STM32在CTF中的应用和快速解题

题目给的是bin文件，基本上就是需要我们手动修复的固件逆向。

如果给的是hex文件，我们可能需要使用MKD进行动态调试

主要还是以做题为目的

详细的可以去看文档：https://pdf1.alldatasheet.com/datasheet-pdf/view/201596/STMICROELECTRONICS/STM32F103C8T6.html

SVD文件下载：https://github.com/posborne/cmsis-svd

image​

本文参考了网上多篇文章，最终汇总在一篇，对这道新的STM32题进行解题。

IDA分析设置

1、基础设置

STM32主要信息：

  • 内核：ARM32位Cortex-M3 CPU
  • ARM Little-endian
  • Cortex-M架构属于ARMv7-M

IDA32位打开

image​​​

ARM little-endian

image​

‍

image​

点击ok之后进入

  • flash的映射地址是 0x08000000 ~ 0x0807ffff (512KB)

flash就是我们装代码的地方，也是STM32入口

image​

下面这张图来自STM32中文参考手册

image​

从这张表中，可以了解的信息是，在偏移4的位置存储的是RESET，并且是固定的。

帮助网安学习，全套资料S信免费领取：
① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC分析报告
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战技巧手册
⑦ 最新网安大厂面试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）

Reset就是充电就会执行并进入的地方，因此将其当做固件入口

image​

在IDA偏移为4的地方，按下“D”键进行转换

得到了RESET的地址：0x80004D1

可以看到为奇数，说明是thumb指令

按下 “G” 键进行跳转

image​

然后神奇的一幕发生了

image​

自动识别了很多函数

image​

其实这没有固定的套路，我们跟踪跳转，一步一步的分析，最终会到达关键步骤

image​

分析函数 ：sub_8000260

image​

发现爆红了，需要我们手动添加一些段

  • Flash Memory: 0x8000000 ~ 0x801FFFF (128K)
  • SRAM: 0x20000000 ~ 0x20004FFF (20K)
  • Peripherals: 0x40000000 ~ 0x40023400

‍

2、添加段-SRAM

image​​

单片机内存被总分为flash(rom)和sram（ram），flash里面的数据掉电可保存，sram中的数据掉电就丢失，sram的执行速度要快于flash，flash容量大于sram

单片机的程序存储分为code(代码存储区)、RO-data(只读数据存储区)、RW-data(读写数据存储区) 和 ZI-data(零初始化数据区)
Flash 存储 code和RO-data
Sram 存储 RW-data 和ZI-data

所以，SRAM段需要我们自己添加

[0x20000000,0x2000ffff]
SRAM: 0x20000000 ~ 0x20004FFF (20K) 存放程序动态执行时的变量

image​

image​​

‍

‍

3、添加段-Peripherals

Peripherals: 0x40000000 ~ 0x400234ff    #这里还是改为了0x400234ff 而不是 0x40023400 在实战中发现多有多余的爆红，因此范围扩大总没错
外设寄存器的映射地址，程序通过读写这些内存地址实现对外围设备的控制

Peripherals 段中包含了我们要了解的寄存器

image​

‍

4、恢复中断向量表

地址0x8000000​-0x80000eb​ 存储了中断向量表的相关信息

使用python脚本，主要功能是删除旧的分析，添加dword类型分析

for i in range(0x8000000,0x80000eb,1): 
 del_items(i)
for i in range(0x8000000,0x80000eb,4): 
 create_dword(i)
print("ok")

image​

可以看到均已恢复

image​

修复完成后，发现了很多重复的地址，比如：0x8000519 这些函数并没有定义

image​

跳转过去，将其全部生成对应的函数，使用（P 键）

image​

官方图：

image​

‍

‍

5、恢复符号

bindiff来恢复符号表

如果有闲工夫或者是对stm32的开发非常上手，就可以自己写一个demo，尽可能多的使用到各种库函数，然后编译出一个axf文件。我这里的话，由于好久没有用stm32了，开发起来有些生疏，所以就不自己手写了，我选择捡现成的项目，编译出axf文件

