2025软件系统安全攻防半决赛Writeup解析与教学文档

1. 赛事概述

2025年软件系统安全攻防半决赛包含多个方向的挑战，主要涉及Pwn修补、Misc取证和Web安全等领域。本教学文档将详细解析比赛中的各个题目，提供完整的技术解决方案。

2. Pwn修补题目解析

2.1 Pwn Patch与EvilPatch工具通防

关键点：

• 题目要求使用patch或evilpatch工具进行防御
• 赛后交流得知直接删除flag就能成功patch

解决方案：

1. 分析二进制文件中的漏洞点
2. 使用patch工具修改二进制代码
3. 最简单的防御方法是直接删除flag相关代码段
4. 使用evilpatch工具可以更精细地控制修补过程

3. Misc取证题目解析

3.1 取证1 - 证书模板与序列号查找

解题步骤：

1. 镜像挂载：

   • 使用取证工具挂载提供的磁盘镜像
   • 推荐工具：FTK Imager、Autopsy或取证专用Linux发行版

2. 文件搜索：

   • 搜索与证书相关的文件
   • 发现关键文件：hack-CA.ebp

3. 使用专用工具分析：

   • 使用主办方提供的工具打开hack-CA.ebp文件
   • 在文件中找到三个证书模板名称

4. 序列号查找：

   • 继续搜索其他文件
   • 找到多个可能的序列号
   • 通过排列组合尝试提交正确组合

3.2 取证2 - 恶意文件查找

解题步骤：

1. 日志分析：

   • 定位到system32目录下的winevt日志
   • 重点分析Windows Defender日志

2. 恶意程序识别：

   • 在日志中查找被标记为恶意的程序记录
   • 提交找到的可疑程序名称

3.3 取证3 - 用户密码提取

解题步骤：

1. 用户目录分析：

   • 检查E:\C___NONAME [NTFS] root]\Users\john\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine
   • 发现john用户的明文密码

2. IP地址查找：

   • 分析系统日志
   • 找到两个IP地址：192.168.17.128和192.168.17.1

3.4 取证4 - 用户与密码综合取证

解题步骤：

1. 日志分析：

   • 拷贝system32下的日志到分析环境
   • 路径：C:\Users\Anonymous\Desktop\Logs\Security.evtx
   • 使用日志分析工具检查安全事件

2. 用户发现：

   • 发现用户和组：maintainer-james

3. 密码破解：

   • 从system32目录获取ntds.dit文件
   • 提取用户hash
   • 使用hashcat等工具爆破明文密码
   • 最终密码：maintainer-james-3011liverpool!

3.5 取证5 - 5G消息TLS解密

解题步骤：

1. 数据包分析工具选择：

   • 初始尝试使用科来分析，但无法解析IPv6数据包
   • 改用Wireshark成功捕获

2. 关键信息发现：

   • 在SIP协议数据中发现提示信息
   • 找到sslkeylog相关内容

3. SSL解密：

   • 提取三个sslkeylog文件
   • 在Wireshark中配置SSL解密
   • 路径：编辑→首选项→Protocols→TLS→(Pre)-Master-Secret log filename

4. 数据流分析：

   • 解密后分析HTTP流
   • 发现两个HTTP数据流
   • 其中一个包含图片，导出数据流即可获得flag图片

4. Web题目解析

关键点：

• 题目涉及Web应用安全
• 修补方案：直接删除flag相关代码即可通过
• 更专业的修补应包括输入验证、输出编码等安全措施

5. 技术要点总结

5.1 取证分析关键技术

1. 日志分析：

   • Windows事件日志位置：%SystemRoot%\System32\Winevt\Logs\
   • 重点关注Security.evtx、System.evtx和Application.evtx

2. 密码提取：

   • 常见位置：PowerShell历史、浏览器保存密码、配置文件
   • 工具：mimikatz、hashcat、John the Ripper

3. 证书分析：

   • 证书模板信息通常存储在CA数据库或注册表中
   • 序列号可能出现在多个位置，需要综合查找

5.2 网络取证关键技术

1. TLS解密：

   • 需要SSL key log文件
   • Wireshark配置解密路径
   • 对于5G等新型协议，注意协议特殊性

2. 数据流重组：

   • 使用Wireshark的"Follow TCP Stream"功能
   • 对于HTTP对象，可直接导出

5.3 二进制修补技术

1. 基本修补方法：

   • 直接修改二进制代码
   • 使用patch工具自动化过程

2. 高级修补：

   • 使用evilpatch进行更复杂的修改
   • 考虑补丁的稳定性和兼容性

6. 工具清单

1. 取证工具：

   • FTK Imager
   • Autopsy
   • Wireshark
   • LogParser
   • ELK Stack (用于日志分析)

2. 密码破解：

   • hashcat
   • John the Ripper
   • mimikatz

3. 二进制分析：

   • IDA Pro
   • Ghidra
   • Binary Ninja
   • patch/evilpatch工具

7. 防御建议

1. 日志安全：

   • 确保关键日志完整性和不可篡改性
   • 定期备份重要日志

2. 密码安全：

   • 避免明文存储密码
   • 使用强密码策略
   • 定期更换密码

3. 证书管理：

   • 严格控制证书模板权限
   • 定期审计证书颁发记录

4. 二进制安全：

   • 实施代码签名
   • 进行完整性校验
   • 使用防篡改机制

本教学文档涵盖了2025年软件系统安全攻防半决赛的主要技术点和解决方案，可作为类似CTF比赛和实际安全工作的参考指南。