AuroraCTF2023 Misc&Blockchain WP

字数统计: 4.5k字   |   阅读时长≈ 19分

本文章为AuroraCTF2023的Misc/Blockchain方向的总Writeup，同时提供部分题目的出题脚本与灵感和吐槽

本人学艺不精，故整体难度较低，还请多多包涵

Misc

一拳超人

灵感来源

题目考点“punch card”中的punch，非常的牵强附会

考点

文件尾+基础信息搜集，预期难度1.5⭐

Writeup

用010Editor/Winhex打开图片，发现文件尾存在字符串“What is a punch card?”，搜索punch card后了解穿孔卡片编码规律

根据flag格式，得到flag：Aurora{1PUNCHM4N}

吐槽

好像很多新生都误把文件尾的提示当成flag提交了www，下次我尽量加个hint在前面，但是别的出题人就不一定会这样干了的说

你俩啥时候联动？

灵感来源

灵梦和Miku互换服装这个想法真的好棒www，但是我印象中两边没有正式联动过，意难平…

不过倒是一堆音游又有术曲又有车万曲，某种意义上也算是联动了…？

考点

LSB隐写，预期难度1.1⭐

Writeup

扔Stegsolve全部0通道直接解，或者zsteg也能直接解

flag：Aurora{39_B@d_App7e5!!!}

吐槽

新生们估计都没用过Stegsolve，不了解这个工具拿空格分隔只是为了使用者阅读方便，仅此而已，内容里面其实不存在那个空格的

然后我就看到基本每个人提交至少有一次带那个空格的，甚至有人爆破了20+次还是不删掉那*空格…

我宣布，Stegsolve负全责，Stegsolve，出列！！！

锟斤拷

灵感来源

和题目中提示一样，灵感来自前段时间呼市公交车后面显示文字出现乱码的事情

考点

文件头补全+Base全家桶+信息搜集+汉字编码（GBK），预期难度2.6⭐

Writeup

打开压缩包发现压缩包损坏，用010Editor查看后发现缺少文件头

补全后打开得到flag.docx和fl4g.txt，打开后者得到一串Hex，根据以下方式解码得到提示：

1
2
3
4
原文：4841344445343341474e4e53435732344c555453595632424e4e53465755593d
Hex解码：HA4DE43AGNNSCW24LUTSYV2BNNSFWUY=
Base32解码：882s`3[![\]',WAkd[S
Base85解码（最终编码为UTF-8）：Hint: 顺蛋踩

搜索顺蛋踩即可搜索到题目灵感来源，利用同样的方式将flag.docx的汉字编码进行错位重组：

1
2
3
4
5
原文：芾薪探涛液鹤直嗦氩
GBK编码：DCC0 D0BD CCBD CCCE D2BA BAD7 D6B1 E0C2 EBB2
将前一个字的后两位与后一个字的前两位重新组合得到：（最后一个字与第一个字重组）
B2DC C0D0 BDCC BDCC CED2 BABA D7D6 B1E0 C2EB
编码结果：曹佬教教我汉字编码

flag：Aurora{caolaojiaojiaowohanzibianma}

吐槽

出题的时候我就已经猜到有人会把编码前两个和最后两个都扔掉，不过由于大部分人都在做自己方向的题目，Misc没人做，我也就没给提示

直到后面看到有位已经解到“佬教教我汉字编码”了，于是我给了提示“首尾呼应，循环利用”，但是那位应该没理解是什么意思，开始了他的爆破之路：究竟是哪个佬？

结果就是我在后台成功地了解到了百家姓（并不）

还有一件事，我发现新生打不开压缩包的时候第一时间不是想到文件格式出了问题，而是出题人题目附件有问题，这个就完全是靠积累了，总之这一次知道了下一次就能更好地做出来了吧www

至于打开docx报错这件事，详见The Eye Sigil部分

彩虹

灵感来源

出题灵感是当时在密码吧逛的时候看到一位大佬的C#开源项目，觉得很有意思，然后从里面挑个了彩色二维码生成脚本学习了一下，最后自己花了点时间用Python搞了个生成脚本

这里附上大佬的开源项目链接：Lazuplis-Mei/ClassicalCryptography: 部分古典密码 (github.com)

