Misc#

`Computer cleaner`#

检材删掉了（呜呜呜，硬盘要被我塞满了

vmware 打开虚拟机发现 apache2 服务，找到 log，发现 php 得到第一段 flag

直接访问攻击者 ip 得到第二段

log 里面看到对一个文件进行操作，得到第三段 flag

‍

WEB#

`Level 24 Pacman`#

js 被混淆了，不过只看字符串发现几个 base64 加密后的字符串，尝试解密

RE#

`尊嘟假嘟`#

jadx 打开，分析下

1 个 activity 有两种Fragment

21e2cc4e89a61bd9a674ae45c392c34e

一个尊都一个假嘟

看下具体逻辑

按钮和 ImageView 注册了点击事件，还有个自定义 toast，进去看下

发现关键 check，跟进

动态加载 dex

assets 里面发现加密后的 dex

这里其实方法有很多

1.frida hook loadDexFile 通杀动态加载 dex

2.修改 smali，不让 dex 删除

3.分析 so 算法，进行解密

4.内存 dump

一个 base64 算法

接下来分析 check

jni_onload 动态注册，init_array 也没有骚操作

算法挺简单的，标准 rc4

密码是这里的 ZunduJiadu 经过上面的 base64 算法编码的结果

密码不确定，只能爆破了

1
import java.util.Arrays;
2

3
public class Main {
4
    static String str1 = "0.o";
5
    static String str2 = "o.0";
6
    static String str3 = "The length is too large";
7
    public static void main(String[] args) {
8
        zundujiadu zundujiadu = new zundujiadu();
9
        generate("",0);
10
        generate(str3,9);
11
    }
12

13
    public static String generate(String str,int i) {
14
        if (i==12) {
15
            return str;
16
        }
17

18
        System.out.println(zundujiadu.encode(str+str1.toString()));
19
        System.out.println(zundujiadu.encode(str+str2.toString()));
20

21
        generate(str+str1,i+1);
22
        generate(str+str2,i+1);
23
        return str;
24
    }
25
}

获取所有可能的 key，批量解密，得到 flag

‍

`Turtle`#

有个 upx 壳，修复了特征 upx -d 还是脱不下来，只好手脱了，参考upx 手动脱壳及其 UPX 修改的特征.note

经过了两次 rc4，直接解密即可

1
def rc4_decrypt(cipher, key):
2
    S = list(range(256))
3
    j = 0
4
    # KSA
5
    for i in range(256):
6
        j = (j + S[i] + key[i % len(key)]) % 256
7
        S[i], S[j] = S[j], S[i]
8

9
    # PRGA
10
    i = j = 0
11
    plain = []
12
    for byte in cipher:
13
        i = (i + 1) % 256
14
        j = (j + S[i]) % 256
15
        S[i], S[j] = S[j], S[i]
16
        k = S[(S[i] + S[j]) % 256]
17
        plain.append(byte ^ k)
18
    return bytes(plain)
19

20
# 解密Key
21
key1 = b"yekyek"
22
cipher_key = bytes([0xCD, 0x8F, 0x25, 0x3D, 0xE1, 0x51, 0x4A])
23
decrypted_key = rc4_decrypt(cipher_key, key1)
24
print(f"Decrypted Key: {decrypted_key}")
25

26
def rc4_decryp1(cipher, key):
27
    S = list(range(256))
28
    j = 0
29
    # KSA
30
    for i in range(256):
31
        j = (j + S[i] + key[i % len(key)]) % 256
32
        S[i], S[j] = S[j], S[i]
33

34
    # PRGA
35
    i = j = 0
36
    plain = []
37
    for byte in cipher:
38
        i = (i + 1) % 256
39
        j = (j + S[i]) % 256
40
        S[i], S[j] = S[j], S[i]
41
        k = S[(S[i] + S[j]) % 256]
42
        plain.append((byte + k)%256)
43
    return bytes(plain)
44
# 解密Flag
45
cipher_flag = bytes([
46
  0xF8, 0xD5, 0x62, 0xCF, 0x43, 0xBA, 0xC2, 0x23, 0x15, 0x4A,
47
  0x51, 0x10, 0x27, 0x10, 0xB1, 0xCF, 0xC4, 0x09, 0xFE, 0xE3,
48
  0x9F, 0x49, 0x87, 0xEA, 0x59, 0xC2, 0x07, 0x3B, 0xA9, 0x11,
49
  0xC1, 0xBC, 0xFD, 0x4B, 0x57, 0xC4, 0x7E, 0xD0, 0xAA, 0x0A
50
])
51
decrypted_flag = rc4_decryp1(cipher_flag, decrypted_key)
52
print(f"Decrypted Flag: {decrypted_flag.decode()}")