搜索

[17497] 2017-11-27_DEFCON25杂谈——一场CTF奇幻之旅

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2017-11-27_DEFCON25杂谈——一场CTF奇幻之旅 D E F C O N 2 5   杂 谈 — — 一 场   C T F   奇 幻 之 旅 原 创   s e a b r e e z e @ 0 o p s   G e e k P w n   2 0 1 7 - 1 1 - 2 7 “ W h a t   h a p p e n s   i n   V e g a s ， s t a y s   i n   V e g a s . ” 大 家 好 ， 我 是 来 自 上 海 交 大   0 o p s   战 队 现 任 队 长   s e a b r e e z e 。 今 天 给 大 家 带 来 关 于 我 们 参 加 美 国 拉 斯 维 加 斯 举 办 的   D E F C O N 2 5 C T F   的 一 些 分 享 。 黑 客 盛 宴 黑 客 盛 宴 首 先 简 单 介 绍 一 下   D E F C O N 2 5   C T F ， 它 是 跨 度 比 较 大 的 比 赛 。 D E F C O N 2 5   本 身 有 预 赛 ， 就 是 解 题 模 式 解 题 模 式 获 得 决 赛 的 资 格 ， 决 赛 每 年 在 拉 斯 维 加 斯 举 办 ， 是 攻 防 模 式 。
今 年 的   D E F C O N 2 5   C T F   规 则 和 通 常 的   C T F   规 则 基 本 相 同 ， 但 是 有 一 些 不 同 的 地 方 ， 比 如 选 手 可 以 直 接 获 取 其 他 队 伍 的 p a t c h ， 你 可 以 知 道 这 个 队 伍 怎 么 修 补 漏 洞 ， 然 后 修 改 你 的   p a t c h ， 这 使 比 赛 的 场 景 更 加 多 变 ， 更 加 复 杂 化 ， 它 也 带 来 一 些 其 它 的 影 响 。 然 后 还 有 一 个 就 是   f l a g   是 存 在 于 程 序 运 行 时 的 内 存 中 ， 一 般 来 说 二 进 制 题 目 的   f l a g ， 存 在 一 个 文 件 里 面 ， 你 要 通 过 读 取 文 件 来 获 取 。 这 次 比 赛 的   f l a g   都 是 直 接 读 到 内 存 中 ， 一 般 用 一 个 任 意 地 址 读 获 取 ， 你 攻 击 的 时 候 就 没 有 必 要 获 取 服 务 器 的 权 限 ， 这 个 比 赛 主 办 方 不 会 让 你 获 取 服 务 器 权 限 。 这 样 的 话 可 以 避 免 很 多 黑 科 技 。 这 样 的 话 可 以 避 免 很 多 黑 科 技 。 今 年 最 大 的 不 同 就 是   D E F C O N 2 5   C T F   使 用 全 新 架 构 ， 接 下 来 我 会 介 绍 一 下 ， 它 是 专 门 为 这 次 比 赛 设 计 的 。 被 当 做 被 当 做 4 8   小 时 的 一 天 小 时 的 一 天 首 先 介 绍 一 下 这 个 名 为   c L E M E N C y   为 C T F 而 设 计 的 架 构 ， 指 的 是 设 计 的 既 不 是 大 端 ， 也 不 是 小 端 ， 是 一 个 中 端 的 计 算 机 架 构 。   它 这 里   B Y T E   是   9 b i t ， 很 多 的 工 具 都 会 失 去 作 用 ， 一 般 来 说 一 个   I N T 4   个 字 节 ， 而 它 这 个 架 构 里 面 一 个   I N T   是   2 7 b i t   的 数 ， 也 就 是   3   个   9 - b i t   字 节 。 一 般 的 常 规 工 具 ， 它 都 是 处 理   8 - b i t   字 节 的 ， 这 样 的 话 这 场   C T F   比 赛 中 所 有 的 基 本 数 据 解 析 ， 常 规 工 具 来 做 是 错 的 。  