可以多选几个例程，能涵盖更多的库函数，将这些axf文件用IDA打开，然后生成idb文件。然后在我们的目标bin文件中，使用bindiff加载idb文件。

image​

网上随便找一个，下载axf文件

image​

选择一个idb文件，然后会出现这样一个比较界面：

image​

选取similarity大的函数导入到bin文件中

image​

导入之后实际上就能恢复大部分的函数名了。

image​

‍

‍

6、恢复外设

导入SVD文件，恢复外设结构

在IDA7.5以后，就自带SVD文件加载插件了，如下图：

image​

打开之后如下：

我们可以自行下载相应的SVD文件，或者加载GitHub上的仓库，我这里选择自行下载然后在本地加载。

下载链接是这个：

stm32-svd-main.zip

image

选中想要加载的svd文件之后，IDA就会自动恢复bin文件中的外设结构，体现在伪代码中就是这样：

image​

image​

（在这题中好像没什么用）

‍

‍

‍

2、解题

基本上做完上面的操作后

STM32就能看了

进入main函数

image​

继续分析

image​

image​​

题目说的是要找key

image​

‍

但是发现Key没有值。。。也就是说要么动调要么爆破，给了密文，就差了key

image​

因此写出解密脚本

先转换一下

int main() {
   
    int  v19[8] = { 0 };
    v19[0] = 0xF4DD0F64;
    v19[1] = 0x5173B9F8;
    v19[2] = 0xC7D238B2;
    v19[3] = 0x9B9FCA8;
    v19[4] = 0x286D3C51;
    v19[5] = 0x429DE399;
    v19[6] = 0x8084307B;
    LOWORD(v19[7]) = 0x9175;
    for (size_t i = 0; i < 8; i++)
    {
        for (size_t j = 0; j < 4; j++)
        {
            printf("%02x ", (v19[i] >> 8 * j)&0xff);
        }
    }



    return 0;
}

‍

写出解密脚本：

from itertools import product
from Crypto.Cipher import ARC4
xorkey ="flag{tH14.l4_F@kKkEeeE---f41g}"
enc = bytearray([0x64,0x0f,0xdd,0xf4,0xf8,0xb9,0x73,0x51,0xb2,0x38,0xd2,0xc7,0xa8,0xfc,0xb9,0x09,0x51,0x3c,0x6d,0x28,0x99,0xe3,0x9d,0x42,0x7b,0x30,0x84,0x80,0x75,0x91])
l = list(range(0x20,0x7f))
for k in product(l, repeat=4):
    key = bytearray(k)
    res = ARC4.new(key).decrypt(xorkey.encode())
    if res == enc:
        print('get')
        print(key)
        exit(0)

使用C语言爆破会更快

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <stdint.h>
#include <unistd.h>

#include <openssl/arc4.h>

#define XOR_KEY "flag{tH14.l4_F@kKkEeeE---f41g}"
#define ENC_SIZE 29

int main() {
    uint8_t enc[ENC_SIZE] = {0x64, 0x0f, 0xdd, 0xf4, 0xf8, 0xb9, 0x73, 0x51, 0xb2, 0x38, 0xd2, 0xc7, 0xa8, 0xfc, 0xb9, 0x09, 0x51, 0x3c, 0x6d, 0x28, 0x99, 0xe3, 0x9d, 0x42, 0x7b, 0x30, 0x84, 0x80, 0x75, 0x91};

