SFPWN.1 解密步骤 Part.2

iceBear 67 发表于 2020-08-10 19:01:31
编辑于 2020-08-10 19:01:31

> 前面都是些小trick，没什么难度。

# 继续
上文中，我们得到了一个Key：`00$t@ke`.
现在，回顾一下，还有什么文件没有被检查:
read.me,nothing.js,out.jar,flag_in_the_jar.zip,pixel.png....
都检查过了，那么还剩下最后一个文件:`fixed.zip`
使用Hex Editor打开fixed.zip，会发现文件尾不是ZIP的，是PNG的。
搜索PNG的文件头:

![5.png](https://i.loli.net/2020/08/10/eGPdX1tHFz9IL6J.png)

接着将png复制出来，得到以下图像：
![qr.png](https://i.loli.net/2020/08/10/SJCiExvhmoXzjH6.png)
使用QQ/WX等直接扫描是无法进入的，这里用iDOTools扫描得到以下结果：
`https://VTJGc2RHVmtYMTlxdnJ1QlBwdU5wbkdhemp3RUZ2NFdkcUw2VHltVUg4a0dzTnNxcUVwVnVibUpwMzRXbVFaMTdqa3RJNThKNUpVRQpBRktKZG1wbXZ3PT0=.com`
又是一个坑。
在Base64 Decoder处解密，得到一段以`Salted__`开头的乱码
没错了，这就是要用来解密的密文。

## 挑战正式开始
目前没人到这一步，全给我鸽了，把我气个半死
555555555555555555555555555555555555555555
解密后得到以下URL：
`https://cowtransfer.com/s/3f1550ab05224a`
（考虑到URL时效性质，这里提供拷贝:https://github.com/saltedfishclub/FileStorage/blob/master/arch.7z）
下载后解压，可以看到若干以`miao~{{ ID }}`的文件夹，且每个文件夹大小几乎一致。
仔细观察，可以发现以下特征：
1. 几乎所有文件夹里的压缩包都无法打开
2. 大多数压缩包的MD5一致
此处给出2种思路：
1. 使用程序批量读取文件判断MD5，或者直接判断是不是7Z文件。
2. 直接`du`看大小，或者文件浏览器看修改时间
系统优势，我选择du（233333333
![6.png](https://i.loli.net/2020/08/10/vwREjGuOpfcXaWe.png)
可见文件在`miao~68`里
（其实这里出题人疏忽了 没有打乱写入时间 顶多坑坑浏览器排序方式不一样的人）
解压，得到文件夹nw.
```bash
archr@meow ~/.l/s/m/i/1/.m/s/nw> ls -a
./  ../  DIM-1/  data/  level.dat  region/  session.lock
```
父目录文件列表如上。
启动Minecraft,你会发现在存档列表里无法找到这个存档，说明`level.dat`被动了手脚。
使用NBT Explorer打开level.dat:
![7.png](https://i.loli.net/2020/08/10/9B1e5ovp3rkPuU7.png)
世界名: `YOUR VERSION IS ONE THOUSAND THAN MOJANGS!`
显然现在Minecraft版本号不可能破千，那么来考虑点别的..
注意最底下的`version: 20132`，这里就是上面那句话所指的`version`.
改为`19132`，成功识别到存档，并要求进行转换。
![8.png](https://i.loli.net/2020/08/10/mg8oUnNG3wSZM2T.png)
进去后会被僵尸猪人杀死，实际上在死亡点附近存在一个彩蛋，有兴趣的自己去挖掘。
![9.png](https://i.loli.net/2020/08/10/5imucUNpVQE9Okx.png)
箭头指向前方。
实际上这里是地图bug，你不应该直接出生在箭头这里
这里还藏了一个彩蛋，自己挖掘。
（忘记修改出生点了）
前方是找不到东西的，挖开羊毛
![10.png](https://i.loli.net/2020/08/10/COXQaigrVNZSqBm.png)
此处有机率直接打破牌子哈哈哈哈
牌子说，宝藏（也就是flag）在`-12,20`
tp过去，实际上是没有东西的。这里是本题的第一个难点，宝藏到底在哪？
如果这时候你用NBT Explorer打开`r.-1.0.mca`
![11.png](https://i.loli.net/2020/08/10/2L7w8BbPIcagZHJ.png)
你也找不到东西。实际上，在这里的额外数据早就被Minecraft清除掉了。
于是重新解压存档，找到这里：
![12.png](https://i.loli.net/2020/08/10/1wRKsSoNk6M5jL9.png)
成功抓到我自己。
`iceBear67/958a673c9c174884494551ae63ab7788`
删除上面的一大段HAHAHAHA(想着坑人的结果没坑到气死我了)，可以得到这一串字符串。这一串字符串看起来是GitHub的`Owner/Repo`格式
但是还是没有这个仓库~怎么办呢？这是gist.

