先把 攻防世界的安卓题目刷刷，，，再去刷一些pwn题目。，
发现自己刷的也不多
估计剩下的都比较难 >=<
app3
这个题目算是比较好看的
就一个坑点，
题目中给的文件是 .ab .ab 可以简单的理解成apk 的dump 文件 那么需要我们用 abe.jar的工具 可以分离出 文件，
D:\gugexiazai\android-backup-extractor-master\android-backup-extractor-master>java -jar abe-all.jar unpack app3.ab app.apk
0% 1% 2% 3% 4% 5% 6% 7% 8% 9% 10% 11% 12% 13% 14% 15% 16% 17% 18% 19% 20% 21% 22% 23% 24% 25% 26% 27% 28% 29% 30% 31% 32% 33% 34% 35% 36% 37% 38% 39% 40% 41% 42% 43% 44% 45% 46% 47% 48% 49% 50% 51% 52% 53% 54% 55% 56% 57% 58% 59% 60% 61% 62% 63% 64% 65% 66% 67% 68% 69% 70% 71% 72% 73% 74% 75% 76% 77% 78% 79% 80% 81% 82% 83% 84% 85% 86% 87% 88% 89% 90% 91% 92% 93% 94% 95% 96% 97% 98% 99% 100%
9097216 bytes written to app.apk.
其实分离出的就是一个压缩包 打开发现了两个db 文件 还有 一个apk
试着用工具SQLiteDatabaseBrowserPortable 看db的时候。。 发现要密码
那么我们开始分析apk
发现并没有什么东西，，
这里就发现了 很多的函数逻辑，
不过发现了很多 以前没有见过的 东西
ContentValues 可以简单的理解成一个 存储键值对的数据结构
那么就会发现程序逻辑很清楚了
v0.put("name", "Stranger");
v0.put("password", Integer.valueOf(0x0001e240));
a v1 = new a();
String v2 = v1.a(v0.getAsString("name"), v0.getAsString("password"));
Stranger=v0.getAsString("name")
”123456“= Integer.valueOf(0x0001e240）
那么函数运算 直接用java 粘贴复制就ok
import java.security.MessageDigest;
public class CTF {
public static void main(String[] args){
String v2=c("Stranger","123456");
System.out.println(v2);
String strs=b(new StringBuilder()+v2+a(v2)+"yaphetshan").substring(0, 7);
System.out.println(strs);
}
public static final String a(String arg9) {
String v0_2;
int v0 = 0;
char[] v2 = new char[]{'0', '1', '2', '3', '4', '5', '6', '7', '8', '9', 'a', 'b', 'c', 'd', 'e', 'f'};
try {
byte[] v1 = arg9.getBytes();
MessageDigest v3 = MessageDigest.getInstance("MD5");
v3.update(v1);
byte[] v3_1 = v3.digest();
int v4 = v3_1.length;
char[] v5 = new char[v4 * 2];
int v1_1 = 0;
while(v0 < v4) {
int v6 = v3_1[v0];
int v7 = v1_1 + 1;
v5[v1_1] = v2[v6 >>> 4 & 15];
v1_1 = v7 + 1;
v5[v7] = v2[v6 & 15];
++v0;
}
v0_2 = new String(v5);
}
catch(Exception v0_1) {
v0_2 = null;
}
return v0_2;
}
public static final String b(String arg9) {
String v0_2;
int v0 = 0;
char[] v2 = new char[]{'0', '1', '2', '3', '4', '5', '6', '7', '8', '9', 'a', 'b', 'c', 'd', 'e', 'f'};
try {
byte[] v1 = arg9.getBytes();
MessageDigest v3 = MessageDigest.getInstance("SHA-1");
v3.update(v1);
byte[] v3_1 = v3.digest();
int v4 = v3_1.length;
char[] v5 = new char[v4 * 2];
int v1_1 = 0;
while(v0 < v4) {
int v6 = v3_1[v0];
int v7 = v1_1 + 1;
v5[v1_1] = v2[v6 >>> 4 & 15];
v1_1 = v7 + 1;
v5[v7] = v2[v6 & 15];
++v0;
}
v0_2 = new String(v5);
}
catch(Exception v0_1) {
