腾讯极客技术挑战赛-第三期：码上种树 1-200W writeup

最新推荐文章于 2026-06-19 17:00:49 发布
原创 最新推荐文章于 2026-06-19 17:00:49 发布 · 3.8k 阅读 · 3 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
标签
#js #python
本文解析了腾讯极客技术挑战赛中六道题目的解题思路与过程，包括简单的计算、JS解密、WebAssembly应用等内容，展示了利用Python进行自动化解题的方法。

腾讯极客技术挑战赛-第三期：码上种树 1-200W writeup

0x00 简要说明

  • 赛题链接：http://geek.qq.com/tree/#
  • 因为不会JS，所以不知道更好的分析方法，这里仅提供一种解题方法。但后面的题目还是需要看一下JS的基础教程的。
  • 主要的解题过程是：通过浏览器F12的功能，调试输出代码的运算过程和结果，猜测计算a的算法，然后用Python实现，测试验证修改。

0x01 签到

  • 第一题直接查看数据包，发现第一次响应包返回的数据中的参数a的值，就是第二次请求发送参数a的值
# 第一题
import requests
while True:
	# 第一次请求url
	url = "http://159.75.70.9:8081/pull?u="+token
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())
	t = r.json()['t']
	a = r.json()['a']
	c = r.json()['c']
	# 第二次请求url
	url = "http://159.75.70.9:8081/push?t=" + t + "&a="+ str(a[0])
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())

0x02 简单计算

  • 第二题没有记录题目，因为不熟悉JS，所以在浏览器F12下查看相关文件，发现参数a经过运算后返回（具体是哪里看到的，忘了）
# 第二题 
import requests
while True:
	# 第一次请求url
	url = "http://159.75.70.9:8081/pull?u="+token
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())
	t = r.json()['t']
	a = r.json()['a']
	c = r.json()['c']
	# 第二次请求url
	url = "http://159.75.70.9:8081/push?t=" + t + "&a="+ str(a[0]*a[0]+a[0])
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())

0x03 变量名替换

  • 第三题 发现题目如下，思路：主要对开头为“_”的变量进行替换，方便阅读，注意不要把 数字替换掉
//第三题 题目
var _0xe936=['A5473788'];
(function(_0x48e85c,_0xe936d8)
{var _0x23fc5a=function(_0x2858d9)
{while(--_0x2858d9)
    {_0x48e85c['push'](_0x48e85c['shift']());}};
    _0x23fc5a(++_0xe936d8);}(_0xe936,0x196));
    var _0x23fc=function(_0x48e85c,_0xe936d8)
    {_0x48e85c=_0x48e85c-0x0;var _0x23fc5a=_0xe936[_0x48e85c];
    return _0x23fc5a;};
    window[_0x23fc('0x0')]=function(_0x335437)
    {var _0x1aac02=0x30d3f;
    for(var _0x3bed6a=0x30d3f;_0x3bed6a>0x0;_0x3bed6a--)
    {var _0x375340=0x0;
    for(var _0x1ddb77=0x0;_0x1ddb77<_0x3bed6a;_0x1ddb77++)
    {_0x375340+=_0x335437['a'][0x0];}
    _0x375340%_0x335437['a'][0x2]==_0x335437['a'][0x1]&&_0x3bed6a<_0x1aac02&&(_0x1aac02=_0x3bed6a);}
    return _0x1aac02;};

//替换变量名后如下，然后分析计算过程，发现用到参数a的地方，最后python实现运算过程
var _0xe936=['A5473788'];
(function(x,y)
{
    var result=function(z)
    {
        while(--z)
        {
            x['push'](x['shift']());
        }
    };
    result(++y);
}
    (_0xe936,0x196)
);
    var _0x23fc=function(x,y)
    {
        x=x-0x0;
        var result=_0xe936[x];
        return result;
    };

    window[_0x23fc('0x0')]=function(x1)
    {
    var x2=0x30d3f;
    for(var i=0x30d3f;i>0x0;i--)
    {
        var j=0x0;
        for(var k=0x0;k<i;k++)
        {
            j+=x1['a'][0x0];
        }
        j%x1['a'][0x2] == x1['a'][0x1] && i<x2 && (x2=i);
    }
    return x2;
};

# 第三题 解
import requests
while True:
	# 第一次请求url
	url = "http://159.75.70.9:8081/pull?u="+token
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())
	t = r.json()['t']
	a = r.json()['a']
	c = r.json()['c']
	# 经过变量名替换，发现运算过程如下：
	x = 0x30d3f
    for i in range(0x30d3f, 0, -1):
        j = a[0x0] * i
        if (j % a[0x2] == a[0x1] and i < x):
            x = i
    print(x)
    
