2019 De1CTF WriteUp

🏛️ 组织架构

  • 主办方：De1ta 战队

  • 技术支持：赛宁网安

  • 赞助商：华为、天融信、陌陌安全、红帽安全实验室

📊 赛事规模

本次比赛规模盛大，共吸引了来自全球 77 个国家和地区的 1362 支队伍参赛

🏆 比赛结果

排名 队伍名称 解题数 总分
1 Whitzard (复旦大学) 23 11226
2 0ops (上海交通大学) 21 9117
3 Balsn (中国台湾) 20 8852
4 NU1L (联合战队) 18 7559
5 Venom 17 7016
6 AAA 16 6569
7 W&M 17 6526
8 天枢 17 6169
9 Vidar-Team 16 5039
10 bi0s 16 4947

Reverse

Mine Sweeping（Unity）

pasted_1784452494440_ldg9s1.png

打开附件可以看到这是一个 Unity 游戏，Unity C# 题的核心逻辑通常都在 Mine Sweeping_Data/Managed/Assembly-CSharp.dll

直接用 dnSpy 反编译，其中

1
2
Elements    单个格子的逻辑
Grids       整个扫雷棋盘的逻辑

pasted_1784485727027_csth12.png

在 Elements.Awake() 中有一段非常关键的判断

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
private void Awake()
{
    // 获取当前对象的网格坐标
    int num = (int)base.transform.position.x;
    int num2 = (int)base.transform.position.y;

    // 通过异或和运算判断该格是否为“雷”
    // 条件：(MayWorldBeAtPeace[x,y] ^ AreYouFerryMen[x,y] - 233) / 2333 == 1
    this.bIsMine = (((Elements.MayWorldBeAtPeace[num, num2] ^ Elements.AreYouFerryMen[num, num2]) - 233) / 2333 == 1);

    // 将当前对象注册到网格管理器
    Grids._instance.eleGrids[(int)base.transform.position.x, (int)base.transform.position.y] = this;
    // 标记该格的状态（1 为雷，0 为安全）
    Grids._instance.DevilsInHeaven[(int)base.transform.position.x, (int)base.transform.position.y] = (this.bIsMine ? 1 : 0);

    // 隐藏重置按钮，防止棋盘被重置
    this.resetButton = GameObject.FindGameObjectWithTag("resetButton");
    if (this.resetButton)
    {
        this.resetButton.SetActive(false);
    }
}

也就是 “雷” 的生成逻辑是先异或，再减 233，再整除 2333

思路一是通过这一步直接逆向写脚本生成所有雷所在的位置，但是很麻烦，我们可以直接 patch 游戏逻辑

比如修改 OnMouseUpAsButton()

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
private void OnMouseUpAsButton()
{
    // 检查游戏是否已经结束，并且当前格子是否还没有被翻开
    // bGameEnd 为 true 表示游戏已结束（赢或输），bIsOpen 为 true 表示该格子已翻开
    if (!Grids._instance.bGameEnd && !this.bIsOpen)
    {
        // 将当前格子标记为已翻开，防止重复点击
        this.bIsOpen = true;

        // 获取当前格子在网格中的坐标（x, y），使用世界坐标的整数部分
        int num = (int)base.transform.position.x;   // 列索引 x
        int num2 = (int)base.transform.position.y;  // 行索引 y

        // 根据 Awake 中计算出的 bIsMine 来判断是否踩雷
        if (this.bIsMine)
        {
            // ---------- 踩到地雷的处理 ----------
            // 调用 SafeAndThunder(0) 显示地雷的视觉表现（参数 0 可能代表雷）
            this.SafeAndThunder(0);

            // 设置游戏结束标志，并调用 GameLose() 执行失败逻辑（如显示所有雷）
            Grids._instance.bGameEnd = true;
            Grids._instance.GameLose();

            // 在控制台输出失败信息（调试用）
            MonoBehaviour.print("game over: lose");
        }
        else
        {
            // ---------- 安全格子的处理 ----------
            // 计算当前格子周围 8 个方向的地雷数量
            int adjcent = Grids._instance.CountAdjcentNum(num, num2);

            // 显示周围雷数（若为 0 则可能显示空白）
            this.SafeAndThunder(adjcent);

            // 触发 Flood Fill 自动翻开相邻的安全格子（传入一个表示已访问格的布尔数组）
            // 这里数组大小 29x29 可能对应游戏网格尺寸（索引 0-28）
            Grids._instance.Flush(num, num2, new bool[29, 29]);
        }

        // 每次翻开操作后都检查是否满足胜利条件
        if (Grids._instance.GameWin())
        {
            // 所有安全格子都被翻开，游戏胜利
            Grids._instance.bGameEnd = true;
            MonoBehaviour.print("game over: win");
        }
    }
}

我们可以完全取消输赢判断

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
using System;
using UnityEngine;

// Token: 0x02000003 RID: 3
public partial class Elements : MonoBehaviour
{
	// Token: 0x0600000A RID: 10
	private void OnMouseUpAsButton()
	{
		if (!this.bIsOpen)
		{
			this.bIsOpen = true;

			int x = (int)base.transform.position.x;
			int y = (int)base.transform.position.y;

			if (this.bIsMine)
			{
				// 雷格显示雷
				this.SafeAndThunder(0);
			}
			else
			{
				// 安全格显示周围雷数
				int adjcent = Grids._instance.CountAdjcentNum(x, y);
				this.SafeAndThunder(adjcent);
			}
		}
	}
}

pasted_1784488161284_1ycf9b.png

最后保存模块

pasted_1784487968933_vypkh6.png

这样子最后会得到一张二维码图片，但还是需要手动点击

pasted_1784488210922_j8h85y.png

熟悉这个流程过后我们可以直接修改 Elements.Awake() 逻辑

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
private void Awake()
{
    int num = (int)base.transform.position.x;
    int num2 = (int)base.transform.position.y;

    this.bIsMine =
        (((Elements.MayWorldBeAtPeace[num, num2] ^
           Elements.AreYouFerryMen[num, num2]) - 233) / 2333 == 1);

    Grids._instance.eleGrids[num, num2] = this;
    Grids._instance.DevilsInHeaven[num, num2] = this.bIsMine ? 1 : 0;

    // 新增：初始化时直接显示雷
    if (this.bIsMine)
    {
        this.SafeAndThunder(0);
    }

    this.resetButton = GameObject.FindGameObjectWithTag("resetButton");
    if (this.resetButton)
    {
        this.resetButton.SetActive(false);
    }
}

pasted_1784488438600_j1s3hm.png

最后得到 flag：de1ctf{G3t_F1@g_AFt3R_Sw3ep1ng_M1n3s}