JCTF2014逆向题目小菜两碟writeup
拿到文件时 以为和第一题 小菜一碟一样 又是一个.apk文件
结果安卓模拟器安装不了 发现不对劲 用winhex打开发现是一个PE文件
于是加上.exe后缀 结果无法运行
Exeinfo PE载入发现不是一个PE文件 猜测是做了手脚
用010Editor打开 运行模板 EXE.bt
发现PE头有问题 50 45 FF 00不对啊 正常应该是50 45 00 00才对
原因:struct IMAGE_NT_HEADERS NtHeader结构体中的DWORD Signature就是用来标识该文件是否是PE文件
该部分占用4字节,也就是“50 45 00 00”
该标识符在Winnt.h中也有宏定义,如下:
#define IMAGE_NT_SIGNATURE 0x00004550 // PE00
那么还有一个问题就是模板 没有正确标识50 45 FF 00这四个字节所在位置 (ps:有底色的部分是被标识到的)
这个是因为DOS头最后一个字段e_lfanew有问题
e_lfanew : 这个字段保存着PE头[IMAGE_NT_HEADERS]的起始位置偏移
这个文件中正确起始位置应该是E8h才对
好啦
修改好上述两个位置之后 保存成re200.exe就可以正常运行了
(ps:我的win10系统有毒 还得加上msvcp100d.dll msvcr100d.dll这两个dll才可以运行 2333....)
载入IDA进行分析 可以确定关键代码就在main_0()这个函数中
可以F5反汇编一下
但里边变量有点乱 所以有些我重命名了
根据栈中存放顺序 调整名字 F5重新分析
v20 21 22 23 24 25分别对应以下四个变量
-0000005C var_5C dd ?
-00000058 var_58 dd ?
-00000054 var_54 dd ?
-00000050 var_50 dd ?
-0000004C var_4C dd ?
-00000048 var_48 dd ?
最后得到
__int64 main_0()
{
int v0; // eax
__int64 v1; // rax
int v2; // eax
int v3; // ST08_4
int v4; // eax
int v5; // eax
int v6; // eax
int v7; // eax
int v8; // eax
int v9; // eax
int v11; // [esp-10h] [ebp-170h]
int v12; // [esp-Ch] [ebp-16Ch]
char *v13; // [esp-8h] [ebp-168h]
int v14; // [esp-4h] [ebp-164h]
int *v15; // [esp+Ch] [ebp-154h]
int k; // [esp+D4h] [ebp-8Ch]
int j; // [esp+E0h] [ebp-80h]
int i; // [esp+ECh] [ebp-74h]
char v19; // [esp+FBh] [ebp-65h]
int v20; // [esp+104h] [ebp-5Ch]
int v21; // [esp+108h] [ebp-58h]
int v22; // [esp+10Ch] [ebp-54h]
int v23; // [esp+110h] [ebp-50h]
int v24; // [esp+114h] [ebp-4Ch]
int v25; // [esp+118h] [ebp-48h]
char v26; // [esp+14Ch] [ebp-14h]
int v27; // [esp+14Dh] [ebp-13h]
int v28; // [esp+151h] [ebp-Fh]
char v29; // [esp+155h] [ebp-Bh]
v0 = printf(std::cout, "欢迎来到数字游戏 请输入9个数字");
std::basic_ostream<char,std::char_traits<char>>::operator<<(v0, std::endl);
v26 = 0;
v27 = 0;
v28 = 0;
v29 = 0;
v20 = 0;
j_memset(&v21, 0, 0x3Cu); // memset方法为0x3C大小的内存做初始化(ps:全部用0填充)操作,返回值为指向s的指针
for ( i = 0; i < 9; ++i ) // 从v20 - v28定义九个变量
std::basic_istream<char,std::char_traits<char>>::operator>>(std::cin, &v20 + i);
if ( v22 * v21 * v20 / 11 != 106 ) // 逆过来就是 v22*v21*v20 / 11 == 106
goto LABEL_31; // LABEL_31为失败的地方 所以这样的跳转都不能让它成立
if ( (v21 ^ v20) != v22 - 4 ) // 逆过来就是(v21 ^ v20) == v22 - 4
goto LABEL_31;
HIDWORD(v1) = (v22 + v21 + v20) % 100; // (v22 + v21 + v20) % 100 == 34
