TexSaw CTF 2026 Writeup
字数 11244
更新时间 2026-04-02 14:23:38

TexSaw CTF 2026 Writeup 详细解析与教学文档

概述

本文档基于一篇关于TexSaw CTF 2026比赛的详细Writeup，该文档涵盖了MISC、Reverse、Crypto、Web、Pwn等多个类别的题目解析。我们将提取其中的关键技术点、解题思路和方法，形成一份系统性的教学材料，帮助读者深入理解CTF竞赛中的各类题型和解题技巧。

目录

  1. MISC
    1.1 A Different Side Channel
    1.2 Journaling
    1.3 Jurrasic Parse
    1.4 Excellent Neurons
    1.5 Model Heist
    1.6 Secret Word
    1.7 You Snoze You Loze
    1.8 layers
  2. Reverse
    2.1 drawing
    2.2 Ragebait
    2.3 Switcheroo Read
    2.4 Broken Quest
    2.5 not drawing
  3. Crypto
    3.1 Idiosyncratic Fr*nch
    3.2 The Imitation Game
  4. Web
    4.1 Web of Approaches
  5. Pwn
    5.1 Return to Sender
    5.2 Whats the Time?

1. MISC

1.1 A Different Side Channel

题目类型：侧信道分析
核心知识点：CPA（相关功耗分析）
题目文件：

  • plaintexts.npy：500组已知明文，每组16字节
  • traces.npy：500条功耗曲线，每条100个采样点
  • encrypted_flag.bin：加密后的flag（64字节）

解题步骤：

  1. 数据解析：

    • plaintexts.npy.shape = (500, 16)：500次AES加密，每次16字节明文
    • traces.npy.shape = (500, 100)：每条轨迹100个采样点，泄漏点集中
    • encrypted_flag.bin：16字节IV + 48字节密文，疑似AES-CBC模式

  2. 攻击原理：

    • 针对AES第一轮进行CPA攻击
    • 对于第b个字节，已知明文字节P[b]，猜测密钥字节k
    • 计算中间值：Sbox(P[b] ^ k)
    • 采用汉明重量（HW）作为功耗模型：HW(Sbox(P[b] ^ k))

  3. 攻击流程：

    • 对每个字节位置b（0-15）：
      1. 枚举所有可能的密钥字节k（0-255）
      2. 计算500次加密下的预测泄漏序列：L_i = HW(Sbox(P_i[b] ^ k))
      3. 将预测序列L与真实功耗轨迹的每个采样点计算皮尔逊相关系数
      4. 取绝对相关系数最大的k作为该字节的密钥猜测

  4. 结果分析：

    • 所有16个字节的相关峰都很高（0.68-0.80）
    • 峰值点严格落在采样点20-35，对应AES16个字节依次处理的时序
    • 恢复的AES-128密钥为：66 dc e1 5f b3 3d ea cb 5c 03 62 f3 0e 95 f5 2e

  5. 最终解密：

    • 使用AES-CBC模式，IV为密文前16字节
    • 解密后得到带有PKCS#7填充的明文，去除填充后得到flag

教学要点：

  • CPA攻击的基本原理和实施步骤
  • 汉明重量功耗模型的实际应用
  • 如何从相关系数峰值判断正确的密钥字节
  • AES-CBC模式的识别和解密流程

1.2 Journaling

题目类型：Windows磁盘取证
核心知识点：NTFS文件系统、MFT、ADS、字符串提取
题目文件：evidence.001（NTFS磁盘镜像）

解题步骤：

  1. 初步分析：

    • 镜像为1GB大小，包含MBR和NTFS分区
    • 题目提示“足够的信息可以判断flag片段顺序”

  2. 关键信息提取：

    • 使用strings命令搜索Unicode字符串，发现flagsegment相关残留：
      • flagsegment_unc0v3rs.txt
      • flagsegment_4lter3d
      • 其他相关文件名
    • 发现notetoself.txt与flagsegment_unc0v3rs.txt关联
    • 发现gsegment_4lter3d可能是flagsegment_4lter3d的截断