还 有 一 个 就 是 中 端 ， 这 里 有 一 个 图 来 说 明 ， 比 如 说 一 个   3   字 节 的   i n t   从 高 到 低 是   1 1 2 2 3 3 ， 然 后 内 存 里 面 是   2 2 1 1 3 3 ， 先 放 在 前 面 是 中 间 两 位 再 是 高 的 两 位 最 后 是 低 的 两 位 ， 这 个 是 它 中 端 表 示 下 的 内 存 ， 这 样 的 话 ， 它 加 大 了 攻 击 难 度 。 有 一 种 很 常 见 攻 击 ， 指 针 部 分 覆 盖 ， 比 如 说 你 只 能 覆 盖 指 针 的 第 一 个 字 节 ， 就 可 以 把 它 改 到 一 个 相 近 的 地 址 上 ， 而 在 这 里 的 话 ， 它 是 中 端 ， 你 改 第 一 个 字 节 只 能 改 掉 中 间 的   b y t e ， 改 的 很 大 ， 像 这 样 的 攻 击 很 难 实 现 ， 其 它 的 影 响 还 有 很 多 。   其 它 各 种 基 本 特 性 ， 都 是 与 常 规 架 构 不 同 的 ， 所 以 它 和 我 们 的 常 识 是 相 矛 盾 的 。 它 的 各 种 指 令 设 计 和   A R M   架 构 是 比 较 类 似 的 ， 比 如 说 它 是 支 持 栈 的 双 向 增 加 ， 可 以 递 增 也 可 以 递 减 。 因 为 这 个 架 构 的 文 档 是 在 比 赛 前 一 天 公 布 的 ， 在 比 赛 前 一 天 我 们 根 本 不 知 道 给 的 的 架 构 什 么 样 ， 需 要 在 一 天 之 内 实 现 工 具 。 它 会 提 供 一 个 调 试 器 ， 会 提 供 一 个 反 汇 编 器 ， 还 会 提 供 一 个 模 拟 器 ， 其 它 很 多 工 具 都 没 有 ， 比 如 说 汇 编 器 没 有 提 供 ， 还 有 交 互 用 的 库 都 要 重 新 写 ， 因 为 一 般 用 的 库 肯 定 都 是 处 理   8   比 特 字 节 。   所 以 这 些 都 是 你 需 要 对 代 码 进 行 修 改 的 ， 修 改 已 有 的 工 具 或 者 重 建 自 己 新 的 工 具 ， 都 是 一 天 完 成 ， 这 个 对 选 手 的 开 发 水 平 也 是 极 大 的 挑 战 。 百 分 之 百 兴 趣 取 向 百 分 之 百 兴 趣 取 向 这 个 是 程 序 运 行 的 布 局 ， 我 们 可 以 看 到 它 最 低 的 地 址 空 间 是 程 序 的 一 个 空 间 ， 然 后 往 后 这 些 ， 它 会 直 接 放 到 这 个 地 址 ， 然 后 后 面 还 有 一 些 东 西 。
因 为 它 这 个 架 构 它 只 是 创 造 了 新 的 架 构 没 有 创 造 新 的 操 作 系 统 ， 也 就 是 说 没 有   s y s c a l l   指 令 ， 必 须 通 过 自 己 实 现 指 令 实 现 各 种 必 须 的 操 作 。 比 如 你 要 发 送 一 些 数 据 ， 比 如 发 送 到 标 准 输 出 ， 你 要 把 你 打 印 的 数 据 放 在 这 个 区 域 ， 然 后 把 大 小 写 在 这 个 地 方 ， 然 后 它 会 自 动 启 动 发 动 数 据 这 个 操 作 。 然 后 后 面 还 有 一 些 共 享 内 存 ， 这 些 是 没 怎 么 用 到 的 。       它 有 一 个 新 的 架 构 ， 要 有 一 个 新 的 可 运 行 文 件 格 式 ， 事 实 上 主 办 方 实 现 了 程 序 的 加 载 的 格 式 ， 这 里 我 这 里 表 显 示 就 是 当 你 把 程 序 加 载 到 内 存 中 ， 主 要 从   0   一 直 到   3 F F F ， 这 个 区 域 的 布 局 就 是 表 显 示 的 ， 这 些 都 是 有 的 ， 它 直 接 相 邻 的 贴 在 一 起 ， 它 们 的 页 数 大 小 ， 是 程 序 文 件 里 面 地 址 从   0 x 5 7   开 始 的 三 个 整 数 ， 你 可 以 直 接 设 置 好 ， 每 一 段 的 大 小 ， 然 后 它 会 设 置 好 权 限 ， 它 这 里 实 现 了   N X ， 除 了 基 本 的 程 序 运 行 用 的   3   个 段 之 外 ， 然 后 就 是 程 序 动 态 运 行 所 需 要 的 段 ， 它 是 有 几 个 空 页 隔 开 了 ， 栈 空 间 的 分 配 是 直 接 从 最 高 位 往 低 ， 它 的 大 小 在 程 序 里 是 固 定 的 ， 除 此 之 外 可 以 看 到 ， 堆 以 外 的 段 空 间 都 不 是 特 别 大 的 ， 而 中 间 的 所 有 的 区 域 全 部 给 堆 ， 通 常 的 程 序 运 行 时 的 堆 并 不 是 一 个 很 大 ， 而 是 通 过   S B R K   增 大 。 