BEGIN_PAYLOAD20190928
这是第三次参加flare on了 这次也是第二次做完全部的题。
1 - Memecat Battlestation
C# 题目，一共两关
stage1Form.WeaponCode 为明文：
Stage2Form.WeaponCode 为异或结果：
1 | array = [0x3,ord(' '),ord('&'),ord('$'),ord('-'),0x1e,0x2,ord(' '),ord('/'),ord('/'),ord('.'),ord('/')] |
2 - overlong
一个patch 题目，题目默认输出个
“I never stop the encoding”
在栈上将长度改大，然后就get flag
3 - flarebear
apk 题 使用jeb逆向发现
当满足 ishappy() 和 isEcstatic() 两个函数的时候，会打印flag。
ishappy() 逻辑如下：
isEcstatic() 逻辑如下：
游戏有三个功能分别为 feed play clean:
三个功能分别如下：
feed：
play：
clean:
1 | from z3 import * |
结果为：
1 | swing@ubuntu:/media/psf/Home/Desktop/flare-on/3 - Flarebear $ python solve.py |
最后可打印出flag：
4 - Dnschess
题目了三个附件，一个pcap流量包 一个ChessUI 和ChessAI.so 文件。
通过DNS协议下棋
首先将满足条件的ip提取出来：
1 | iplist = [] |
iplist：
1 | ['127.150.96.223', '127.252.212.90', '127.215.177.38', '127.118.118.207', '127.89.38.84', '127.109.155.97', '127.217.37.102', '127.49.59.14', '127.182.147.24', '127.0.143.11', '127.227.42.139', '127.101.64.243', '127.201.85.103', '127.200.76.108', '127.50.67.23', '127.157.96.119', '127.99.253.122', '127.25.74.92', '127.168.171.31', '127.148.37.223', '127.108.24.10', '127.37.251.13', '127.34.217.88', '127.57.238.51', '127.196.103.147', '127.141.14.174', '127.238.7.163', '127.230.231.104', '127.55.220.79', '127.184.171.45', '127.196.146.199', '127.191.78.251', '127.159.162.42', '127.184.48.79', '127.127.29.123', '127.191.34.35', '127.5.22.189', '127.233.141.55', '127.55.250.81', '127.53.176.56'] |
最后：
1 | t3 = ['127.150.96.223', '127.252.212.90', '127.215.177.38', '127.118.118.207', |
5 - demo
这个函数将修改视角
6 - bmphide
参数的0 1 2 位分别是 原图、 待隐写数据 和保存的图片。
函数i 可知是一个类似于LSB 隐写的代码，将加密后的数据隐写到
R G B 对应为 低0 1 2 ； 0 1 2 ; 0 1处
j 函数大致逻辑录下：
1 | j(z) (ww*yy+zz+4+f(6))^b(z,1) |
利用如下代码提取数据
1 | from PIL import Image |
通过分析代码逻辑发现其中h的逻辑大致如下：
1 |
但其中几个函数被替换，f 替换为 g, a替换为b, c替换为d
最后代码：
1 | #coding:utf-8 |
7 - wopr
一个 PE 文件，IDA打开分析发现是 pyintaller 打包的，使用 pyinstxtractor 进行解包
1 | python pyinstxtractor.py wopr.exe |
得到一堆解包后的文件：
1 | # swing @ localhost in ~/Desktop/flare-on/7 - wopr/wopr.exe_extracted [14:15:19] |
由于题目提示是要找启动代码，所以找到了pyi** 开头的几个文件 由于几个文件缺少了pyc头，我们将pyc头给补上（python3.7版本）然后使用 python-uncompyle6 进行反编译，其中 pyiboot-2_cleanup代码如下：
1 | import hashlib, io, lzma, pkgutil, random, struct, sys, time |
他会取__doc__ 里的制表符和空格进行编码，然后rc4解密，然后解压缩，但是 python-uncompyle6 这个反编译后的代码没有了 制表符，后面我又搜了个工具叫 pycdc 重新反编译，得到了一部分新代码。
