Hackergame 2022 Writeup

October 30, 2022

Intro

今年已经是第三次参赛了。说是不在乎排名，也挺违心的。不过每次参加比赛，那种一直惦记着要把题目解出来的感觉，是挺吸引人的。从解题倾向来看，还是 General 和 Web 的题目能拿下分数，其他的要么是数学不好，要么是没有接触。所以也很正常，玩得开心就好。

H9EsT7

签到 (Web)

进入页面，会出现四个黑框，看上去似乎是要在规定时间内画出「2022」四个数字。但其实提交后，URL 会加上 result 参数，修改这个参数为「2022」即可获得 flag。

猫咪问答喵 (General)

今年的问答比去年难了不少，且按「答对一半」和「答对全部」两阶段给分。所以刚开始先挑了三道最为简单的题目完成，之后再找了个时间静下来解答剩余题目。

接下来将从解题顺序开始。

除了本地化的问题，否则很不推荐使用国内搜索引擎答题，效率会大打折扣。

第三题对于使用 Google 的选手来说，这道是送分题。直接搜索 ‘last firefox version in windows 2000’ 即可。
第一题如果使用 Google 搜索，可能会受到其他内容的影响。较准确的是用 USTC NEBULA 成立 作为关键词搜索，可在中国科学技术大学星云（Nebula）战队在第六届强网杯再创佳绩这篇新闻稿中找到成立年月。
第六题可以在搜索引擎中找到文章关于实行新的网络费用分担办法的通知，但要留意文中这句话：同时网字〔2003〕1号《关于实行新的网络费用分担办法的通知》终止实行。 说明这份文件上的实行日期，可能不是最早题中所涉及的服务实行时间。但又在这篇文章所属分类「新闻公告」中查找，最后一条的发布日期在 2010 年。

在网站里仔细查找，还是会发现在「网字文件」下有 2003 年的同名文章，答案为文中所述的实行时间。
第四题开始就比较懵，刚开始想说直接去 Github 搜有关的 commit，但由于实在太多加上找不到搜索入口，遂暂时搁置。之后思路有所转变，虽然还是有些绕，后来还是找到了。

用 Google 搜索关键词 linux fix argc 0，可以在结果里找到这篇文章 Handling argc==0 in the kernel - LWN.net，随后找到有人 started the linux-kernel discussion。虽然不是答案，但发现了关键词 CVE-2021-4034，也指明了修改的文件位于 fs/exec.c。

这时可以去 linux 的 Github 仓库找到这个文件，并且查看文件的修改历史。在这个页面搜索 argv，能找到这条 commit，点击查看提交详情，发现详情提及之前沟通的内容。完整 commit hash 在 url 中，复制即可。
其实第二题比上面的第四题简单，但由于思维被误导了，重新检查思路后解出了该题。

关于 LUG 的活动，可以先从官网入手找到相关的新闻页，不过由于新闻页的内容释出并不详细，所以要另寻方法。

这时候可以看到网站上有关活动的专门页面，而其中有关今年活动的链接，仍然指向之前找到的新闻。但可以下滑找到之前的相关「软件自由日」活动，链接指向了网站提供的 ftp，在 ftp 站中可以找到本次活动的与本题相关的 PPT。

在翻看 PPT 的时候，第一次答题容易把目光注意到标题为「Gnome + Wayland」的 page，但很难找到突破点。第二次再看的时候，注意到这段字：特别是 KDE 程序会有比较严重的问题，该页右侧截图的程序似乎出现了明显的 Bug。用搜索引擎寻找菜单中的 Configure Kdenlive，确定它是一个 KDE 程序，到此解题结束。
第五题着实是把我卡住了，刚开始扫过题目知道这题应该不好解决，结果第二轮做下来，还是觉得它最难，主要在于摸不着头脑。

先从 SSH 连接域名的方式搜索，后来一无所获。再到用 key fingerprint 的内容搜索，也因为搜索结果模糊，没有实质进展。

但仍在想，这一串输出并不是毫无意义，索性换一些搜索方式。搜索引擎的进阶搜索功能，可以使用精确搜索来排除与关键词相关但不准确匹配的内容。最后用这一方法搜索到一个工具为 Zeek 的 document page，访问代码块中的 id.resp_h，在网页页脚里发现这个网站的域名 sdf.org，即为本题答案。

家目录里的秘密 (General)

下载题目包后解压，用 VS Code 打开文件夹，全局搜索关键字 flag{，得到第一个 flag。

更换关键字为 flag 搜索后，可以看到 rclone.conf 文件内一个为 flag2 的 config setting，其中的 pass 似乎就是我们需要第二个 flag。先搜索引擎寻找 rclone config pass decode，可以看到 fourm.rclone.org 的论坛帖子How to retrieve a ‘crypt’ password from a config file，帖子主题描述的内容似乎就是我们想要的，帖子内的脚本运行后，可以获得第二个 flag。