这 个 就 是 非 常 简 单 直 接 把 所 有 的 剩 余 的 区 域 给 堆 ， 这 是 它 程 序 大 概 的 布 局 ， 我 介 绍 这 里 是 因 为 我 们 后 面 用 的 和 这 个 有 关 ， 这 里 我 做 了 一 些 总 结 ， 这 个 代 码 段 都 是 从   0   开 始 ， 直 接 连 续   3     个 段 ， 也 就 是 说 它 没 有   P I E   的 ， 程 序 代 码 在 一 个 固 定 的 地 方 ， 我 知 道 它 这 个 地 方 调 用 了 一 个 函 数 ， 这 个 函 数 计 算 出 了 这 些 段 大 小 。 然 后 就 是 它 的 堆 起 始 地 址 会 放 在 这 里 ， 通 过 这 个 我 们 可 以 看 出 实 现 了 一 个 比 较 简 易 的 程 序 初 始 化 机 制 。
这 是 我 刚 才 说 的 函 数 ， 这 里 有   5   个   S M P   指 令 ， 然 后 这 里 我 们 可 以 看 到 ， 有   2   个   C A R   指 令 ， 然 后 可 以 看 到 它 有   2   个 函 数 ， 我 可 以 告 诉 大 家 ， 第 二 个 函 数 就 是 代 码 真 正 在 的 地 方 ， 相 当 于   m a i n   函 数 ， 然 后 前 面 的 函 数 可 以 理 解 为 一 个   i n i t   函 数 ， 对 堆 块 进 行 初 始 化 的 操 作 ， 如 果 你 想 分 析 这 个 初 始 化 函 数 ， 这 个 函 数 有   2   个 参 数 ， 一 个 参 数 设 置 为 堆 的 起 始 地 址 ， 第 二 个 参 数 是 堆 的 大 小 ， 也 就 是 说 把 这 个 参 数 ， 先 设 好 这 两 个 参 数 ， 然 后 调 用 第 一 个 函 数 ， 它 就 会 自 动 实 现 对 堆 块 的 初 始 化 ， 这 样 我 们 可 以 想 到 对 这 个 程 序 进 行 修 改 。 如 果 我 们 把 这 个 参 数 ， 进 行 一 个 修 改 ， 这 里 起 始 地 址 原 本 是 固 定 的 ， 如 果 让 起 始 地 址 加 一 个 随 机 数 ， 栈 本 来 直 接 从 高 地 址 分 配 ， 我 给 这 个 分 配 栈 的 地 址 ， 减 掉 一 个 数 ， 这 样 就 实 现 了 栈 的 随 机 化 ， 修 改 代 码 可 以 实 现 堆 栈 随 机 ， 我 们 这 次 比 赛 也 使 用 了 这 样 的 办 法 。 后 面 到   0 x 5 7   显 示 反 汇 编 错 误 ， 因 为 会 把 三 个 段 的 大 小 会 放 到   0 x 5 7   的 地 方 ， 这 是   3   个 整 数 ， 并 不 是 代 码 。 这 就 和 之 前 说 的 一 致 了 。 比 赛 进 行 中 比 赛 进 行 中 . . . . . . 基 本 知 识 大 家 知 道 了 ， 现 在 讲 一 下 比 赛 时 队 伍 间 的 对 抗 。 虽 然 这 个 比 赛 ， 采 用 了 新 的 架 构 ， 但 是 也 是 有 一 些 队 伍 实 现 了 通 用 防 御 ， 像 这 次 比 赛 有 一 个 题 目 ， 这 个 题 目 它 有 一 个 功 能 实 现 了 任 意 地 址 写 ， 这 个 洞 非 常 难 补 ， 你 不 能 把 这 个 功 能 直 接 去 掉 ， 否 则 就 过 不 了 主 办 方 的 检 查 ， 你 要 留 下 这 个 功 能 ， 又 不 能 让 攻 击 者 利 用 这 个 功 能 ， 你 就 要 过 滤 一 下 写 一 些 预 期 之 外 的 地 址 的 操 作 ， 大 多 数 队 伍 都 是 这 样 防 的 。 我 们 不 是 这 样 ， 我 们 通 过 实 我 们 不 是 这 样 ， 我 们 通 过 实 现 堆 栈 地 址 的 随 机 化 ， 使 得 攻 击 者 很 难 拿 到 一 个 可 控 区 域 。 这 道 题 目 我 们 只 用 了 这 个 现 堆 栈 地 址 的 随 机 化 ， 使 得 攻 击 者 很 难 拿 到 一 个 可 控 区 域 。 这 道 题 目 我 们 只 用 了 这 个   A S L R   就 达 到 了 较 好 的 防 御 效 果 。 就 达 到 了 较 好 的 防 御 效 果 。      
