WHCTF-2017-Router题目分析与解题教程

1. 题目概述

WHCTF-2017-Router是一道结合逆向工程和Web安全的CTF题目，主要考察以下知识点：

• Go语言二进制文件的逆向分析
• IDA Pro符号表恢复技术
• 配置文件分析
• 后门功能利用

题目提供一个路由器管理程序(Router文件)和一个Web登录界面，需要通过逆向分析找到登录凭证并发现隐藏的后门功能。

2. 初步分析

2.1 文件执行测试

• 在Linux环境下执行Router程序，会生成一个settings.config文件
• 该配置文件无法直接读取
• Web界面存在export.php页面，访问后同样会下载无法直接读取的settings.config

2.2 文件类型识别

使用binwalk分析可知这是一个Go语言开发的程序：

binwalk Router

3. Go语言逆向分析

3.1 恢复符号表

Go语言编译的程序在逆向时需要恢复符号表以便分析：

1. 使用IDAGolangHelper脚本恢复符号表：

   • 项目地址：https://github.com/sibears/IDAGolangHelper/

2. IDA Pro 7.0兼容性问题解决：

   • 修改GO_Utils/__init__.py文件第16行：

     # 原代码
     self.bt_obj = Utils.get_bitness(ida_ida.inf_get_min_ea())
     
     # 修改为
     self.bt_obj = Utils.get_bitness(idc.BeginEA())
     

3.2 关键字符串分析

在IDA中搜索"config"相关字符串，找到配置文件加载完成后的提示字符串，定位到关键函数地址：0x4013BD

4. 动态调试分析

4.1 GDB调试设置

使用GDB配合peda插件进行调试：

gdb Router
break *0x4013BD
run

4.2 获取登录凭证

在断点处查看栈信息，可以找到用户名和密码：

• 用户名和密码存储在栈中
• 可用于Web界面登录测试

5. 后门功能分析

5.1 逆向发现后门

IDA逆向分析发现关键函数：main_Backdoor

5.2 功能验证

• Web登录后存在某些功能页面
• 这些页面POST了command参数
• 结合逆向发现的backdoor函数，可以实现命令执行

6. 解题步骤总结

1. 初步分析：

   • 执行程序观察行为
   • 使用binwalk识别文件类型

2. 逆向准备：

   • 安装IDAGolangHelper
   • 解决IDA 7.0兼容性问题
   • 恢复符号表

3. 关键定位：

   • 搜索"config"字符串
   • 定位到配置文件处理函数(0x4013BD)

4. 动态调试：

   • 使用GDB在关键地址下断点
   • 获取栈中的用户名和密码

5. 后门利用：

   • 逆向发现backdoor函数
   • 通过Web界面POST command参数实现命令执行

7. 技术要点总结

1. Go逆向技巧：

   • 符号表恢复是Go逆向的关键
   • IDAGolangHelper是常用工具

2. 调试技巧：

   • 静态分析与动态调试结合
   • 关键字符串定位函数入口

3. Web与二进制结合：

   • 理解二进制程序与Web界面的交互
   • 通过逆向发现隐藏功能点

8. 扩展学习

1. Go逆向进阶：

   • 学习Go语言特有的调用约定
   • 掌握更多Go逆向工具如golang_loader_assist

2. CTF技巧：

   • 配置文件格式分析技巧
   • 后门功能识别方法

3. 防御视角：

   • 如何防止敏感信息硬编码
   • 后门功能的检测方法

通过这道题目，可以全面锻炼逆向工程和Web安全的综合能力，特别是Go语言程序的逆向分析技术。