攻防世界XCTF-MOBILE入门9题解题报告

说实话，这几天被逆向的恐怖思维，深深的吓着了，真的要抱腿腿了，叫我失眠了好几晚，我觉得逆向分析是CTF中最难的，求腿腿指点迷津啊，我决定不闷头自己研究了。

第一题：app1

解题报告：在MUMU模拟器中安装运行

通过dex2jar和jd-gui，逆向出class文件，然后直接进Main函数

在BuildConfig.class文件中可以轻松的拿到解密的关键字段

通过简单的Python编程，成功拿到flag

第二题：app2

解题报告：在MUMU模拟器中安装运行

在JEB中打开，JEB真的没有排面啊

进入SecondActivity类中，寻找关键方法onCreate()

使用IDA打开Lib库中的.so文件，找到关键函数doRawData的实现

大概的意思就是使用AES对咱们的字符串进行加密，使用的密钥是thisisatestkey==，恰好使得结果等于VEIzd/V2UPYNdn/bxH3Xig==就可以了。

输入aimage/tencent结果发现还是腾讯等你哟 Waiting for you，被戏耍了，并不是正确的flag

于是通过dex2jar和jd-gui，逆向出class文件，发现第一个FileDataActivity类，里面也有一个奇怪的加密字符串

将上面的加密结果改成9YuQ2dk8CSaCe7DTAmaqAA== ，再次运行，成功拿到flag

第三题：app3

解题报告：

下载附件，发现是.ab文件，需要转换为.tar文件

解压.tar这个宝藏文件，得到了一个apk安装包

把apk拖进jeb，进入主程序，发现可疑处

第一步：分析这个类A

第二步：分析这个类B

解密得到关键密码：ae56f99

查看一下加密的版本3.4.0

去找一下3.4.0版本，然后编译安装一下sqlcipher，make不成功

https://github.com/sqlcipher/sqlcipher/releases

于是用windows版本的3.0.1编译好的可执行程序，只要大版本一样就行了

https://github.com/CovenantEyes/sqlcipher-windows/releases

sqlite> PRAGMA key = "ae56f99";
sqlite> ATTACH DATABASE "ailx10.db" AS plaintext KEY "";
sqlite> SELECT sqlcipher_export("plaintext");
sqlite> DETACH DATABASE plaintext;

最后，解密这个Base64编码就搞定了

第四题：easy-apk

解题报告：

安装运行，看不出来啥

扔进JEB里面，看上去逻辑很简单的亚子。

核心逻辑就是怎么逆向计算Base64New

发现这个JEB反编译出来或的操作很难读啊，只好转到dex2jar来试一试

反编译出来的结果让我心碎，一毛一样的亚，菜就是原罪，只好硬着皮头逆向运算了=。=

这个或运算太骚了吧，这玩意咋逆运算啊？失眠了。这题最难的地方就是异或怎么处理，最后来一个逐项暴力破解版，大约5秒，效果极佳。这是Base64的通用做法，记好哟～

最后一部分的=号暴力破解：大约1秒，凑一起就完事了。

最后我花了一个草图，实际上这题就是Base64换了一个表，通过不停的或运算，实际上还是那一堆数字，0101并没有发生任何改变，因此直接写一个Base64的逆过程就完事了。

逆向核心代码：

package c4;

public class Base64New {
    private static char[] Base64ByteToStr = null;
    private static final int RANGE = 255;
    private static byte[] StrToBase64Byte;

    static {
        Base64New.Base64ByteToStr = new char[]{'v', 'w', 'x', 'r', 's', 't', 'u', 'o', 'p', 'q', '3', '4', '5', '6', '7', 'A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', 'I', 'J', 'y', 'z', '0', '1', '2', 'P', 'Q', 'R', 'S', 'T', 'K', 'L', 'M', 'N', 'O', 'Z', 'a', 'b', 'c', 'd', 'U', 'V', 'W', 'X', 'Y', 'e', 'f', 'g', 'h', 'i', 'j', 'k', 'l', 'm', 'n', '8', '9', '+', '/'};
        Base64New.StrToBase64Byte = new byte[128];
    }

    public Base64New() {
        super();
    }

    public byte getIndex(char x)
    {
        byte index = -1;
        String talbe = new String(Base64New.Base64ByteToStr);
        if(x != '=') {
            index = (byte) talbe.indexOf(x);
        }
        else {
            index = 0;
        }
        return index;
    }

    public void Base64Decode() {
        String enflag = "5rFf7E2K6rqN7Hpiyush7E6S5fJg6rsi5NBf6NGT5rs=";
        String flag = "";
        String flag_temp = "";
        for(int i = 0;i < enflag.length();i+=4)
        {
            String enf = enflag.substring(i,i+4);
            byte flag1 = (byte)(((getIndex(enf.charAt(0)) & 255) << 2 | ((getIndex(enf.charAt(1)) & 255) >>> 4)));
            byte flag2 = (byte)(((getIndex(enf.charAt(1)) & 255) << 4 | ((getIndex(enf.charAt(2)) & 255) >>> 2)));
            byte flag3 = (byte)(((getIndex(enf.charAt(2)) & 255) << 6 | ((getIndex(enf.charAt(3)) & 255))));

            flag_temp = "" + (char)flag1 + (char)flag2 + (char)flag3;
            flag += flag_temp;
        }
        System.out.println(flag);
        return;
    }

    public String Base64Encode(byte[] arg9) {
        int v7 = 3;
        StringBuilder v3 = new StringBuilder();
        int v1;
        for(v1 = 0; v1 <= arg9.length - 1; v1 += 3) {
            byte[] v0 = new byte[4];
            byte v4 = 0;
            int v2;
            for(v2 = 0; v2 <= 2; ++v2) {
                if(v1 + v2 <= arg9.length - 1) {
                    v0[v2] = (byte)((arg9[v1 + v2] & 255) >>> (v2 * 2 + 2) | v4);
                    v4 = ((byte)(((arg9[v1 + v2] & 255) << (2 - v2) * 2 + 2 & 255) >>> 2));
                }
                else {
                    v0[v2] = v4;
                    v4 = 64;
                }
            }

            v0[v7] = v4;
            for(v2 = 0; v2 <= v7; ++v2) {
                if(v0[v2] <= 63) {
                    v3.append(Base64New.Base64ByteToStr[v0[v2]]);
                }
                else {
                    v3.append('=');
                }
            }
        }
        return v3.toString();
    }
}