HeiLang (General)

下载文件看源码，似乎是指定了一个长度为 10000 的数组（Python 的数据格式已经忘了，数组是 JS 的说法），然后给数组的指定位置赋值。本以为 Python 真有这样的赋值方法，结果确实是新创的。

既然这样，就回到了写 JavaScript 代码的老本行，读取每一行赋值代码为文本格式，把里面的内容切块执行。

const fs = require('fs')

let a = new Array(10000).join(0).split('')

function fillArray(string) {
  let indexArr = null
  string = string.replace('a[', '')
  string = string.split('] =')
  val = parseInt(string[1])
  indexArr = string[0].split(' | ')
  for (let i in indexArr) {
    a[indexArr[i]] = val
  }
}

fillArray('a[1225 | 2381 | 2956 | 3380 | 3441 | 4073 | 4090 | 4439 | 5883 | 6253 | 7683 | 8231 | 9933] = 978')
// 当时做的时候懒得读 .py 文件，于是就手动把那么长的赋值代码拷过来，批量加上函数，所以后面的省略…

let writerStream = fs.createWriteStream('output.txt')
writerStream.write(a.toString(),'UTF8')
writerStream.end()
writerStream.on('finish', function() {
  console.log("write finished.")
})

最后回到 .py 文件，去掉之前写的数组生成和赋值代码，把结果文件拷贝回来加上赋值，就能解出 flag 了。

Xcaptcha (Web)

这题刚开始会摸不着头脑，但实际想想还是很好解决的，只是刚开始没想到用上脚本。

这里的脚本，指的是使用例如 Tempermonkey 或者 Violentmonkey，这类脚本插件在浏览器中有很好的实用性，在加载指定的 URL 时可以自执行。那就创建一个脚本，需要达到的目的有：

用 DOM 获取数字所在的元素和输入框所在的元素
切割得到两组数字
执行加法操作
把结果填入输入框

// ==UserScript==
// @name         Hackergame 2022 Xcaptcha
// @namespace    http://tampermonkey.net/
// @version      0.1
// @description  try to take over the world!
// @author       null
// @match        http://0.0.0.0/xcaptcha
// @grant        none
// ==/UserScript==

(function() {
  'use strict';

  function calculate(labelDom) {
    return new Promise((resolve, reject) => {
      // extract number string from label
      const arr = document.querySelector(labelDom).innerHTML.split(' ')[0].split('+');
      // calculate result using BigInt()
      const res = BigInt(arr[0]) + BigInt(arr[1]);
      // convert to string and remove the 'n' end
      resolve(res.toString().split('n')[0]);
    });
  };

  calculate('[for="captcha1"]').then((res) => {
    document.getElementById('captcha1').value = res;
  });
  calculate('[for="captcha2"]').then((res) => {
    document.getElementById('captcha2').value = res;
  });
  calculate('[for="captcha3"]').then((res) => {
    document.getElementById('captcha3').value = res;
  });

})();

在做第三步的时候，需要注意整数溢出的问题，要使用 BigInt 而不是普通的数值格式。

旅行照片 2.0 (General)

去年题目的升级版，有两个 flag。其实都很简单，但要非常注意的是题目的设问，是拍摄地点，是拍摄地点，是拍摄地点！（重要的话说三次，本选手蠢的要死，卡了很久。）

第一个 flag 可以通过各种读取 EXIF 的软件和网站来快速获得，我这里直接使用的是 macOS 的 Preview.app，打开图片文件后找到窗口上部的信息 icon，就能弹出该照片的信息窗口，根据这些信息就可获得 flag。

Kailan

j3IIa0

第二个 flag 的思路，不再侧重于 EXIF。

手机屏幕像素的问题，还是可以通过查看 EXIF 上的设备型号 sm6115，对应 高通骁龙 662 处理器，搜寻与品牌和处理器匹配的手机型号，这样可以大大减少筛选范围。最后可以知道，拍摄者使用的手机型号是 Redmi Node 9 4G，屏幕像素为 2340x1080。
其余都与确定拍摄者的位置有关，但 EXIF 没有包含经纬度数据。所以通过放大拍摄的建筑物，可以看到建筑物上的文字 ‘WELCOME TO ZOZOMARINE STADIUM’，再通过地图确定到日本的这座体育馆，根据拍摄方位确定拍摄者所处的酒店，进而知道该位置的邮政编码。要注意的是拍摄地点的邮政编码，而不是体育馆的邮政编码。虽然地理上很近，但却是不同的！
至于航班信息，为了保证准确，还是到 Flightradar24 上开了个七天体验会员（如果不开的话，只能查看过去七天范围内的航班动态图）。开通了会员，就可以把日期指定到拍摄时间，通过之前知道的拍摄者位置，来寻找航班信息了。