  3. 顺序确定：

    • 在tasks.txt中发现关键提示：除了已找到的片段外，还有一个“part 5”藏在别处
    • 在tasks.txt:source的ADS（交替数据流）中发现最后一段
    • 五段flag片段确定：
      1. flagsegment_unc0v3rs
      2. flagsegment_4lter3d
      3. 其他直接找到的片段
      4. 从monitor.log相关位置找到的片段
      5. 藏在tasks.txt:source中的片段（由“part 5”指定必须最后）

  4. 片段排序：

    • 根据文件系统日志痕迹和题目提示，唯一合理的排序是：unc0v3rs、4lter3d、其他找到的片段、monitor.log相关片段、tasks.txt:source中的片段
    • 最终组合成完整flag

教学要点：

  • NTFS文件系统的结构特点
  • MFT（主文件表）和文件记录残留
  • ADS（交替数据流）的识别和提取
  • 文件系统日志（USN Journal）在取证中的应用
  • 如何从文件残留信息重建操作序列

1.3 Jurrasic Parse

题目类型：隐写术、APL编程语言逆向
核心知识点：LSB隐写、APL语言理解、图像处理
题目文件：包含隐写信息的PNG图片

解题步骤：

  1. 隐写信息提取：

    • 从RGB三个通道的最低位（LSB）提取数据
    • 按像素顺序将每个像素的R/G/B LSB依次取出
    • 8位一组按MSB first还原成字节
    • 得到一段UTF-8编码的APL代码

  2. APL代码分析：

    • 提取到的APL代码执行图像处理操作
    • 关键操作包括：
      • 转置（⍉）：反转数组轴顺序
      • Rank operator（⍤）：f⍤1⊢Y表示将函数作用于Y的rank-1子数组
      • 旋转（⌽）：X⌽Y默认沿最后一维旋转

  3. 代码转换与执行：

    • 将APL操作转换为Python等价操作：
      1. 读取原图，提取LSB得到APL代码
      2. 将原图转换为3×H×W格式（channels-first）
      3. 模拟APL操作序列：
        • 乘以255取整
        • 转置数组
        • 按rank-1取最小值
        • 翻转数组
        • 重塑形状
        • 沿最后一维旋转42
        • 拉平数组
      4. 使用APL代码中提供的索引（1-based）减1后取值

  4. 最终获取flag：

    • 执行转换后的Python脚本
    • 得到flag：texsaw{Steg0s@urus_Eats_APL1eS}

教学要点：

  • LSB隐写术的提取方法
  • APL编程语言的基本语法和操作
  • 如何将APL代码转换为可执行的Python代码
  • 图像数据的不同表示形式（H×W×3 vs 3×H×W）
  • 隐写术与编程语言逆向的结合

1.4 Excellent Neurons

题目类型：Excel逆向、神经网络逆向
核心知识点：Excel公式分析、简单神经网络结构、值反推
题目文件：challenge.xlsx

解题步骤：

  1. 文件结构分析：

    • 工作簿包含两张表：Challenge和Network
    • Challenge!D8:AG8：输入区，每格填一个字符
    • Challenge!D9:AG9：字符归一化（CODE(char)/127）

  2. 神经网络结构分析：

    • 第一层：输入30维，隐藏层60个神经元
    • 每个神经元只连接一个输入位置
    • 权重只有+1或-1
    • 每个位置对应两个神经元：
      • 一个形如x_i - t
      • 一个形如t - x_i
    • 经过ReLU激活函数

  3. 逆向原理：

    • 该结构实际检查：第i个字符的归一化值是否等于目标值t
    • 如果相等，两项输出均为0
    • 如果不相等，至少有一项大于0
    • 通过分析权重矩阵W1和偏置b1，可提取每个位置的目标归一化值

  4. 目标值提取：

    • 从Network表中提取W1和b1
    • 分析得到每个输入位置的目标归一化值
    • 将归一化值乘以127得到ASCII码

  5. 结果：

    • 前22位对应有效字符，第23-30位为0（空白输入）
    • 恢复的ASCII序列对应flag：texsaw{n3ur4l_r3v3rs3}

教学要点：

  • Excel中神经网络权重的存储和表示
  • 简单神经网络的逆向工程方法
  • 如何从权重矩阵反推目标值
  • 字符编码归一化处理
  • Excel在CTF题目中的创新用法