然 后 还 有   P I E ， 事 实 上 有 些 队 伍 通 过 也 是 对 初 始 化 函 数 修 改 ， 实 现 了   P I E ， 把 代 码 加 载 到 一 个 随 机 的 地 址 ， 选 一 个 不 会 被 用 到 的 地 方 ， 把 代 码 数 据 全 部 复 制 过 去 ， 把 那 个 地 方 赋 予 执 行 权 限 ， 这 样 你 不 知 道 程 序 在 什 么 地 方 执 行 。 还 有 一 道 题 目 它 最 后 可 以 执 行   s h e l l c o d e ， 也 是 不 能 去 掉 的 ， 你 必 须 让 这 个 功 能 保 留 ， 再 进 行 修 补 ， 通 常 的 修 补 方 案 是 过 滤 恶 意 指 令 ， 而 这 样 子 实 现 P I E 的 话 你 这 样 根 本 不 知 道   s h e l l c o d e   在 哪 里 执 行 ， 实 现 了 非 常 优 秀 的 防 御 效 果 ， 我 们 当 时 想 到 了 实 现 P I E ， 但 是 如 果 它 有 一 个 相 对 取 址 ， 这 样 的 话 你 程 序 就 崩 掉 了 ， 所 以 我 们 没 有 加 。 结 果 事 实 证 明 这 题 并 没 有 相 对 取 址 。 然 后 ， 就 是 混 淆 ， 混 淆 就 是   P P P   这 个 队 伍 实 现 的 ， 他 们 可 以 把 控 制 流 打 乱 ， 这 次 采 用 全 新 架 构 ， 你 只 能 看 汇 编 代 码 。 你 的 程 序 是 可 以 给 别 人 看 到 的 ， 如 果 你 程 序 修 改 非 常 小 ， 别 人 看 到 你 程 序 怎 么 补 就 知 道 你 怎 么 做 的 ， 而 如 果 加 了 混 淆 就 很 难 分 析 这 个 程 序 是 怎 么 修 补 的 了 。 这 次 比 赛 主 要 有 这 些 通 用 防 御 的 方 式 。 这 次 比 赛 ， 修 改 的 同 时 要 确 保 程 序 正 常 运 行 ， 还 是 难 度 比 较 大 的 ， 所 以 真 正 做 到 通 用 防 御 的 队 伍 不 是 很 多 ， 大 多 队 伍 只 是 针 对 漏 洞 修 改 相 应 的 地 方 ， 没 有 做 大 幅 度 的 修 改 。 你 的 修 补 ， 别 人 是 可 以 下 载 的 ， 别 人 根 本 不 用 思 考 怎 么 修 补 ， 它 只 要 下 载 修 补 文 件 ， 自 己 拷 贝 自 己 的 服 务 器 上 ， 抄 袭 你 的 ， 这 样 对 你 是 非 常 不 利 的 ， 因 此 产 生 了 后 门 ， 通 过 修 改 ， 让 你 的 程 序 运 行 时 ， 通 过 隐 蔽 的 后 门 可 以 直 接 返 回 公 钥 加 密 的 f l a g ， 如 果 别 人 有 队 伍 抄 袭 你 了 ， 你 就 可 以 用 私 钥 可 以 获 得 他 的   f l a g ， 可 以 说 是 一 个 有 效 的 避 免 其 它 队 伍 无 脑 抄 袭 自 己 的 方 法 。 除 了 可 以 防 止 别 人 之 外 ， 对 自 己 也 有 帮 助 ， 本 身 比 赛 里 你 访 问 不 了 你 的 服 务 器 的 ， 就 是 说 这 种 情 况 你 不 知 道 你 的   f l a g   是 什 么 ， 如 果 给 你 程 序 加 了 后 门 ， 你 可 以 获 得 抄 袭 你 队 伍 的   f l a g ， 也 可 以 获 得 自 己 的   f l a g ， 你 发 现 别 人 攻 击 过 来 的 流 量 ， 最 后 得 到 了 你 的   f l a g ， 那 就 是 有 问 题 的 。 然 后 此 外 设 计 的 时 候 一 般 采 用 公 钥 密 码 系 统 ， 这 样 的 作 用 万 一 别 人 没 事 把 你 后 门 逆 出 来 ， 知 道 了 后 门 的 触 发 方 式 也 没 有 用 。