	# 第二次请求url
	url = "http://159.75.70.9:8081/push?t=" + t + "&a="+ str(x)
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())

0x04 JS + 异步编程

  • 第四题 原本的题目没有记录。
  • 主要是需要将JSFuck（中括号之间的内容）解密成函数名，并替换; 相关的参数也替换一下，得到如下代码 ；
    分析代码，发现用到了JS异步编程的内容（需要自行了解相关内容）；知道大概的功能后，猜测代码的主要作用是循环把参数a的值 执行 + 、- 、* 的运算；最后用 Python 实现 运算过程求参数a。
  • 需要注意的地方：
    1、通过F12控制台输出运算的过程，发现 参数a 的值 已经排好序，再遍历执行；
    2、x2是先++，所以第一次是从 减法 运算；
    3、最后结果 取反。
//第四题 题目
window.A593C8B8
=async(text)=>
(
    (window,text,x2,x3,x4)=>
    {
        let x5=function*()
        {
            while([])yield[(_, __)=> _+__, (_, __)=> _-__, (_, __)=> _ * __][++x2 % 3].bind(null, x3, x4)
        }();

        let f6=function(x5,x6,x7)
        {
            x4=x5;
            x3=x6.next().value();
            x2==text.a.length && x7(-x3)
        };

        return new
        Promise(
            x2=>text.a.forEach( x3=>window.setTimeout(x4=>f6(x3,x5,x2), x3))
        )
    }
)(window,text,0,0,0)


# 第四题 解
import requests

def add(x, y):
    return x + y

def sub(x, y):
    return x - y

def mul(x, y):
    return x * y

fun = [add, sub, mul]

while True:
	# 第一次请求url
	url = "http://159.75.70.9:8081/pull?u="+token
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())
	t = r.json()['t']
	a = r.json()['a']
	c = r.json()['c']
	# 第四关 求参数a 的运算过程
	answer = 0
    i = 0
    a.sort()
    for num in a:
        i += 1
        answer = fun[i % 3](answer, num)
    print(-answer)
    
	# 第二次请求url
	url = "http://159.75.70.9:8081/push?t=" + t + "&a=" + str(-answer)
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())

0x05 WebAssembly

  • 第五题 发现JS使用了WebAssembly这个东西，具体的内容自行百度。
  • 参考下方“理解WebAssembly文本格式”链接，将运算过程用 Python 实现。
  • 题目代码主要实现：找出参数a[0]中每一位的 最大和最小 值，然后相乘，
    并加上上次的执行结果，共执行a[1]次（可优化）。
  • 参考链接：理解WebAssembly文本格式
//第五题 题目
(module
  (func $import0 (import "Math" "min") (param i32 i32) (result i32))
  (func $import1 (import "Math" "max") (param i32 i32) (result i32))
  (export "Run" (func $func2))
  (func $func2 (param $var0 i32) (param $var1 i32) (result i32)
    (local $var2 i32) (local $var3 i32) (local $var4 i32) (local $var5 i32) (local $var6 i32) (local $var7 i32)
    local.get $var0
    local.set $var2
    local.get $var1
    i32.const 1
    i32.sub
    local.tee $var4
    if
      loop $label1
        local.get $var2
        local.set $var3
        i32.const 0
        local.set $var6
        i32.const 10
        local.set $var7
        loop $label0
          local.get $var3
          i32.const 10
          i32.rem_u
          local.set $var5
          local.get $var3
          i32.const 10
          i32.div_u
          local.set $var3
          local.get $var5
          local.get $var6
          call $import1
          local.set $var6
          local.get $var5
          local.get $var7
          call $import0
          local.set $var7
          local.get $var3
          i32.const 0
          i32.gt_u
          br_if $label0
        end $label0
        local.get $var2
        local.get $var6
        local.get $var7
        i32.mul
        i32.add
        local.set $var2
        local.get $var4
        i32.const 1
        i32.sub
        local.tee $var4
        br_if $label1
      end $label1
    end
    local.get $var2
  )
)
  • Python主要实现如下功能
    1、通过将参数a[0],转换为字符串，遍历字符串 找 最大值 和 最小值
    2、经过测试发现 计算运算 多次 之后，结果将保持不变；用temp保存上次的结果，并比较，如果相等则退出循环，不需要执行a[1]次。
# 第五题 解
import requests

answer = 0
i = 0
temp = 0

def func3(var0, var1):
    var2 = var0
    var4 = var1 - 1
    temp = var2
    if var4 != 0:
        while True:
            var3 = var2
            var6 = 0
            var7 = 10
            # print(var3)
            for i in str(var3):
                if int(i) > var6:
                    var6 = int(i)
                if int(i) < var7:
                    var7 = int(i)
            var2 = var6 * var7 + var2
            if (var2 == temp):
                return var2
            temp = var2
            var4 = var4 - 1
            if var4 == 0:
                break
    return var2

while True:
	# 第一次请求url
	url = "http://159.75.70.9:8081/pull?u="+token
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())
	t = r.json()['t']
	a = r.json()['a']
	c = r.json()['c']
	
