CUMTCTF2017入门赛-Aegis writeup
Basic
签到题 10
根据题目，百度得知，使用本地hosts文件进行域名解析。（虽然用hosts翻过墙，但并不知道原来是这么一回事）
WIN10 hosts目录：C:\Windows\System32\drivers\etc
添加如上字段即可。再刷新DNS即可。
encode 10
题目如图：
分析只可能是jsp混淆或者jjencode/aaencode加密（不确定）。
使用chrome/firefox自带的控制台即可自动解密。
滑稽 20
下载并打开ppt文件。发现ppt只有一页，猜想flag被隐藏在图片背后。
但是ppt无法编辑，尝试启动编辑。发现有密码：
由于ppt格式类似于zip压缩包。更改文件后缀名，得到huaji.zip
在以上路径找到3张图片。分析知image3.png有问题。之后启动16进制文本编辑器。
由此得到密码，但是密码经过Base64加密（有2个等号的特征）。之后解密得真正的密码。
现在ppt可以编辑了，移动最上层的图片。可以发现flag。
Fast 30
进入网页之后发现要在两秒内提交key。
随后在消息头中找到flag,尝试提交后并不是答案。
又发现因为要在2s内提交,故编写python脚本如下,得到flag。
—————————————————————————————————————————————————————-
MISC
LSB 30
由于题目提示了隐写的类型为LSB。故使用Stegsolve工具帮助分析。
由典型文件头，保存以上数据为png文件。
由此得到一个二维码。
扫描该二维码即可得到flag。
视而不见 50
由题目知是一张3D图片。Flag隐藏在图片中。开始尝试用photoshop分析，但是失败了。之后用StegSolve打开,选择Stereogram Solver。
最终找到flag。
鲨鱼的套路 70
用wireshark打开后,根据hint查看TCP流。
找到如下信息。
UEsDBBQAAAgIANeFfErNFL6kGwAAABsAAAAcAAAAaGludF9zb21lIF90aGluZ19pc19mYWtl
LnR4dEvLSUyvTs5IzUuPL87IjC9JzI/PKQUyU/NqAVBLAQI/ABQACQAIANeFfErNFL6kGwAAABsAAAAc
ACQAAAAAAAAAIAAAAAAAAABoaW50X3NvbWUgX3RoaW5nX2lzX2Zha2UudHh0CgAgAAAAAAA
BABgAu7Ux1J+n0gGhDeAnl6fSAaEN4CeXp9IBUEsFBgAAAAABAAEAbgAAAFUAAAAAAA==
分析知是base64加密，对其解码成十六进制得到。
50 4b 03 04 14 00 00 08 08 00 d7 85 7c 4a cd 14 be a4 1b 00 00 00 1b 00 00 00 1c 00 00 00 68 69
6e 74 5f 73 6f 6d 65 20 5f 74 68 69 6e 67 5f 69 73 5f 66 61 6b 65 2e 74 78 74 4b cb 49 4c af 4e ce
48 cd 4b 8f 2f ce c8 8c 2f 49 cc 8f cf 29 05 32 53 f3 6a 01 50 4b 01 02 3f 00 14 00 09 00 08 00 d7 85
7c 4a cd 14 be a4 1b 00 00 00 1b 00 00 00 1c 00 24 00 00 00 00 00 00 00 20 00 00 00 00 00 00 00
68 69 6e 74 5f 73 6f 6d 65 20 5f 74 68 69 6e 67 5f 69 73 5f 66 61 6b 65 2e 74 78 74 0a 00 20 00 00
00 00 00 01 00 18 00 bb b5 31 d4 9f a7 d2 01 a1 0d e0 27 97 a7 d2 01 a1 0d e0 27 97 a7 d2 01 50
4b 05 06 00 00 00 00 01 00 01 00 6e 0。0 00 00 55 00 00 00 00 00
由文件头知是明显的zip压缩包格式。保存为zip格式，尝试打开包。发现有密码。打开16进制文本编辑器。
其中发现存在伪加密,将光标处的9改成0保存,打开即得到flag。
easy crypto 70
打开文件后发现两个txt。
两个都打开后,发现morse.txt中明显是摩斯电码。随后解码如图。
Key is vigenerecipher意为维吉尼亚,即知道flag是维吉尼亚密码加密。
解密便得到flag。
学姐真美 120
开始并没有什么思路，之后放出hint ：图片中存在另外一张png图片。随后打开16进制文本编辑器。
发现在图片最后，即0xffd9之后，出现了典型的png文件头格式（被修改了部分）。
搜索资料得知（上图为正确的png格式文件头）。
由此将0xffd9之后的数据分离出来。修改部分文件头，得到一个png图片。
发现是一个不完整的图片，猜测是二维码。根据提示，再次对照png文件头，可能是认为修改了图片长宽导致显示不正确。
再次查找资料，手动修改文件头。0x10开头为宽和高，因为是二维码，改成相同即可。
扫码即可得pass。
—————————————————————————————————————————————————————-
WEB
源代码 10
查看源代码最后一行,把文字删除即是flag。
请多多“包含”！ 100
打开后发现file=page,明显的文件包含题。
查看想要看的代码file=php://filter/read=convert.base64-encode/resource=index.php
注解：
1.php://filter/可用于处理打开的数据流，起到过滤作用。如果源文件为.php则很有可能在前台显示不出来。
2.此时我们采用的方法是，先让文件转化为base64格式（convert.base64-encode）然后再输出，这样不论是什么格式的文件都可以在前台输出。
输入后将Base64解码得到flag.