    int l[] = {0x20, 0x21, 0x22, 0x23, 0x24, 0x25, 0x26, 0x27, 0x28, 0x29, 0x2a, 0x2b, 0x2c, 0x2d, 0x2e, 0x2f,
               0x30, 0x31, 0x32, 0x33, 0x34, 0x35, 0x36, 0x37, 0x38, 0x39, 0x3a, 0x3b, 0x3c, 0x3d, 0x3e, 0x3f,
               0x40, 0x41, 0x42, 0x43, 0x44, 0x45, 0x46, 0x47, 0x48, 0x49, 0x4a, 0x4b, 0x4c, 0x4d, 0x4e, 0x4f,
               0x50, 0x51, 0x52, 0x53, 0x54, 0x55, 0x56, 0x57, 0x58, 0x59, 0x5a, 0x5b, 0x5c, 0x5d, 0x5e, 0x5f,
               0x60, 0x61, 0x62, 0x63, 0x64, 0x65, 0x66, 0x67, 0x68, 0x69, 0x6a, 0x6b, 0x6c, 0x6d, 0x6e, 0x6f,
               0x70, 0x71, 0x72, 0x73, 0x74, 0x75, 0x76, 0x77, 0x78, 0x79, 0x7a, 0x7b, 0x7c, 0x7d, 0x7e, 0x7f};
    int l_size = sizeof(l) / sizeof(int);

    uint8_t key[4];
    uint8_t dec[ENC_SIZE];

    for (int i = 0; i < l_size; i++) {
        for (int j = 0; j < l_size; j++) {
            for (int k = 0; k < l_size; k++) {
                for (int m = 0; m < l_size; m++) {
                    key[0] = l[i];
                    key[1] = l[j];
                    key[2] = l[k];
                    key[3] = l[m];

                    ARC4_CTX ctx;
                    ARC4_set_key(&ctx, 4, key);

                    ARC4(&ctx, ENC_SIZE, enc, dec);

                    if (memcmp(dec, XOR_KEY, ENC_SIZE) == 0) {
                        printf("get\n");
                        printf("%c%c%c%c\n", key[0], key[1], key[2], key[3]);
                        exit(0);
                    }
                }
            }
        }
    }

    return 0;
}

爆破出秘钥：

d4@d

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/245938.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

微服务学习:Gateway服务网关

微服务学习:Gateway服务网关

一&#xff0c;Gateway服务网关的作用&#xff1a; 路由请求&#xff1a;Gateway服务网关可以根据请求的URL或其他标识符将请求路由到特定的微服务。 负载均衡&#xff1a;Gateway服务网关可以通过负载均衡算法分配请求到多个实例中&#xff0c;从而平衡各个微服务的负载压力。…
阅读更多...
一入二出热电阻温度信号隔离变送器

一入二出热电阻温度信号隔离变送器

一入二出热电阻温度信号隔离变送器 用于测量铂热电阻Pt10,Pt100,Pt1000,Cu50,Cu100的热电阻传感器的小型仪器设备。广泛应用于工业测量温度系统&#xff0c;是降低成本且有效的测量方式。 型号&#xff1a;JSD TARZ-1002系列 我们来看下有什么特点&#xff1a; ◆小体积&#x…
阅读更多...
天猫数据分析平台-天猫销售数据查询软件-11月天猫平台冲锋衣市场销售运营数据分析

天猫数据分析平台-天猫销售数据查询软件-11月天猫平台冲锋衣市场销售运营数据分析

随着气温逐渐下降&#xff0c;保暖服饰迎来热销&#xff0c;冲锋衣的需求大增。如今冲锋衣已经不仅仅是户外运动的装备&#xff0c;还成为很多年轻人的日常穿搭和时尚的追求。 新的穿搭趋势也带来了巨大的市场机会。据公开数据显示&#xff0c;中国有冲锋衣生产及经营企业超过8…
阅读更多...
竞赛保研 python+opencv+机器学习车牌识别

竞赛保研 python+opencv+机器学习车牌识别

0 前言 &#x1f525; 优质竞赛项目系列&#xff0c;今天要分享的是 &#x1f6a9; 基于机器学习的车牌识别系统 &#x1f947;学长这里给一个题目综合评分(每项满分5分) 难度系数&#xff1a;4分工作量&#xff1a;4分创新点&#xff1a;3分 该项目较为新颖&#xff0c;适…
阅读更多...
什么是纯净IP?如何判断IP地址的纯净度？有哪些干净IP推荐？

