ESP32 IoT CTF 题解

admin 2023年3月6日20:33:39评论93 views字数 7249阅读24分9秒阅读模式

ESP32 IoT CTF 题解

01

环境搭建


硬件:esp32、micro-usb、杜邦线、usb->ttl、支持嗅探的无线网卡

软件

https://github.com/xuanxuanblingbling/esp32ctf_thu

ESP32 的 windows 烧录环境,直接链接下载离线安装包:

https://docs.espressif.com/projects/esp-idf/zh_CN/latest/esp32/get-started/windows-setup.html

ESP32 IoT CTF 题解

我下载的是这个,无脑安装

ESP32 IoT CTF 题解

完事之后出来了两个快捷方式

ESP32 IoT CTF 题解

这俩用哪个都行,打开之后切换目录到源码的文件夹,cd esp32ctf_thu/thuctf/

输入命令:idf.py menuconfig,稍等片刻会打开一个新界面,设置 Serial flasher config 的 Flash size 为 4MB

ESP32 IoT CTF 题解

设置 Partition Table 的 Partition Table 为 Custom partition table CSV

ESP32 IoT CTF 题解

选完之后 Q 保存退出,然后 idf.py build 编译代码

ESP32 IoT CTF 题解

等它编译一阵,完事之后就可以使用 idf.py flash 烧录了,出现 Connecting..... 的时候要摁住板子上的 BOOT 键

ESP32 IoT CTF 题解

烧写完成之就可以关掉了,随便找个串口工具,选择波特率 115200 就能看到 log 了

ESP32 IoT CTF 题解

题目其实是在下面这个目录,烧录好之后拿着这个文件夹里的内容做题,里面有个 tar 包,是删掉了真实 flag 的源码,有些关卡需要分析源码才知道咋做,源码按照不同的题目方向分开了,很友好!

https://github.com/xuanxuanblingbling/esp32ctf_thu/tree/main/attachment


02

开搞!硬件题目


从头开始,先把 GND 和 23 号引脚连起来,如果前面已经供电了再连 GND 和 23 引脚需要断电重新供电,或者摁一下板子上的 EN 摁扭才能切换到硬件的题目这一方向

ESP32 IoT CTF 题解

task1:将GPIO18抬高,持续3s即可获得flag

#define GPIO_INPUT_IO_0     18....void hardware_task1(){    int hit = 0;    while(1) {        printf("[+] hardware task I : hit %dn",hit);        if(gpio_get_level(GPIO_INPUT_IO_0)){   //gpio_get_level是获取GPIO电平值,低电平是0,高电平是1            hit ++ ;        }else{            hit = 0;        }        if(hit>3){            printf("[+] hardware task I : %sn",hardware_flag_1);            break;        }        vTaskDelay(1000 / portTICK_RATE_MS);    }}

此时日志如下

ESP32 IoT CTF 题解

GPIO 是指板子上的一组引脚。这些引脚可以发送或接收电信号,但它们不是为任何特定目的而设计的,可以由我们通过编程来实现任意功能。这就是为什么它们被称为通用 IO(General-purpose input/output)

抬高就是给它供电,把板子上的 3.3V 或 5V 与他接起来就行了

ESP32 IoT CTF 题解

task2:在GPIO18处构造出1w个上升沿

#define GPIO_INPUT_IO_0     18#define GPIO_INPUT_PIN_SEL  ((1ULL<<GPIO_INPUT_IO_0) )#define ESP_INTR_FLAG_DEFAULT 0
static void IRAM_ATTR gpio_isr_handler(void* arg){ //GPIO中断处理程序,中断了就执行这个 trigger++;}
void hardware_gpio_setup(){ gpio_config_t io_conf; //GPIO的配置参数 io_conf.pin_bit_mask = GPIO_INPUT_PIN_SEL; //要配置的GPIO引脚 io_conf.mode = GPIO_MODE_INPUT; //仅输入 io_conf.intr_type = GPIO_INTR_POSEDGE; //GPIO中断类型,上升沿 io_conf.pull_up_en = 0; //禁止上拉使能 gpio_config(&io_conf); gpio_install_isr_service(ESP_INTR_FLAG_DEFAULT); gpio_isr_handler_add(GPIO_INPUT_IO_0, gpio_isr_handler, (void*) GPIO_INPUT_IO_0); //注册GPIO_INPUT_IO_0,也就是GPIO18中断处理程序}
void hardware_task2(){ trigger = 0; while(1){ printf("[+] hardware task II : trigger %dn",trigger); if(trigger > 10000){ printf("[+] hardware task II : %sn",hardware_flag_2); break; } vTaskDelay(1000 / portTICK_RATE_MS); }}