	# 第五关 求参数a 的运算过程
    answer = func3(a[0], a[1])
    print(answer)
    
	# 第二次请求url
	url = "http://159.75.70.9:8081/push?t=" + t + "&a=" + str(answer)
	# 发送get请求
	r = requests.get(url)
	# 获取返回的json数据
	print(r.json())

0x06 JS_VM

  • 说明：自己写的代码有点烂，没有把获取e的值写出函数形式，其他地方可能也写的不够好。
  • 第六关 题目每1W JS会变，但是算法不变。简要分析过程如下
    1、如何找到运算过程：不会JS，但发现可以用console.log(x)输出内容，于是将运算过程都输出到控制台分析；
    2、经过分析后得知 程序 会从固定的位置 获取 “种子”值 x1；然后乘上上一次的运算结果，在固定位置获取 “求余”值 p，对运算结果求余；然后比较相乘的次数是否大于a[i]，如果大于，则从另一个位置 获取“种子”值x2，重复上述过程；
    3、通过修改参数a的值为1，分析后续的运算过程；可以得知，算法的过程如下 ：
    (x1^a[0] * x2^a[1] + x3^a[3] * x4^a[4] + … + x11^a[10] * x12^a[11]) % p
  • 解决的方法：快速幂（感谢大佬的提示）
  • 最后通过Python脚本 实现自动化获取 数据
# 第六关 解
# 获取js中参数e的数据
e = []
c = "F3B9B832"
url = "http://159.75.70.9:8080/" + c + ".js"
print(url)
# 发送get请求
r = requests.get(url)
# 获取返回的json数据
start = r.text.find("__TENCENT_CHAOS_VM(0,[") + len("__TENCENT_CHAOS_VM(0,[")
end = r.text.find("],window)}()")
strList = r.text[start: end].split(',')
for take_str in strList:
    e.append(int(take_str))
print("e:", len(e))

# 从 e 中 获取 求余值 和 种子值 列表
judge = e[142]
seedList = []
seedStart = 142
step = [149, 239]
index = seedStart;
# 求余值
modStart = 2361 
mod = 0
s = ''
i = modStart
while i < len(e):
    if e[i] == judge:
        s += str(e[i + 1] - 48)
        i += 1
    else :
        mod = int(s)
        break
    i += 1
print(mod)

# 种子值
count = 0;
while True:
    s = ''
    if count >= 12:
        break
    i = index
    while i < len(e):
        if e[i] == judge:
            s += str(e[i + 1] - 48)
            i += 1
        else:
            seedList.append(int(s))
            break
        i += 1
    index += step[count%2]
    count += 1
print(seedList)

# 快速幂
def fastPower(ans, a, b, n):
    while n > 0:
        if n % 2 == 1:
            ans = ans * a % b
        a = a * a % b
        n = n // 2
    return ans % b

count = 0
while(count < 10000):
    print(count)
    # 请求地址
    url = "http://159.75.70.9:8081/pull?u="+token
    # 发送get请求
    r = requests.get(url)
    # 获取返回的json数据
    print(r.json())
    t = r.json()['t']
    a = r.json()['a']
    c = r.json()['c']

    # 第六关
    ans = 1
    addNumber = 0
    i = 0
    while i < 6:
        j = 0
        while j < 2:
            ans = fastPower(ans, seedList[i*2 + j], mod, a[i*2 + j])
            j += 1
        addNumber = (addNumber + ans) % mod
        ans = 1
        i += 1
    # print(addNumber)
    url = "http://159.75.70.9:8081/push?t=" + t + "&a=" + str(addNumber)
    print(url)

	# 发送get请求
    r = requests.get(url)
    # 获取返回的json数据
    print(r.json())
    try:
        if r.json()["error"] != None:
            url = "http://159.75.70.9:8080/" + c + ".js"
            print(url)
            # 发送get请求
            r = requests.get(url)
            # 获取返回的json数据
            start = r.text.find("__TENCENT_CHAOS_VM(0,[") + len("__TENCENT_CHAOS_VM(0,[")
            end = r.text.find("],window)}()")
            strList = r.text[start: end].split(',')
            e.clear()
            for take_str in strList:
                e.append(int(take_str))
            print("e:", e)

            judge = e[142]
            print(judge)
            # 获取种子
            i = modStart
            while i < len(e):
                if e[i] == judge:
                    s += str(e[i + 1] - 48)
                    i += 1
                else:
                    mod = int(s)
                    break
                i += 1
            print(mod)