什么是纯净IP?如何判断IP地址的纯净度？有哪些干净IP推荐？

您是否想知道什么使代理“干净”或如何确保您的代理不会将您列入网站的黑名单&#xff1f;对于通过代理访问网络的人来说&#xff0c;干净的代理是无缝在线体验的重要组成部分。在这篇文章中&#xff0c;我们将深入研究干净代理的世界&#xff0c;并探讨决定其质量的因素。 一、…
阅读更多...
k8s常用命令及示例(三)：apply 、edit、delete

k8s常用命令及示例(三)：apply 、edit、delete

k8s常用命令及示例(三)&#xff1a;apply 、edit、delete 1. kubectl apply -f 命令&#xff1a;从yaml文件中创建资源对象。 -f 参数为强制执行。kubectl apply和kubectl create的区别如下&#xff1a;kubectl create 和 kubectl apply 是 Kubernetes 中两个常用的命令&…
阅读更多...
加速数据采集：用OkHttp和Kotlin构建Amazon图片爬虫

加速数据采集：用OkHttp和Kotlin构建Amazon图片爬虫

引言 曾想过轻松获取亚马逊上的商品图片用于项目或研究吗&#xff1f;是否曾面对网络速度慢或被网站反爬虫机制拦截而无法完成数据采集任务&#xff1f;如果是&#xff0c;那么本文将为您介绍如何用OkHttp和Kotlin构建一个高效的Amazon图片爬虫解决方案。 背景介绍 亚马逊&a…
阅读更多...
Spring Boot之自定义starter

Spring Boot之自定义starter

&#x1f973;&#x1f973;Welcome Huihuis Code World ! !&#x1f973;&#x1f973; 接下来看看由辉辉所写的关于Spring Boot的相关操作吧 目录 &#x1f973;&#x1f973;Welcome Huihuis Code World ! !&#x1f973;&#x1f973; 一. starter是什么 二.为什么要使…
阅读更多...
万界星空科技AI低代码云MES系统

万界星空科技AI低代码云MES系统

在企业生产管理过程中&#xff0c;从市场、生产现场到产品交付&#xff0c;生产制造行业都面临着诸多挑战&#xff0c;比如&#xff1a; 订单排产难度大&#xff1a;订单混乱&#xff0c;常漏排产、错排产&#xff1b;产能不明晰&#xff0c;无法承诺交期&#xff0c;常丢单&a…
阅读更多...
智慧工地源码（微服务+Java+Springcloud+Vue+MySQL）

智慧工地源码（微服务+Java+Springcloud+Vue+MySQL）

智慧工地系统是依托物联网、互联网、AI、可视化建立的大数据管理平台&#xff0c;是一种全新的管理模式&#xff0c;能够实现劳务管理、安全施工、绿色施工的智能化和互联网化。围绕施工现场管理的人、机、料、法、环五大维度&#xff0c;以及施工过程管理的进度、质量、安全三…
阅读更多...
python selenium chrome114版本之后环境配置和携带缓存打开chrome

python selenium chrome114版本之后环境配置和携带缓存打开chrome

尽力局 chrome驱动环境配置chrome打开带缓存设置待缓存打开自动关闭浏览器自动关闭浏览器弹窗 最终代码找资料难啊最终效果代码 依赖包和生成依赖包方法关闭谷歌升级 chrome驱动环境配置 网上找到的资料&#xff0c;我现在安装的是120版本的&#xff0c;这个资料是可行的。比较…
阅读更多...
物流实时数仓：数仓搭建（DWD）一

物流实时数仓：数仓搭建（DWD）一

系列文章目录 物流实时数仓&#xff1a;采集通道搭建 物流实时数仓&#xff1a;数仓搭建 物流实时数仓&#xff1a;数仓搭建&#xff08;DIM&#xff09; 物流实时数仓&#xff1a;数仓搭建&#xff08;DWD&#xff09;一 文章目录 系列文章目录前言一、文件编写1.目录创建2.b…
阅读更多...
亚信科技AntDB数据库——深入了解AntDB-M元数据锁的实现（一）