![13.png](https://i.loli.net/2020/08/10/x2BSuFbcDamL3Zd.png)

下方图片：
![](https://i.loli.net/2020/08/04/aSXgwJAW2KObj7Y.png)
这个图片看起来蓝色的部分是二维码，实际上真正的二维码部分隐藏在黑色里，需要特殊处理才能出来。
在这之前：打开raw,可以看到这里引用图片的代码有蹊跷:
`![01101000 01110100 011101000111000001110011001110100010111100101111011100000110000101110011011101000110010100101110011101010110001001110101011011100111010001110101001011100110001101101111011011010010111101110000001011110011001101100011011100100100111001100110010101000101001101111010010011010011011000101111](...)`
yes! binary!
解码后再次得到一串URL：`https://paste.ubuntu.com/p/3crNfTSzM6/`
是一串base64.解码后你会得到一些歌词:
> 漂う宇宙(そら)のどこか遠く
在那缥缈的宇宙远方
祈り通ずる惑星(ほし)があるとしたら
如果存在着能传达祈愿的行星
僕らはそこへ向かうだろうか
我们大概是在向着那里前行吧
そして何を祈るのだろう
然后该祈祷着什么呢
果たせなかった約束や
那些没能实现的约定
犠牲になった高潔の光
和黯淡的高洁之光
残る物など何もないとしても
就算什么都没能留下
今は信じた道をただ進め
如今也只能相信着脚下的路途
希望の花 繋いだ絆が
希望之花 连系着羁绊
今僕らの胸の中にあるから
现在就在我们心中
決して散ることはない
它绝不凋散
生きる力
充满生命的力量
希望の花 繋いだ絆を
希望之花 连系着羁绊
力にして明日を強く咲き誇れ
这份力量会在明日全力地绽放
戻る場所なんてない辿り着くべき場所へと
我们无可回头 朝着应该抵达的彼岸
迷いのない旗を高く掲げて
高举毫无迷惘的旗帜
今を生きていく
为了此刻而活下去
見えないものに 怯えていた
畏怯着未知的事物
弛むことない この世界の中
在无法豁然释怀的这个世界
それでも一つ 心の波間に
就算如此 摇漾的内心中
変わらないもの 浮かべながら
也有一件事不曾改变 浮现在眼前
希望の花 繋いだ絆が
希望之花 连系着羁绊
今僕らの胸の中にあるから
现在就在我们心中
綻びを縫い合い
缝合心灵的缺口
強くなれる
变得坚强
希望の花 繋いだ絆を
希望之花 连系着羁绊
力にして 明日を強く咲き誇れ
这份力量会在明日全力地绽放
何の為向かうのか見失いそうな時に
为何在前行 当你迷茫的时候
守り抜きたいものがあること
就在此刻发觉
気付いたんだ
还有着无论如何也想守护的东西
傷を隠し 一人泣いた夜に
藏匿伤痛 独自一人落泪的夜晚
くれた優しさ 溢れ出したのは
得到的温柔满溢而出
未来を誓った「決意の涙」
成为决意着誓言未来的泪水
希望の花 繋いだ絆が
希望之花 连系着羁绊
今僕らの胸の中にあるから
现在就在我们心中
決して散ることはない
它绝不凋散
生きる力
充满生命的力量
希望の花 繋いだ絆を
希望之花 连系着羁绊
力にして明日を強く咲き誇れ
这份力量会在明日全力地绽放
戻る場所なんてない辿り着くべき場所へと
我们无可回头 朝着应该抵达的彼岸
迷いのない旗を高く掲げて
高举毫无迷惘的旗帜
今を生きていく
为了此刻活下去吧

是的，彩蛋！
通过图像处理一波操作二维码后可以得到一个文件:`?`
用Hex Editor打开它，可以看到出现了"reWard"字眼..
是的，你距离flag又近了一步。这一步也是一个难点，因为你首先要知道GZIP的魔数是`1F 8B`，删除文件最开头的F0即可解压
得到的reward文件依然是套娃，继续删除文件最开头的FF
然而没这么简单..这个文件的长度也被修改过了，最后应该填写原始数据的长度以2的32次方为模的值。实际上这里是题目bug，但是没人发现~~~
最终得到flag。

iceBear 67

@iceBear67

iceBear,24岁，是学生放弃了自己的博客来到了dalao聚集的LxNet