长城杯决赛RE wp

attachment WP_new

attachment

解压文件，发现有个jar包，一个pcap，先来看看这个pcap。可以看到存在大量http请求，主要通信目标为192.168.117.136

结合另一个movie-review-system-1.0.0.jar文件猜测这个ip是这个服务提供的接口，而且在这个http流量当中发现下面这些接口被大量调用：

·/api/reviews/add

·/api/user/avatar

在reviews这个评论接口，出现了大量特殊格式的内容,例如：

{"content": "data[/payload.enc]"}
{"content": "data[0]"}
{"content": "data[102]"}
{"content": "data[/tmp/payload_run]"}
{"content": "data[chmod +x /tmp/payload_run]"}

而头像avatar接口则不断出现类似的内容：

{"emojiAvatarId": 16}
{"emojiAvatarId": 25}
{"emojiAvatarId": 23}

这时候就推测这个请求不是正常的用户行为，而是在通过这两个接口传递某种特殊的数据，这里面的data[]猜测是在传递emojiAvatarId。这时候需要对jar包进行分析

使用jadx反编译，翻了一下文件发现有一个playload.enc

还发现了几个比较可疑的类名：

那么首先来看看这个UserBehaviorAnalyticsAspect

这里使用了Spring AOP，将请求当中的数据写入到VM上下文当中，这些数据来自emjiAvatarId，以及评论内容[]当中的数据，就比如说{"content": "data[/payload.enc]"}会向VMContext当中传入/payload.enc这个字符串

接下来看看这个VMContext类：

非常简单啊，这个ctx当中，就是一个list