gochal#

就是一個 XOR flag checker，只是用 golang 寫

1
import base64
2

3
b64 = "W257U3hHXURjfERORUlOdUBZRUJSRV9Uc1hjfUpRfwpB"
4
key = (0x1A, 0x2B, 0x3C)
5

6
data = base64.b64decode(b64)
7
flag = bytes(b ^ key[i % 3] for i, b in enumerate(data)).decode("utf-8")
8
print(flag)

call back#

追一下可以發現邏輯寫在 sub_7FF7679F11C0 這邊會讀 flag.txt 然後會跳到寫在 data 段的 shell code

看後面的訊息可以猜這題也是 flag checker

飛去 unk_7FF7679F5040，make function，可以確認就是 flag checker

後面就是老生常談了

1
TARGET = "8A167732F632676EF2FE0B42DC066342D856895CC6FC5B5AEA582360D27C3962E62A2F14D80C2342C8F41F6E"
2
K = 0x0094E590
3

4
t = bytes.fromhex(TARGET)
5
arr = bytearray()
6
for i in range(0, 44, 4):
7
    T = int.from_bytes(t[i:i+4], "big")
8
    U = ((T - 0x14) & 0xFFFFFFFF) ^ K
9
    arr += ((U >> 1) & 0xFFFFFFFF).to_bytes(4, "big")
10

11
orig = bytearray(44)
12
for i in range(0, 44, 2):
13
    orig[i], orig[i+1] = arr[i+1], arr[i]
14

15
print(bytes(orig))

NestingZip#

給了一個嵌套超多層的 zip 檔，可以寫個腳本解出最後的檔案

1
import os
2
import zipfile
3
import shutil
4

5
def recursive_unzip(zip_path):
6
    zip_path = os.path.abspath(zip_path)
7

8
    while True:
9
        extract_dir = os.path.splitext(zip_path)[0]
10
        with zipfile.ZipFile(zip_path, "r") as zf:
11
            zf.extractall(extract_dir)
12

13
        entries = os.listdir(extract_dir)
14
        if len(entries) == 1:
15
            candidate = os.path.join(extract_dir, entries[0])
16
            if zipfile.is_zipfile(candidate):
17
                print(f"\rzip: {candidate}", end="")
18
                shutil.move(candidate, zip_path)
19
                shutil.rmtree(extract_dir)
20
                continue
21
        break
22

23

24
if __name__ == "__main__":
25
    recursive_unzip("Nesting.zip")

解完之後可以拿到這個 NOTflag.txt

1
vrq4tqyEs8zIoJLMoIvMk5Oghs+KoJ6gjMycjZrIoLyGncyNvJfMmaDOjKCeoMbPz5ugyJfOkcaC

base64 decode 出來是亂碼，傻住了十分鐘，看檔名才猜到要再做一次 NOT

m - rsa#

chatGPT 解掉了，好爽 ㄏㄏ

思路（簡述）
1. 伺服器有一個固定的 3×3 矩陣 A，中心是未知 m，外圈 8 個素數會印出（或印出矩陣 A，中心不是數字）。
2. 每次輸入 ‘y’ 會給一組新的 RSA n 與 c = A^19 (mod n)。
3. 因為 det(A^19) = det(A)^19，且 det(A) 對 m 呈線性（沿中心元素展開），
所以蒐集多組 det(c) (mod n) 用 CRT 還原 det(A^19) 的整數值，取整數 19 次方根得到 det(A)；
接著 det(A) = K*m + B ⇒ m = (det(A) - B) // K。
4. 最後把 m 轉回 bytes 看看是不是可讀字串。

cipher restraunt#

是一個 python exe，可以拆 pyc 還原邏輯，但沒用 總之可以用不同方法拿到一堆圖片 (A~Z)

exiftool 看圖片 comment 照著提示用 steghide 解，可以集齊這些提示

1
I am Legendary Utensil, and I can transform ingredients into dishes.
2

3
I want to eat the food that the chef made, but he gave me gold coins and asked me to buy the ingredients on the list. The list only says "PRIME". What are these ingredients?
4