上升沿指的是数字电路中数字电平从低电平(数字0)到高电平(数字1)的一瞬间,下降沿同理

借助一个 TX 的引脚会一直输出这一特点来与 GPIO18 连起来,这样就可以啦

ESP32 IoT CTF 题解

补充:上下拉是给 IO 一个默认的状态,上拉和下拉是指 GPIO 输出高电位(上拉)还是低电位(下拉),从程序设计的角度讲,上拉就是如果没有输入信号则此时 I/O 状态为 1,下拉相反

试着理解一下代码的意思,给 GPIO18 注册了一个上升沿中断处理函数,函数的功能是 trigger+1,同时把 GPIO18 的上拉关掉,这样没有输入时候的 I/O 状态就不是 1,有输入的时候就会触发上升沿,这样 trigger 就会增加了

task3:在另一个串口处寻找第三个flag

#define ECHO_TEST_TXD  (GPIO_NUM_4)#define ECHO_TEST_RXD  (GPIO_NUM_5)#define ECHO_TEST_RTS  (UART_PIN_NO_CHANGE)#define ECHO_TEST_CTS  (UART_PIN_NO_CHANGE)
void hardware_uart_setup(){ uart_config_t uart_config = { .baud_rate = 115200, .data_bits = UART_DATA_8_BITS, .parity = UART_PARITY_DISABLE, .stop_bits = UART_STOP_BITS_1, .flow_ctrl = UART_HW_FLOWCTRL_DISABLE, .source_clk = UART_SCLK_APB, }; uart_driver_install(UART_NUM_1, 1024 * 2, 0, 0, NULL, 0); uart_param_config(UART_NUM_1, &uart_config); uart_set_pin(UART_NUM_1, ECHO_TEST_TXD, ECHO_TEST_RXD, ECHO_TEST_RTS, ECHO_TEST_CTS);}
void hardware_task3(){ printf("[+] hardware task III : find the third flag in another UARTn"); while (1) { uart_write_bytes(UART_NUM_1, hardware_flag_3, strlen(hardware_flag_3)); vTaskDelay(1000 / portTICK_RATE_MS); }}

被晃了呜呜呜,这个板子上有个TX2 我以为是这个呐,结果等了半天啥也没有,这个是让你分析代码,看一下用的哪一个 GPIO 作为 TX,通过 define 可以看到,TXD 是 GPIO4,那就把 GPIO4 接到 USB->TTL 的 RX 上就可以看到了

