CTF REVERSE BUUCTF 不一样的flag1

先拖入查壳工具exeinfope，发现是32bit

拖入32bit的ida pro在view的function里面找到main函数，点击F5反编译运行得出伪代码

exit（0）与exit（1）有什么区别

• exit(0) 表示程序成功执行完毕并正常退出。0 是传统上表示成功的退出代码。

• exit(1) 或非零退出代码通常表示程序由于某种错误或问题而非正常退出。1 是常见的一般错误退出代码。

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)

{

_BYTE v3[29]; // [esp+17h] [ebp-35h] BYREF

int v4; // [esp+34h] [ebp-18h]

int v5; // [esp+38h] [ebp-14h] BYREF

int i; // [esp+3Ch] [ebp-10h]

_BYTE v7[12]; // [esp+40h] [ebp-Ch] BYREF

__main();

v3[26] = 0;

*(_WORD *)&v3[27] = 0;

v4 = 0;

strcpy(v3, "*11110100001010000101111#");

while ( 1 )

{

puts("you can choose one action to execute");

puts("1 up");

puts("2 down");

puts("3 left");

printf("4 right\n:");

scanf("%d", &v5);

if ( v5 == 2 )

{

++*(_DWORD *)&v3[25];

}

else if ( v5 > 2 )

{

if ( v5 == 3 )

{

--v4;

}

else

{

if ( v5 != 4 )

LABEL_13:

exit(1);

++v4;

}

}

else

{

if ( v5 != 1 )

goto LABEL_13;

--*(_DWORD *)&v3[25];

}

for ( i = 0; i <= 1; ++i )

{

if ( *(_DWORD *)&v3[4 * i + 25] >= 5u )

exit(1);

}

if ( v7[5 * *(_DWORD *)&v3[25] - 41 + v4] == '1' )

exit(1);

if ( v7[5 * *(_DWORD *)&v3[25] - 41 + v4] == '#' )

{

puts("\nok, the order you enter is the flag!");

exit(0);

}

}

}

仔细研读代码，我们可以发现，v4就是一个int数，判断它向右走了多少，vh3是一个字节数组，

_BYTE v3[29];

strcpy(v3, "*11110100001010000101111#");把地图的信息复制在里面

if ( v5 == 2 )

{

++*(_DWORD *)&v3[25];

}

if ( v7[5 * *(_DWORD *)&v3[25] - 41 + v4] == '1' )

exit(1);

if ( v7[5 * *(_DWORD *)&v3[25] - 41 + v4] == '#' )

{

puts("\nok, the order you enter is the flag!");

exit(0);

}

很显然v3【25】是一个单独的值，从0开始，存放了往下走了多少，用5 * *(_DWORD *)&v3[25]说明有5列，又已知有25个数，所以是5*5的迷宫

*(_DWORD *)&v3[25] 得到玩家当前行的位置，乘以5（每行的格子数），加上玩家当前列的位置 v4，再减去41（数组的基础偏移），最终得到一个索引。

for ( i = 0; i <= 1; ++i )

{

if ( *(_DWORD *)&v3[4 * i + 25] >= 5u )

exit(1);

}

在这个循环中，我们看到对v3进行了如下操作：

1.4 * i + 25计算数组索引。由于i在循环中取0和1，这意味着它实际上查看的是v3[25]和v3[29]处的数据。

2.(_DWORD *)&v3[4 * i + 25] 的作用是将 v3 数组的特定部分的地址转换为一个指向 DWORD（双字，即32位或4字节的整数）的指针。这样做实际上是在告诉编译器：“我们希望把这部分内存当作一个32位整数来处理”。这里，_DWORD 指的是一个双字类型，通常用于表示32位的无符号整数。

3.通过解引用操作（前面的 * 符号），获取该地址处的整数值，并将其与5进行比较，这个整数值与5进行比较。这里的5u表示一个无符号整数5。u后缀是C语言中的一种标准，用于指定字面量为无符号类型，以避免任何可能的类型不匹配或符号扩展错误

得出迷宫

*1111
01000
01010
00010
1111#

正确的走法是：222441144222

flag{222441144222}