攻防世界新手Re

发表于 2021-11-05 分类于 Bin

攻防世界Re新手区

open-source

一段C的代码，一行行看，利用逆向思维反着来就行

#include <stdio.h>
#include <string.h>
int main(int argc, char *argv[]) {
    if (argc != 4) {
    	printf("what?\n");
    	exit(1);
    }
    unsigned int first = atoi(argv[1]);
    if (first != 0xcafe) {//得出first=0xcafe转换成10进值为51966
    	printf("you are wrong, sorry.\n");
    	exit(2);
    }
    unsigned int second = atoi(argv[2]);
    if (second % 5 == 3 || second % 17 != 8) {//second=25
    	printf("ha, you won't get it!\n");
    	exit(3);
    }
    if (strcmp("h4cky0u", argv[3])) {//argv[3]=’h4cky0u’
    	printf("so close, dude!\n");
    	exit(4);
    }
    printf("Brr wrrr grr\n");
    unsigned int hash = first * 31337 + (second % 17) * 11 + strlen(argv[3]) - 1615810207;
    printf("Get your key: ");
    printf("%x\n", hash);
    return 0;
}

然后直接写出脚本

#include <stdio.h>
#include <string.h>
int main () {
	unsigned int first = 51966;
	unsigned int second=25;
	unsigned int hash = first * 31337 + (second % 17) * 11 + strlen("h4cky0u") - 1615810207;
	printf("Get your key: ");
	printf("%x\n", hash);
	return 0;
}

game

法一：直接运行看到是

类似数学？随便按1~8顺序按了一下，神奇的事情发生了。。。一脸懵逼，很突然的我也不知道原理

法二：其实考点是算法

拖IDA，先找字符串发现没东西，然后main，f5

似乎没东西，找看起来有东西的函数

很明显调用了东西，点进去康康发现flag字眼

他是一直到

重点是循环语句那段

 for ( i = 0; i < 56; ++i )
  {
    *(&v2 + i) ^= *(&v59 + i);//异或运算
    *(&v2 + i) ^= 0x13u;
  }
  return sub_45A7BE((int)"%s\n");
}

a= [18,64,98,5,2,4,6,3,6,48,49,65,32,12,48,65,31,78,62,32,49,32,1,57,96,3,21,9,4,62,3,5,4,1,2,3,44,65,78,32,16,97,54,16,44,52,32,64,89,45,32,65,15,34,18,16,0]
b=[123,32,18,98,119,108,65,41,124,80,125,38,124,111,74,49,83,108,94,108,84,6,96,83,44,121,104,110,32,95,117,101,99,123,127,119,96,48,107,71,92,29,81,107,90,85,64,12,43,76,86,13,114,1,117,126,0]
flag = ''
for i in range(56):
    a[i] = a[i]^b[i]
    a[i] = a[i]^19#按R转换上文字符等于19
    flag+=chr(a[i])
print(flag)

Hello,CTF

先跑程序

要输入啥的不知道，肯定是flag。拖IDA梭哈

strcpy(&v13, "437261636b4d654a757374466f7246756e");

明显flag就是他。。一个16进制码（数字0~~9和字母A~~F），直接转码

simple-unpack

考点：脱壳

从题目已知这个是加壳文件，工具先查一下壳

下面的信息显示64bit知道是64位文件，upx知道是upx加壳

那就直接脱掉

然后拖入IDA

映入眼帘。

法二：自己脱壳做出来后，网上说这个不用脱壳。。。直接拖入010一查就有。。像个misc似的

logmein

拖入IDA，main F5

先将v7按R变成字符然后倒过来取，即

v7=harambe，然后v8肯定是加密后的flag了

重点是循环语句

for ( i = 0; i < strlen(s); ++i )
  {
    if ( i >= strlen(v8) )
      ((void (*)(void))sub_4007C0)();
    if ( s[i] != (char)(*((_BYTE *)&v7 + i % v6) ^ v8[i]) )
      ((void (*)(void))sub_4007C0)();
  }

脚本

a='harambe'
b=':\"AL_RT^L*.?+6/46'
flag = ''
for i in range(len(b)):
    c = ord(a[i%7])^ord(b[i])
    flag+=chr(c)
print(flag)

ord()函数是 chr() 函数（对于8位的ASCII字符串）或 unichr() 函数（对于Unicode对象）的配对函数，它以一个字符（长度为1的字符串）作为参数，返回对应的 ASCII 数值，或者 Unicode 数值，如果所给的 Unicode 字符超出了你的 Python 定义范围，则会引发一个 TypeError 的异常。

no-strings-attached

先查知道是32位ELF，再IDA

觉得最后一个函数里有东西，点进去

发现了一个看起来似乎很关键的函数decrypt，点进去看到

很明显返回的dest里有flag，而s和a2里面或许有dest相关的东西。但是看了半天点了半天没东西，直接看wp

回去看汇编

通过汇编代码，了解到eax保存dest的值后传递给s2。

不需要去分析decrypt的内容了，直接上gdb动态调试。

gdb动态调试指令：

下断点：

b *地址

由IDA看出decrypt的地址

所以在他下一行加个断点

执行到断点所在位置：

单步跟踪：

由于直接下断点在他的下一行所以不用跟了

查看寄存器保存的内容：

i r

查看内存地址（寄存器）中的值：

1	x/5sw $eax

参数含义：
x:examine–>检测内存地址中保存的值
5:显示5行目标数据
s:以字符串形式打印
w:以双字打印

getit

查，IDA一把梭

好像没什么特别的

重点看循环

while ( (signed int)v5 < strlen(s) )
  {
    if ( v5 & 1 )
      v3 = 1;
    else
      v3 = -1;
    *(&t + (signed int)v5 + 10) = s[(signed int)v5] + v3;
    LODWORD(v5) = v5 + 1;
  }
  strcpy(filename, "/tmp/flag.txt");

好像也没看出什么，也没给s是啥。点了其他的函数也没东西，看wp。。。。

玄机在s里，点进去就看见了（好家伙，原来字符串是给的呀。。）

然后对照伪代码写出脚本就行了

a = 'c61b68366edeb7bdce3c6820314b7498'
flag = ''
for i in range(len(a)):
    if i&1:
        x=1
    else:
        x=-1
    flag+=chr(ord(a[i])+x)
print(flag)

python-trade

下载下来得到pyc文件，需要经过反编译得出原py文件

python反编译 - 在线工具 (tool.lu)

py是：

import base64


def encode(message):
    s = ""
    for i in message:
        x = ord(i) ^ 32
        x = x + 16
        s += chr(x)
    return base64.b64encode(s)


correct = "XlNkVmtUI1MgXWBZXCFeKY+AaXNt"#密文
flag = ""
print "Input flag:"
flag = raw_input()
if encode(flag) == correct:
    print "correct"
else:
    print "wrong"

很明显，中间那段是加密代码

利用加密后的明文和加密代码往前推，写出解密代码

import base64

s = "XlNkVmtUI1MgXWBZXCFeKY+AaXNt"
a=base64.b64decode(s)
flag=''
for i in a:
        i -= 16
        i ^= 32
        flag += chr(i)
print(flag)