1.5 Model Heist

题目类型：模型文件分析、HDF5格式
核心知识点：Keras/TensorFlow模型格式、HDF5文件结构、权重分析
题目文件：model.h5

解题步骤：

  1. 文件格式识别：

    • .h5是Keras/TensorFlow的模型保存格式
    • 本质是HDF5文件，包含模型结构、权重和优化器状态

  2. 可疑层发现：

    • 使用h5py打开模型文件
    • 发现可疑层名：secret_layer
    • 该层输出维度为26，与flag长度可能相关

  3. 权重提取与分析：

    • 提取secret_layer的权重
    • 权重形状：(input_dim, 26)
    • 检查第一行权重值：
      • 0.116, 0.101, 0.120, 0.115, 0.097, ...
      • 乘以1000后：116, 101, 120, 115, 97, ...
      • 对应ASCII：t, e, x, s, a, ...

  4. 完整flag提取：

    • 将所有权重值乘以1000并转换为ASCII字符
    • 得到完整flag：texsaw{w3ight5_t3ll_t4l3s}

教学要点：

  • HDF5文件格式的基本结构
  • Keras/TensorFlow模型的存储方式
  • 如何使用h5py库分析模型文件
  • 从模型权重中提取隐藏信息的方法
  • 神经网络模型中隐藏数据的常见位置

1.6 Secret Word

题目类型：Office文档分析、容器格式
核心知识点：OOXML格式、ZIP容器、隐藏文件
题目文件：challenge.docx

解题步骤：

  1. 格式理解：

    • .docx本质是ZIP压缩包容器
    • 包含多个XML文件和其他资源

  2. 解包分析：

    • 将.docx重命名为.zip或使用解压工具直接打开
    • 检查容器内的所有文件
    • 发现可疑文件：secret.txt（不属于正常Word文档结构）

  3. 隐藏内容提取：

    • 打开secret.txt，内容为Base64编码
    • 解码Base64得到flag

  4. 结果：

    • Base64解码后：texsaw{surpr1se!_w0rd_f1les_ar3_z1p_4rchives_60709013771}

教学要点：

  • Office Open XML（OOXML）格式的结构
  • ZIP容器格式的特点
  • 如何在文档容器中隐藏额外文件
  • Base64编码的识别和解码
  • 文档类题目的常见解题思路

1.7 You Snoze You Loze

题目类型：元数据分析、OSINT
核心知识点：EXIF信息提取、时间地点关联、赛事信息查询
题目文件：包含GPS和时间信息的图片

解题步骤：

  1. EXIF信息提取：

    • 从图片中读取EXIF数据
    • 获取拍摄时间：2026-01-24 22:14:12
    • 获取GPS坐标：Daytona International Speedway

  2. 背景信息关联：

    • 地点：Daytona International Speedway是著名赛车场
    • 时间：2026年1月24日对应Rolex 24小时耐力赛
    • 具体时刻：22:14处于比赛的第9小时附近

  3. 赛事情况查询：

    • 查询2026 Rolex 24官方赛程
    • 22:14左右比赛处于黄旗/编队阶段
    • 根据RACER第9小时战报：
      • No. 7曾短暂超过No. 6
      • 黄旗下进站序列中，Penske将两车顺序换回
      • No. 6重新在前，No. 7在后
    • 官方第9小时成绩单显示：#6第一、#7第二

  4. 答案推导：

    • 基于赛事记录，此时排名为6在前，7在后
    • flag格式为两队车号：texsaw{6_7}

教学要点：

  • EXIF元数据的提取和分析
  • GPS坐标与地点的关联
  • 如何利用时间信息关联特定事件
  • 体育赛事记录的查询和验证
  • OSINT（开源情报）在CTF中的应用