猜数字 (General)

先下载源码文件观察一番，主要的判断代码是：

var isLess = previous < this.number - 1e-6 / 2;
var isMore = previous > this.number + 1e-6 / 2;
var isPassed = !isLess && !isMore;

所以这个数字的值不重要，只是要让后面的 isPassed 为 true 即可。输入 NaN 提交即可得到 flag。

LaTeX 机器人 (Web)

同样是先下载题目附带的后端文件包，打开后厘清下图片生成的逻辑。在包内有个 base.tex 的情况下，准备一个空的 result.tex，依次插入 base.tex 的头部、用户输入内容、base.tex 的尾部。最后使用 pdflatex - pdfcrop - pdftoppm - pnmtopng，最后生成图片。

从代码结构可以看到，在用户输入的时候获取指定目录的文件输出就可解题。知道了这个，似乎解题就简单了不少。如果不太懂 LaTex 语言，就只要根据你要达到的目的去找命令。如果找的够准确，两题都没什么难度。

搜索关键词 ‘latex input text file’，查到可以使用 \input{} 命令获取文本文件。因为代码中的用户 input.tex 在 /dev/shm 目录下，所以构建命令 /input{../../flag1} 即可获得第一个 flag。

第二个 flag 增加了输入文件会出现特殊字符的因素，所以上面的命令继续使用会报错。搜索关键词 latex input text file with special characters，可以找到有篇帖子提供了三种方式能够不报错的获取内容。其中有种方法是通过引入包 \verbatiminput{}，感觉可能会有包未安装的风险，所以没有深入研究下去，而是使用 \catcode` 转义可能会出现的特殊字符，最后获得第二个 flag。

\catcode`\#=11
\catcode`\_=11
\input{../../flag2}

Flag 的痕迹 (Web)

打开网页后确定使用的是 Doku Wiki，那么得先了解如何查看编辑历史。以 dokuwiki history 作为关键词搜索后，可以知道在 URL 后加上参数 ?do=recent 即可。

但在网站上尝试后，页面提示的是 ‘Action disabled: recent’。留意到 Actions 可能不止一个，在 Doku Wiki 的官方文档中找到 Action Modes aka. do Modes，其中列出了各种操作模式。尝试几个后发现 ?do=diff 可以对比修改历史，回翻即可找到 flag。

线路板 (General)

下载题目提供的压缩包，解压后发现一些 .gbr 和 .gbrjob 文件。这时候需要寻找和安装可以打开这类文件的电路板开发工具，开源的 KiCad 似乎符合需求。

安装后打开 GerbView，可以拖动单个图层的 .gbr 或者包含所有图层的 .gbrjob 到程序内。加载成功的话，主界面会显示项目绘制的电路图，图中右侧偏下处会有被覆盖着的 flag{ 露出，但被 D10 node 覆盖。

如果对界面用途不够了解，可以在 KiCad 网站上查找操作文档。接下来先选择覆盖用的 D10 node 所在的图层，再尝试顺序选择高亮图层中不同 D node 的项目，这时就能看到所覆盖的 flag 内容了。

2YIh1Q

光与影 (General)

这道题虽然不懂 WebGL 的原理，但可通过修改代码尝试修改渲染效果。为了方便起见，建议把题目页面和有关的 js 文件下载下来到本地分析，几个文件大概的作用：

render-main.js: 渲染 DOM，生成 webgl 实例，准备 webgl 渲染环境；
webgl-utils.js: 通过文件名推测是辅助 WebGL 运行的函数集；
vertex-shader.js: 定义顶点着色器；
fragment-shader.js: 定义片段着色器；

由于顶点着色器的定义内容不多，可以先从片段着色器开始看起。页面处理前的效果为 flag 的头部可见，其余被遮挡。在查看片段着色器定义时，可从代码上感知 sceneSDF() 函数中关于 t1SDF ~ t4SDF 都进行了相关转换或定位操作，可以认为是渲染 ‘flag’ 四个字母。但 t5SDF 尤其特殊，不仅没有使用与前者差不多的 mk_trans()，也引入了前者不曾使用的 p 和 vec3 参数，怀疑是生成遮罩的相关函数。遂修改 t5 变量中的各项数值后刷新查看效果，修改为 float t5 = t5SDF(p - vec3(0.1, 0.1, 0.1), vec3(0.1, 0.1, 0.1), 0.1); 得出结果。

大概是暴力法解题了，所有解题方法没有普适性，只有对代码的敏感性，仅参考。