HITCON CTF 2024 re AntiVirus wp clamav bytecode signature逆向

文章预览

hint It seems to be hard to reverse-engineer the anti-virus signature??? 一 阶段一：cbc后缀是啥？ print_flag.cbc 不知道是什么格式，看起来是plaintext，都是可见ascii字符 run.sh 中出现了clamav、clamscan等关键词。 首先找到clamav的 官方文档（ https://docs.clamav.net/manual/Usage/Scanning.html ） ，得知clamav是一个反病毒引擎。 然后搜工具clanscan的资料，看到一个 Debian上clanscan的手册。 ◆ --database=FILE/DIR - load virus database from FILE or load all supported db files from DIR ◆[ --bytecode-unsigned[=yes/no(*)] ]( https://manpages.debian.org/testing/clamav/clamscan.1.en.html#bytecode ) Allow loading bytecode from outside digitally signed .c[lv]d files. Caution: You should NEVER run bytecode signatures from untrusted sources. Doing so may result in arbitrary code execution. 手册指出 run.sh 中命令是加载 print_flag.cbc 这个病毒数据库，并允许加载不受信任的字节码。 即 print_flag. ………………………………