REA:Sui MoveCTF 攻防

官網

https://movectf.movebit.xyz/

Git:https://github.com/shanxuanchen/MoveCTF

題目1

第一題是checkin題，需要用戶準備好環境即可。觸發合約，然后提交對應的簽名即可。

題目2

這道題其實稍微有點難～～～～

我們先看一下getflag的條件：

要拿到TreasuryBox

Sui發布更新版標志及Token社區訪問計劃:4月15日消息，Sui 于今日公布其改進設計后的新標致（相比原有標致更具有平衡感）以及 SUI Token 社區訪問計劃。據該計劃顯示，有資格進行購買的包括第 1 輪測試期間 Capy Holidays 競賽獲勝者、部分參與組織 Builder Houses 和其他重要活動的成員、部分社區參與者。Sui 并未公布詳細的準入條件。[2023/4/15 14:05:49]

隨機數要剛好達到0

我們知道其實隨機數達到0的概率非常小，其實此時幾乎可以確定此題的最大考點：

Sui將于11月2日至3日在里斯本舉行Sui Builder House，目前已開放注冊:10月20日消息，公鏈Sui宣布將于11月2日至3日在葡萄牙里斯本舉行開發者介紹會Sui Builder House，目前已開放注冊。活動將為開發者介紹Sui區塊鏈及其智能合約語言Move的基礎知識，并且舉辦一個獎勵競賽。[2022/10/20 16:32:26]

**隨機數攻擊**

動態 | 谷歌G Suite推特賬號被黑客利用推廣比特幣:據thenextweb報道，黑客黑入谷歌G Suite在推特上的官方賬號推廣比特幣。黑客在其官方賬號G Suite上表示，將贈送1萬枚比特幣。目前還沒有確認推廣比特幣的推文在G Suite的賬號中保留了多長時間，但它不會少于11分鐘。谷歌尚未通過官方聲明解決這一事件。 今天早些時候，美國零售巨頭Target的推特賬號也遭遇了同樣的事件。[2018/11/14]

1.拿到TreasureBox

從slay_boar_king的方法里可以看到，當滿足d100==0時，sender就可以拿到box資源。當然，我們前提是要能打贏怪物boar。打贏怪物boar純屬就是一個簡單的循環邏輯了，只要攻擊力和防御力有一定就可以了。

所以，我們需要循環100多次slay_boar。然后積累一定的經驗值，然后升級即可。

2.隨機數要剛好達到0

本題的兩個隨機數重要變量是：

txhash

ids_created

我們采取的攻擊方法很簡單：

**固定txHash，然后模擬隨機數的生成，然后遍歷ids_created**。

最難的部分是自己手動組裝seed，這里直接放答案：

題目3

這套我是AC了的。這道題有很大的漏洞，因為create_lend是一個public方法。通過創建一個0債務的新的資源，然后提交flag即可。

題目4

這道題其實就是考move的循環題，基本功的題目，兩次循環結果就能出來了。

參考鏈接：

https://mp.weixin.qq.com/s/-OFe_E_XTzdRgBB0ilu9aw

來源：bress

Tags：SUIMOVMOVEREAsui幣是國人盤嗎MoviTokenmovez幣最新價格STREAMER

火幣下載