2021-03-26发表2021-11-16更新Hgame202120 分钟读完 (大约2961个字) 次访问

HGAME-Week1-writeup

Week1

1.web

1.Hitchhiking_in_the_Galaxy

网页f12发现 /HitchhikerGuide.php , 抓包发现 302, 于是在 Linux 中用 curl 命令访问这里,发现 405 那么就改用 post 请求方式

刚开始看到这句话后没有一点想法,就去看了看发的学习资料,看到 user-agent 后意识到应该是要加这个头 (因为引擎) , 内容是那串英文

仅能通过本地访问 , 那么就再加一个 x-forwarded-for 头 , 最后说要从茄子学长的网站过来 , 再加一个 referer 头,得到 flag

2.watermelon

打开网页发现是合成大西瓜, 玩了一遍发现要达到2000分才能得到flag, 于是毫不犹豫地抓包(可惜接受不到分数,是为什么我也不清楚) 抓包不行那么就只能修改 js 代码,然而在我试图修改的过程中发现

把网页变成这样就能轻松玩到2000分! (到底怎么改js代码我不太清楚,应该是要找到存储分数的变量,然后在 console 里修改…..)

得到 flag

3.宝藏走私者

先拿着学习资料学习了一下,之后点开网页点击 secret data 跳转到另一个界面,提示要是 localhost ,于是加了 host 头

意外的就得到了 flag (不知道怎么得到的, 好像跟学习资料无关?)

4.智商检测鸡

用 firefox 浏览器打开网页发现要做100道定积分才能得到 flag, f12看到网页源代码,里面有个 getflag() 函数

在 console 输入后,弹出一句话(是啥我忘了) , 得知这样不行,于是我就搭配定积分计算器解完了这100题,得到 flag (之后看r4u学长发的学习资料,觉得应该是 python 爬虫一类的,可惜我 python 还不太会,只能手动解题了)

web 总结: web 开始的时候是真的一点都不会, watermelon 和定积分都不是通过 web 知识解的, burp 也是前几天刚装的(安装花了一天…),总之学到了很多

2.reverse

1.apacha

应该是这周 re里最难的（但其实也不是太难），首先用 ida 打开文件并初步分析

关键部分在第25和第26行的两个函数

第一个关键函数，刚开始看觉得挺复杂的后来发现了 tea 型加密算法的特征，查资料猜测这应该是 xxtea 加密算法

第二个关键函数，判断输入是否为 flag 。加密后的 flag存在unk_501C , 每四个字节一组

之后就是写脚本解密，于是在网上找了一个现成的脚本（ c语言），改了一下就得到 flag（这里有个地方需要注意，因为是小端序所以 ida 中加密的数据每四个字节要逆序才是真正的加密数据）

#include <stdio.h>
#include <stdint.h>
#define tea_DELTA 0x9e3779b9
#define xxtea_MX (((z>>5^y<<2) + (y>>3^z<<4)) ^ ((sum^y) + (key[(p&3)^e] ^ z)))
void xxtea(uint32_t* origin, int n, uint32_t const key[4]);
int main()
{
  unsigned int data[] = 
    {       0xE74EB323,0xB7A72836,0x59CA6FE2,0x967CC5C1,0xE7802674
               ,0x3D2D54E6,0x8A9D0356,0x99DCC39C,0x7026D8ED,0x6A33FDAD,
               0xF496550A,0x5C9C6F9E,0x1BE5D04C,0x6723AE17,0x5270A5C2,
               0xAC42130A,0x84BE67B2,0x705CC779,0x5C513D98,0xFB36DA2D,
            0x22179645,0x5CE3529D,0xD189E1FB,0xE85BD489,0x73C8D11F,0x54B5C196,
            0xB67CB490,0x2117E4CA,0x9DE3F994,0x2F5AA1AA,0xA7E801FD,0xC30D6EAB,
            0x1BADDC9C,0x3453B04A,0x92A406F9 
    };
  int i, j;uint32_t* encode = (uint32_t*)data;
  uint32_t const key[4] = {1,2,3,4};
  xxtea(encode, -35, key);
  for (i = 0; i < 35; i++)
    printf("%d,", data[i]);
}
void xxtea(uint32_t* origin, int n, uint32_t const key[4])
{
  uint32_t y, z, sum;
  unsigned p, rounds, e;
  if (n > 1)            /* Coding Part */
  {
    rounds = 6 + 52 / n;
    sum = 0;
    z = origin[n - 1];
    do
    {
      sum += tea_DELTA;
      e = (sum >> 2) & 3;
      for (p = 0; p < n - 1; p++)
      {
        y = origin[p + 1];
        z = origin[p] += xxtea_MX;
      }
      y = origin[0];
      z = origin[n - 1] += xxtea_MX;
    } while (--rounds);
  }
  else if (n < -1)      /* Decoding Part */
  {
    n = -n;
    rounds = 6 + 52 / n;
    sum = rounds * tea_DELTA;
    y = origin[0];
    do
    {
      e = (sum >> 2) & 3;
      for (p = n - 1; p > 0; p--)
      {
        z = origin[p - 1];
        y = origin[p] -= xxtea_MX;
      }
      z = origin[n - 1];
      y = origin[0] -= xxtea_MX;
      sum -= tea_DELTA;
    } while (--rounds);
  }
}

