钉钉CTF瞎分析一波~

Breathless

一、说明
钉钉CTF是一个网友昨晚给我的，比较简单，但是思路和AliCTF非常像，所以就放在一起了，一些坛友问工具怎么使用
其实很简单，在这也稍微加下使用说明,自己技术比较菜，全程靠猜~~~~~有什么不对的地方，还请各位师傅指点.

二、钉钉CTF
这一题比较简单，先打开app看下

随便输入

错了，但是有个welcome to flag blank！根据题目意思,尝试什么都不输入

什么？？？？？？居然就对了！！！！！
好了,开始看Ali的吧...............

算啦算啦,还是看看内部怎么实现的这么牛逼的功能的吧

1. protected void onCreate(Bundle arg3) {
   
2.         super.onCreate(arg3);
   
3.         this.setContentView(2130968603);
   
4.         this.text = this.findViewById(2131427416);
   
5.         this.textView1 = this.findViewById(2131427418);
   
6.         this.button = this.findViewById(2131427415);
   
7.         this.button.setOnClickListener(new View$OnClickListener() {
   
8.             public void onClick(View arg4) {
   
9.                 MainActivity.this.c = new CheckClass();
   
10.                 MainActivity.this.c.a(MainActivity.this.text.getText().toString());  //先获取输入的字符串
    
11.                 if(MainActivity.this.c.check()) {  //关键点
    
12.                     MainActivity.this.textView1.setText("flag is XMAN{" + MainActivity.this.text.getText().toString() + "}");   
    
13.                 }
    
14.                 else {
    
15.                     MainActivity.this.textView1.setText("WORING!");
    
16.                 }
    
17.             }
    
18.         });
    
19.     }

复制代码

onCreate方法中,先看MainActivity.this.c.a

1. public void a(String arg5) {
   
2.         int v1 = 30;
   
3.         this.A = new byte[v1];
   
4.         this.B = arg5.getBytes();
   
5.         int v0;
   
6.         for(v0 = 0; v0 < arg5.length(); ++v0) {
   
7.             this.A[v0] = this.B[v0];
   
8.         }
   
9. 
   
10.         this.B = new byte[v1];
    
11.     }

复制代码

获取输入的字符串，再看MainActivity.this.c.check()

1. public boolean check() {
   
2.         boolean v9 = false;
   
3.         int[] v0 = new int[]{40, 42, 65, 67, 68, 2, 64, 70, 96, 98, 181, 7, 10, 64, 23, 17, 37, 20, 45, 91, 74, 72, 135, 33, 57, 43, 87, 99, 147, 53};
   
4.         byte[] v5 = new byte[]{52, 111, 102, 113, 52, 52, 98};
   
5.         int v2 = 0;
   
6.         int v4 = 0;
   
7.         int v7 = 0;
   
8.         int v1;
   
9.         for(v1 = 0; v1 < v0.length; ++v1) {
   
10.             int v8 = this.b(v0[v1]);
    
11.             new String();
    
12.             Log.d("now array:", String.valueOf(v8));
    
13.             switch(v8) {
    
14.                 case 0: {
    
15.                     this.A[v7] = ((byte)(this.A[v7] ^ v7));
    
16.                     break;
    
17.                 }
    
18.                 case 1: {
    
19.                     if(this.A[v4] != 0) {
    
20.                         ++v4;
    
21.                     }
    
22.                     else {
    
23.                     }
    
24. 
    
25.                     break;
    
26.                 }
    
27.                 case 2: {
    
28.                     v5[v4] = ((byte)(v5[v4] ^ v4));
    
29.                     ++v4;
    
30.                     break;
    
31.                 }
    
32.                 case 3: {
    
33.                     if(v5[v7] == this.A[v7]) {
    
34.                         ++v7;
    
35.                     }
    
36.                     else {
    
37.                     }
    
38. 
    
