PolarCTF逆向工程：The_Gift赛题解析与实战

2026/8/15 7:16:21

1. 赛事背景与核心挑战解析

PolarCTF作为国际知名的网络安全竞赛平台，其2026年春季挑战赛推出的"The_Gift"赛题引发了广泛讨论。这道题目表面看似普通的逆向工程挑战，实则暗藏多层技术陷阱，需要选手具备完整的二进制分析技能链。

从题目名称"The_Gift"可以推测出几个关键特征：首先这很可能是一个伪装成"礼物"的恶意程序或特殊文件，其次可能存在"拆解礼物"的过程隐喻，最后可能涉及某种形式的"馈赠"机制（如flag的获取方式）。这类命名方式在CTF赛事中通常暗示着非常规解题路径。

2. 初始分析与环境准备

2.1 文件基础信息收集

拿到题目文件后的第一步永远是基础信息收集：

$ file The_Gift The_Gift: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 3.2.0, BuildID[sha1]=..., stripped $ checksec --file=The_Gift RELRO STACK CANARY NX PIE RPATH RUNPATH Symbols FORTIFY Partial RELRO No canary found NX enabled No PIE No RPATH No RUNPATH No Symbols No

关键发现：

这是一个被strip过的64位ELF可执行文件
安全防护方面仅开启了NX（堆栈不可执行）
没有符号表，增加了逆向难度

2.2 初步运行观察

执行程序后出现交互式界面：

Welcome to The_Gift! Enter the magic words to unwrap your present: >

尝试输入随机字符串后程序直接退出，没有任何输出。这种表现暗示可能需要特定格式的输入才能触发后续逻辑。

3. 静态逆向分析

3.1 主函数结构解析

使用IDA Pro加载后，定位到main函数（通过交叉引用查找__libc_start_main）：

int __cdecl main(int argc, const char **argv, const char **envp) { char input[32]; // [rsp+0h] [rbp-20h] BYREF setup(); print_welcome(); printf("> "); fgets(input, 32, stdin); process_input(input); return 0; }

关键函数调用链：

setup() - 初始化操作（实际分析发现是设置缓冲区和信号处理）
print_welcome() - 打印欢迎信息
process_input() - 核心处理逻辑

3.2 核心处理逻辑逆向

process_input函数反编译结果：

void __fastcall process_input(const char *input) { char v1; // al char v2; // al int i; // [rsp+18h] [rbp-18h] int j; // [rsp+1Ch] [rbp-14h] char transformed[12]; // [rsp+20h] [rbp-10h] BYREF memset(transformed, 0, sizeof(transformed)); for ( i = 0; i <= 7; ++i ) { v1 = rol4(input[i] ^ 0xAA); v2 = ror4(input[i + 8] ^ 0x55); transformed[i] = v1 + v2; } if ( !strcmp(transformed, "P0l4rCTF") ) unlock_gift(); else exit(0); }

关键算法特征：

输入被分成前后8字节两部分处理
分别进行异或和循环移位操作
最终结果需要匹配固定字符串"P0l4rCTF"

3.3 加密算法还原

通过分析可以确定：

rol4：循环左移4位
ror4：循环右移4位
异或密钥：前8字节用0xAA，后8字节用0x55

编写对应的解密算法：

def rol4(x): return ((x << 4) | (x >> 4)) & 0xFF def ror4(x): return ((x >> 4) | (x << 4)) & 0xFF def decrypt(target): magic = "P0l4rCTF" result = [] for i in range(8): for c in range(256): a = rol4(c ^ 0xAA) b = ror4((ord(magic[i]) - a) ^ 0x55) if b == c: result.append(chr(c)) result.append(chr(ord(magic[i]) - a)) break return ''.join(result)

4. 动态调试技巧

4.1 关键断点设置

使用GDB附加调试时，建议设置以下断点：

b *0x4012a3 # process_input函数开始 b *0x40132d # strcmp调用前

4.2 内存数据观察

当程序执行到strcmp时，检查RDX寄存器指向的内存：

x/s $rdx

应该能看到我们构造的字符串和目标的"P0l4rCTF"比较。

4.3 对抗反调试技巧

该程序通过以下方式检测调试器：

void anti_debug() { if (ptrace(PTRACE_TRACEME, 0, 0, 0) < 0) { exit(0); } }

绕过方法：

使用LD_PRELOAD hook ptrace调用
直接nop掉检测代码
使用调试器的反反调试功能（如GDB的catch syscall ptrace）

5. 完整解题脚本

结合静态分析和动态调试结果，编写自动化解题脚本：

from pwn import * def rol4(x): return ((x << 4) | (x >> 4)) & 0xFF def ror4(x): return ((x >> 4) | (x << 4)) & 0xFF def find_input(): magic = b"P0l4rCTF" input_part1 = [] input_part2 = [] for i in range(8): target = magic[i] # 爆破第一个字符 for c1 in range(256): # 计算第二个字符应该满足的条件 c2 = (target - rol4(c1 ^ 0xAA)) & 0xFF # 验证第二个字符的变换 if (rol4(c1 ^ 0xAA) + ror4(c2 ^ 0x55)) & 0xFF == target: input_part1.append(c1) input_part2.append(c2) break return bytes(input_part1) + bytes(input_part2) def exploit(): # context.log_level = 'debug' p = process('./The_Gift') payload = find_input() log.success(f"Found valid input: {payload}") p.sendlineafter(b'> ', payload) p.interactive() if __name__ == '__main__': exploit()