世界上最好的语言 100
php代码审计
要使输入的hash与key的md5解码相同,且存在unserialize反序列化,根据类构造实例。
但因为要绕过__wakeup(),所以百度后可知将
O:4:”Cumt”:1:{s:3:”key”;s:8:”flag.php”;}
改成：
O:4:”Cumt”:2:{s:3:”key”;s:8:”flag.php”;}
并与hash值一起提交,即可看到flag。
—————————————————————————————————————————————————————-
MOBILE
Gift 10
由于是安卓题，使用androidkiller打开apk文件。但是并不懂smali语言（其实java也不懂）。
无奈下直接利用工具反汇编apk。在包中找到明码flag。
Hide&Seek 100
开始并没有什么头绪，直到给出hint，运用了最基础的图片隐写。便直接分析apk包中的图片。
发现这样两个图片，为logo，纯粹猜测logo_.png有问题（因为打不开）。
用16进制文本编辑器分析，在最后一行出现异常：
尝试以flag{0HY0VFINDM3}进行提交，成功。。。
—————————————————————————————————————————————————————-
Reverse
Easy_CrackMe 50
把程序下载下后，从初次运行可以看出是一个Win32 GUI平台。
拖进IDA中查看，主函数（入口地址）如图：
左侧可以看到很多函数，但看到主函数只调用了DialogBoxParamA一个函数（参数如下）
DialogBoxParamA（创建窗口）{
hInstance是当前应用程序的实例句柄。
lpTemplateName是对话框的资源模板。
hWndParent是父窗口的句柄。
lpDialogFunc是对话框的消息处理函数。
dwInitParam是初始化参数。
}
可知，只有lpDialogFunc是消息处理函数，即输入对话框中的值（消息）只和该函数有关。
跟进DialogFunc，该函数只调用了sub_401080（地址为0x401080处的函数），再次跟进。
第一部分：
首先调用了GetDigItemTextA的API函数（进行输入），注意传参顺序。Mirosoft采用stdcall即标准调用规则。参数由右向左依次push，显然IpString为输入的值（形参），即eax。
而在push eax 之前 由lea指令取String变量的地址，所以String为输入值（实参），
再看变量的定义，可以发现有4个变量，图中表示距离某个基址（ebp）的偏移量，所以：String,var_63,var_62,分别为1，1，2个字节。
之后便是这句：cmp指令，比较前后两个值是否相等（简单理解就是var_63与a是否相等），jnz表示若不相等则跳转道loc_4001135处
不用说，看字符串就直到，incorrect，密码不对。所以var_63=a
第二部分：
显然是push3个参数后调用strcmp函数进行对比，比较长度2字节，这与上面推导的var_62有2字节相同，所以 var_62=5y（不然又会显示incorrect）。
第三部分：
又有明文出现，猜想又是比对。但之后汇编逻辑比较复杂，至此祭出F5神器。
显示了整个该函数的逻辑，其中关键的一句：
显然当所有条件满足的时候，调用messagebox函数（即输出对话框，显示congratulations）。
分析可知即字符串由a,5y,R3versing ,E构成，同时验证上述汇编级别的分析正确性。
对比这两部分。
根据偏移量可以得出 输入字符串由String+var_63+var_62+var_60组合而成，
将这几部分组合起来，即得到了Ea5yR3versing，即为flag。
Ps：不习惯汇编可以直接看F5反编译代码。
KeygenMe 100
运行知，本题为win32控制台程序，相对第一题没有众多apl函数，结构更清晰。
直接F5查看伪C代码，其中重要的逻辑为：
其中sub_4011B9显然是一个类似print的函数，那么第一部分：
先输入值到v9，再把v9经过异或运算后赋值给v13。
i>=3时候i=0就是i%3的运算，
