AirPlan Task1 And Task2
本文由prison翻译整理,原文地址:/201 … enge-tasks-1-and-2/
黑客游戏一直备受ctf玩家和新手安全研究员青睐,正如标题所说,玩这个需要猥琐发育和清奇的脑回路。本文将手把手教你如何搞定最基本的两个挑战,附件可下载,读者可以下载程序后和我们一起体验。难度系数:两颗星
废话不多说,直接正题,Airplanechallenge是一个在线挑战平台,URL:
/
这里是其中两个任务的writeup
Task1/Airplane/1_the_best_researcher.php
密码是:“Challenge”
现在我们运行这个项目,它只是闪退后啥也没发生,留我一人独自懵逼。。。那也没办法啊,出题方这么草率我还是要严谨一点的嘛,所以我把它拖到OllyDbg打开。开始从这一堆东西里分析这个程序,我注意到一些很有意思的东西,
%PROGRAMFILES%\\meseekerinc
这玩意儿看起来像是代码内部引用的自定义文件,咱来瞅一眼它是怎么用的:
实际上,程序正在搜索这个文件并且检查它的属性,如果能对得上号就会输出点东西。我这么机智当然猜到这可能是密码啦。
现在我们有两种方法可选—要么创建具有适当属性的文件,要么在执行过程中改变它。这样一来无论如何它都会打印出密码。我选择第二种方法—在每个条件上设置一个断点,当轮到它时,更改标志以模拟出所需要满足的条件。
你看,密码自己就出来了。。。
完事!下一个,还!有!谁!
Task 2/Airplane/2_should_work.php
镜像:/file/d/0Bzb5kQFOXkiSS3RrNkx4NlV0d0E/view?usp=drive_web
密码还是”Challlenge”
和第一个不一样,这回终于不闪退了。。。这次提示输入密码
我就随便输点啥吧,看看它能有几幅面孔。。
蓝后…粗线了“GettingSchwifty.bat”这个文件并且尝试加载它,结果证明这个不是一个有效的PE,所以发生了错误。
我们输入的密码似乎是用来解密这个PE文件的(名字。bat文件只是一种伪装)。让我们看一下这个文件:
如你所见,它在内部被加密了。这让我觉得它可能是XOR加密的。因此,我试着用一些有效的PE文件来XOR解密,看看它是否显示了密码(我使用了python脚本:/hasherezade/crypto_utils/blob/master/dexor.py):
./dexor.py --file GettingSchwifty.bat --keyfile Second.exe
我们从编辑器看这个输出,返现开头这些重复的东东
这个可能就是我们需要的密码,所以我们继续试试。我复制了一些片段,保存为一个key.bin文件。然后又试了一次
./dexor.py --file GettingSchwifty.bat --keyfile key.bin
这次厉害了,输出了一个有效的PE文件:一个叫做Piper.dll的DLL文件
因为我已经有了DLL文件,所以我不关心什么可以解密出它的密码。我在调试器中运行了主要的可执行文件(Second.exe)在gettingschwigett之前设置断点。用我的版本替换已加载的那个bat文件。
当在LoadLibraryA中出现断点时。我删除掉那些被加载的文件。在它上复制我的解密DLL。
它加载得非常成功,所以现在我们可以进入DLL内部的函数了:
然而还没有结束,在我们将flag打印出来之前,还需要再输入一个密码。应用程序在pipe上提出一个”flumbus_channel”问题,而我们需要解决这个问题。
经过一段简短的分析,我得出结论。蛮干并不是解决之道,所以我们必须用另一种方法来解决它。然后我去Google逛了一圈,发现有人问了一个很有意思的问题:什么比冷更冷?
(source:/define.php?term=Cooler%20Than%20Being%20Cool)
回答者说:“冰冷!”(这是在玩脑筋急转弯吗。。。)很明显不是吗?(原谅我感受不到哪里明显了..),而且这不就是程序通过让我们输入和检查想要我们说的吗?我想要一个快速的解决方案,而不是编写一个可以在Pipe上进行讨论的客户端,我只需要在内存中编辑缓冲区。让我们在对ReadFile的调用中设置断点,并在转储文件中跟踪缓冲区:
ReadFile返回后,我们可以编辑这个缓冲区,以模拟正在读取的输入:
密码被转换成大写,然后它被用来解密输出缓冲区,对解密缓冲区的校验并与硬编码的缓冲区进行了比较:0x55B8B000
看起来密码”ICE COOL”(就是上文中作者逛Google时看到的一个问答。。然后这货玩成了哲学问题,这清奇的脑回路在下实在佩服。。)是正确的,校验和匹配!输出缓冲区被解密,并在转储中跟踪它,我们已经看到了第二个标志:
然而,坑还不止这些—有一些调试检查,一不小心就会导致程序异常退出:
我只是补全了上面的条件,所以不能采取反调试措施:
然后,喜闻乐见的密码就跳出来啦~~
如果觉得《告诉你什么是挖洞最清奇的脑回路》对你有帮助,请点赞、收藏,并留下你的观点哦!