39.                     break;
    
40.                 }
    
41.                 case 4: {
    
42.                     if(v7 == v4) {
    
43.                         v9 = true;
    
44.                     }
    
45. 
    
46.                     return v9;
    
47.                 }
    
48.                 case 5: {
    
49.                     if(v4 != v5.length) {
    
50.                         v1 = v0.length - 3;
    
51.                     }
    
52.                     else {
    
53.                         v4 = 0;
    
54.                     }
    
55. 
    
56.                     break;
    
57.                 }
    
58.                 default: {
    
59.                     ++v2;
    
60.                     break;
    
61.                 }
    
62.             }
    
63.         }
    
64. 
    
65.         return v9;
    
66.     }
    
67. 
    
68. public int b(int arg4) {
    
69.         int v0 = 181 & arg4;
    
70.         return (v0 & 1) + ((v0 & 4) >> 2) + ((v0 & 16) >> 4) + ((v0 & 32) >> 5) + ((v0 & 128) >> 7);
    
71.   }

复制代码

此函数为关键点，看着挺复杂的，只要返回为true即可

1. case 4: {
   
2.                     if(v7 == v4) {
   
3.                         v9 = true;
   
4.                     }
   
5.                     return v9;
   
6.                 }

复制代码

case 4里的判断执行，下面再接着分析v8

[Java] 纯文本查看 复制代码

int v8 = this.b(v0[v1]); 

由于v0是固定的，所以v8也是固定的，那么switch语句就好分析了

1. import java.security.InvalidKeyException;
   
2. import java.security.NoSuchAlgorithmException;
   
3. 
   
4. public class DCtf {
   
5.          private static byte[] A;
   
6.          private static byte[] B;
   
7.         public static void main(String[] args) throws InvalidKeyException, NoSuchAlgorithmException {
   
8.                 a("4");
   
9.                 check();
   
10.           }        
    
11.         
    
12.         public static void a(String arg5) {
    
13.         int v1 = 30;
    
14.         A = new byte[v1];
    
15.         B = arg5.getBytes();
    
16.         int v0;
    
17.         for(v0 = 0; v0 < arg5.length(); ++v0) {
    
18.             A[v0] = B[v0];
    
19.         }
    
20. 
    
21.         B = new byte[v1];
    
22.     }
    
23. 
    
24.     public static int b(int arg4) {
    
25.         int v0 = 181 & arg4;
    
26.         return (v0 & 1) + ((v0 & 4) >> 2) + ((v0 & 16) >> 4) + ((v0 & 32) >> 5) + ((v0 & 128) >> 7);
    
27.     }
    
28. 
    
29.     public static boolean check() {
    
30.         boolean v9 = false;
    
31.         int[] v0 = new int[]{40, 42, 65, 67, 68, 2, 64, 70, 96, 98, 181, 7, 10, 64, 23, 17, 37, 20, 45, 91, 74, 72, 135, 33, 57, 43, 87, 99, 147, 53};
    
32.         byte[] v5 = new byte[]{52, 111, 102, 113, 52, 52, 98};
    
33.         int v2 = 0;
    
34.         int v4 = 0;
    
35.         int v7 = 0;
    
36.         int v1;
    
37.         for(v1 = 0; v1 < v0.length; ++v1) {
    
38.             int v8 = b(v0[v1]);
    
39.             new String();
    
40.             System.out.println("now array:" + String.valueOf(v8));
    
41.             switch(v8) {
    
42.                 case 0: {
    
43.                     A[v7] = ((byte)(A[v7] ^ v7));
    
44.                     break;
    
45.                 }
    
46.                 case 1: {
    
47.                     if(A[v4] != 0) {
    
48.                         ++v4;
    
49.                     }
    
50.                     else {
    
51.                     }
    
52.                     break;
    
53.                 }
    
54.                 case 2: {
    
55.                     v5[v4] = ((byte)(v5[v4] ^ v4));
    
56.                     ++v4;
    
57.                     break;
    
58.                 }
    
59.                 case 3: {
    
60.                     if(v5[v7] == A[v7]) {
    
61.                             System.out.println("v5[v7] "+v5[v7]+"------A[v7] "+A[v7]+" "+v7);
    
62.                         ++v7;
    
63.                     }
    
64.                     else {
    
65.                     }
    
66.                     break;
    
67.                 }
    
68.                 case 4: {
    
69.                     if(v7 == v4) {
    
70.                         v9 = true;
    
71.                     }
    
72.                     System.out.println("v7 "+v7+"------v4 "+v4);
    
73. 
    