但是v6+i表示的又是什么呢？
参看变量定义，可以知道v6，v7,v8为1个字节，v6+1即v7，v6+2即v8
所以得到：V13[i]=v9[i]^v6[i%3];
第二部分：再次输入一个变量的值。
下面就进行判断，如果v9和v13相等则输出congratulations，flag正确。
即V13[i]=v9[i]^v6[i%3] 和5B,13,49,77,13,5E,7D,13进行对比
所以将Serial转成十进制后，编写脚本（不会python，只能用c++）
为flag的十进制数字，再转成char即得到flag。
MAZE 200
根据下载的文件，打开分析，应该是用C++写的一个程序，找到主函数的入口。
在经过一些初始化后，发现主函数调用了2个重要的函数，于是跟进到f1。
显然该函数，使用rand（）构造随机数，但是是伪随机数，每次生产的table都是一样的，从上述过程来看，hang+=15即代表table中的点往下移动一格，而lie++则表示table中的点往右边移动一格。table的大小为15*15。
第二部分：
接着跟进到f2函数，看起来运算比较复杂。又创建了一个desk，同样是15*15。
其实所有的类似于byte_404530的字节变量都是f1函数中的构造table中的每一个点。
一次循环创建5个点，lie+=5往右边移动5个点；hang+=15则是点往下移动一格。
得到的表如图所示：
之后主要在主函数中进行分析。
可以看到，v11为输入的值，v11+v6为输入的每一个值。
While循环确定的是当每一个值为0x49，即字符1的时候，++lie，即向右移动一格。
当值是0x50的时候，lie+=15，即向下移动一格。
注意看LABEL_9部分：每次处理完输入的值之后，将值赋给v7，而lie是从0开始的，也就是说v7变量表示的是走过的路径：
例如：
2112212112222221112112122111序列表示我输进去的值，而下面从0F开始的值，容易发现，从0F-E0，一共225，即一共走了225步，或者说从desk[0][f]-desk[e][0]。
但其实入口地址还没有呈现，即迷宫的入口在哪里。
其实无论你输进去什么值，程序默认都会打印出走的路径，注意到：
第一部分都会输出00。下面的while循环就是在打印之后的路径，所以，迷宫入口即为desk[0][[0]。
这时候就会发现，为什么一个二维迷宫只有2个方向键控制，因为是从左上角到右下角。
根据给的路径，只需要往下和往右就行了。
由于行列大小不一样，看起来有点奇怪，不是正方形。（0为墙，1为路）。
最后将得到的路径MD5（32位）之后，改成大写即为flag。
—————————————————————————————————————————————————————-
PWN
盲打（笑） 50
根据题目在命令行中进行远程通信nc 202.119.201.199 28888。
然后根据提示进行输入，当长度不够的或长度过长的时候都有提示。
当长度接近的时候慢慢试。。。
最后长度确定后，提示更改最后4个字节，猜想是flag，于是得到flag。
（赛后端口好像挂了，所以没有截图。）
Introductory Chapter 120
这道题给了文件，下载下来，发现是栈溢出，浏览程序，发现只要将eip调用到此处即可：
注意到一下几个步骤，所以buf的位置为rbp-30h，
考虑到push rbp 产生的8个字节，实际要覆盖rip需要38h个字节，首先，为避免栈的不平衡，先输入48个字节的值观察：
其中00007FFD0CF56050为保存的rbp值，00007FFD0CF56058为rip返回值，上图说明想法基本正确。下面考虑如何改变rip。
主要到00000000400716为获取flag的函数，根据小段格式，输入的值应该为：
\x16\x07\x40\x00\x00\x00\x00\x00。
因此试用python写出脚本，即得flag。（第一次成功做出pwn >_<）
—————————————————————————————————————————————————————-
剩下的题都不会做了,总和的writeup:CUMTCTF2017入门赛Writeup
