USTC Hackergame 2022 玩耍记录

乱七八糟 , 评论

上周日晚上，偶然看到一个原神玩家群（？）里面有人发了一张图，说是 USTC 的 CTF. 上一次玩 CTF 还是六年前，不过这次一时兴起打算玩玩看。
由于上班比较忙，所以只玩了一天多一点，做了一些简单题。

注册

周日的半夜，在群里看到了一张 CTF 的图，于是兴冲冲地跑去注册，没想到直接吃了闭门羹🌚。

关门了

周一早上八点，准时开干。

Binary

Flag 自动机

题目在这里。
打开之后可以看到一个对话框，鼠标一碰到“狠心夺取”的按钮，它就会跑掉。
拖到 IDA 里反编译，可以看到 sub_401510 函数中存在输出 flag 的代码，但生成 flag 的代码被混淆过，很难看懂。
在这个过程中，看到了出题人给的注释：“Hint: You don’t need to reverst the decryption logis itself.”，那看来是需要看看别的方法。

仔细看下 sub_401510:

其中 2u 的 case 是“放手离开”的触发逻辑，而 1u 是“狠心夺取”。中间的 0x111u 分支需要想办法触发才能拿到 flag. 这个程序加了反动态调试，因此也无法通过打断点的方式来进入这个分支。（当然官方题解也讲了绕过动态调试的方法）。
一番搜索（感谢浩子哥哥），找到了 Windows 的 PostMessageA 函数，通过它可以向指定窗口发送事件消息。
那么创建一个 Windows C++ 项目，运行 PostMessageA(HWND_BROADCAST, 0x111, 3, 114514)，即可让 flag 自动机弹窗并输出 flag.

不过，老司机告诉我可以直接用 Python:

1
2
3
4
5
6
import win32gui
import win32con

hwnd = win32gui.FindWindow("flag 自动机", "flag 自动机")
win32gui.SetForegroundWindow(hwnd)
win32con.SendMessage(hwnd, 0x111, 3, 114514)

OK，这就是我唯一能做的逆向题了。

General

General 就是 misc，是想当年最喜欢做的题目种类。

猫咪问答喵

参加猫咪问答喵，参加喵咪问答谢谢喵。

点进去以后发现是 6 道问答题，答对一半给一个 flag，答对全部给两个。

  1. 中国科学技术大学 NEBULA 战队（USTC NEBULA）是于何时成立的喵？

    Google “USTC NEBULA 成立时间”搜到一条新闻，可以得知成立于 2017 年 3 月。

  2. 2022 年 9 月，中国科学技术大学学生 Linux 用户协会（LUG @ USTC）在科大校内承办了软件自由日活动。除了专注于自由撸猫的主会场之外，还有一些和技术相关的分会场（如闪电演讲 Lightning Talk）。其中在第一个闪电演讲主题里，主讲人于 slides 中展示了一张在 GNOME Wayland 下使用 Wayland 后端会出现显示问题的 KDE 程序截图，请问这个 KDE 程序的名字是什么？

    Google 一番找到了当时的活动记录，看了一眼 slides 感觉是 Dolphin，然鹅并不是它。

    于是去看了 B 站上的视频回放，把这段演讲听了两三遍 🌚。在视频的 2:42:06 处，主讲人念了一个单词，最后 Google 搜索联想告诉我它是 Kdenlive.

  3. 22 年坚持，小 C 仍然使用着一台他从小用到大的 Windows 2000 计算机。那么，在不变更系统配置和程序代码的前提下，Firefox 浏览器能在 Windows 2000 下运行的最后一个大版本号是多少？

    放飞自我，随便 Google，最后发现 12 能用，但是 13 就不能了。所以答案是 12.

  4. 你知道 PwnKit（CVE-2021-4034）喵？据可靠谣传，出题组的某位同学本来想出这样一道类似的题，但是发现 Linux 内核更新之后居然不再允许 argc 为 0 了喵！那么，请找出在 Linux 内核 master 分支（torvalds/linux.git）下，首个变动此行为的 commit 的 hash 吧喵！

    在 torvalds/linux.git 下搜索 CVE-2021-4034，得到 Commit dcd46d897adb70d63e025f175a00a89797d31a43.

  5. 通过监视猫咪在键盘上看似乱踩的故意行为，不出所料发现其秘密连上了一个 ssh 服务器，终端显示 ED25519 key fingerprint is MD5:e4:ff:65:d7:be:5d:c8:44:1d:89:6b:50:f5:50:a0:ce.，你知道猫咪在连接什么域名吗？

    一开始看到这个题我有点蒙。全球那么多域名那么多服务器，怎么知道服务器的 key 是什么？做完上面的题回来看，发现可以直接 Google，看到 Zeek 的文档 用这个 key 做了例子，而目的 IP 是可以直接访问的。

    通过网页标题重新 Google，发现答案是 sdf.org.