74.                     return v9;
    
75.                 }
    
76.                 case 5: {
    
77.                     if(v4 != v5.length) {
    
78.                         v1 = v0.length - 3;
    
79.                     }
    
80.                     else {
    
81.                         v4 = 0;
    
82.                     }
    
83. 
    
84.                     break;
    
85.                 }
    
86.                 default: {
    
87.                     ++v2;
    
88.                     break;
    
89.                 }
    
90.                
    
91.             }
    
92.         }
    
93. 
    
94.         return v9;
    
95.     }
    
96. }

复制代码

运行上面的代码，可以得到v8的值分别是

1. now array:1
   
2. now array:1
   
3. now array:1
   
4. now array:1
   
5. now array:1
   
6. now array:0
   
7. now array:0
   
8. now array:1
   
9. now array:1
   
10. now array:1
    
11. now array:5
    
12. now array:3
    
13. now array:4

复制代码

最后执行的就是case 4，符合我们前面的分析，但是v7 == v4，能影响v7的只有case 3这个分支，看上面v8的值，知道下面的代码只执行了一次

1. case 3: {
   
2.                     if(v5[v7] == this.A[v7]) {
   
3.                         ++v7;
   
4.                     }
   
5.                     else {
   
6.                     }
   
7.                     break;
   
8.                 }

复制代码

所以要想v7 == v4，v7和v4只能为1或者0，0就是什么都不输入，++v7执行之后为1，执行之前v7为就为0，所以A[v7]=52，查找ascall码表结果为4

分析到这，你就认为完了？然后并没有结束、、、、

1. case 5: {
   
2.                                 if (v4 != v5.length) {
   
3.                                         v1 = v0.length - 3;
   
4.                                 } else {
   
5.                                         v4 = 0;
   
6.                                 }
   
7. 
   
8.                                 break;
   
9.                         }

复制代码

上面的分析的是v4 != v5.length结果，如果v4 = v5.length呢，继续往下分析吧，也就是输入的字符串为7位

1. now array:1
   
2. now array:1
   
3. now array:1
   
4. now array:1
   
5. now array:1
   
6. now array:0
   
7. now array:0
   
8. now array:1
   
9. now array:1
   
10. now array:1
    
11. now array:5
    
12. now array:2
    
13. now array:0
    
14. now array:0
    
15. now array:3
    
16. v5[v7] 52------A[v7] 52 v7 0
    
17. now array:2
    
18. now array:3
    
19. now array:2
    
20. now array:3
    
21. now array:2
    
22. now array:0
    
23. now array:0
    
24. now array:3
    
25. now array:2
    
26. now array:3
    
27. now array:2
    
28. now array:3
    
29. now array:2
    
30. now array:3
    
31. now array:4
    
32. v7 1------v4 7

复制代码

控制v7的的case只有一个

1. case 3: {
   
2.                                 if (v5[v7] == A[v7]) {
   
3.                                         System.out.println("v5[v7] " + v5[v7] + "------A[v7] " + A[v7] + " v7 " + v7);
   
4.                                         ++v7;
   
5.                                 } else {
   
6.                                 }
   
7.                                 break;
   
8.                         }

复制代码

根据上面的代码循环，可以慢慢倒推出来结果为4ndr01d，真是一波三折呀。。。

放下分析的代码

1. import java.security.InvalidKeyException;
   
2. import java.security.NoSuchAlgorithmException;
   
3. 
   