考点

变种LSB+二维码扫描，预期难度2.2⭐

Writeup

用Stegsolve打开图片，查看不同频道，总共能得到6张二维码，依次扫描得到下面的结果：

1
['QXVyb3J', 'he0JlbD', 'FFdmVfd', 'GgzX3I0', 'SW5iMH', 'Z2fQ==']

拼接后Base64解码得到flag：Aurora{Bel1Eve_th3_r4Inb0vv}（唉，舞萌痴）

最后附上本人冗杂的出题脚本，各位可自行取用优化：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
import qrcode
from qrcode.util import QRData, MODE_8BIT_BYTE
from PIL import Image
import base64
import math
import numpy
import cv2
import matplotlib.pyplot as plt


# Could be improved, but I'm just too trash to find out where to improve lol
def ColorfulQR(ifBase64, plainTxt, colorType):
    if ifBase64:
        pTxt = base64.b64encode(plainTxt.encode("utf-8"))
    else:
        pTxt = plainTxt.encode("utf-8")
    pTxt = pTxt.decode("utf-8")  # Encode plaintext with Base64(or not)
    print(len(pTxt))
    strade = math.ceil((len(pTxt) / colorType))
    print(strade, end="\n")
    txtList = [str(i) for i in range(0, colorType)]
    print(len(pTxt) // colorType)
    for i in range(0, len(pTxt) % colorType):
        txtList[i] = pTxt[i * strade : (i + 1) * strade]
    for i in range(len(pTxt) % colorType, colorType):
        txtList[i] = pTxt[
            i * (strade - 1)
            + len(pTxt) % colorType : (i + 1) * (strade - 1)
            + len(pTxt) % colorType
        ]
    print(txtList)  # Divide the string into parts of equal length
    QRList = [
        qrcode.make(txtList[i]) for i in range(0, colorType)
    ]  # Produce a list of QRCode with each of the divided strings
    imgList = [
        QRList[i].rotate(90 * i) for i in range(0, colorType)
    ]  # Rotate the QRCode with 90*i degrees according its position in the list
    for i in range(0, colorType):
        imgList[i].save(
            "A" + str(i) + ".png"
        )  # Save each of these rotated QRCodes as PNG type for later use
    if colorType == 3:
        for i in range(0, colorType):
            img = Image.open("A" + str(i) + ".png")
            width = img.size[0]
            height = img.size[1]
            ColorQR = Image.new(
                "RGB", img.size, 0
            )  # Create a brand new black image with the same size of the PNG in RGB type
            for h in range(0, height):
                for w in range(0, width):
                    pix = img.getpixel(
                        (w, h)
                    )  # The 'pix' variable type is 'int', which means the QRCode image is a grey-scale image, the pixel of which is controlled by a int from 0~255, from black to white
                    color = [0x0, 0x0, 0x0]
                    if pix == 0xFF:  # If the pixel is white:
                        color[i] = pix
                        ColorQR.putpixel((w, h), (color[0], color[1], color[2]))
                        continue  # Filling the colors in the new RGB image in an order of pure red, pure green and pure blue. Due to the grey-scaled QRCode, a new image in RGB type is needed for creating a colorful image, in this case, the ColorQR
                    else:
                        continue  # If the pixel is black, do nothing
            imgList[
                i
            ] = ColorQR  # Actually, this can be deleted, but I'm too lazy to delete this lol
            ColorQR.save(
                "A" + str(i) + ".png"
            )  # Covering the colored QRCode for later use
    elif colorType == 6:
        for i in range(0, colorType):
            img = Image.open("A" + str(i) + ".png")
            width = img.size[0]
            height = img.size[1]
            ColorQR = Image.new("RGB", img.size, 0)
            for h in range(0, height):
                for w in range(
                    0, width
                ):  # Same as in 3-bit encoding so far blah blah blah...
                    pix = img.getpixel((w, h))
                    color = [
                        0b01010101,
                        0b10101010,
                    ]  # But for the 6-bit encoding, the filling colors changed from pure RGB to (85,0,0),(170,0,0),(0,85,0),(0,170,0),(0,0,85),(0,0,170)
                    colorRGB = [0x0, 0x0, 0x0]
                    if pix == 0xFF:
                        colorRGB[math.floor(i / 2)] = color[i % 2]
                        ColorQR.putpixel(
                            (w, h), (colorRGB[0], colorRGB[1], colorRGB[2])
                        )
                        continue
                    else:
                        continue
            imgList[i] = ColorQR
            ColorQR.save(
                "A" + str(i) + ".png"
            )  # Same as in 3-bit encoding blah blah blah...
    else:
        print("An Error has occurred...")
    final_Img = Image.new("RGB", imgList[0].size, 0)
    final_Img.save(
        "black.png"
    )  # Create a brand new black image for adding up all the images
    fI = cv2.imread("black.png")
    for i in range(0, colorType):
        iL = cv2.imread("A" + str(i) + ".png")  # Transforming the image into a int[]
        fI = cv2.add(fI, iL)  # Using OpenCV's add function to add up all the pixels
    cv2.imwrite(
        "ColorfulQRCode.png", fI
    )  # Save the Final Colorful QRCode in current folder
    plt.imshow(fI[:, :, ::-1])
    plt.show()  # Show the QRCode in a 2D axis(could be deleted tbh)