if ( HIDWORD(v1) != 34 )
goto LABEL_31; // v23 == 80
if ( v23 == 80 )
{
for ( j = 0; j < 3; ++j ) // 这个for循环可以忽略 与下面的if没啥关系
{
HIDWORD(v1) = (j + 1) % 3;
for ( *(&v26 + j) = *((_BYTE *)&v20 + 4 * HIDWORD(v1)) + *(&v20 + j % 3); ; *(&v26 + j) /= 2 )
{
while ( *(&v26 + j) < 33 )
{
HIDWORD(v1) = j;
*(&v26 + j) *= 2;
}
if ( *(&v26 + j) <= 126 )
break;
v1 = *(&v26 + j);
}
}
if ( v24 == 94 && v25 == 98 ) // v24 == 94 并且 v25 == 98
{
for ( k = 3; k < 9; ++k ) // 这个for循环也没什么用 因为与下面的if没啥关系
{
for ( *(&v26 + k) = *(&v26 + (k + 1) % 3) + *(&v26 + k % 3); ; *(&v26 + k) /= 2 )
{
while ( *(&v26 + k) < 33 )
*(&v26 + k) *= 2;
if ( *(&v26 + k) <= 126 )
break;
}
}
if ( !j_strcmp(&v26, "*&8P^bP^b") )
{
v2 = printf(std::cout, "success!");
std::basic_ostream<char,std::char_traits<char>>::operator<<(v2, std::endl);
v14 = std::endl;
v13 = "abc}";
v12 = v22;
v11 = v21;
v3 = v20;
v15 = &v11;
v4 = printf(std::cout, "jlflag{");
v5 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v4, v3);
v6 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v5, v11);
v7 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v6, v12);
v8 = printf(v7, v13);
std::basic_ostream<char,std::char_traits<char>>::operator<<(v8, v14);
sub_4112D0(std::cin, &v19);
goto LABEL_32;
}
LABEL_31:
v9 = printf(std::cout, "please try again!");
std::basic_ostream<char,std::char_traits<char>>::operator<<(v9, std::endl);
goto LABEL_32;
}
}
LABEL_32:
v14 = HIDWORD(v1);
v13 = 0;
return *(_QWORD *)&v13;
}
python脚本跑下可以得到:
for v20 in range(100):
for v21 in range(100):
v22 = (v20 ^ v21) + 4
if v20*v21*v22 // 11 == 106 and (v22 + v21 + v20) % 100 == 34:
print v20,v21,v22
'''
猜测最大数字不超过100 得到以下6组结果
6 13 15
6 15 13
13 6 15
13 15 6
15 6 13
15 13 6
'''
将他们与v23,v34,v25的值进行组合 再任意加上三个数字(比如1,2,3)
6 13 15 80 94 98 ? ? ?
6 15 13 80 94 98 ? ? ?
13 6 15 80 94 98 ? ? ?
13 15 6 80 94 98 ? ? ?
15 6 13 80 94 98 ? ? ? 一个一个输入 得到这个是正确的
15 13 6 80 94 98 ? ? ?
欢迎来到数字游戏 请输入9个数字
15
6
13
80
94
98
1
2
3
success!
jlflag{15613abc}
下面是这次学到的汇编指令:
cdq指令它大多出现在除法运算之前。它实际的作用只是把EDX的所有位都设成EAX最高位的值
idiv是有符号数除法指令,完成两个有符号数相除
memset是计算机中C/C++语言函数。将s所指向的某一块内存中的前n个 字节的内容全部设置为ch指定的ASCII值, 第一个值为指定的内存地址,块的大小由第三个参数指定,这个函数通常为新申请的内存做初始化工作, 其返回值为指向s的指针。
函数介绍:
void *memset(void *s, int ch, size_t n);
函数解释:将s中前n个字节 (typedef unsigned int size_t )用 ch 替换并返回 s 。
memset:作用是在一段内存块中填充某个给定的值,它是对较大的结构体或数组进行清零操作的一种最快方法
参考链接: