看雪CTF游戏逆向与漏洞利用实战解析

1. 看雪CTF-GAME闯关秘籍解析

作为国内知名的安全技术社区，看雪学院举办的CTF竞赛一直以高质量的题目设计著称。去年参加的GAME闯关类题目给我留下了深刻印象——这类题目通常将逆向工程、漏洞利用等安全技术融入游戏场景，选手需要通过破解游戏机制来获取flag。下面我将分享这套题目的完整解题思路，包含逆向分析、内存修改和算法破解三个关键环节。

1.1 题目环境与初步观察

拿到题目压缩包后，首先用Detect It Easy工具检查文件类型，发现是个32位Windows控制台程序。运行后呈现经典文字冒险游戏界面，包含角色属性、背包系统和多级地图。游戏提示需要找到"上古秘宝"才能通关，这显然就是我们要获取的flag。

重要提示：建议在虚拟机环境中运行未知CTF题目，避免潜在恶意代码风险。我使用的是配置了快照的Windows 7虚拟机。

通过Process Monitor监控程序行为时，发现游戏会定期向C:\Users\Public\check.txt写入数据。这是个重要线索——可能包含游戏状态校验逻辑。

2. 逆向工程核心环节

2.1 静态分析突破点

用IDA Pro载入程序后，首先定位到字符串引用，发现几处关键提示：

• "SecretCode: %s" —— 疑似flag输出格式
• "Inventory full!" —— 背包系统相关
• "Cheat detected!" —— 反作弊机制提示

交叉引用找到主游戏逻辑函数sub_4012A0，其流程大致为：

1. 初始化游戏状态（0x4033C0处结构体）
2. 加载地图数据
3. 进入主循环处理用户输入

2.2 动态调试技巧

在OllyDbg中附加进程后，重点关注几个关键点：

• 用户输入处理函数（GetInput调用的sub_4010D0）
• 物品捡拾时的内存写入（00401573处call）
• 反作弊检测线程（CreateThread创建的sub_4018F0）

通过下断点观察发现：

• 角色坐标存储在[0x4033C0+0x10]双字
• 背包物品列表始于0x4033C0+0x50的20字节数组
• 每个物品用1字节表示类型，0xFF为空位

调试心得：遇到反调试时，可以尝试修改PE头中的BeingDebugged标志，或使用ScyllaHide插件规避检测。

3. 关键漏洞利用实践

3.1 背包溢出漏洞

分析物品捡拾逻辑时发现危险代码：

assembly复制mov edi, [ebp+items_count]
cmp edi, 20
jge inventory_full
mov byte ptr [esi+edi], al ; 未检查数组边界
inc [ebp+items_count]

当items_count被修改为大于20时，可以越界写入相邻内存。通过以下步骤利用：

1. 用Cheat Engine将items_count改为21
2. 捡拾特定物品（类型0x7B）
3. 覆盖关键函数指针实现EIP控制

3.2 内存校验绕过

游戏会通过校验和检测内存修改：

c复制void __cdecl CheckMemory()
{
  DWORD sum = 0;
  for (int i=0; i<0x100; i+=4) {
    sum += *(DWORD*)(0x4033C0 + i);
  }
  if (sum != 0x12345678) ExitProcess(0);
}

解决方法：

1. 在调试器中定位校验线程
2. 修改0x4033C8处的初始值为0x12345678 - (原校验和 - 0x4033C8值)
3. 保持总和不变即可

4. 完整解题步骤实录

4.1 第一阶段：地图探索

1. 运行游戏输入"DEBUG"激活隐藏命令（通过字符串搜索发现）
2. 获得穿墙能力后直达(15,7)坐标
3. 获取关键物品"破碎的卷轴"（物品ID 0x66）

4.2 第二阶段：密码破解

卷轴显示密文：

code复制XOR(0x55): 
4A 6F 68 6E 20 47 61 6C 74 68 6F 72 70 65

用Python解密：

python复制bytes([0x4A^0x55, 0x6F^0x55,...]) # 输出"John Galt"

这就是游戏内商店的解锁密码。

4.3 第三阶段：最终flag

1. 在商店输入密码获得"秘宝钥匙"
2. 返回起始点使用钥匙
3. 触发隐藏对话显示：

code复制SecretCode: flag{Game_0ver_0xCAFEBABE}

5. 典型问题排查指南

5.1 反作弊机制触发

症状：游戏突然退出
解决方案：

• 用x32dbg的插件隐藏调试器
• 在004018FA处修改检测逻辑：

assembly复制原指令：test eax, eax
修改为：xor eax, eax

5.2 物品复制BUG

当背包满时快速切换地图可能复制物品。这会导致校验和错误，建议：

1. 用CE搜索并锁定items_count
2. 保持背包剩余至少1空位

5.3 坐标异常问题

穿墙模式可能导致坐标溢出，解决方法：

1. 定期执行"warp 0 0"重置位置
2. 修改[0x4033C0+0x10]处的DWORD值为安全坐标

6. 进阶技巧与工具链

6.1 自动化脚本开发

用Python实现内存修改自动化：

python复制import win32api
process = win32api.OpenProcess(0x1F0FFF, False, pid)
win32api.WriteProcessMemory(process, 0x4033C0+0x10, b"\x07\x00\x00\x00", 4)

6.2 定制调试器配置

在x64dbg中创建专用配置：

1. 选项→偏好设置→异常
2. 忽略以下异常：

• SINGLE_STEP
• INT3_CC
• ACCESS_VIOLATION

6.3 游戏资源提取

使用Resource Hacker提取内置资源：

1. 打开游戏EXE文件
2. 导出BMP素材
3. 分析地图文件格式（本题中是RLE压缩）

这套题目综合考察了逆向分析、漏洞利用和密码学知识。最关键的收获是：游戏类CTF往往把flag获取条件埋在正常游戏流程之外，需要创造性思维才能发现隐藏通道。建议新手从修改器开发的角度入手，先理解游戏内存结构，再寻找突破点。