ESP32 IoT CTF 题解

01

环境搭建

硬件:esp32、micro-usb、杜邦线、usb->ttl、支持嗅探的无线网卡

软件

https://github.com/xuanxuanblingbling/esp32ctf_thu

ESP32 的 windows 烧录环境,直接链接下载离线安装包:

https://docs.espressif.com/projects/esp-idf/zh_CN/latest/esp32/get-started/windows-setup.html

我下载的是这个,无脑安装

完事之后出来了两个快捷方式

这俩用哪个都行,打开之后切换目录到源码的文件夹,cd esp32ctf_thu/thuctf/

输入命令:idf.py menuconfig,稍等片刻会打开一个新界面,设置 Serial flasher config 的 Flash size 为 4MB

设置 Partition Table 的 Partition Table 为 Custom partition table CSV

选完之后 Q 保存退出,然后 idf.py build 编译代码

等它编译一阵,完事之后就可以使用 idf.py flash 烧录了,出现 Connecting..... 的时候要摁住板子上的 BOOT 键

烧写完成之就可以关掉了,随便找个串口工具,选择波特率 115200 就能看到 log 了

题目其实是在下面这个目录,烧录好之后拿着这个文件夹里的内容做题,里面有个 tar 包,是删掉了真实 flag 的源码,有些关卡需要分析源码才知道咋做,源码按照不同的题目方向分开了,很友好!

代码语言:javascript
复制
https://github.com/xuanxuanblingbling/esp32ctf_thu/tree/main/attachment

02

开搞!硬件题目

从头开始,先把 GND 和 23 号引脚连起来,如果前面已经供电了再连 GND 和 23 引脚需要断电重新供电,或者摁一下板子上的 EN 摁扭才能切换到硬件的题目这一方向

task1:将GPIO18抬高,持续3s即可获得flag

代码语言:javascript
复制
#define GPIO_INPUT_IO_0     18
....
void hardware_task1(){
    int hit = 0;
    while(1) {
        printf("[+] hardware task I : hit %d\n",hit);
        if(gpio_get_level(GPIO_INPUT_IO_0)){   //gpio_get_level是获取GPIO电平值,低电平是0,高电平是1
            hit ++ ;
        }else{
            hit = 0;
        }
        if(hit>3){
            printf("[+] hardware task I : %s\n",hardware_flag_1);
            break;
        }
        vTaskDelay(1000 / portTICK_RATE_MS);
    }
}

此时日志如下

GPIO 是指板子上的一组引脚。这些引脚可以发送或接收电信号,但它们不是为任何特定目的而设计的,可以由我们通过编程来实现任意功能。这就是为什么它们被称为通用 IO(General-purpose input/output)

抬高就是给它供电,把板子上的 3.3V 或 5V 与他接起来就行了

task2:在GPIO18处构造出1w个上升沿

代码语言:javascript
复制
#define GPIO_INPUT_IO_0     18
#define GPIO_INPUT_PIN_SEL  ((1ULL<<GPIO_INPUT_IO_0) )
#define ESP_INTR_FLAG_DEFAULT 0

static void IRAM_ATTR gpio_isr_handler(void* arg){ //GPIO中断处理程序,中断了就执行这个
trigger++;
}

void hardware_gpio_setup(){
gpio_config_t io_conf; //GPIO的配置参数
io_conf.pin_bit_mask = GPIO_INPUT_PIN_SEL; //要配置的GPIO引脚
io_conf.mode = GPIO_MODE_INPUT; //仅输入
io_conf.intr_type = GPIO_INTR_POSEDGE; //GPIO中断类型,上升沿
io_conf.pull_up_en = 0; //禁止上拉使能
gpio_config(&io_conf);
gpio_install_isr_service(ESP_INTR_FLAG_DEFAULT);
gpio_isr_handler_add(GPIO_INPUT_IO_0, gpio_isr_handler, (void*) GPIO_INPUT_IO_0); //注册GPIO_INPUT_IO_0,也就是GPIO18中断处理程序
}

void hardware_task2(){
trigger = 0;
while(1){
printf("[+] hardware task II : trigger %d\n",trigger);
if(trigger > 10000){
printf("[+] hardware task II : %s\n",hardware_flag_2);
break;
}
vTaskDelay(1000 / portTICK_RATE_MS);
}
}

上升沿指的是数字电路中数字电平从低电平(数字0)到高电平(数字1)的一瞬间,下降沿同理

借助一个 TX 的引脚会一直输出这一特点来与 GPIO18 连起来,这样就可以啦

补充:上下拉是给 IO 一个默认的状态,上拉和下拉是指 GPIO 输出高电位(上拉)还是低电位(下拉),从程序设计的角度讲,上拉就是如果没有输入信号则此时 I/O 状态为 1,下拉相反