while True:
    try:
        colorType = int(
            input(
                "Do you wish to use 3-colour or 6-colour encoding? Just input the number:\nOr you could just exit by typing 0\n"
            )
        )
    except IOError:
        print("An error has occurred, would you please try again?\n")
    else:
        if colorType == 3 or colorType == 6:
            ifBase64 = int(input("Input 1 if you wish to use Base64, and 0 if don't:"))
            plainTxt = input("Please input the text you wish to encode:")
            print("Now producing your QRCode...")
            ColorfulQR(ifBase64, plainTxt, colorType)
        elif colorType != 0:
            print("This number of colors is not available for now, please try again?")
        else:
            print("Goodbye~")
            break

Chocolate Missile

灵感来源

同名乐曲，鉴定为打Cytus II打的

考点

信息搜集+猜谜+SilentEye隐写，预期难度3.7⭐

Writeup

搜索题目名称，得到同名乐曲结果，在网易云音乐评论区下或搜索创作团队官网可了解到Alice语这一架空语，同时与题目描述第一句话可以对应上，故合理猜测图片中的架空文字为Alice语的架空文字

搜索Alice语，可以搜到我自己手译出来的对应表（当然你也可以自己根据众多曲子的MV和歌词去一一对应，不过会耗很多时间）：Alice语架空文字与英文字母的对应（手解） - 哔哩哔哩 (bilibili.com)

对应后得到图片内信息：

1
2
3
4
5
The Eye is watching in the dreadful silence,
with a passphrase only known by The Eye itself.
But I've got it, it's

ALiCeSCHac

根据题目描述提示：“作曲家”指向Chocolate Missile的创作团队Alice Schach and the Magic Orchestra，而“最后一个字”以及粗体“小写”直接提示最后一个字母是小写，故得知passphrase为ALiCeSCHach

而又根据Eye+silence⇒SilentEye，最终经过SilentEye长时间的运行解密之后得到flag：Aurora{BiS_0_N4i-Hellm}

吐槽

应该是所有题目里面出的最糟糕的一题，里面包含了各种猜谜，对新生来说极其不友好，单从推断出SilentEye这一步就需要大量的做题经验才有一定可能联想到，更何况在获取passphrase那一步存在猜谜，这更是恶上加恶，在此向各位新生谢罪（土下座）

同伴方块

灵感

来自传送门2的一个成就“最终传送”（传送门1也存在大量SSTV信号），而传送门以月球作为伏笔，本人作为音游人自然想到了Apollo这首曲子，因此把这两者结合了出了这道题

考点

mp4音轨提取+SSTV，预期难度4.8⭐

Writeup

利用ffmpeg或者Audacity（如使用，则需要先安装对应版本的ffmpeg for Audacity）将mp4的第二条音轨提取出来

1
ffmpeg -i 阿波罗计划.mp4 -vn -map 0:a:1 -c copy SSTV.mp3

然后再将得到的音轨SSTV解码，最后扫出flag：flag{f4LL_iNt0_th3_D@Rks1de}

吐槽

本身题目只进行了两次简单的处理，但是由于没有向新生们科普有关音频&影像处理的知识，同时可能没有料到一个mp4文件可以存在“第二条音轨”，最后看完这个Writeup可能还是懵圈的

