BUUCTF Reverse/[2019红帽杯]Snake

BUUCTF Reverse/[2019红帽杯]Snake

下载解压缩后得到可执行文件，而且有一个unity的应用程序，应该是用unity编写的游戏

打开是一个贪吃蛇游戏

用.NET Reflector打开Assembly-CSharp.dll。（unity在打包后，会将所有的代码打进一个Assembly-CSharp.dll的文件里面，通过这个文件的反编译，就是详细看见里面的代码内容）

一个unity引擎写的贪吃蛇游戏，功能挺齐全的，看代码里，C#,和C++都有
搜索知道unity有两个主要特点，程序代码会打包进Assemblely-CSharp.dll库文件下，他主要储存这文件间的相互联系与文件所包含函数，其中gameobject()是用来创建对象的函数包含该函数的模块文件即为游戏的入口，可以看到在Interface下

把Snake\Snake_Data\Managed目录下的Assembly-CSharp.dll放到dnSpy里面反汇编看看，发现了导入外部interface动态链接库，且GameObject主函数就在这个库中。

现在来看看这个函数是如何被使用的，选中GameObject函数，右键点击分析，弹出的分析器中双击可以看出向这个函数传入了一个坐标参数。

找到Plugins下的Interface

是个用C++写的64位动态链接库。

ida64查看，在string窗口看到这个

查壳发现该文件为C++编写，不能用dnspy打开，换回ida

定位，是在函数GameObject中。

反编译GameObject函数，这个函数的逻辑看似很复杂，但是我们注意到这个函数只有一个参数a1（x坐标）传入，传入的a1范围如果在0到99之间就能输出flag。既然是个C++写的动态链接库，不妨写个程序导入这个动态链接库爆破一下。

查壳发现该文件为C++编写，不能用dnspy打开，换回ida
通过定位很容易发现主函数，且刚好位于GameObject()函数下，看到有几个大整数，并且有两次flag提醒，开始以为是RSA,但好像不是，运算比较复杂，师傅说可以直接调用dll函数进行爆破，在函数头我们可以发现确实有一个a1参数被传入

0x02 EXP
1. exp by C:

动态调用dll：

??? 这边有个坑，就是一个64位进程不能加载一个32位dll，同理一个32位进程也不能加载一个64位dll。interface.dll是64位的，所以我们要设置一下编译器的支持平台为64位，不然LoadLibrary函数会一直返回null。
??? ——参考：LoadLibrary加载动态库失败的可能原因以及解决方案
以vs2017为例，右键点击你的解决方案，进入属性。

#include<iostream>
#include<Windows.h>
#include"defs.h"//ida自带的头文件
//函数指针
typedef signed __int64(*Dllfunc)(int);
using namespace std;
int main()
{
	Dllfunc GameObject;//GameObject是dll中想要调用的函数名称
	HINSTANCE hdll = NULL;
	hdll = LoadLibrary(TEXT("Interface.dll"));//用LoadLibrary加载dll								
	if (hdll == NULL)
	{
		cout << "加载失败\n";
	}
	else
	{
		GameObject = (Dllfunc)GetProcAddress(hdll, "GameObject");//到dll中定位函数
		if (GameObject == NULL)
		{
			cout << "加载函数失败\n";
		}
		else
		{
			for (int i = 0; i <= 99; i++)
			{
				signed __int64 res = GameObject(i);
			}
		}
	}
	FreeLibrary(hdll);//释放dll
	return 0;
}

?

小技巧：利用python内置的ctypes模块导入dll

python ctypes模块：

模块ctypes是Python内建的用于调用动态链接库函数的功能模块，一定程度上可以用于Python与其他语言的混合编程。由于编写动态链接库，使用C/C++是最常见的方式，故ctypes最常用于Python与C/C++混合编程之中。

flag{Ch4rp_W1th_R$@}

import ctypes
dll = ctypes.cdll.LoadLibrary("文件路径\\Interface.dll")#导入库
for i in range(100):
    dll.GameObject(i)#调用库函数
    print(i)

学到两点：

• 一是unity框架的定位
• 二是dll函数的调用