5
The chef loves prime numbers, and he will use them as ingredient codes.

還有這張圖片

答案是要把 P R I M E 五張圖對應的質數（圖片 Title）相乘之後跟沒用到的那張圖片一起丟進 OpenPuff

到底誰想的到 = =

Result#

第三名，成功進決賽，好耶 去台南玩囉
其他隊友的初賽 write-up:

• Whale 神盾盃 2025 Qual Writeup - by Whale120
• Naup 2025 神盾杯 Qual - writeup
• rota1001 (還沒寫😡)
• Aukro (還沒寫😡)

Day 1#

發現沒帶 RJ45 轉接頭，只好 UberEat 送過來
一條 600 的轉接頭，開局直接 -600
甚至不是馬上送，送到都已經下午了 = =

直接被硬控半天，只能去看 pwn，幸好第一天的 pwn 都是常見的洞
寫了一個 cmdi 的 exploit 之後就只負責把哪裡有洞整理成 List 丟給隊裡的 pwnGPT，拿到網路線之前真的太坐牢了，debug 還要跑去看隊友電腦

（沒內網，跟 pwnGPT 對話 辛酸畫面流出）

這個 cmdi 爽到 12:30 左右就被 patch 掉了
後面就是一直 exploit -> patch

只好一直吃小點心，又要到飯了

prompt injection 拿了之前收集的 prompt 去戳都失敗了
但幸好只 delay 1 回合，等有人成功再抄作業就好了

終於拿到網路線之後去看滲透，接手的時候鯨魚已經 access 兩台 warmup 獨立靶機，但其中一台不知道怎麼提權

上去翻垃圾很久都沒想法，後來想說再看一下 LINPEAS 好了
然後就看到一個 root cronjob，然後檔案可寫 超ㄏ

總之快樂提權、把那台上的 flag 都撈一撈之後 Day 1 就差不多結束了

Day 2#

第二天都在跟鯨魚打 AD Set，因為 AI 達人 Aukro 把 AI 題拿捏了
Initial Access 要打 Blind XXE，我是一點想法都沒有🤡
幸好台大林同學很強，我還在點心區做奶精奶茶的時候他就打進去了

翻這台 WEB01 可以拿到連 DB01 的 credential，然後 DB01 可以 link 到 DB02
目前為止就有好幾把 flag 能拿了，帥帥帥

但沒出意外的話就要出意外了，開始卡關

• WEB01 提權完了，在 DMZ 外面摸不到其他台
• DB01 找不到提權路徑
• DB02 找不到提權路徑

只好忍痛開錦囊（有 quota 可以問主辦單位拿提示）
原來是 DB01 link 到 DB02 還可以再 link 回來，此時就是 DB01 sa 了

此時我就滑壘中離了，因為忘記要面試 GCC ㄏㄏ
城市老鼠般躲到旁邊的樓梯間偷偷面試，問題是樓梯間用了感應燈
自我介紹的時候燈一直暗掉，我又沒有開視訊鏡頭，面試老師那邊聽起來就是我一直卡詞講不好，但其實是因為眼前一片黑我在邊嘗試開燈邊講
無助的像是剛出生的小鹿一樣，最後也理所當然地沒錄取😭賠了夫人又要當一年兵

面試結束，回來之後還是沒啥想法，一直困在瀏覽器紀錄的 rabbit hole，鯨魚也把該拿的 flag 都拿完了（很多）
後來我就回 WEB01 繼續翻垃圾，發現有個 IDOR 的 flag 漏拿了
體驗了一把垃圾堆裡撿到錢的快感

我們的垂死掙扎就是不停開錦囊，但都沒甚麼用了
止步於 DB02，拿不到 shell QQ

後來問了隔壁牛肉湯，說是用祖國人寫的工具可以掃到 DB02 的 sa 弱密碼，牛逼666

結束之前麒升學長還打了一個沒人打的 pwn 帥帥帥（然後就被 patch 掉了，霸主不講武德）
幸好最後我們是第二名，耶

其他隊友的決賽 write-up:

• Whale 神盾盃 2025 Qual Writeup - by Whale120
• Naup (還沒寫😡)
• rota1001 神盾盃 2025 write-up
• Aukro (還沒寫😡)