总之可以搞一个Audacity，对于音频的隐写分析有着极大的帮助，包括但不限于摩斯，频谱图，二进制等

至于SSTV嘛…听过一遍之后就知道SSTV大概是啥样的了，想扫出来要么在一个安静的地方朝着麦外放，要么就需要搞一个虚拟声卡，整体还是有些麻烦的

The Eye Sigil

灵感

来自Eye Sigil ARG，想到当时的ARG第一步是在每个The Sigil附近放一块The Big Picture的碎片，于是想到把flag分散在每一题里面，然后就有了这道题（新生赛有人搜到了这个出题灵感来着，但是当答案交了www，可能是我全英文的剧情太冗长难懂了吧www）

考点

Act I（预期难度5.2⭐）：CVE-28303（一拳超人），LSB（你俩啥时候联动？），Word隐写（不知道算不算）（锟斤拷）

Act II（预期难度5.0⭐）：Hex逆序（彩虹），社工+视力（Chocolate Missile），zip伪加密+mp3提取封面图片+修改图片高度（同伴方块）

Writeup

一拳超人：在010Editor查看图片，发现存在两个IEND文件尾，推测为CVE-28303漏洞（亦称Acropalypse漏洞），在github上获取到acropalypse_png.py脚本后使用，最后解出第一块flag：Aurora{C@n_y

你俩啥时候联动？：在获取到flag的通道下面（可见上图），发现下方明文内容存在89504e47字样，察觉到为PNG文件头，故将对应明文信息作为Hex流生成新文件，得到第二块flag：0u_S3e_7he_B

锟斤拷：打开flag.docx的时候发现docx内存在无法识别的文件，故可以想到docx内存在额外的文件，将docx转为zip后打开，可发现在rels文件夹下存在第三块flag：1g_PiCtuRe?}

拼接得到Act I的flag：Aurora{C@n_y0u_S3e_7he_B1g_PiCtuRe?}

彩虹：用010Editor打开png，发现文件尾存在47 4e 50 89字样，猜测为PNG文件逆向输出，将对应数据逆序之后得到第一块flag：Aurora{7

Chocolate Missile：在架空文字最后一行下面的亮白色区域，存在“QQ：1434198202”字样

搜索对应账号后在其QQ空间动态里得到第二块flag：He_J1g_i

同伴方块：在mp4的文件尾处，存在一个zip，提取后发现需要密码，检查加密位后得知压缩包经过了伪加密，修复后从压缩包可提取出DIEIN.mp3，播放发现曲绘被更改成了The Sigil图案，猜测flag为曲绘

用010Editor打开MP3，发现有image/jpeg，之后就是jpg文件头FFD8FFE0

提取后与Act I提供的无flag附件对比后发现图片高度被修改过，修改之后得到第三块flag：5_uP!!!}

拼接得到Act II的flag：Aurora{7He_J1g_i5_uP!!!}

吐槽

当时本来还想搞MP3Stego的，但是不知道为什么总是显示我的wav文件缺了什么东西…我明明用的是ffmpeg转的啊，哭/(ㄒoㄒ)/~~

两道题一共6块flag，其中28303的那块flag有一个人解出来了，Word的那块有两个，其他的要么没交我没看到，要么就没解出来

然后解出28303的那位以为是一拳超人的flag，愣是交了好几次，只能说没看Act I的剧情是这样的www

Blockchain

契约

灵感

不会没人发现题目描述是魔圆第一集开头QB说的话吧，不会吧不会吧（我现在就要看叛逆的物语）

考点

合约部署字节码泄露，预期难度1.0⭐

Writeup

在etherscan上根据地址搜对应的合约，然后查看部署合约的交易，在下面Show More的Input Data选择View input as UTF-8

得到flag：flag{W3lc0me_2_Blockch4in!!!}

吐槽

这道签到题放了整整42hrs没有人解出来，后面是加急赶了个科普视频出来才有人解出来，其他的没解出来的说是因为不会魔法…

只能说视频把flag喂嘴边了，剩下的就是看各位能不能张开嘴巴吃到了

Five Nights at Sepolia’s

灵感

如题目所示，灵感来自FNAF，主要是因为看UCN 50/20的时候Rockstar Freddy老是在那”Please deposit five coins”，联想到自己跟着smartcontractkit学的FundMe，于是在那个的合约基础上稍微做了调整就扔出来当题目了

