JCTF2014逆向题目小菜两碟writeup

拿到文件时以为和第一题小菜一碟一样又是一个.apk文件

结果安卓模拟器安装不了发现不对劲用winhex打开发现是一个PE文件

于是加上.exe后缀结果无法运行

Exeinfo PE载入发现不是一个PE文件猜测是做了手脚

用010Editor打开运行模板 EXE.bt

发现PE头有问题 50 45 FF 00不对啊正常应该是50 45 00 00才对

原因：struct IMAGE_NT_HEADERS NtHeader结构体中的DWORD Signature就是用来标识该文件是否是PE文件

该部分占用4字节,也就是“50 45 00 00”

该标识符在Winnt.h中也有宏定义，如下：

#define IMAGE_NT_SIGNATURE                  0x00004550  // PE00

那么还有一个问题就是模板没有正确标识50 45 FF 00这四个字节所在位置 (ps:有底色的部分是被标识到的)

这个是因为DOS头最后一个字段e_lfanew有问题

e_lfanew : 这个字段保存着PE头[IMAGE_NT_HEADERS]的起始位置偏移

这个文件中正确起始位置应该是E8h才对

好啦

修改好上述两个位置之后保存成re200.exe就可以正常运行了

(ps：我的win10系统有毒还得加上msvcp100d.dll msvcr100d.dll这两个dll才可以运行 2333....)

载入IDA进行分析可以确定关键代码就在main_0()这个函数中

可以F5反汇编一下

但里边变量有点乱所以有些我重命名了

根据栈中存放顺序调整名字 F5重新分析

v20 21 22 23 24 25分别对应以下四个变量

-0000005C var_5C          dd ?
-00000058 var_58          dd ?
-00000054 var_54          dd ?
-00000050 var_50          dd ?
-0000004C var_4C          dd ?
-00000048 var_48          dd ?

最后得到

__int64 main_0()
{
  int v0; // eax
  __int64 v1; // rax
  int v2; // eax
  int v3; // ST08_4
  int v4; // eax
  int v5; // eax
  int v6; // eax
  int v7; // eax
  int v8; // eax
  int v9; // eax
  int v11; // [esp-10h] [ebp-170h]
  int v12; // [esp-Ch] [ebp-16Ch]
  char *v13; // [esp-8h] [ebp-168h]
  int v14; // [esp-4h] [ebp-164h]
  int *v15; // [esp+Ch] [ebp-154h]
  int k; // [esp+D4h] [ebp-8Ch]
  int j; // [esp+E0h] [ebp-80h]
  int i; // [esp+ECh] [ebp-74h]
  char v19; // [esp+FBh] [ebp-65h]
  int v20; // [esp+104h] [ebp-5Ch]
  int v21; // [esp+108h] [ebp-58h]
  int v22; // [esp+10Ch] [ebp-54h]
  int v23; // [esp+110h] [ebp-50h]
  int v24; // [esp+114h] [ebp-4Ch]
  int v25; // [esp+118h] [ebp-48h]
  char v26; // [esp+14Ch] [ebp-14h]
  int v27; // [esp+14Dh] [ebp-13h]
  int v28; // [esp+151h] [ebp-Fh]
  char v29; // [esp+155h] [ebp-Bh]