1.8 layers

题目类型：多层压缩包、取证分析
核心知识点：多层加密、文件提取、字符串分析
题目文件：多层压缩包

解题步骤：

  1. 第一层分析：

    • 外层压缩包包含多个文件
    • 注意到.DS_Store文件，提示与macOS相关
    • 从layer1.zip开始解压

  2. 第二层解密：

    • 解压得到layer1.dmg（macOS磁盘镜像）
    • 使用binwalk、7-Zip或dmg提取工具分析
    • 提取APFS分区数据
    • 使用strings命令查找密码：
      • 找到密码：I<3MacOS!
    • 使用密码解压layer2.zip

  3. 第三层分析：

    • 解压得到evidence.vhdx（虚拟硬盘文件）
    • 使用strings分析，发现Base64编码数据
    • 解码Base64得到第三层密码：EvidenceIsTheKey
    • 使用密码解压layer3.zip

  4. 最终flag提取：

    • 得到final.img镜像文件
    • 使用strings发现flag.txt引用，但正常挂载不可见
    • 编写Python脚本搜索gzip头并解压： 
      import gzip
with open('final.img', 'rb') as f:
    data = f.read()
start = data.find(b'\x1f\x8b\x08')
if start != -1:
    with gzip.open(io.BytesIO(data[start:]), 'rb') as gz:
        print(gz.read().decode())
    • 输出flag：texsaw{m@try02HkA_d0!12}

教学要点：

  • 多层加密压缩包的处理流程
  • macOS DMG格式的分析和提取
  • 虚拟硬盘文件（VHDX）的分析
  • 如何在二进制文件中搜索特定格式（如gzip）
  • 取证的链式思维：从外层到内层的逐步深入

2. Reverse

2.1 drawing

题目类型：Nintendo Switch可执行文件分析
核心知识点：NRO格式、文件结构、资源提取
题目文件：drawing.nro

解题步骤：

  1. 文件格式识别：

    • .nro是Nintendo Switch homebrew程序常见格式
    • 题目提示"drawing"，暗示程序内可能包含图片资源

  2. 二进制分析：

    • 在二进制文件中搜索JPEG文件头：FF D8 FF
    • 在文件尾部附近找到JPEG起始位置
    • 同时搜索JPEG文件尾：FF D9
    • 确定JPEG数据范围：偏移5931064到5937349

  3. 资源提取：

    • 按偏移量从二进制文件中提取JPEG数据
    • 使用Python脚本： 
      with open('drawing.nro', 'rb') as f:
    f.seek(5931064)
    jpg_data = f.read(5937349-5931064)
with open('extracted.jpg', 'wb') as f:
    f.write(jpg_data)

  4. 验证与结果：

    • 使用file命令验证提取的文件是有效JPEG
    • 图片中包含flag：texsaw{switch96959d49370}

教学要点：

  • Nintendo Switch可执行文件格式特点
  • 如何在二进制文件中嵌入和提取资源文件
  • JPEG文件格式的识别（文件头和文件尾）
  • 资源提取的常见方法和工具

2.2 Ragebait

题目类型：Linux逆向、反调试、跳表分析
核心知识点：ELF分析、FNV哈希、跳表逆向、多分支陷阱
题目文件：64位ELF可执行文件

解题步骤：

  1. 初步分析：

    • 文件为stripped ELF64，无符号表
    • 程序要求输入32字符参数
    • 主函数取前9字符计算FNV-1a 32位哈希
    • 哈希结果对1009取模，进入跳表

  2. 跳表分析：

    • 跳表包含多个分支，多数为陷阱：
      • 直接打印假flag：texsaw{nope_not_here}
      • 打印输入内容伪装成功
      • 直接退出
      • 将输入作为shell命令执行
    • 仅少数分支进行真正校验

  3. 真正校验函数：

    • 函数初始化4个64位变量为0
    • 循环处理整个输入（32字符）：
      • 按i % 4分组，每组8字符
      • 计算：hash[i%4] = hash[i%4] * 131 + input[i]
    • 最终与4个常量比较：
      • 0x0E4C6C8B4B6C
      • 0x0AA1D8B9C1B0
      • 0x0A7D6D8B4B4A
      • 0x0A2D3D6B6B6A