            # 种子
            j = 0; index = seedStart;
            seedList.clear()
            while True:
                s = ''
                if j >= 12:
                    break
                i = index
                while index < len(e):
                    if e[i] == judge:
                        s += str(e[i + 1] - 48)
                        i += 1
                    else:
                        seedList.append(int(s))
                        break
                    i += 1
                index += step[j % 2]
                j += 1
            print(seedList)
            count += 1
    except KeyError:
        count += 1
        continue

0x07 200W+1

  • 说明：最后两棵树请看大神的writeup。
kang0x0
关注
vmp_decoder
02-05
vmp_decoder
发仔制作vmp加密壳工具源码密码1
08-29
发仔制作vmp加密壳工具源码密码
反编译腾讯vmp
qq_21050249的博客
06-17 3111
这个的反编译过程就是这样了我认为的难点就是变量和作用域跨函数的处理还有循环的判断 否则会死循环一直走某些指令下一步 想自己实现一个vmp 希望可以顺利一些吧。
js逆向-腾讯滑块collect参数
十一姐的博客
04-06 1万+
第一次插桩输出 1、插桩打日志点：可以知道collect由3个超长的字符串拼接而成 j[j.length - 2] = j[j.length - 2] + j.pop() if(typeof j[j.length - 1] == "string"){ console.log("j栈的输出", j[j.length - 1]); } 2、第一组长串可知，超长串是由超长乱码串base64加密而得 3、超长的乱码串是由小的乱码串拼接而成，小的乱码串 第二次插桩输出 可以知道 Ç^ÿ °&gt
腾讯极客技术挑战赛--码上种树
古月清凨的博客
03-16 2772
https://dyngq.top/2021/03/12/20210312-%E6%A4%8D%E6%A0%91%E8%8A%82-%E6%9C%89%E8%B6%A3%E7%9A%84%E7%A0%81%E4%B8%8A%E7%A7%8D%E6%A0%91-%E8%85%BE%E8%AE%AF%E6%9E%81%E5%AE%A2%E6%8A%80%E6%9C%AF%E6%8C%91%E6%88%98%E8%B5%9B/ 在网上看到一个博主，到了25万，就不更新了 那天上100w，最高上了100名以内，
腾讯滑块vData_VMP分析
Qiled的博客
10-22 9833
腾讯vData_VMP分析 个人博客:http://www.zhuoyue360.com/ 1. 环境搭建 不太好拿实际的网站来做实战,所以使用Wampserver64 + html来搭建测试站, 需要本地html文件的可以联系QQ 2625112940. 验证码识别,图像识别,安卓逆向相关的朋友也可以联系我. 2. 分析 vData使用了JS-VMP的技术哈.至于JSVMP是啥?请参考下面这篇文章 给"某音"的js虚拟机写一个编译器 https://bbs.pediy.com/thread-261414
使用AI还原腾讯JSVMP-某点小说站 TENCENT_CHAOS_VM 逆向笔记
2503_90751789的博客
01-10 1296
反调试不是难点，常规 hook 即可VM 混淆的关键是获取运行时状态，不要死磕静态分析插桩是利器，Chrome Override 配合 AI 生成代码效率极高找到核心字段比完全逆向更重要，本例中abnormal是关键AI 是放大器，能显著提升效率，但核心判断仍需人工。
Chaos 解密：如何使 Chaos 更快更强
IDZPRC的博客
06-27 482
本演讲介绍如何通过英特尔和 Epic Games 的技术合作使得虚幻引擎的最新物理破环系统 Chaos 更快更强。展示了曾经在 GDC 2019 演示过的示例，并解析示例背后所使用的开发工具及技术，从而帮助开发者强化游戏中的物理特性与破坏效果。立即查看 ...
起点中文网防止网页调试的代码展示
河边杨柳
09-08 1561
起点中文网对爬虫非常敏感。如图，想在页面启用调试后会显示“已在调试程序中暂停”。选择停用断点并继续运行后会造成cpu占用率升高电脑卡顿。
详解反虚拟机技术
houjingyi的博客
10-21 1万+
