国赛部分复现

MISC

神秘文件

下载解压后是个pptm文件，内容丰富

使用010打开ppt查看

发现为PK开头，属于压缩包文件。复制粘贴ppt，修改副本后缀为.zip并解压

part1

查看属性，发现奇怪字符

QFCfpPQ6ZymuM3gq

根据提示Bifid chipher，为双歧密码解密

使用Bifid Cipher Decode解码

CyberChef

key为：lanjing

再进行base64解码

得到：Part1:flag{e

part2

第二张ppt内有隐藏内容

点击打开后为

再解压后的压缩包中，找到了.docx文件，同理，010查看将此docx文件为压缩包文件。拷贝后，修改为.zip文件

解压打开压缩包，逐个查找里面的网页文件

在document.xml中，发现以下内容

特殊字符：mQPinNS6Xtm1JGJs

根据提示：凯撒加密，偏移量为：10

base64解码

得到：part2:675efb

part3

将vbaProject.bin文件拖进010后，发现一串编码

i13POMdzEAzHfy4dGS+vUA==

base64解码，RC4解码，再次base64解码

得到：PArt3:3-34

part4

第三张ppt，将图片略微移动，能够看到一串编码

手打下来得到：UGFSdDQ6NmYtNDA=

直接解码得到

PaRt4:6f-40

part5

第五张ppt下有备注

Vm1wR1UxRXhXWGhUV0d4WFlrZG9WMWxVUm1GWFJscHlWMjVrVmxKc2NIaFZiVFZQVkd4S2MxSnFVbGRXTTFKUVdWVmtVMDVyTVVWaGVqQTk=

根据提示，多轮base解码

得到：pArt5:5f-90d

part6

第五张ppt缩小一定比例后，能看到一串编码

或者在压缩包的media文件夹里面，能够更直观的看到编码

UGFyVDY6ZC0y

解码得到：ParT6:d-2

part7

第四张ppt，选择窗口后

看到一串编码：HRSFIQp9ZwWvZj==

以及提示：ROT13(All)

ROT13解码，以及base64解码

得到：PART7=22b3

part8

点击视图，查看ppt母版

似乎有隐藏内容，修改背景颜色，看见所有内容

c1GFSbd3Dg6BODbdl

去掉Bb13后解 base64

cGFSdDg6ODdl

得到：paRt8:87e

part9

第五张ppt，拖走中间的图片后，发现隐藏了一张图片文件，应该是图片隐写，使用图片隐写功能工具查看

或者

打开压缩包里面的media文件夹，找到解压好的完整图片

看见编码：cGFyVDk6ZGVl

解码

得到：parT9:dee

part10

缩小第四周的ppt，发现备注，是一段对话

逐句查看后，发现是维吉尼亚密码

密文：ZYWJbIYnFhq9

密钥：furry

得到：UEFSdDEwOjl9

base64解码

得到：PARt10:9}

将十部分的内容结合在一起

得到flag：

flag{e675efb3-346f-405f-90dd-222b387edee9}

通风机

下载解压，打开附件

得到一个.mwp文件

上网搜索后，得知

mwp是西门子PLC软件程序文件，一般来说我们可以通过西门子MICRO WIN编程软件打开。nwp格式文件也可能是S7-200编程程序文件，它是Lotus WordPro 97 的Smart Master文件，通过S7-200的编程软件，我们可以直接打开nwp格式的编程文件！

S7-200 SMART软件安装 (siemens.com.cn)

使用010打开.mwp文件，发现缺少文件头

补全文件头：47 4A 4B

保存后使用S7-200打开

符号表的用户定义中，发现一串编码

ZmxhZ3syNDY3Y2UyNi1mZmY5LTQwMDgtOGQ1NS0xN2RmODNlY2JmYzJ9

解码得到flag

flag{2467ce26-fff9-4008-8d55-17df83ecbfc2}

盗版软件

题目描述：在网上下了一个盗版软件就中毒了，他从内存中提取了文件和浏览器，请帮助分析;（flag为flag{md5(网站域名+c2地址)}，例如flag{md5(baidu.com114.114.114.114)}为flag{ac0997de69c84760c943f59d9c7fc3cf}）

下载附件，解压得到

分析 3842.dmp 文件，将后缀名改为 data，使用 gimp 调整参数发现域名

免费开源的图像处理软件GIMP下载安装（Windows)-CSDN博客

发现域名为 winhack.com

直接运行 hacked.exe 生成一个.ss 文件夹，包含一个 loader.exe 和一张图片。

Png 用 stegslove打开，发现红通道有隐写

隐写了一个压缩包，但是有干扰数据，对干扰数据进行清除，编写脚本

import numpy as np
from PIL import Image
import struct

image = Image.open(r"E:\新建文件夹\2024国赛\Day2\Misc--Day2\盗版软件\盗版_047c296e75ae5b4950e2c9fe3c146c24\.ss\output.png")#文件路径

image = image.convert('RGBA')

# 转换图像数据为 numpy 数组
data = np.array(image.getdata(), dtype=np.uint8)

length_bytes = bytearray(data[0:8:2, 0])
data_length = struct.unpack('<I', length_bytes)[0]

extracted_data = bytearray(data[8:8 + (data_length * 2):2, 0])