  4. 逆向计算：

    • 哈希公式本质是将8字符视为131进制数
    • 反向计算：input[i] = hash % 131
    • 重复8次恢复每组字符
    • 组合得到flag：texsaw{VVhYd_U_M4k3_mE_s0_4n6ry}

教学要点：

  • stripped二进制文件的逆向技巧
  • FNV-1a哈希算法的原理和逆向
  • 跳表结构的分析和识别
  • 反调试和陷阱的识别方法
  • 进制转换在逆向中的应用

2.3 Switcheroo Read

题目类型：字符串变换逆向
核心知识点：位置交换、字符运算、约束求解
题目文件：ELF可执行文件switcheroo

解题步骤：

  1. 基本要求：

    • 输入长度必须为27字符
    • 输入完整flag（包括texsaw{}）

  2. 变换函数分析：

    • 函数1：循环右移n位
      • 位置映射：new[(i+n)%27] = old[i]
    • 函数2：根据n的奇偶执行不同操作
      • n为偶数：先对若干位置字符+n，再整体旋转n
      • n为奇数：先整体旋转n，再对若干位置字符-n

  3. 变换序列：

    • 程序按顺序调用：5, 6, 13, 3, 24, 10, 7
    • 将变换逆向回原始位置，得到约束条件

  4. 约束求解：

    • 从变换中提取多个位置约束
    • 结合flag格式texsaw{...}确定部分字符
    • 最终确定候选flag：texsaw{pAt1ence!!_W0rKn0w?}

  5. 额外要求：

    • 程序会读取README.txt文件（内容任意）
    • 但文件内容不参与校验，仅需存在

教学要点：

  • 字符串变换算法的逆向
  • 位置映射的数学表示
  • 约束求解在逆向中的应用
  • 多步骤变换的逆向技巧
  • 文件依赖的处理

2.4 Broken Quest

题目类型：游戏逻辑逆向、漏洞利用
核心知识点：状态机、内存比较漏洞、游戏机制逆向
题目文件：ELF程序brokenquest和配套libc.so.6

解题步骤：

  1. 程序逻辑：

    • 维护8个int的状态数组，初始全0
    • 菜单选项对应不同状态变换
    • 目标是通过操作使状态达到特定值

  2. 操作分析：

    • 0: Turn in Quest
    • 1: Reset（全清零）
    • 2: Rotate Pillars（整体右旋1位）
    • 3: Increase Heat（修改两个位置）
    • 4: Move Gold Coins（修改两个位置）
    • 5: Swing Sword
    • 6: Swap Gems
    • 7: Shift Sand Piles
    • 8: Reverse Polarity

  3. 关键漏洞：

    • turn_in()函数中memcmp长度错误
    • 应比较32字节（8个int），实际只比较8字节
    • 只需前两个int为2和6即可通过检查

  4. 漏洞利用：

    • 通过操作序列使状态变为[2,6,?,?,?,?,?,?]
    • 示例序列：4, 2, 3, 3, 7, 0
    • 虽然能turn in，但得到的reward是乱码

  5. 正确解法：

    • 程序中本应检查的目标状态：[2,6,1,8,3,4,5,7]
    • 如果无漏洞，需要达到此状态
    • 即使达到此状态，handle_flag()输出也有损坏
    • 从损坏输出恢复真正flag：texsaw{1t_ju5t_work5_m0r3_l1k3_!t_d0e5nt_w0rk}

教学要点：

  • 状态机游戏的逆向
  • 内存比较漏洞的原理和利用
  • 游戏机制的数学建模
  • 从损坏数据中恢复信息
  • 漏洞利用与预期解法的对比

2.5 not drawing

题目类型：图形程序逆向、OpenGL分析
核心知识点：OpenGL渲染、顶点缓冲区、图形数据提取
题目文件：包含OpenGL渲染的可执行文件

解题步骤：

  1. 程序分析：

    • 程序使用OpenGL渲染
    • 包含顶点和片段着色器
    • 通过glBufferData上传顶点数据（大小0x16650）
    • 每个顶点包含位置(x,y,z)和颜色(r,g,b)，共6个float（24字节）
    • glDrawArrays(GL_TRIANGLES, 0, 0xEEE)绘制三角形

