TQLCTF-RE/PWN方向部分题目详细分析与题解

(编辑：jimmy 日期: 2024/11/16 浏览：3 次 )

RE

Tales of the Arrow

在遇到这题以前甚至都没接触过2-sat问题，所以这次也对这个问题做个概述吧。

以下内容摘自OI WIKI：

2-SAT，简单的说就是给出 n个集合，每个集合有两个元素，已知若干个<a,b>，表示 a与 b矛盾（其中 a与b属于不同的集合）。然后从每个集合选择一个元素，判断能否一共选n个两两不矛盾的元素。

而本题关键如下：

def get_lit(i):    return (i+1) * (2*int(bits[i])-1)for t in range(N):    i = random.randint(0,n-1)    p = random.randint(0,2)    true_lit = get_lit(i)    for j in range(3):        if j == p:            print(true_lit)        else:            tmp = random.randint(0,n-1)            rand_true = get_lit(tmp)            if random.randint(0,3)==0:                print(rand_true)            else:                print(-rand_true)

每轮打印比特流中的随机三位的比特状态，但这个状态有可能会取反。且取反与否发生的概率是0.5。

一开始是3-sat问题，每轮必有一个数是真实状态，另外两个数则可真可假。但3-sat是NP完全问题，基本属于不可解。所以首先我们根据明文的特殊条件消除不确定性。

因为字符串必定是可打印的字符串，其由ASCII码组成，最高位必定为0。那么这一位的状态必定是负数，如果打印出该位的状态是正数，则表示它并非必然真值，那么该组数据中另外两个必有一个为真。如果将所有带有上述情况的组别取出，问题便被缩减到2-sat，即必有一真，另一者可真可假。

2-sat问题存在多项式解法(这是结论，笔者并没有证明过)，即在数据量足够的情况下，该问题会有唯一解。本题一共给出了5000组数据，符合本条件。

而本题之后的解法也很朴素，在二选一的条件下，如果又出现了“必为负数”的位被以正数打印出来，那么最后一个数就必定真值了，将所有确定真值的位全都统计下来，就能还原完整的比特流。

参考Nu1L发布的WP自己改的：

f = open("output.txt")             n = int(f.readline().rstrip('\n'))N = int(f.readline().rstrip('\n'))x=[]for i in range(1,5000):    x1=int(f.readline())    x2=int(f.readline())    x3=int(f.readline())    x.append([x1,x2,x3])true_numer=[]for i in range(n//8):    true_numer.append(-8*i-1)flag=[]for i in range(n):    flag.append(0)for i in x:    if(((-i[0] in true_numer) + (-i[1] in true_numer) + (-i[2] in true_numer))==2):        count+=1        for j in range(3):            if((i[j] not in true_numer)and(-i[j]not in true_numer)):                    true_numer+= [i[j]]for i in true_numer:    if(i<0):        flag[abs(i)-1]=0    else:        flag[i-1]=1flag_text=""for i in flag:    flag_text+=str(i)print(bytes.fromhex(hex(int(flag_text,2))[2:]))f.close()

PWN

unbelievable_write

任意地址free，没有泄露，没有PIE，本该是道简单题，结果做了一整天......看完官方WP之后发现自己还是想的太少了，不过我自己的方法姑且也打通了，所以先从笔者的方法开始吧。

libc版本是2.31，已经有tcache了。因为此前我很少接触这个部分，所以这次记的详细一些(个人其实不太愿意在需要之前主动去掌握利用方式，这看着有些像是在“为了利用而利用”)。

程序逻辑这里不再复述，唯一值得注意的就是，它会很快就把本轮开辟的chunk释放掉，所以很难在Bin中布置chunk。

任意地址free允许我们直接把tcache_perthread_struct释放，其结构如下：

typedef struct tcache_perthread_struct{  uint16_t counts[TCACHE_MAX_BINS];//TCACHE_MAX_BINS=64  tcache_entry *entries[TCACHE_MAX_BINS];} tcache_perthread_struct;typedef struct tcache_entry{  struct tcache_entry *next;  struct tcache_perthread_struct *key;} tcache_entry;

可知该结构体大小为0x290，且能够控制Tcache bin的各项数据，包括链表和计数。

TQLCTF-RE/PWN方向部分题目详细分析与题解

RE

Tales of the Arrow

PWN

unbelievable_write

nemu

样本分析

ezvm

system_open

fd_write

system_read

system_close

利用分析