ESP32 IoT CTF 题解

ESP32 IoT CTF 题解


03

开搞!网络题目


task1:连接板子目标端口,尝试获得flag

void network_init(){    char ssid[0x10] = {0};    char pass[0x10] = {0};    get_random(ssid,6);    get_random(pass,8);    printf("[+] network task I: I will connect a wifi -> ssid: %s , password %s n",ssid,pass);    connect_wifi(ssid,pass);}
static void network_tcp(){
char addr_str[128]; struct sockaddr_in dest_addr;
dest_addr.sin_addr.s_addr = htonl(INADDR_ANY); dest_addr.sin_family = AF_INET; dest_addr.sin_port = htons(3333);
int listen_sock = socket(AF_INET, SOCK_STREAM, IPPROTO_IP);
ESP_LOGI(TAG, "Socket created");
bind(listen_sock, (struct sockaddr *)&dest_addr, sizeof(dest_addr)); ESP_LOGI(TAG, "Socket bound, port %d", 3333);
listen(listen_sock, 1); while (1) {
ESP_LOGI(TAG, "Socket listening"); struct sockaddr_storage source_addr; socklen_t addr_len = sizeof(source_addr); int sock = accept(listen_sock, (struct sockaddr *)&source_addr, &addr_len); inet_ntoa_r(((struct sockaddr_in *)&source_addr)->sin_addr, addr_str, sizeof(addr_str) - 1); ESP_LOGI(TAG, "Socket accepted ip address: %s", addr_str); char buffer[100]; while(recv(sock,buffer,0x10,0)){ if(strstr(buffer,"getflag")){ send(sock, network_flag_1, strlen(network_flag_1), 0); break; }else{ send(sock, "errorn", strlen("errorn"), 0); } vTaskDelay(1000 / portTICK_RATE_MS); } open_next_tasks = 1; shutdown(sock, 0); close(sock); }}

这里得往上翻日志了,他随机指定了一个 wifi 名和密码,会去连接那个密码,用手机开个热点即可 ssid: kbmxet , password svtujgjb

ESP32 IoT CTF 题解

ESP32 IoT CTF 题解

日志里给出了 IP 和端口,用电脑也连接上开的热点

ESP32 IoT CTF 题解

nc 一下,连上之后根据源码里的逻辑,发送 getflag 即可

ESP32 IoT CTF 题解

task2:你知道他发给百度的 flag 么

改为用电脑开这个热点,然后直接抓取网卡的流量,嗯,他好像不会切换,得重新做一遍

ESP32 IoT CTF 题解

电脑开启热点后会有一个新的网卡,就抓这个网卡即可

ESP32 IoT CTF 题解

追踪 HTTP 流发现 flag

ESP32 IoT CTF 题解

task3:flag在空中

同时日志如下:

ESP32 IoT CTF 题解

把无线网卡插到 kali 里面,把无线网卡设置为监听模式,然后抓 802.11 的裸包

airmon-ng start wlan0airodump-ng wlan0mon

打开 wiresahrk 选择网卡为 wlan0mon 进行抓包

ESP32 IoT CTF 题解


04

开搞!蓝牙题目


task1:修改蓝牙名称并设置可被发现即可获得 flag

也是刚开始的日志中随机指定了蓝牙设备的名字

ESP32 IoT CTF 题解

直接改手机的名字就行了,现在手机好像默认不被发现?在手机上点击扫描周围设备就可以了

ESP32 IoT CTF 题解

ESP32 IoT CTF 题解

task2:flag 在空中

那就抓包吧,开启 Hollong,直接全选广播包中就有,同时也确定了他的 MAC 地址和设备名

ESP32 IoT CTF 题解

也可以用 nRF Connect 直接看到广播包

ESP32 IoT CTF 题解

task3:分析GATT业务并获得flag

用 nRF Connect 连接,一开始读,只有 DEEDBEEF

ESP32 IoT CTF 题解

搜索源码里的 [+] bluetooth task III 定位到这里,我们写入的值与 flag2 进行了对比,通过则 open_task3 = 1

ESP32 IoT CTF 题解

只有当 open_task3 = 1 时才会把真正的 flag 拷贝过去

ESP32 IoT CTF 题解

发送 task2 的 flag

ESP32 IoT CTF 题解

再次读取,转成 ASCII 码即可 THUCTF{WrItE_4_gA7T}

ESP32 IoT CTF 题解


05

开搞!MQTT题目


这里有些问题,你需要在自己的服务器上拉起来一个 Docker,然后别忘了把服务器的防火墙打开 1883 端口,再运行命令把 Docker 启动起来

docker build -t esp32ctf .docker run -d -p 1883:1883 esp32ctf

修改 main.c 中的源码,把原本的域名改为你的服务器 IP,重新编译好烧到 esp32 中,例如:

mqtt_app_start("mqtt://mqtt.esp32ctf.xyz");改为mqtt_app_start("mqtt://192.168.50.132");