  6. 中国科学技术大学可以出校访问国内国际网络从而允许云撸猫的“网络通”定价为 20 元一个月是从哪一天正式实行的？

    一开始查到了一篇介绍收费标准的文章，然而 2011-11-01 不是正确答案。

    看了看以前的题解，这个题是可以爆破的，于是按天对题目进行了爆破，最后得到答案 2003-03-01.

家目录里的秘密

VS Code 里的 flag

把 home 目录下下来，在 .config/Code 里全局搜索 “flag”，就能拿到第一个 flag.

Rclone 里的 flag

rclone 没有用过，不是很熟。不过看了一眼 .bash_history，最后有一行 cat .config/rclone/rclone.conf.
hmm… 提示可以说是非常明显了。

查看 rclone.conf，看到密码是 tqqTq4tmQRDZ0sT_leJr7-WtCiHVXSMrVN49dWELPH1uce-5DPiuDtjBUN3EI38zvewgN5JaZqAirNnLlsQ. 搜索“rclone decrypt password”，找到了一个解密脚本，跑一下拿到 flag.

HeiLang

来自 Heicore 社区的新一代编程语言 HeiLang，基于第三代大蟒蛇语言，但是抛弃了原有的难以理解的 | 运算，升级为了更加先进的语法，用 A[x | y | z] = t 来表示之前复杂的 A[x] = t; A[y] = t; A[z] = t。

没啥好说的，把代码下下来做个字符串替换，然后塞回源代码里，跑一下就能拿到 flag.

旅行照片 2.0

社工题，有点意思，不过做完这道题的第二天，我就把我的个人签名改成了“记得取消 FR24 订阅”。

题目给了这样一张图片，需要从中来挖掘有关信息。

第一题：照片分析

  1. 图片所包含的 EXIF 信息版本是多少？
  2. 拍照使用手机的品牌是什么？
  3. 该图片被拍摄时相机的感光度（ISO）是多少？
  4. 照片拍摄日期是哪一天？
  5. 照片拍摄时是否使用了闪光灯？

题目很明显都与照片的 EXIF 信息有关。而 Mac 自带的查看功能并不能看到全部信息（比如 ISO），所以找了一个 Python EXIF 库来协助完成。

第二题：社工实践

酒店

  1. 请写出拍照人所在地点的邮政编码，格式为 3 至 10 位数字，不含空格或下划线等特殊符号（如 230026、94720）。
  2. 照片窗户上反射出了拍照人的手机。那么这部手机的屏幕分辨率是多少呢？（格式为长 + 字母 x + 宽，如 1920x1080）

仔细看图，体育馆的一楼有一行字，但看不太清，像是 “zozomandie stadium”。于是万能的 Google 搜索纠正告诉我它是 “zozo marine stadium”，也就是千叶海洋球场。那么，根据拍照人的位置，可以推测出拍照人住在附近的酒店，而且与球场只隔一条街。
根据 Google 地图提供的酒店地址（〒261-0021 千葉県千葉市美浜区ひび野２丁目３），我们就能够知道邮编就是“2610021”。

而拍照人的手机，同样是通过 EXIF 信息获得。搜索“xiaomi sm6115”，前面几个搜索结果似乎没有提供很多有价值的信息，但后面的结果告诉我这个手机应该是「Redmi 9T」，或者「Redmi Note 9」. 搜索“红米9T”，可以直接查到它的屏幕分辨率是 2340x1080.

航班

仔细观察，可以发现照片空中（白色云上方中间位置）有一架飞机。你能调查出这架飞机的信息吗？

  1. 起飞机场（IATA 机场编号，如 PEK）
  2. 降落机场（IATA 机场编号，如 HFE）
  3. 航班号（两个大写字母和若干个数字，如 CA1813）

EXIF 信息告诉我这张照片拍摄于 2022 年 5 月 14 日 18:23:35，一开始不太确定手机的时区是否是日本时区（UTC+9），所以通过 2022-05-14 千叶县的日落时间比对了一下，确定拍摄时间所在的时区就是 UTC+9. 那么我们要查的就是那个时刻经过的航班了。
查这种东西我只能想到 FlightRadar24，但免费用户只能查询 7 天内的航班。于是被迫开了 7 天试用，查到了当时那家飞机的航班号（NH683），以及起降机场（HND → HIJ）。

猜数字

看看代码：

1
2
3
4
5
6
var guess = Double.parseDouble(event.asCharacters().getData());

var isLess = guess < this.number - 1e-6 / 2;
var isMore = guess > this.number + 1e-6 / 2;

var isPassed = !isLess && !isMore;

浮点数，不大于也不小于，为什么不来个 NaN 呢？
输入 NaN，拿到 flag. 因为前端输入框限制了只能输入数字和小数点，所以还要构造下请求才能顺利提交。

线路板


题目给了一套PCB 的生产文件，需要找到 PCB 版中的 flag.