v0_2 = null;
}
return v0_2;
}
public static String c(String p0,String p1)
{
String v1 = null;
return new StringBuilder()+p0.substring(0, 4)+p1.substring(0, 4);
}
}
成功解出数据库
base64解码一下
easy java
这个题目也不难，，
重点是分析这个题目是想干啥的，
程序前面也就是让 把 flag{} 给分开
然后把中间的字符串 做一下处理 然后和 wigwrkaugala 作比较
中间的字符串 主要是经历了
return p2.a(p1.a(input_cr)); 这个过程
这里两个函数 都是 在表中找到对应的值 然后返回下标
然后在 "abcdefghijklmnopqrstuvwxyz"; 中取出相应坐标的值就可以了
那两个表 也很好找
直接模拟一下 就可以出来， = = 不过 有一个坑 我一开始没有看到 ，， 自闭了10分钟
每次运行完都偏移1，，
下面是脚本程序
#!/user/bin/env python
# -*-coding:utf-8 -*-
from collections import deque
str_table="abcdefghijklmnopqrstuvwxyz"
table1=[8, 25, 17, 23, 7, 22, 1, 16, 6, 9, 21, 0, 15, 5, 10, 18, 2, 24, 4, 11, 3, 14, 19, 12, 20, 13]
table2=[7, 14, 16, 21, 4, 24, 25, 20, 5, 15, 9, 17, 6, 13, 3, 18, 12, 10, 19, 0, 22, 2, 11, 23, 1, 8]
table3=[]
str_cmp = 'wigwrkaugala'
for i in range(2,len(table1)):
table3.append(table1[i])
for i in range(0,2):
table3.append(table1[i])
table1=table3
table3=[]
for i in range(3,len(table2)):
table3.append(table2[i])
for i in range(0,3):
table3.append(table2[i])
table2=table3
table3=[]
print(table1)
print(table2)
flag=""
for i in range(len(str_cmp)):
index=ord(str_cmp[i])-ord('a')
t1=table2[index]
t2=table1[t1]
flag+=str_table[t2]
table3=[]
for j in table1[1:]:
table3.append(j)
#table3.append(table1[1:])
table3.append(table1[0])
#table1=table1[1:].append(table1[0])
table1=table3
str_table=str_table[1:]+str_table[0]
#print(str_table)
#print(table1)
print(flag)
RememberOther
这个题目其实不算难， 只是脑洞有点大，，，
然后发现 分析了一波 发现没有看到什么有用的信息 去找了一下maketext 弹出的页面信息
在 values 里面的strings.xml 里面找到的
然后md5 解密一下，
发现了解密成功 。
但是flag 交上去不对 。
后来看了一下题解 补上了 ANDROID然后提示 拿到了flag
easy so
这题目 其实看一下就知道怎么回事了，，，
就是分析so文件里面的函数
就是 前16位和 后16位置换一下 然后在 两两换位 直接看脚本，，
strcmp="f72c5a36569418a20907b55be5bf95ad"
flags=""
for i in range(0,len(strcmp),2):
flags+=strcmp[i+1]+strcmp[i]
print(flags[16:]+flags[:16])
黑客精神，，
这个题目 有点好玩
java 层没有啥好说的
主要看看so层的情况
主要看n1 n2 n3 函数的情况
然后去看看 n1这个函数
然后发现是读取里面的数据
我们看一下n2
一堆的数据操作 其实不难猜出来 v19 是 input v20 就是上面的字符串 直接写一个脚本就可以
#-*- coding=utf-8 -*-
strcmp="EoPAoY62@ElRD"
strtable="W3_arE_whO_we_ARE"
magic_number=2016
flag=""
for i in range(len(strcmp)):
if i%3==1:
magic_number=(magic_number+5)%16
flag+=chr(ord(strcmp[i])^ord(strtable[magic_number+1]))
if i%3==2:
magic_number=(magic_number+7)%15
flag+=chr(ord(strcmp[i])^ord(strtable[magic_number+2]))
if i%3==0:
magic_number=(magic_number+3)%13
flag+=chr(ord(strcmp[i])^ord(strtable[magic_number+3]))
print(flag)
'''
while ( v15 < v18 )
{
if ( v15 % 3 == 1 )
{
v13 = (v13 + 5) % 16;