# 将提取的数据写入文件
with open("1.zip", 'wb') as file:  file.write(extracted_data)

运行脚本，得到压缩包文件

解压获得 .b 文件

放到微步云沙箱分析发现 C2 主机地址

微步在线云沙箱 (threatbook.com)

复现时，环境已过期，故分析失败

CRYPTO

hash

题目描述：题目内容：你能仅仅通过一个Python2.7自带的hash函数的输出，计算出它的原象的sha384哈希值吗？

附件：

hash.py

#!/usr/bin/python2
# Python 2.7 (64-bit version)
from secret import flag
import os, binascii, hashlib
key = os.urandom(7)
print hash(key)
print int(hashlib.sha384(binascii.hexlify(key)).hexdigest(), 16) ^ int(binascii.hexlify(flag), 16)

output.txt

7457312583301101235
13903983817893117249931704406959869971132956255130487015289848690577655239262013033618370827749581909492660806312017

output.txt 的两行数据分别是 hash.py 中的两行输出。

根据源代码逻辑，可以知道首要问题是如何将key 的密文，解密出原文。

第十七届全国大学生信息安全竞赛（初赛）Crypto部分hash题解-CSDN博客

OvO

附件得到task.sage，审计代码。

task.sage

from Crypto.Util.number import *
from secret import flag

nbits = 512
p = getPrime(nbits)
q = getPrime(nbits)
n = p * q
phi = (p-1) * (q-1)
while True:
kk = getPrime(128)
rr = kk + 2
e = 65537 + kk * p + rr * ((p+1) * (q+1)) + 1
if gcd(e, phi) == 1:
break
m = bytes_to_long(flag)
c = pow(m, e, n)

e = e >> 200 << 200
print(f'n = {n}')
print(f'e = {e}')
print(f'c = {c}')

"""
n = 111922722351752356094117957341697336848130397712588425954225300832977768690114834703654895285440684751636198779555891692340301590396539921700125219784729325979197290342352480495970455903120265334661588516182848933843212275742914269686197484648288073599387074325226321407600351615258973610780463417788580083967
e = 37059679294843322451875129178470872595128216054082068877693632035071251762179299783152435312052608685562859680569924924133175684413544051218945466380415013172416093939670064185752780945383069447693745538721548393982857225386614608359109463927663728739248286686902750649766277564516226052064304547032760477638585302695605907950461140971727150383104
c = 14999622534973796113769052025256345914577762432817016713135991450161695032250733213228587506601968633155119211807176051329626895125610484405486794783282214597165875393081405999090879096563311452831794796859427268724737377560053552626220191435015101496941337770496898383092414492348672126813183368337602023823
"""

编写脚本

from Crypto.Util.number import *
n = 111922722351752356094117957341697336848130397712588425954225300832977768690114834703654895285440684751636198779555891692340301590396539921700125219784729325979197290342352480495970455903120265334661588516182848933843212275742914269686197484648288073599387074325226321407600351615258973610780463417788580083967
e = 37059679294843322451875129178470872595128216054082068877693632035071251762179299783152435312052608685562859680569924924133175684413544051218945466380415013172416093939670064185752780945383069447693745538721548393982857225386614608359109463927663728739248286686902750649766277564516226052064304547032760477638585302695605907950461140971727150383104
c = 14999622534973796113769052025256345914577762432817016713135991450161695032250733213228587506601968633155119211807176051329626895125610484405486794783282214597165875393081405999090879096563311452831794796859427268724737377560053552626220191435015101496941337770496898383092414492348672126813183368337602023823
k = e // n - 2
tmp = 65537 + (k+2)*n + (k+2)+1
R.<x> = PolynomialRing(RealField(1024))
f = e*x - (2*(k+1)*x^2 + (k+2)*n + tmp*x)
res = f.roots()

for root in res:
    p_high = int(root[0])

    PR.<x> = PolynomialRing(Zmod(n))

    f1 = x + p_high

    roots = f1.monic().small_roots(X=2^200,beta=0.4)

    if roots:

        p = int(roots[0]) + p_high

        q = n // p

        e = 65537 + k * p + (k+2) * ((p+1) * (q+1)) + 1

        d = inverse(e,(p-1)*(q-1))

        m = pow(c,d,n)

        print(long_to_bytes(int(m)))

使用sagemath打开

运行脚本

得到flag：

flag{b5f771c6-18df-49a9-9d6d-ee7804f5416c}

古典密码

题目：

AnU7NnR4NassOGp3BDJgAGonMaJayTwrBqZ3ODMoMWxgMnFdNqtdMTM9

CyberChef

atbash解码埃特巴什解码

Atbash Cipher

base64解码

得到fa{2b838a-97ad-e9f743lgbb07-ce47-6e02804c}

观察为栅栏密码栅栏加密/解密 - Bugku CTF

使用在线工具，枚举解密

得到flag

flag{b2bb0873-8cae-4977-a6de-0e298f0744c3}

注意：

采用一些其他的在线工具解码后，再复制粘贴到其他在线工具进行base64解码，可能会出错。因为两种相同的字符串格式不同。

zmf7mmi4mzhhltk3ywqtztlmnzqzbgdiyja3lwnlndctnmuwmjgwngn9

ZmF7MmI4MzhhLTk3YWQtZTlmNzQzbGdiYjA3LWNlNDctNmUwMjgwNGN9

建议使用一个解码工具进行解密。