

pasted_1784488210922_j8h85y.png

熟悉这个流程过后我们可以直接修改 Elements.Awake() 逻辑

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
private void Awake()
{
    int num = (int)base.transform.position.x;
    int num2 = (int)base.transform.position.y;

    this.bIsMine =
        (((Elements.MayWorldBeAtPeace[num, num2] ^
           Elements.AreYouFerryMen[num, num2]) - 233) / 2333 == 1);

    Grids._instance.eleGrids[num, num2] = this;
    Grids._instance.DevilsInHeaven[num, num2] = this.bIsMine ? 1 : 0;

    // 新增：初始化时直接显示雷
    if (this.bIsMine)
    {
        this.SafeAndThunder(0);
    }

    this.resetButton = GameObject.FindGameObjectWithTag("resetButton");
    if (this.resetButton)
    {
        this.resetButton.SetActive(false);
    }
}

pasted_1784488438600_j1s3hm.png

最后得到 flag：de1ctf{G3t_F1@g_AFt3R_Sw3ep1ng_M1n3s}