下载下来之后，看到里面有 .gbr 文件，虽然是纯文本格式，但它似乎并不能直接读出来。
于是下载了一套 KiCad 工具，用 PCBNew 打开电路板，在啥都不懂的情况下一番鼓捣，最后看到了 Flag 的轮廓，是 flag{8_1ayER_rogeRS_81ind_V1a}.

藏在 PCB 中的 flag

为了它我下了一套 15GB 的 App，用了 10 分钟就删掉了，略微有点离谱 😂

光与影

题目文件在这里，是一个使用 OpenGL 编写的动画。而我们就是需要找到被挡住的 flag.

光与影

下下来以后看到了一堆完全不认识的代码，而经验告诉我核心的渲染逻辑都在 fragment-shader.js 中，而这个 js 里面使用了一种没见过但很像 C 的语言。
翻到文件的最后，在主函数看到了一个 isTerrain 变量，顺着 isTerrain 为 false 的逻辑一路往上看，遇到不懂的地方就改改代码再运行一下看看效果，最后找到了关键代码。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
float sceneSDF(vec3 p, out vec3 pColor) {
    pColor = vec3(1.0, 1.0, 1.0);
    
    vec4 pH = mk_homo(p);
    vec4 pTO = mk_trans(35.0, -5.0, -20.0) * mk_scale(1.5, 1.5, 1.0) * pH;
    
    float t1 = t1SDF(pTO.xyz);
    float t2 = t2SDF((mk_trans(-45.0, 0.0, 0.0) * pTO).xyz);
    float t3 = t3SDF((mk_trans(-80.0, 0.0, 0.0) * pTO).xyz);
    float t4 = t4SDF((mk_trans(-106.0, 0.0, 0.0) * pTO).xyz);
    float t5 = t5SDF(p - vec3(36.0, 10.0, 15.0), vec3(30.0, 5.0, 5.0), 2.0);
    
    float tmin = min(min(min(min(t1, t2), t3), t4), t5);
    return tmin;
}

只要把 t5 从 tmin 的判断中去掉，就能看到 flag: flag{SDF-i3-FuN!}.

虽然改出来了，然而我依然没有看懂这堆代码。官方题解中详细地讲了一下渲染方法的实现，有兴趣的朋友可以去看看。

Web

签到

需要手写识别 2022，但它把识别结果写在 URL 里了。
把 URL http://202.38.93.111:12022/?result=???? 里的 result 改成 2022，拿到 flag.

XCaptcha

题目源代码在这里。
出题人给了一个网页，需要你通过在一秒内算出三个大数加法并提交，来证明你是机器人。

写个自动提交的爬虫吧，网页结构不是很复杂，所以直接用正则即可，不需要判断 DOM.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
sess = requests.Session()
sess.cookies.set("session", "<some_jwt>")
response = sess.request("GET", url)

res = re.findall(r"(\d+)\+(\d+)", response.text)
result = []
for x, y in res:
    result.append(int(x)+int(y))
for k, v in response.cookies.items():
    sess.cookies.set(k, v)

response = sess.request("POST", url, data={
    "captcha1": result[0],
    "captcha2": result[1],
    "captcha3": result[2],
})
print(response.text)

LaTeX 机器人

渲染 LaTeX 图片的脚本在这里。

靠 Google 只会做一半：\input{/flag1} 拿到第一个 flag.
由于构建脚本里关掉了 shell escape，所以其它基于命令执行的方案都会失败，后面卡了很久。

某天晚上，浩哥哥发来了一个页面，讲了如何去在文章里引用包含特殊符号的内容，而里面提到了 \catcode 命令。
\catcode 的常见用法是将某个字符定义成某种宏。而我们通过它就可以将特殊字符视为一个 Catcode 12 的字符，而这类字符是无法参与指令控制的。

最后输入 { \catcode``#=12 \catcode\``_=12 \input{/flag2} } 得到 flag：flag{latex_bec_0_m##es_co__#ol_2a1fd66cfe}.