v19 = *(&v23 + v13 - 23);
}
else if ( v15 % 3 == 2 )
{
v13 = (v13 + 7) % 15;
v19 = *(&v23 + v13 - 22);
}
else
{
v13 = (v13 + 3) % 13;
v19 = *(&v23 + v13 - 21);
}
v20 = *v17;
++v15;
*(++v17 - 1) = v20 ^ v19;
}
fputs(v16, v5);
}
'''
easy-dex
这个题目有点难度，，
不过这个题目感觉在哪做过，，，
这个题目 看了一些log 信息 应该是让 10s 然后做晃动手机100次，，，
因为我一直都是用夜神模拟 调试，，， 夜神模拟器我的没有晃动按钮 （我没有找到 或许有？）
然后 感觉直接改调转dump 肯定不行 然后打算硬干里面运算的算法
先把 里面的字符串给恢复了一下（没啥用）
#-*- coding=utf-8 -*-
lists=[0x9D888DC6,0x888DC688,0x8AC6889D,0x88C78486,0x84889AC7,0xC78C8599,
0x8D87808F,0x8C8D9084,0x808FC691,0xC69A8C85,0x9A88858A,0xC79A8C9A,0xE9918C8D]
flag=""
for i in lists:
strs=(i).to_bytes(4, 'little')
for j in strs:
flag+=chr(j^0xe9)
print("**************")
print(flag)
lists=[0x9D888DC6,0x888DC688,0x8AC6889D,0x88C78486,0x84889AC7,
0xC78C8599,0x8D87808F,0x8C8D9084,0x808FC691,0xC69A8C85,0x918C8D86]
flag=""
for i in lists:
strs=(i).to_bytes(4, 'little')
for j in strs:
flag+=chr(j^0xe9)
print(flag)
print("**************")
然后就是逆向数据了
然后写出脚本
# -*- coding:utf-8 -*-
import os
import zlib
f=open("dump",'rb').read()
#f=open("dump.txt",'rb').read()
#print f
print(hex(len(f)))
os.system("pause")
length = 0x3CA10
#length = 0x41BE8
data = list(f)
#print hex(len(data))
for j in range(0,90):
if j%10 == 9:
ls = (j/10)
ls_ = (length/10)
start = ls*ls_
end = (ls+1)*ls_
for i in range(start,end):
data[i] = chr(ord(data[i])^j)
if j == 89:
for i in range(end,length):
data[i] = chr(ord(data[i])^89)
result = ''.join(data)
ws=open('s.zip','wb')
ws.write(str(result))
ws.close()
c = zlib.decompress(result)
ff=open('class.dex','wb')
ff.write(c)
ff.close()
fss=open('real.dex','rb').read()
datas=fss
fs=open('ss.zip','wb')
cc = zlib.compress(datas)
fs.write(cc)
fs.close()
cc = zlib.decompress(cc)
with open('sss.dex','wb') as fws:
fws.write(cc)
fws.close()
'''
import idaapi
start_address=0x7004
data_length=0x41BE8 #0x7005#0x41BE8
data=idaapi.get_bytes(start_address, data_length)
fp = open('dump', 'wb')
#print data
fp.write(data)
fp.close()
print "[*] ok"
'''
然后搞出了 dex
然后在ide 里面搜索 发现了这个
I have a male fish and a female fish
分析了一下 这个就是key
twofish 当时我做过一道题目
是关于这个算法的 当时那个题目是有解密函数 但是因为这个算法 让我感觉到很好玩
然后就记得了 试了一下 解密一下
# -*- coding:utf-8 -*-
import base64
import binascii
from twofish import Twofish
T = Twofish(b'I have a male fish and a female ')
s= [-120, 77, -14, -38, 17, 5, -42, 44, -32, 109, 85, 31, 24, -91, -112, -83, 64, -83,
-128, 84, 5, -94, -98, -30, 18, 70, -26, 71, 5, -99, -62, -58, 117, 29, -44, 6, 112, -4,
81, 84, 9, 22, -51, 95, -34, 12, 47, 77]
ss=[3, -91, 61, -29, -87, -21, 101, -57, 27, -19, -27, -10, -61, 15,
-85, 12, -32, -102, 106, 92, -39, 100, -122, 112, 18, -100, -55, 44, 60,
-118, -97, 127, 76, 113, -35, 68, -17, -33, -93, -62, -57, -84, 36, -96, 97, -15, 20, 69]
flag=""
sst= [chr(i&0xff) for i in s]
#flags=binascii.b2a_hex(flag)
#print flags
#print binascii.a2b_hex(flags).decode('hex')
#print flag
#'''
flag=""
sss=""
for i in range(0,16):
sss+=sst[i]
flag+=T.decrypt(sss)
sss=""
for i in range(16,32):
sss+=sst[i]
flag+=T.decrypt(sss)
sss=""
for i in range(32,48):
sss+=sst[i]
flag+=T.decrypt(sss)
#flag+=T.decrypt(x[0:16])
print flag
#print base64.b64encode(flag)
#'''
strs='Ncg`esdvLkLgk$mL=Lgk$mL=Lgk$mL=Lgk$mL=Lgk$mLm'
lsl=""
for i in strs:
lsl+=chr(ord(i)^0x10)
print lsl
交上题目并不对， ，
不知道怎么回事
Illusion
这个题目。。
算是感觉比较好玩的一道题目了 首先看一下java层
就是读取flag 文件里面的数据 和做比较
然后去分析so文件，，，
我有一个好习惯 就是 看so层的时候我一般会先看看load这个函数的代码，。。 我发现了这个
重头戏来了。。。 接下来怎么分析
这里 恐怕就要 撸一下arm 指令了
可以看出 r1 就是我们最后要比较的点，，，
而我写了一个demo 观察了一波1028这个函数
然后发现，
#include<stdio.h>
int sub_1028(unsigned int a1, unsigned int a2)
{
signed int v2; // r12
unsigned int v3; // r3
int v4; // r2
int result; // r0
v2 = a1 ^ a2;
v3 = 1;
v4 = 0;
if ( (a2 & 0x80000000) != 0 )
a2 = -a2;
if ( (a1 & 0x80000000) != 0 )
a1 = -a1;
if ( a1 >= a2 )
{
while ( a2 < 0x10000000 && a2 < a1 )
{
a2 *= 16;
v3 *= 16;
}
while ( a2 < 0x80000000 && a2 < a1 )
{
a2 *= 2;
v3 *= 2;
}
while ( 1 )
{
if ( a1 >= a2 )
{
a1 -= a2;
v4 |= v3;
}
if ( a1 >= a2 >> 1 )
{
a1 -= a2 >> 1;
v4 |= v3 >> 1;
}
if ( a1 >= a2 >> 2 )
{
a1 -= a2 >> 2;
v4 |= v3 >> 2;
}
if ( a1 >= a2 >> 3 )
{
a1 -= a2 >> 3;
v4 |= v3 >> 3;
}
if ( !a1 )
break;
v3 >>= 4;
if ( !v3 )
break;
a2 >>= 4;
}
}
result = v4;
if ( v2 < 0 )
result = -v4;
return result;
}
int main()
{
for(int i=0;i<100;i++)
{
printf("[# %d]: %d\n",i,sub_1028(i,93));
}
return 0;
}
也就是说，，， 这个函数只要大于等于93 就是1 其余是0
那么在结合arm 就可以得出结论。。。
如果大于93 就是 减去 93 否则就直接返回参数一
那么就可以写出脚本 拿到flag。
import string
strcmp="Ku@'G_V9v(yGS"
strtable="(Ljava/lang/String;Ljava/lang/String;)Ljava/lang/String;"
flag=""
strs=string.printable
if __name__ =="__main__":
for i in range(0,len(strcmp)):
for j in strs:
tmp=ord(j)-0x40+ord(strtable[i])
if tmp>=0x5d:
tmp=tmp-0x5d
tmp+=0x20
if tmp==ord(strcmp[i]):
flag+=j
break
print(flag)
人民的名义-抓捕赵德汉1-200
这个题目。。
就是一道水题 只需要解一下 md5 就可以了
Android2.0
swpu 的题目 记得做了 就是简单的so库 函数分析
str1="LN^dl"
str2=[32, 53, 45, 22, 97]
str3="AFBo}"
flag=""
for i in range(4):
flag+=chr(int((ord(str1[i])^0x80)/2))
flag+=chr(ord(str1[i])^str2[i])
flag+=chr(ord(str3[i])^str2[i])
flag+=str1[4]
flag+=chr(str2[4])
flag+=str3[4]
print(flag)参考链接