试着理解一下代码的意思,给 GPIO18 注册了一个上升沿中断处理函数,函数的功能是 trigger+1,同时把 GPIO18 的上拉关掉,这样没有输入时候的 I/O 状态就不是 1,有输入的时候就会触发上升沿,这样 trigger 就会增加了

task3:在另一个串口处寻找第三个flag

代码语言:javascript
复制
#define ECHO_TEST_TXD  (GPIO_NUM_4)
#define ECHO_TEST_RXD  (GPIO_NUM_5)
#define ECHO_TEST_RTS  (UART_PIN_NO_CHANGE)
#define ECHO_TEST_CTS  (UART_PIN_NO_CHANGE)

void hardware_uart_setup(){
uart_config_t uart_config = {
.baud_rate = 115200,
.data_bits = UART_DATA_8_BITS,
.parity = UART_PARITY_DISABLE,
.stop_bits = UART_STOP_BITS_1,
.flow_ctrl = UART_HW_FLOWCTRL_DISABLE,
.source_clk = UART_SCLK_APB,
};
uart_driver_install(UART_NUM_1, 1024 * 2, 0, 0, NULL, 0);
uart_param_config(UART_NUM_1, &uart_config);
uart_set_pin(UART_NUM_1, ECHO_TEST_TXD, ECHO_TEST_RXD, ECHO_TEST_RTS, ECHO_TEST_CTS);
}

void hardware_task3(){
printf("[+] hardware task III : find the third flag in another UART\n");
while (1) {
uart_write_bytes(UART_NUM_1, hardware_flag_3, strlen(hardware_flag_3));
vTaskDelay(1000 / portTICK_RATE_MS);
}
}

被晃了呜呜呜,这个板子上有个TX2 我以为是这个呐,结果等了半天啥也没有,这个是让你分析代码,看一下用的哪一个 GPIO 作为 TX,通过 define 可以看到,TXD 是 GPIO4,那就把 GPIO4 接到 USB->TTL 的 RX 上就可以看到了

03

开搞!网络题目

task1:连接板子目标端口,尝试获得flag

代码语言:javascript
复制
void network_init(){
    char ssid[0x10] = {0};
    char pass[0x10] = {0};
    get_random(ssid,6);
    get_random(pass,8);
    printf("[+] network task I: I will connect a wifi -> ssid: %s , password %s \n",ssid,pass);
    connect_wifi(ssid,pass);
}

static void network_tcp()
{

char addr_str[128];
struct sockaddr_in dest_addr;

dest_addr.sin_addr.s_addr = htonl(INADDR_ANY);
dest_addr.sin_family = AF_INET;
dest_addr.sin_port = htons(3333);

int listen_sock = socket(AF_INET, SOCK_STREAM, IPPROTO_IP);

ESP_LOGI(TAG, &#34;Socket created&#34;);

bind(listen_sock, (struct sockaddr *)&amp;dest_addr, sizeof(dest_addr));
ESP_LOGI(TAG, &#34;Socket bound, port %d&#34;, 3333);

listen(listen_sock, 1);
while (1) {

    ESP_LOGI(TAG, &#34;Socket listening&#34;);
    struct sockaddr_storage source_addr;
    socklen_t addr_len = sizeof(source_addr);
    int sock = accept(listen_sock, (struct sockaddr *)&amp;source_addr, &amp;addr_len);
    inet_ntoa_r(((struct sockaddr_in *)&amp;source_addr)-&gt;sin_addr, addr_str, sizeof(addr_str) - 1);
    ESP_LOGI(TAG, &#34;Socket accepted ip address: %s&#34;, addr_str);
    char buffer[100];
    while(recv(sock,buffer,0x10,0)){
        if(strstr(buffer,&#34;getflag&#34;)){
            send(sock, network_flag_1, strlen(network_flag_1), 0);
            break;
        }else{
            send(sock, &#34;error\n&#34;, strlen(&#34;error\n&#34;), 0);
        }
        vTaskDelay(1000 / portTICK_RATE_MS);
    }
    open_next_tasks = 1;
    shutdown(sock, 0);
    close(sock);
}

}

这里得往上翻日志了,他随机指定了一个 wifi 名和密码,会去连接那个密码,用手机开个热点即可 ssid: kbmxet , password svtujgjb

日志里给出了 IP 和端口,用电脑也连接上开的热点

nc 一下,连上之后根据源码里的逻辑,发送 getflag 即可

task2:你知道他发给百度的 flag 么

改为用电脑开这个热点,然后直接抓取网卡的流量,嗯,他好像不会切换,得重新做一遍

电脑开启热点后会有一个新的网卡,就抓这个网卡即可

追踪 HTTP 流发现 flag

task3:flag在空中

同时日志如下:

把无线网卡插到 kali 里面,把无线网卡设置为监听模式,然后抓 802.11 的裸包

代码语言:javascript
复制
airmon-ng start wlan0
airodump-ng wlan0mon

打开 wiresahrk 选择网卡为 wlan0mon 进行抓包

04

开搞!蓝牙题目

task1:修改蓝牙名称并设置可被发现即可获得 flag

也是刚开始的日志中随机指定了蓝牙设备的名字

直接改手机的名字就行了,现在手机好像默认不被发现?在手机上点击扫描周围设备就可以了

task2:flag 在空中

那就抓包吧,开启 Hollong,直接全选广播包中就有,同时也确定了他的 MAC 地址和设备名

也可以用 nRF Connect 直接看到广播包

task3:分析GATT业务并获得flag

用 nRF Connect 连接,一开始读,只有 DEEDBEEF

搜索源码里的 [+] bluetooth task III 定位到这里,我们写入的值与 flag2 进行了对比,通过则 open_task3 = 1

只有当 open_task3 = 1 时才会把真正的 flag 拷贝过去

发送 task2 的 flag

再次读取,转成 ASCII 码即可 THUCTF{WrItE_4_gA7T}

05

开搞!MQTT题目

这里有些问题,你需要在自己的服务器上拉起来一个 Docker,然后别忘了把服务器的防火墙打开 1883 端口,再运行命令把 Docker 启动起来

代码语言:javascript
复制
docker build -t esp32ctf .
docker run -d -p 1883:1883 esp32ctf

修改 main.c 中的源码,把原本的域名改为你的服务器 IP,重新编译好烧到 esp32 中,例如:

代码语言:javascript
复制
把
mqtt_app_start("mqtt://mqtt.esp32ctf.xyz");
改为
mqtt_app_start("mqtt://192.168.50.132");

然后需要开一个热点名称:THUCTFIOT;密码:mqttwifi@123。设备连接上之后 esp32 会连接我们搭建的 MQTT broker

task1:你知道MQTT的上帝是谁么

MQTT 中有通配符 # 表示所有的主题,只需要订阅 # 就会收到所有的主题的消息,使用 MQTTX 订阅 #

也可以参考这个用 python 调用

https://www.yuque.com/hxfqg9/iot/pqfymw#r2zRT

task2:你能欺骗订阅者么

当 esp32 接收到数据时,会进入到 MQTT_EVENT_DATA 中,在代码中看到会去调用 mqtt_data_hander

代码语言:javascript
复制
case MQTT_EVENT_DATA:
  ESP_LOGI("mqtt", "MQTT_EVENT_DATA");
  printf("[+] MQTT task II: topic ->  %.*s\r\n", event->topic_len, event->topic);
  printf("[+] MQTT task II: data -> %.*s\r\n", event->data_len, event->data);
  mqtt_data_hander(event->data_len,event->data);
  break;

mqtt_data_hander 这一段代码是 task2 和 task3 通用的,传进去的参数一个是数据长度,一个是数据,会先通过数据中的 ? 进行分割,前面的是 ip,后面的是长度,flag2 定义的长度是 46,也就是变量 a,如果通过 ? 能找到长度,就会把 a 覆盖掉,否则就直接用 a 的值,因此在 task2 中,我们只需要传入 IP 即可

代码语言:javascript
复制
void mqtt_data_hander(int length,char * data){
    char l[10];
    char url[500] = {0};
    char out[500] = {0};
    char httpdata[500]={0};
    char flagdata[500]={0};
    char tag3[] = " [+] MQTT task III: ";
    sprintf(flagdata,"%s%s%s",mqtt_flag_2,tag3,mqtt_flag_3);//把flag2、tag3和flag3都放在flagdata里面
int a = 46;

char * p = strnstr(data,&#34;?&#34;,length);//在data中查找&#34;?&#34;,如果找到了就返回位置
if(p){
    int data_length = p - data;//数据长度 等于 p的地址 - 数据的地址
    snprintf(l,length - data_length,&#34;%s&#34;,p+1);//这个l就是打印flag的长度,就是传入的data中?后面的数,但是是字符串的形式
    a = atoi(l);//从字符串转成整数
    length = data_length;
}

sprintf(url,&#34;%.*s&#34;,length, data);

char fmt[] = &#34;GET / HTTP/1.0\r\n&#34;
             &#34;User-Agent: esp-idf/1.0 esp32\r\n&#34;
             &#34;flag: %s\r\n&#34;
             &#34;\r\n&#34;;

if( a &lt; (int)(sizeof(mqtt_flag_2) + sizeof(tag3) - 1 ) ){//判断a的大小,以整数的形式进行比较,正常来说肯定是通过的,因为mqtt_flag_2+tag3-1长度大于a
    memcpy(out,flagdata,a &amp; 0xff);//这样out就是flagdata中以a&amp;0xff为长度的
    sprintf(httpdata,fmt,out);
    http_get_task(url,httpdata);//带上数据去请求
}

}

在 MQTTX 中给主题 /topic/flag2/bayyqa 发送 ip 后 esp32 就会按照 a 的长度从 flagdata 中取出值来请求 ip

在远程服务器上监听一个 80 端口,得到了 task2 的 flag

task3:这是个内存破坏的前戏

如果想要得到 task3 的 flag 需要使 a 的足够大,这样 memcpy 的时候才会把 flagdata 全部包括进来,但是前面有个判断,只有当 ( a < (int)(sizeof(mqtt_flag_2) + sizeof(tag3) - 1 ) ) 时才可以,这里判断长度时有符号,但下面使用时和 0xff 进行了与运算 memcpy(out,flagdata,a & 0xff),如果设置长度为 -1 ,与 0xff 与运算将会得到一个很大的数,这样既可以绕过大小限制,又可以完整的拷贝 flagdata 带出位于 flag2 后的 flag3