Flag 的痕迹

题目写明了服务的版本：

（题目 Dokuwiki 版本基于 2022-07-31a “Igor”）

这大概已经算是明示了？去搜一发 CVE，看到了 CVE-2022-3123，通过构造 XSS 即可打开历史记录页面。

构造请求：

1
2
3
4
5
6
7
8
9
10
11
12
POST /doku.php?id=start HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Referer: http://202.38.93.111:15004/doku.php?id=start
Cookie: DokuWiki=57vk0n23v486p8vdjqc15oigpu; DOKU_PREFS=show_changes%23both%23difftype%23sidebyside
Content-Length: 139
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Encoding: gzip,deflate,br
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.5060.114 Safari/537.36
Host: 202.38.93.111:15004
Connection: Keep-alive

difftype=sidebyside'"()%26%25<zzz><ScRiPt%20>alert("1")</ScRiPt>&do=diff&do[diff]=1&id=start&rev2[0]=1&rev2[1]=0&sectok=1

看到历史记录，就可以拿到 flag.

当然以上都是误打误撞。

比赛结束后看到了官方题解，才发现真正的关键是请求参数中的 do=diff，其它的包括 CVE, XSS payload 等等都不重要。

因此只要访问 http://202.38.93.111:15004/doku.php?id=start&do=diff，然后在页面中查看版本变更即可。

微积分计算小练习

XSS 基础练习。

题目给了一个练习页面，以及一个提交练习成绩的后端代码。

练习页面长这样，先 X 一发，发现姓名字段是可以注入的，没有任何限制。
然后再去看后端代码，可以看到它使用 selenium 打开了练习结果页面，但打开结果之前，它把 flag 注入到了当前浏览器的 cookie 中。
那么，直接在练习页面来一发 <img src=# onerror="alert(document.cookie)"> 并将结果提交，就可以看到后端抛出了异常：

1
2
3
4
5
6
7
8
9
- Logining...
 Putting secret flag...
- Now browsing your quiz result...
ERROR <class 'selenium.common.exceptions.UnexpectedAlertPresentException'>
selenium.common.exceptions.UnexpectedAlertPresentException: Alert Text: flag=flag{xS5_1OI_is_N0t_SOHARD_abb4def144}
Message: unexpected alert open: {Alert text : flag=flag{xS5_1OI_is_N0t_SOHARD_abb4def144}}
  (Session info: headless chrome=106.0.5249.119)
Stacktrace:
...

后来看了官方题解，他们给的 payload 是把 cookie 放到了名字的 DOM 中，这样看起来似乎更优雅一些。

Math

我的数学是真的很垃圾，所以只能做出一道半…

蒙特卡罗轮盘赌

好家伙，头一次见到随机数种子碰撞的题。

题目描述见这里。

看了下代码，主要逻辑是使用 (unsigned)time(0) + clock() 初始化随机数种子，并根据实验计算出 π 的值。而我们如果要答对题，就需要找到或猜到服务运行时所用的种子。
那么我的思路主要靠猜：通过大量收集服务端给出的结果，并对其进行爆破算出每组数据实际使用的 clock()，统计出 clock() 的大致范围，然后用一个固定 clock 去随机碰撞答案。

题目的服务限制了连接频率，每个用户 10 秒钟只能建立一个连接。收集程序跑了一中午拿了两百多组数据，而我的 NAS 平均一分半才能算碰撞出一组结果。算了大概半个小时，发现 clock() 的值大多落在 700-900 之间。
于是简单写了个脚本，用 800 作为 clock 的值开始蒙，没想到只用了一分半就蒙出来了！然而更让我没想到的，是我在撞完之后没有把服务端的所有输出都打出来就退出了，这导致我只拿到了结果，但没拿到 flag，直接哭死。

改了一下代码，使用了 interactive() 保证所有输出都被打印，重新开蒙。这次蒙了将近 70 分钟才蒙到。

最后看了题解，发现完全不需要碰撞，只需要先拿两组算出种子，然后提交三个正确答案即可。
果然还是绕了远路 🌚

企鹅拼盘

嗯，这个题真的很可爱。

我的数学实在是太差，所以解法正如题目描述那样“大力出奇迹”。
为了优化遍历速度，还用 Go 重写了代码，并对模拟算法做了常数级别的优化，就差加个 channel 搞并行了。想看爆破代码的可以戳这里。

各位还是移步官方题解好啦。

后续

周六比赛结束后，官方发了题解，于是去看了下想做但没思路的《安全的在线测评》和《杯窗鹅影》，又涨了不少姿势。

太久没玩 CTF 了，本来基础就不够好，好多解题思路就只能靠 Google。周一玩了大半天，晚上靠着手速冲到了 58 名，虽然最后掉到了 134 名，不过还是蛮有成就感的。
听浩子哥哥说，这几年的 CTF 的题基本都是赛棍特供，没想到 USTC 的大佬们能够设计出这么精彩的题目，在此感谢各位出题的同学。

最后放两张图留个纪念吧，希望明年这个时候我还能记得 hackergame 2023.


David DaiBackend Developer

小孩子。