2.helloRe

这题不难，只是有点 c++ 的语法，同样 ida

关键在中间的异或操作，写个脚本就能得到结果

3.pypy

这题考的是 python 字节码，刚开始看的时候还不太懂python语法花了点时间去理解，通过 dis 文档来分析每一条语句，大概还原了一下

理解之后就是用脚本解题，再加上 hgame{} （刚开始交的时候忘加了）

3.pwn

1.whitegive

下载，在 Linux 中用 gdb 调试，得知输入数字在栈中的的存储位置为 0x7ffffffffde50

继续调试，发现最后 if 语句比较的是 rax 和 rdx 的值，而此时 rax 存储的是 ‘paSsw0rd’ 字符串的地址，那么只要输入这个地址的十进制值就能使条件成立

nc连接，cat flag（的确挺白给的，毕竟我都能做）

pwn 总结：我也太菜了只解出白给题 ,看了最后一题但不太会 rop , 总之这周就稍微学习了一下怎么写 pwn 的脚本和一些基础知识以及安装工具

4.crypto

2.对称之美

打开链接下载 python 文件

key 是在 ascii 字母和数字里随机选取16个组成，而 cipher 是由明文与循环的 key 异或得到的密文

根据异或特性知道密文与循环的 key 异或就是明文，那么这道题重点就是求出一组 key 。多次下载附件发现 cipher 各不同，那就利用多个密文写脚本爆破得到前16位明文

table = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789"
de0 = []
c = []
for i in range(0,130):
    c.append(0)
flag = []
#for i in range(0, 16):
for j in range(0, 62):
    de0.append(xor(cipher0[15], table[j]))
    de0.append(xor(cipher1[15], table[j]))
    de0.append(xor(cipher2[15], table[j]))
    de0.append(xor(cipher3[15], table[j]))
    de0.append(xor(cipher4[15], table[j]))
    de0.append(xor(cipher5[15], table[j]))
    de0.append(xor(cipher6[15], table[j]))
    de0.append(xor(cipher7[15], table[j]))
    de0.append(xor(cipher8[15], table[j]))
    de0.append(xor(cipher9[15], table[j]))
    de0.append(xor(cipher10[15], table[j]))
    de0.append(xor(cipher11[15], table[j]))
    de0.append(xor(cipher12[15], table[j]))
    de0.append(xor(cipher13[15], table[j]))
    de0.append(xor(cipher14[15], table[j]))
    de0.append(xor(cipher15[15], table[j]))
    de0.append(xor(cipher16[15], table[j]))
    de0.append(xor(cipher17[15], table[j]))
    de0.append(xor(cipher18[15], table[j]))
    de0.append(xor(cipher19[15], table[j]))
    de0.append(xor(cipher20[15], table[j]))
    de0.append(xor(cipher21[15], table[j]))
    de0.append(xor(cipher22[15], table[j]))
    de0.append(xor(cipher23[15], table[j]))
    de0.append(xor(cipher24[15], table[j]))
    de0.append(xor(cipher25[15], table[j]))
    de0.append(xor(cipher26[15], table[j]))
    de0.append(xor(cipher27[15], table[j]))
    de0.append(xor(cipher28[15], table[j]))
    de0.append(xor(cipher29[15], table[j]))
    de0.append(xor(cipher30[15], table[j]))
    de0.append(xor(cipher31[15], table[j]))
    de0.append(xor(cipher32[15], table[j]))
    de0.append(xor(cipher33[15], table[j]))

for j in de0:
    c[j] = c[j] + 1

for j in range(0, 128):
    if c[j] == 34:
        print(j)