但是后面发现没有输出，最后发现前面有一段代码将print 替换成了exec
1 | GREETINGS = ["HI", "HELLO", "'SUP", "AHOY", "ALOHA", "HOWDY", "GREETINGS", "ZDRAVSTVUYTE"] |
当值为0的时候，会取本身进程的句柄，因为是单独跑python脚本的，所以得稍微改下，改成
trust = pydll.LoadLibrary(r'F:\copy.exe')._handle
完整代码如下：
1 | # -*- coding:utf-8 -*- |
得到MD5后反算求 lauchcode，利用z3进行求解
1 |
|
求解 lauchcode
1 | x |
最后把lauchcode喂给程序即可
8 - snake
一个NES题目，通过选择process为6502进行反汇编
发现当分数为0x33，且游戏轮次为 4 的时候 可打印flag
或者我们直接将此处的
$F0的值修改为 26偏移处的值相等即可，利用 ** fceux** 进行调试
9 - reloadered
1 | a = [None for i in range(0xb)] |
10 - Mugatu
程序及dll的IAT项交换了。静态看不出到底调用了什么函数，需要还原。
程序模拟了勒索软件。从twitter的RSS中获取信息来编码目标机的环境信息，然后上传，得到返回的加密密钥。然后从资源中获取dll数据，并加载到内存，枚举盘符，搜索really, really, really, ridiculously good looking gifs文件夹，并加密其下的gif文件。加密算法采用tea。
解算比较简单。先把另一张图片解密，key在其文件名中已经给出。得到第二第图片的key的第一个字节。题目上中key的长度是4个字节。所以根据gif文件头爆破三个字节的key，然后解密
11 - avx2
考察avx2指令
VM代码解析如下：
1 | memset |
输入参命令行参数传递。两个参数，第一个参数 9字节，程序中是明文校验。第二个参数32字节，通过反解VM代码获得的。
1 | table = map(ord,string.letters+string.digits) |
12 help
12题就比较蛋疼了…显示内存取证与流量分析
目说明中说环境crash了，直接windbg加载dmp文件，!analyze -v，原来是驱动man.sys导致的crash，把man.sys搞出来，PE头部已经丢了。里面还有个dll，根据调试信息是m.dll，而且发现其调试信息中的路径与man.sys类似，搜了下，内存里还加载过c.dll、n.dll、k.dll、s.dll、f.dll、driver1.sys。不过后面几个pe文件只有pe头部及小量的代码，大部分代码部分缺失。
根据调试信息及简单分析pe文件功能如下：
1 | drive1.sys shellcode \\??\FLSC |
简单看了下流量包，确定主控端ip为192.168.1.243，victim ip为192.168.1.244。
开始对比分析流量，发现端口4444,6666,7777,8888为之间通讯端口。4444端口为控制指令类数据，其它三个端口为victim向外传送的数据。网络包中的数据基本都加了一层异或处理，可以从4444端口的对比发现，6666及8888之间同一数据发两次，一次加了异或，一次没加，7777端口数据包较多，中间夹杂没加异或的数据包。
通过4444端口信息很简单就能解了最外层的异或。前4字节是数据长度，然后是4字节的指令，其它部分功能未知，应该是4字节+4字节+4字节子数据长度+子数据+unknow的结构。
有了外层数据包的编码方式，7777端口的数据就好解了，原来是bmp图片数据，去掉其中的未编码的数据，将\r\n替换成\n，然后将数据包分成各文件，根据异或值，填充下缺失的个别字节，然后解码去掉表示长度的4字节，图片就解码好了。图片是屏幕截图，有些操作命令行的，有些web浏览器的，最主要是打开keepass的操作，最后的图如下：
加图
根据图片内容，flag就在keepass的密码项中了。
又看了下其它的网络包，4444端口还发送了个文件和keepass的数据库名，文件应该就是上面说的driver1.sys，keepass数据库名应该是查找文件路径。
6666端口应该是发送keepass的数据库文件。
当时做题时漏了8888端口。于是开始开始在dmp文件中找keepass的信息，找到了数据库文件内容及加密过的masterkey和transfer_masterkey和对应的sessoion_key。于是乎就想办法解码原始key，看了keepass的源码，拿到了当前用户的masterkey，开始研究DPAPI。最后发现keepass的内存加密用了CRYPTPROTECTMEMORY_SAME_PROCESS标志，加入了进程信息，然后并不知参与加密的进程信息是什么，陷入僵局。
重新理思路，感觉应该漏了什么，通过volatility查看网络连接情况，发现漏了8888端口。此端口传送键盘记录信息，解了最外层的异或，子数据包并未能完全解码。子数据包编码方式与6666端口一致，通过keepass的数据文件内容，尝试异或解码，只解码部分数据，似乎编码加入了反馈机制。8888端口最后传送的就是keepass打开数据库时的键盘记录，传送的数据中可以正确解码标题部分Open Database - keys.kdb。
EOFCHECKSUM_OK
// EXTERNAL_CHANNEL
评论