考点

简单的合约交互，钱包助记词/账户地址私钥的使用，预期难度2.3⭐

Writeup

首先把两个合约扔在Remix上面，等编译好了就在左侧先在At Address处输入合约地址（选中的合约一定是ACTFFundMe.sol），然后点击At Address就可以和已部署的合约进行交互啦~ (￣▽￣) ~*

然后我解释一下funds函数（其他的不用管）：就是检测调用者资助的ETH价值是否超过5USD，如果没有就直接失败，并返回“More money should be spent”，有的话就设定checkCreditList[调用者地址]=1并且返还所有资助的ETH（gas费肯定还不回来的www）

调用成功之后就可以去靶机那里确认啦，如果成功结果应该是这样的说：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
Please enter your account address with "0x" at the front:
0xad33070E5dC2AcD2d8518aBA2E5D4fb3e64FF634
Initializing...

Now checking...

Thank you for depositing five coins. All the coins you have deposited are refunded.

We hope you enjoy the flag:

wreck eight teach valley castle drama foot novel home inform author actor

Wait... Where's the address of the flag account?

Welp, seems our system went wrong, our apologies.

We'll try sending the flag once more, plz wait for a sec...

40dc829ce31d6fd3ef20dd6b2e87a5bf76dcea642fa5399f1aef5aa8c0428947

Hmmm... There seems to be a problem with out system...

Plz try another day? Hope you have a nice day, bye~

wreck那行就是助记词，40那行就是账户私钥，之后跟着科普视频一样导入就可以找到账户啦

flag：Aurora{0xEC3f12a41f9d42FCDCce6125cA219515A5b579F1}

吐槽

至于为什么给私钥，主要是怕有人一个不小心“手滑”删掉了钱包里面的账户（也就是过河拆桥），因为会合约交互了，那基本也就算得上入了门了，这个flag还是能给就给（不过还是没人解出来QAQ）

这一题还有个非预期：我没有清零，所以如果有人解出来了，别人就可以用前面那个人的地址进行确认，不过由于没有人解出来，所以这非预期我可以忽略不计…？（啪啪给自己两巴掌）

Sepolia外传

灵感

武林外传，BA最终章（不是，这也能刀？）

题目描述感谢LithosPriesteX师傅提供，咱是真的没灵感了www（发配到沙勒.jpg）

考点

简单的合约攻击与函数绕过（tx.origin和extcodesize()），预期难度2.8⭐

Writeup

在网上都能搜到原题，三重绕过我去掉了一重

POC如下：

1
2
3
4
5
6
7
8
9
10
11
12
//SPDX-License-Identifier:MIT
pragma solidity ^0.8.18;
import './ACTFBypass.sol';

contract testAcc{
    address public magic_addr;

    constructor(address addr){
        magic_addr=addr;
        NoBypasses(magic_addr).setFlag();
    }
}

部署的时候要添加题目合约的地址作为参数，而且这种合约是一次性的，就部署完之后就没法进行第二次同样的攻击了（constructor只会调用一次这个还是知道的吧）

然后用攻击合约地址（注意不是个人账户地址）在靶机进行检验，如果成功则可以获取到flag：flag{c0ntR4ct_a7TacK_&_Con5tRuctOr_byp@Ss}

吐槽

为什么没人做，明明有原题的说QAQ

咱学艺不精，自己搞Docker搞了超久，结果还是这里出问题那里出问题，下次我就看看能不能在靶机上搞ganache-cli了，本地区块链至少不用连外网连API（土下座）

以上就是所有的题目，各位如果有疑问可以diss我，如果有需要附件的师傅也可以找我desu

总之就这么多啦，各位师傅们加油哦ヾ(≧ ▽ ≦)ゝ记得多带带我哦

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

一个喜欢睡觉的fw~~~