170917 逆向-WHCTF（BabyHack）

最新推荐文章于 2023-10-12 23:40:41 发布

奈沙夜影

最新推荐文章于 2023-10-12 23:40:41 发布

阅读量781

点赞数

分类专栏： CTF

本文链接：https://blog.csdn.net/whklhhhh/article/details/78014799

版权

本文介绍了在WHCTF（武汉站）-Reverse挑战中遇到的EasyHook技术。作者通过分析代码发现，程序使用hook技术替换WriteFile API，实现在调用WriteFile时执行自定义的sub_401080函数。通过对sub_401080和sub_401000的分析，理解了输入处理算法，并最终成功解密得到了正确的字符串。然而，在过程中因对某些细节不够敏感，导致了一些时间的浪费。

摘要由CSDN通过智能技术生成

1625-5 王子昂总结《2017年9月17日》【连续第350天总结】
A. XCTF（武汉站）-Reverse
B.

EasyHook

刚开始看这个名字还以为要注入DLL啥的呢(:з」∠)忐忑不安地打开发现结构挺简单：

int __cdecl main(int argc, const char **argv, const char **envp)
{
  int result; // eax@2
  HANDLE FileHandle; // eax@3
  DWORD NumberOfBytesWritten; // [sp+4h] [bp-24h]@3
  char Buffer; // [sp+8h] [bp-20h]@1

  sub_401370(aPleaseInputFla);
  scanf(a31s, &Buffer);
  if ( strlen(&Buffer) == 19 )                  // 输入长度为19
  {
    sub_401220();                               // 将Re_writeFile函数的地址覆盖WriteFile
    FileHandle = CreateFileA(FileName, 0x40000000u, 0, 0, 2u, 0x80u, 0);// 创建文件
    WriteFile(FileHandle, &Buffer, 0x13u, &NumberOfBytesWritten, 0);// 执行WriteFile函数，实际上是Re_writeFile
    sub_401240(&Buffer, &NumberOfBytesWritten); // 比较函数（伪）