然后需要开一个热点名称:THUCTFIOT;密码:mqttwifi@123。设备连接上之后 esp32 会连接我们搭建的 MQTT broker

task1:你知道MQTT的上帝是谁么

MQTT 中有通配符 # 表示所有的主题,只需要订阅 # 就会收到所有的主题的消息,使用 MQTTX 订阅 #

ESP32 IoT CTF 题解

也可以参考这个用 python 调用

https://www.yuque.com/hxfqg9/iot/pqfymw#r2zRT

task2:你能欺骗订阅者么

当 esp32 接收到数据时,会进入到 MQTT_EVENT_DATA 中,在代码中看到会去调用 mqtt_data_hander

case MQTT_EVENT_DATA:  ESP_LOGI("mqtt", "MQTT_EVENT_DATA");  printf("[+] MQTT task II: topic ->  %.*srn", event->topic_len, event->topic);  printf("[+] MQTT task II: data -> %.*srn", event->data_len, event->data);  mqtt_data_hander(event->data_len,event->data);  break;

mqtt_data_hander 这一段代码是 task2 和 task3 通用的,传进去的参数一个是数据长度,一个是数据,会先通过数据中的 ? 进行分割,前面的是 ip,后面的是长度,flag2 定义的长度是 46,也就是变量 a,如果通过 ? 能找到长度,就会把 a 覆盖掉,否则就直接用 a 的值,因此在 task2 中,我们只需要传入 IP 即可

void mqtt_data_hander(int length,char * data){    char l[10];    char url[500] = {0};    char out[500] = {0};    char httpdata[500]={0};    char flagdata[500]={0};    char tag3[] = " [+] MQTT task III: ";    sprintf(flagdata,"%s%s%s",mqtt_flag_2,tag3,mqtt_flag_3);//把flag2、tag3和flag3都放在flagdata里面
int a = 46;
char * p = strnstr(data,"?",length);//在data中查找"?",如果找到了就返回位置 if(p){ int data_length = p - data;//数据长度 等于 p的地址 - 数据的地址 snprintf(l,length - data_length,"%s",p+1);//这个l就是打印flag的长度,就是传入的data中?后面的数,但是是字符串的形式 a = atoi(l);//从字符串转成整数 length = data_length; }
sprintf(url,"%.*s",length, data);
char fmt[] = "GET / HTTP/1.0rn" "User-Agent: esp-idf/1.0 esp32rn" "flag: %srn" "rn";
if( a < (int)(sizeof(mqtt_flag_2) + sizeof(tag3) - 1 ) ){//判断a的大小,以整数的形式进行比较,正常来说肯定是通过的,因为mqtt_flag_2+tag3-1长度大于a memcpy(out,flagdata,a & 0xff);//这样out就是flagdata中以a&0xff为长度的 sprintf(httpdata,fmt,out); http_get_task(url,httpdata);//带上数据去请求 }}

在 MQTTX 中给主题 /topic/flag2/bayyqa 发送 ip 后 esp32 就会按照 a 的长度从 flagdata 中取出值来请求 ip

ESP32 IoT CTF 题解

在远程服务器上监听一个 80 端口,得到了 task2 的 flag

ESP32 IoT CTF 题解

task3:这是个内存破坏的前戏

如果想要得到 task3 的 flag 需要使 a 的足够大,这样 memcpy 的时候才会把 flagdata 全部包括进来,但是前面有个判断,只有当 ( a < (int)(sizeof(mqtt_flag_2) + sizeof(tag3) - 1 ) ) 时才可以,这里判断长度时有符号,但下面使用时和 0xff 进行了与运算 memcpy(out,flagdata,a & 0xff),如果设置长度为 -1 ,与 0xff 与运算将会得到一个很大的数,这样既可以绕过大小限制,又可以完整的拷贝 flagdata 带出位于 flag2 后的 flag3

ESP32 IoT CTF 题解

ESP32 IoT CTF 题解



原文始发于微信公众号(陈冠男的游戏人生):ESP32 IoT CTF 题解

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年3月6日20:33:39
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   ESP32 IoT CTF 题解https://cn-sec.com/archives/1590375.html

发表评论

匿名网友 填写信息