4. public class ctf1 {
   
5.         private static byte[] A;
   
6.         private static byte[] B;
   
7. 
   
8.         public static void main(String[] args) throws InvalidKeyException, NoSuchAlgorithmException {
   
9.                 a("4ndr01d");
   
10.                 check();
    
11.         }
    
12. 
    
13.         public static void a(String arg5) {
    
14.                 int v1 = 30;
    
15.                 A = new byte[v1];
    
16.                 B = arg5.getBytes();
    
17.                 int v0;
    
18.                 for (v0 = 0; v0 < arg5.length(); ++v0) {
    
19.                         A[v0] = B[v0];
    
20.                 }
    
21. 
    
22.                 B = new byte[v1];
    
23.         }
    
24. 
    
25.         public static int b(int arg4) {
    
26.                 int v0 = 181 & arg4;
    
27.                 return (v0 & 1) + ((v0 & 4) >> 2) + ((v0 & 16) >> 4) + ((v0 & 32) >> 5) + ((v0 & 128) >> 7);
    
28.         }
    
29. 
    
30.         public static boolean check() {
    
31.                 boolean v9 = false;
    
32.                 int[] v0 = new int[] { 40, 42, 65, 67, 68, 2, 64, 70, 96, 98, 181, 7, 10, 64, 23, 17, 37, 20, 45, 91, 74, 72,
    
33.                                 135, 33, 57, 43, 87, 99, 147, 53 };
    
34.                 byte[] v5 = new byte[] { 52, 111, 102, 113, 52, 52, 98 };
    
35.                 int v2 = 0;
    
36.                 int v4 = 0;
    
37.                 int v7 = 0;
    
38.                 int v1;
    
39.                 for (v1 = 0; v1 < v0.length; ++v1) {
    
40.                         int v8 = b(v0[v1]);
    
41.                         new String();
    
42.                         System.out.println("now array:" + String.valueOf(v8));
    
43.                         switch (v8) {
    
44.                         case 0: {
    
45.                                 A[v7] = ((byte) (A[v7] ^ v7));
    
46.                                 break;
    
47.                         }
    
48.                         case 1: {
    
49.                                 if (A[v4] != 0) {
    
50.                                         ++v4;
    
51.                                 } else {
    
52.                                 }
    
53.                                 break;
    
54.                         }
    
55.                         case 2: {
    
56.                                 v5[v4] = ((byte) (v5[v4] ^ v4));
    
57.                                 ++v4;
    
58.                                 break;
    
59.                         }
    
60.                         case 3: {
    
61.                                 if (v5[v7] == A[v7]) {
    
62.                                         System.out.println("v5[v7] " + v5[v7] + "------A[v7] " + A[v7] + " v7 " + v7);
    
63.                                         ++v7;
    
64.                                 } else {
    
65.                                 }
    
66.                                 break;
    
67.                         }
    
68.                         case 4: {
    
69.                                 if (v7 == v4) {
    
70.                                         v9 = true;
    
71.                                 }
    
72.                                 System.out.println("v7 " + v7 + "------v4 " + v4);
    
73.                                 return v9;
    
74.                         }
    
75.                         case 5: {
    
76.                                 if (v4 != v5.length) {
    
77.                                         v1 = v0.length - 3;
    
78.                                 } else {
    
79.                                         v4 = 0;
    
80.                                 }
    
81. 
    
82.                                 break;
    
83.                         }
    
84.                         default: {
    
85.                                 ++v2;
    
86.                                 break;
    
87.                         }
    
88. 
    
89.                         }
    
90.                 }
    
91. 
    
92.                 return v9;
    
93.         }
    
94. }

复制代码

wannxy

感谢分享
谁有CTF移动比较多的网站 私聊我下呗

刹那的菜鸟

什么鬼？  这是做什么用

aib

感谢分享

Bszk

没看懂的举个爪子表示我们存在过。。