亚信科技AntDB数据库——深入了解AntDB-M元数据锁的实现（一）

锁的获取 5.1 锁的强弱 当线程已经持有的锁比新申请的锁更强时&#xff0c;认为已经持有了锁&#xff0c;无需再对申请锁类型加锁。锁的强弱指持有的锁与其他锁的不兼容集合大小&#xff0c;集合相同锁相同&#xff0c;集合更大锁更强&#xff0c;否则无强弱关系。通过锁的兼…
阅读更多...
Kafka-Kafka基本原理与集群快速搭建

Kafka-Kafka基本原理与集群快速搭建

一、Kafka介绍 ​ ChatGPT对于Apache Kafka的介绍&#xff1a; Apache Kafka是一个分布式流处理平台&#xff0c;最初由LinkedIn开发并于2011年开源。它主要用于解决大规模数据的实时流式处理和数据管道问题。 Kafka是一个分布式的发布-订阅消息系统&#xff0c;可以快速地处理…
阅读更多...
JAVA：深入探讨Map的多种遍历方式

JAVA：深入探讨Map的多种遍历方式

1、简述 在现代编程中&#xff0c;Map&#xff08;映射&#xff09;是一种常见的数据结构&#xff0c;用于存储键-值对。在许多编程语言中&#xff0c;Map提供了灵活的数据组织方式&#xff0c;但为了充分发挥其功能&#xff0c;我们需要了解多种遍历方式。本文将深入探讨Map的…
阅读更多...
龙迅LT2611UXC 双PORT LVDS转HDMI（2.0）+音频

龙迅LT2611UXC 双PORT LVDS转HDMI（2.0）+音频

描述&#xff1a; LT2611UXC是一个高性能的LVDS到HDMI2.0的转换器&#xff0c;用于STB&#xff0c;DVD应用程序。 LVDS输入可配置为单端口或双端口&#xff0c;有1个高速时钟通道&#xff0c;3~4个高速数据通道&#xff0c;最大运行1.2Gbps/通道&#xff0c;可支持高达9.6Gbp…
阅读更多...
牛客网SQL训练2—SQL基础进阶

牛客网SQL训练2—SQL基础进阶

文章目录 一、基本查询二、数据过滤三&#xff1a;函数四&#xff1a;分组聚合五&#xff1a;子查询六&#xff1a;多表连接七&#xff1a;组合查询八&#xff1a;技能专项-case when使用九&#xff1a;多表连接-窗口函数十&#xff1a;技能专项-having子句十一&#xff1a;技能…
阅读更多...
桂电|《操作系统》实验一：UNIX/LINUX及其使用环境（实验报告）

桂电|《操作系统》实验一：UNIX/LINUX及其使用环境（实验报告）

桂林电子科技大学2023-2024学年 第 一 学期 操作系统A 实验报告 实验名称 实验一 UNIX/LINUX及其使用环境 实验指导老师&#xff1a; 成绩 院 系 计算机与信息安全学院 专业 计算机科学与技术(卓越工程) 学 号 姓名 课内序…
阅读更多...
保姆级 Keras 实现 YOLO v3 三

保姆级 Keras 实现 YOLO v3 三

保姆级 Keras 实现 YOLO v3 三 一. 分配 anchor box二. 正负样本匹配规则三. 为每一个 anchor box 打标签3.1 anchor box 长什么样?3.2 每一个 anchor box 标签需要填充的信息有哪些?3.3 ( Δ x , Δ y , Δ w , Δ h ) (\Delta x, \Delta y, \Delta w, \Delta h) (Δx,Δy,…
阅读更多...
uniapp交互反馈api的使用示例

uniapp交互反馈api的使用示例

官方文档链接&#xff1a;uni.showToast(OBJECT) | uni-app官网 1.uni.showToast({}) 显示消息提示框。 常用属性&#xff1a; title:页面提示的内容 image&#xff1a;改变提示框默认的icon图标 duration&#xff1a;提示框在页面显示多少秒才让它消失 添加了image属性后。 注…
阅读更多...
最新文章

Copyright @ 2022~2023