NewStarCTF2023 Week3 Reverse 花 wp

如果直接按这个变量名来传参，php 是无法接收到这个值的，具体原因是 php 会自动把一些不合法的字符转化为下划线，比如这个点就会被转换为下划线，另外这种转换只会发生一次。本来是cat就好 但是这里cat被过滤了 cat被过滤的话 可以使用通配符绕过 但是这里需要加上/bin目录 加上路径后才可以模糊匹配 通配符才会有用 这里大家需要注意 一个路径的问题 不加/bin路径是没用的。这样的话 我们就需要使用echo这个命令 然后是反引号包裹将其执行的命令打印输出了 不然我们看不到回显的结果。

本文介绍了NewstarCTF2025逆向赛题的解题过程，包含三个题目： puzzle：通过IDA分析字符串拼接和异或操作，将四部分flag组合得到最终答案flag{Do_Y0u_Like_7his_Jigs@w_puzz1e_Gam3}。 Strange Base：使用自定义Base64字母表解码，通过Python脚本还原得到flagflag{Wh4t_a_cra2y_8as3!!!}。 EzMyDroid：分析APK文件，发现AES-ECB加密逻辑，需通过Base64解码和AES解密获取flag（解题代

题目中提示了ssti，我们利用ssti的句式让页面显示错误。提示传参number1和number2。要求上传图片，那我们直接上传图片马。改文件后缀为.php。

NewStarCTF 2023 公开赛道 web题目wp

cookie 修改admin 源码发现key GET和POST传参即可。

忘记说了，这道题是SMC，也就是动态自修改代码，主函数第七行的VirtualProtect就是授予内存写权限，再用一些加密对内存进行改写，因为会在程序运行的时候进行自解密，所以不会影响程序的正常运行；第二个for 就是，我们的输入作为v6的索引，将得到的值存入a1中，最后返回，a1和&unk_4020比较，也就是说unk_4020的值在v6中的索引，就是我们要的flag。逻辑很简单，逆向就是，用403020的值-5^0x11就好，点击4033D4就知道那里放到其实是我们的输入；成功就是flag的；

简单修改一下，WZ改成PE文件标识 MZ 后面第四行的90改成80 因为这里的文件偏移要指向PE起始处。打开来查壳发现，看不到什么信息，diagnose处看的到57 5A应该是pe文件损坏了。再看encode加密部分，异或0x20后+16 那就逆向一下 -16再异或0x20。这里慢慢分析一共3处关键信息，第一是s异或s1 第二处就是s和s1了。这一题用模拟器打开就是点击10000次就给flag，可以尝试找找flag在哪。一个简单的异或处理，取出data中的数据，写个exp。查壳，UPX壳 64bit文件。

NewStarCTF2023WP 自己思考写的WP

这里调用了z3h.dll中的encrypt函数。用ida64载入z3h.dll直接搜索encrypt找到了一个XTEA加密。接着回去找key和密文。发现key这里用了个调试状态来判断是否正确，v7=1，要v7＝1才会输出Right，即程序要处于飞调试状态。可以知道 这俩个字节数组要相同，这样v9才会＝0；找到密文数据。。

题目：ez_chal一个XTEA加密，V6是key，v5是输入，然后v7就是密文。看了v6，要用动调。ELF文件用ida的远程调试。然后在kali上输入长度为32的flag全部转换成dd再提取密文。

因为0x66的ascii是f，结合要做的逆序，0x66应该是在最后一位。再将数据换成16进制，并分割成44的长度。所以再对分割出的每四位做一个逆序。代码不多，逻辑挺清楚的。这里手动调整了一下顺序。这样就可以开始异或了。

程序打开后结合题目可以发现是 GO语言。在GO语言中，main_init 要先于 main 函数运行。在这里对一个iv做了处理。用插件Signsrch发现AES加密知道是AES后，就需要找密文，key和iv了。密文应该就是前面的十六进制字符串。key和iv需要在函数前下断点动调key和iv都是NewStar!NewStar!但是需要注意的是，最初提到的iv做了初始化处理。要再异或回去。得到： |WEaFS@\x13|WEaFS@\x13。

2023NewStarCTF-reverse-week1 WP 逆向 C语言，Python，JAVA，IDA，JADX，adb，虚拟机，安卓模拟器，ELF、PE文件结构，汇编语言

本篇文章在web方面属于中规中矩的解法，师傅们看着玩叭，在crypto方面是有一些知识扩展的，包括仿射密码、连分数等~

NewStarCTFCrypto题解

因为程序实行分页管理机制，所以在一页内地址之间的偏移量不会变，且一页的长度为0x1000，这也就意味着任何一条指令地址的低三位数值（十六进制下）都不会变，也就是地址的低1.5字节不变。在ret2text中解决栈平衡的方案有很多种（比如加ret地址，加retn地址，加lea地址等），但此处因为溢出字节有限只能直接跳转到lea解决。地址随机化，但是程序中各个节的相对位置不变，也就是说如果你能得到运行中程序的任何一个可辨识地方的地址，就可以通过该地址与目标的偏移来获取目标的真实地址。但是前提是得想办法泄露地址。

超详细教程[NewStarCTF 2023 公开赛道]花 考点：花指令+RC4

key=16*8*2=256bit,iv=16*8=128bit,256^128bit说明key的高位128bit不变，所以通过xor高128bit得到高位key的值*2还原key，iv=key^xor^1。每一个明文异或key，得到密文。最主要是要知道key值，就能逆推明文，一种就是，已知明文头是“flag”,用0xe9^ord("f"),0xe3^ord("l")得到key=143。凯撒密码，已知flag的头，kqfl->flag 相当于向前移动5位，key=5，得到。Brainfuck解密。

preg_replace 函数：执行一个正则表达式的搜索和替换，\w表示非单词字符，单词字符包括：a-z、A-Z、0-9，以及下划线，加上取非^就成了匹配所有的单词字符，+表示可以进行多个匹配，还匹配了左括号和右括号 ，((?先用 getallheaders() 获取全部请求头信息，再用 array_flip() 反转键值，即将 ls / 放到键名的位置，因为 array_rand 是随机取一个键名，反转之后获取到的就是命令，如果没有进行反转，获取到的就是myon。4、源码泄露，常见的有：HG泄露；