恶意代码编写者经常使用反虚拟机技术逃避分析，恶意代码可以使用这种技术检测自己是否运行在虚拟机中。如果恶意代码探测到自己在虚拟机中运行，它会执行与其本身行为不同的行为，其中最简单的行为是停止自身运行。近年来，随着虚拟化技术的使用不断增加，采用反虚拟机技术的恶意代码数量逐渐下降。恶意代码编写者已经开始意识到，目标主机是虚拟机，也并不意味着它就没有攻击价值。随着虚拟化技术的不断发展和普通应用，反虚拟机技
腾讯滑块模块源码及调用例子-易语言
06-14
腾讯滑块模块源码及调用例子
腾讯极客技术挑战赛（安全平台部）：第一期题解
straka的博客
07-02 4601
腾讯极客挑战赛：第一期题解 原题：https://mp.weixin.qq.com/s/tZ9BmXfzGYpzrNm2Jl5Mrw #!/usr/bin/env python3 # -*- coding: utf-8 -*- from Crypto.Cipher import AES import base64 import time import gzip from hashlib import md5 import sys import io sys.stdout = io.TextIOWra
反编译获取任何微信小程序源码——看这篇就够了（最新）
热门推荐
源码好优多
12-10 2万+
一 准备工具 1 node.js 运行环境 下载地址：https://nodejs.org/en/ 2 反编译的脚本 链接：https://pan.baidu.com/s/1InxRoozDDb-C-g2rKGi1Cw 提取码：i50k 3 夜神模拟器 下载地址：https://www.yeshen.com/cn/download/fullPackage 二 开始反编译 1 获取小程序pkg包： 在模拟器中登录微信，随便打开一个小程序A 打开文件管理器，找到/data/data/com.tencent.m
mac版微信小程序反编译学习
crowsec
09-08 4540
本文是针对mac下使用微信的小程序进行解密，版本为3.8.1。反编译的工具是适用于mac和Windows的，其实Windows还有其他更好用的工具。
虚拟机封装教程
chaos_oper的博客
04-13 2639
一.安装rhel6.5版本linux虚拟机的初始设置 1.下载rhel6.5的镜像 2.virt-manager 3.点击小电视，安装镜像 1.）选择Local install media(ISO image or CDROM) 2.)输入要安装镜像存放的位置 3.)设置内存大小分配1024M 4.)硬盘大小分配10G 5.)设置虚拟机名称 4.虚拟机安装 二.配置base6.5虚拟机 1....
Tencent2016A安卓静态逆向分析
weixin_43660296的博客
11-11 2832
Tencent2016A安卓静态逆向分析介绍test新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 介绍 本文...
“chaos”的算法--之归并排序
weixin_34122810的博客
08-12 189
【 声明：版权所有，欢迎转载。 联系信箱：yiluohuanghun@gmail.com】 归并排序（Merge sort）的基本思想是合并两个有序表，设有两个有序（升序）序列存储在同一数组中相邻的位置上，不妨设为A[l..m]，A[m+1..h]，将它们归并为一个有序数列，并存储在A[l..h]。 归并排序的时...
Chaos Emulator v0.2.3 自建引力模拟器分享
Sunny的博客
08-25 2045
关于此项目 我是Osmos游戏的狂热分子，因为对Osmos中的星体运动，尤其是吸引体的引力模拟极为感兴趣，所以编写了Chaos Emulator这个简单的引力模拟器。 引力模拟器是开源的，遵循简单粗暴的MIT协议。GitHub仓库在这里 （请原谅小白式的代码） 给这个项目起名字为Chaos（混沌）的原因是，前不久才真正认识了混沌理论（或者是一种思想观）。 0.2.3的新功能 此版本目前仍旧保留一颗...
VMware Workstation中虚拟机实现上网功能
chaos_oper的博客
02-12 935
1.查看window网络信息，本机是连接无线网络 2.配置网卡信息 DEVICE=ens160 ONBOOT=yes BOOTPROTO=none IPADDR=192.168.1.10 NETMASK=255.255.255.0 GATEWAY=192.168.1.1 DNS1=202.99.216.113 3.重新启动网络 systemctl restart NetworkManage...
Python图片压缩方法全解：从入门到进阶
最新发布
得塔云的博客
06-19 401
本文总结了Python中六种主流的图片压缩方法：1）Pillow作为通用首选，支持质量调整、尺寸缩放和格式转换；2）TinyPNG API提供最高压缩率但有限额；3）WebP格式在保持画质下体积最小；4）PyVips适合大图处理，内存占用低；5）OpenCV针对视频帧和实时流优化；6）K-means聚类实现算法级色彩压缩。文章通过对比表格和决策树，建议根据场景需求选择工具，日常使用Pillow即可满足大多数需求，并附赠了一个可直接使用的批量压缩脚本。
评论 13
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值