根 据 开 源 的 分 享 来 看 ， 我 所 了 解 的   h i t c o n   他 们 是 采 用 背 包 密 码 ， 我 当 时 比 赛 的 时 候 并 没 有 看 到 他 们 有 用 这 个 后 门 就 是 了 ， 还 有 一 个 就 是 用   R S A 。 因 为 它 是 新 的 架 构 ， 你 写 这 个 后 门 要 手 写 汇 编 ， 你 要 手 写 公 钥 加 密 ， 所 以 越 简 单 越 好 。 还 有 一 些 比 赛 花 絮 ， 这 次 比 赛 关 注 的 都 知 道 P P P 是 第 一 名 ， 有 一 道 题 目 ， 这 个 程 序 实 现 了 栈 的 数 据 结 构 ， 然 后   P P P   它 修 补 漏 洞 的 时 候 把 原 本 的 栈 挪 到 另 一 个 固 定 的 地 方 。 这 是 一 种 治 标 不 治 本 的 方 式 ， 有 相 当 多 的 队 伍 直 接 抄 袭 了 P P P ， 然 后 也 没 有 从 根 本 上 修 补 漏 洞 ， 就 是 和   P P P   一 样 挪 到 另 外 一 个 地 方 ， 这 种 治 标 不 治 本 的 方 法 ， 你 要 把 自 己 攻 击 的 地 址 换 一 下 就 可 以 继 续 打 了 ， 大 家 拿 着 一 个 没 有 真 正 被 修 改 的   p a t c h ， 放 了 一 天 。 P P P   自 己 没 有 补 掉 漏 洞 ， 自 己 也 留 了 洞 在 那 里 ， 于 是 就 这 样 打 全 场 。 主 办 方 由 于 它 在 设 置 文 件 下 载 权 限 的 时 候 没 有 设 好 ， 它 是 逐 步 放 开 的 ， 结 果 它 题 目 有 一 个 获 取 题 目 的   I D   是 直 接 递 增 的 ， 你 本 来 第 一 天 只 可 以 获 得 第 一 天 的 题 目 ， 你 猜 出   I D   递 增 ， 你 可 以 就 可 以 把 所 有 题 目 文 件 下 下 来 。 然 后 还 有 就 是   9 b i t   下 你 在 逆 向 的 时 候 不 一 定 直 接 看 汇 编 ， 这 样 的 话 大 家 一 般 选 择 自 己 写   I D A   p r o c e s s o r ， 有 一 些 队 伍 把   9 b i t   扩 展 到   1 6 b i t 。 这 种 扩 展   1 6 b i t   就 适 应   8 b i t   的 工 具 了 。 这 是 一 些 花 絮 ， 这 里 我 就 不 一 个 一 个 讲 题 目 了 。  
这 场 全 新 架 构 的 比 赛 主 办 方 准 备 了 两 年 。 从   2 0 1 5   年 就 有 这 个 想 法 写 代 码 ， 然 后 实 现 了 非 常 好 的 效 果 ， 可 以 说 是 一 场 十 分 精 彩 的   C T F   比 赛 在   G e e k P w n   微 信 公 众 号 回 复 “ 极 客 沙 龙 ” ， 获 取 嘉 宾 分 享   P P T ！ 极 客 沙 龙   |   嵌 入 式 安 全 利 器 — — J T A G   调 试 实 战 极 客 沙 龙   |   M a c O S / i O S   我 的 学 习 和 成 长 之 路 极 客 沙 龙   |   如 何 用 二 维 码 钓 出 你 的 支 付 信 息 往 期 精 选 G e e k P w n 2 0 1 7   上 海 站     精 彩 回 顾 G e e k P w n 2 0 1 7   硅 谷 站     大 咖 云 集 黑 客   V S   A I   人 工 智 能 安 全 挑 战 赛
G e e k P w n 2 0 1 8   选 手 招 募 现 已 启 动 选 手 招 募 现 已 启 动 长 按 二 维 码 关 注 哟 ！ 长 按 二 维 码 关 注 哟 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理