  v0 = printf(std::cout, "欢迎来到数字游戏 请输入9个数字");
  std::basic_ostream<char,std::char_traits<char>>::operator<<(v0, std::endl);
  v26 = 0;
  v27 = 0;
  v28 = 0;
  v29 = 0;
  v20 = 0;
  j_memset(&v21, 0, 0x3Cu);                     // memset方法为0x3C大小的内存做初始化(ps:全部用0填充)操作，返回值为指向s的指针
  for ( i = 0; i < 9; ++i )                     // 从v20 - v28定义九个变量
    std::basic_istream<char,std::char_traits<char>>::operator>>(std::cin, &v20 + i);
  if ( v22 * v21 * v20 / 11 != 106 )            // 逆过来就是 v22*v21*v20 / 11 == 106
    goto LABEL_31;                              // LABEL_31为失败的地方   所以这样的跳转都不能让它成立
  if ( (v21 ^ v20) != v22 - 4 )                 // 逆过来就是(v21 ^ v20) == v22 - 4
    goto LABEL_31;
  HIDWORD(v1) = (v22 + v21 + v20) % 100;        // (v22 + v21 + v20) % 100 == 34
  if ( HIDWORD(v1) != 34 )
    goto LABEL_31;                              // v23 ==  80
  if ( v23 == 80 )
  {
    for ( j = 0; j < 3; ++j )                   // 这个for循环可以忽略  与下面的if没啥关系
    {
      HIDWORD(v1) = (j + 1) % 3;
      for ( *(&v26 + j) = *((_BYTE *)&v20 + 4 * HIDWORD(v1)) + *(&v20 + j % 3); ; *(&v26 + j) /= 2 )
      {
        while ( *(&v26 + j) < 33 )
        {
          HIDWORD(v1) = j;
          *(&v26 + j) *= 2;
        }
        if ( *(&v26 + j) <= 126 )
          break;
        v1 = *(&v26 + j);
      }
    }
    if ( v24 == 94 && v25 == 98 )               // v24 == 94 并且 v25 == 98
    {
      for ( k = 3; k < 9; ++k )                 // 这个for循环也没什么用  因为与下面的if没啥关系
      {
        for ( *(&v26 + k) = *(&v26 + (k + 1) % 3) + *(&v26 + k % 3); ; *(&v26 + k) /= 2 )
        {
          while ( *(&v26 + k) < 33 )
            *(&v26 + k) *= 2;
          if ( *(&v26 + k) <= 126 )
            break;
        }
      }
      if ( !j_strcmp(&v26, "*&8P^bP^b") )
      {
        v2 = printf(std::cout, "success!");
        std::basic_ostream<char,std::char_traits<char>>::operator<<(v2, std::endl);
        v14 = std::endl;
        v13 = "abc}";
        v12 = v22;
        v11 = v21;
        v3 = v20;
        v15 = &v11;
        v4 = printf(std::cout, "jlflag{");
        v5 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v4, v3);
        v6 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v5, v11);
        v7 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v6, v12);
        v8 = printf(v7, v13);
        std::basic_ostream<char,std::char_traits<char>>::operator<<(v8, v14);
        sub_4112D0(std::cin, &v19);
        goto LABEL_32;
      }
LABEL_31:
      v9 = printf(std::cout, "please try again!");
      std::basic_ostream<char,std::char_traits<char>>::operator<<(v9, std::endl);
      goto LABEL_32;
    }
  }
LABEL_32:
  v14 = HIDWORD(v1);
  v13 = 0;
  return *(_QWORD *)&v13;
}

python脚本跑下可以得到：

for v20 in range(100):
        for v21 in range(100):
                v22 = (v20 ^ v21) + 4
                if v20*v21*v22 // 11 == 106 and (v22 + v21 + v20) % 100 == 34:
                        print v20,v21,v22
'''
猜测最大数字不超过100 得到以下6组结果
6 13 15
6 15 13
13 6 15
13 15 6
15 6 13
15 13 6
'''

将他们与v23,v34,v25的值进行组合再任意加上三个数字(比如1,2,3)

6 13 15 80 94 98 ? ? ?
6 15 13 80 94 98 ? ? ?
13 6 15 80 94 98 ? ? ?
13 15 6 80 94 98 ? ? ?
15 6 13 80 94 98 ? ? ? 一个一个输入得到这个是正确的
15 13 6 80 94 98 ? ? ?

欢迎来到数字游戏 请输入9个数字
15
6
13
80
94
98
1
2
3
success!
jlflag{15613abc}

下面是这次学到的汇编指令：

cdq指令它大多出现在除法运算之前。它实际的作用只是把EDX的所有位都设成EAX最高位的值

idiv是有符号数除法指令,完成两个有符号数相除

memset是计算机中C/C++语言函数。将s所指向的某一块内存中的前n个字节的内容全部设置为ch指定的ASCII值，第一个值为指定的内存地址，块的大小由第三个参数指定，这个函数通常为新申请的内存做初始化工作，其返回值为指向s的指针。
　　函数介绍：
　　void *memset(void *s, int ch, size_t n);
　　函数解释：将s中前n个字节（typedef unsigned int size_t ）用 ch 替换并返回 s 。
　　memset：作用是在一段内存块中填充某个给定的值，它是对较大的结构体或数组进行清零操作的一种最快方法

参考链接：

https://blog.csdn.net/m0_37812124/article/details/76396566

https://blog.csdn.net/z724133545/article/details/52044670

JCTF2014逆向题目小菜两碟writeup

猜你喜欢