  2. 数据提取：

    • 从顶点缓冲区提取数据
    • 按位置+颜色的格式解析
    • 渲染后屏幕上显示白色文字

  3. 结果：

    • 渲染出的文字包含flag：texsaw{2switch1918402350923}

教学要点：

  • OpenGL渲染管线的理解
  • 顶点缓冲区数据的结构和提取
  • 图形程序逆向的基本方法
  • 如何从渲染数据中提取文本信息
  • 3D图形在CTF题目中的应用

3. Crypto

3.1 Idiosyncratic Fr*nch

题目类型：密码分析、文学密码
核心知识点：单表替换、lipogram、OSINT
题目描述：给出一段密文，需要先解密，再通过OSINT找出原作者

解题步骤：

  1. 密文分析：

    • 密文保留空格、标点和大小写结构
    • 字母被整体替换，类似单表替换密码
    • 分析高频词和重复模式

  2. 解密过程：

    • 通过词频分析和模式匹配逐步还原
    • 发现解密后文本几乎不包含字母'e'
    • 识别为lipogram（避字文）

  3. 文学关联：

    • 最著名的避字'e'作品是《La Disparition》（法文原名）
    • 英文译本名为《A Void》
    • 作者是法国作家Georges Perec
    • 英文译者为Gilbert Adair

  4. OSINT确认：

    • 查询文学资料确认作品信息
    • 根据题目要求"找出原始脚本的作者"
    • 答案为Georges Perec（而非译者Gilbert Adair）

教学要点：

  • 单表替换密码的破解方法
  • Lipogram（避字文）的识别
  • 文学知识与密码分析的结合
  • OSINT在密码题目中的应用
  • 作者与译者的区分

3.2 The Imitation Game

题目类型：多表密码分析、差分分析
核心知识点：维吉尼亚密码、差分分析、已知明文攻击
题目文件：包含两组密文

解题步骤：

  1. 数据特征：

    • 第一组：twhsnz{...} + 长英文样式密文
    • 第二组：brassg{...} + 结构几乎相同的长英文样式密文
    • 两段长正文的单词个数、标点位置、结构高度一致

  2. 攻击前提：

    • 两段密文对应同一明文
    • 使用周期性多表替换（如维吉尼亚密码）
    • 两次加密使用不同密钥或同一密钥不同相位

  3. 差分分析：

    • 去掉空格标点，只保留字母
    • 计算差分：Δi = (c2_i - c1_i) mod 26
    • 差分序列呈现41字母的严格周期
    • 表明密钥流相对差值的周期为41

  4. 密钥恢复：

    • 已知flag格式以texsaw开头
    • 从两段flag密文前缀反推密钥：
      • twhsnz -> texsaw
      • brassg -> texsaw
    • 反推得到密钥片段：askand和indask
    • 组合得到完整密钥短语：askanditshallbegivenyouseekandyeshallfind
    • 长度为41，与差分周期一致

  5. 解密：

    • 使用恢复的密钥解密两段密文
    • 得到相同明文
    • flag：texsaw{luojmfsgmkqltenaemdqlxgtyrfdlzxdmqmxysvdettsxpatcq}

教学要点：

  • 维吉尼亚密码的原理和破解
  • 差分分析在密码分析中的应用
  • 已知明文攻击的实际实施
  • 如何从部分密钥恢复完整密钥
  • 多表密码的周期分析

4. Web

4.1 Web of Approaches

题目类型：Web安全、知识问答
核心信息：文档中仅提及此题目存在于第一关，为知识问答形式，但未提供具体内容和解法。

教学要点：

  • Web类题目在CTF中的常见形式
  • 知识问答类题目的特点
  • 如何准备Web安全相关知识
  • 文档中信息不全时的应对策略

5. Pwn

5.1 Return to Sender

题目类型：栈溢出、ROP
核心知识点：gets漏洞、栈布局、ROP链构造
题目文件：ELF可执行文件

解题步骤：

  1. 漏洞分析：

    • deliver()函数中使用gets()读取输入
    • 缓冲区大小0x20字节
    • 无长度检查，存在栈溢出

  2. 栈布局：

    • 缓冲区：0x20字节
    • 保存的rbp：8字节
    • 返回地址：8字节
    • 覆盖返回地址的偏移：0x20 + 8 = 0x28字节

  3. 后门函数：

    • drive()函数检查参数rdi == 0x48435344
    • 通过则执行system("/bin/sh")

  4. 可用gadget：

    • 程序中存在pop rdi; ret gadget
    • 地址：0x4012a3

  5. 利用链构造：

    • payload结构：
      1. 填充0x28字节
      2. pop rdi; ret地址
      3. 参数值0x48435344
      4. drive()函数地址
    • 可添加ret指令进行栈对齐

  6. 最终利用：

    • 获得shell后读取flag
    • flag：texsaw{sm@sh_st4ck_2_r3turn_to_4nywh3re_y0u_w4nt}

教学要点：

  • gets()函数的危险性
  • 栈溢出漏洞的基本原理
  • ROP链的构造方法
  • 64位系统下的参数传递约定
  • 栈对齐问题及解决方法

5.2 Whats the Time?

题目类型：栈溢出、ROP
核心知识点：缓冲区溢出、ROP利用、系统调用
题目文件：ELF可执行文件

解题步骤：

  1. 漏洞分析：

    • read_user_input()函数存在栈溢出
    • 溢出偏移为68字节

  2. 利用思路：

    • 直接ROP到system@plt
    • 参数使用程序中现成的"/bin/sh"字符串
    • 等待程序回显前0x28字节后发送cat flag.txt

  3. 关键地址：

    • system@plt地址
    • "/bin/sh"字符串地址
    • 可能需要pop rdi; ret gadget

  4. payload构造：

    • 填充68字节
    • 返回地址指向ROP链
    • 调用system("/bin/sh")

  5. 结果：

    • 成功获得shell
    • flag：texsaw{7h4nk_u_f0r_y0ur_71m3}

教学要点：

  • 缓冲区溢出偏移的计算
  • ROP攻击中系统调用的使用
  • 程序中现有字符串的利用
  • 交互式pwn题目的处理
  • 延时和回显的处理策略

总结与教学建议

通用解题策略

  1. 文件识别：首先识别文件类型，使用file、binwalk、strings等工具初步分析
  2. 结构分析：理解文件或程序的整体结构，确定解题方向
  3. 工具选择：根据题目类型选择合适的工具和分析方法
  4. 逐步深入：从外层到内层，从简单到复杂逐步分析
  5. 交叉验证：通过多种方法验证解题结果

技能培养重点

  1. 逆向工程：汇编理解、调试技巧、二进制分析
  2. 密码分析：经典密码识别、统计分析、差分分析
  3. 取证分析：文件系统理解、数据恢复、日志分析
  4. 漏洞利用：漏洞识别、利用链构造、ROP技术
  5. 隐写分析：各种隐写技术的识别和提取

学习资源推荐

  1. CTF学习平台：CTFtime、picoCTF、HackTheBox
  2. 专业工具：Ghidra、IDA Pro、Binary Ninja、Wireshark
  3. 在线课程：Stanford CS253、MIT 6.858、CMU 15-440
  4. 社区资源：CTF Wiki、LiveOverflow视频、各种Writeup集合

实践建议

  1. 从易到难：从基础题目开始，逐步提升难度
  2. 团队协作：参加团队比赛，学习分工合作
  3. 记录总结：详细记录解题过程，撰写自己的Writeup
  4. 复现练习：重现经典题目的解题过程
  5. 技能扩展：不断学习新的工具和技术

通过系统学习上述内容，并结合实际练习，可以逐步掌握CTF竞赛所需的各项技能，提高在网络安全领域的实战能力。

相似文章
相似文章
 全屏