- 博客(11)
- 收藏
- 关注
RSS订阅原创 jadx——安卓动调
（签名校验，找时间看的一个东西）为什么单独为这个列一个栏目？？？因为这个b动调过程我遇到一堆问题。首先先说明下安卓动调需要的东西Androidkiller或者apktools、jadx或者其他、模拟器或者真机（我这里用的是真机），随着时代发展很多软件在模拟器上已经不能跑了，所以这里推荐真机然后，我以我的一次动调为例，来陈述下中途遇到的一系列问题。
2024-04-01 20:50:42
863
原创 010editor逆向过程
随便输一下，然后点check Licese，这里因为看过了别人的笔记，所以我知道这里调用的是createwindowExW API，所以成功断住，实际这一步只是为了更熟悉下xdbg，更聪明的办法是通过查找字符串找到逻辑点。很奇葩，改了时间后不知道为什么还是显示可用，但是刚改时间点开14的版本，就会显示试用期到期，再打开8的版本却不会，这时再打开14的版本也不会显示到期，怪。这里的话，在验证时，会有弹窗，所以建议在打开后附加到进程，再给可能的API下断点，然后追踪调用堆栈，向上追溯可能的判断逻辑点。
2024-03-08 21:07:19
2183
3
原创 简单学习花指令
emit 0x01;_emit 0x00;_emit 0x00;_emit 0x00;push ebx;#将ebp的地址存放于eax#该地址存放的值正好是函数返回值，#不过该地址并不固定，根据调试所得。#加26正好可以跳到下面的mov指令，该值也是调试计算所得pop eax;pop ebx;pop eax;jmp eax;_emit 0xE8;_emit 0x03;_emit 0x00;
2024-03-06 21:32:51
442
2
原创 简单学习脱壳
遵循esp大法，可以在一开始入栈时在栈打断点，直接F9往下跑，遇到断住时一般就差不多到脱完壳了，upx往往会有一个循环，往下再跳转就离oep很近了。这时可以采取单步走或者查找字符串直接锁定main函数。
2024-03-06 21:32:20
351
3
原创 键盘HOOK简单学习
对于系统钩子，该参数为钩子函数所在的DLL句柄。HOOK代码的构件中比较关键的就是回调函数，它意味着我的HOOK要实现什么样的功能，是仅拦截，还是将获取的信息传递到其他文件中之类的，现在好像还没必要看勾链，所以代码中的CallNextHookEx因该只是实现非目的进程不拦截信息。当我们通过exe建立钩子后，一旦有程序发生键盘输入，OS就会自动把我们提前传入句柄的DLL注入相关程序，进而调用回调函数，实现对消息的处理。idHook：钩子的拦截消息类型，选择钩子程序的拦截范围，具体值参考文章结尾的消息类型。
2024-01-01 12:54:56
1522
原创 第七届强网杯RE dotdot复现
完成后，我们把解密后的文件拖入010editor查看294位置会发现是一堆0，然后这个点我觉得我是想不到的，但是作者确实是这样出的，如果我们再观察这个exe文件，会发现FFF函数一直没用到，然后它是个tea，再看一下License文件的内容，发现似乎对FFF进行了调用，结合具体代码可以发现FFF是个验证功能，它的参数，一个是密钥，一个是明文，结合之前解出的十六字节的WelcomeToQWB2023，不难猜测它是这个tea的密钥，然后再根据密文求得明文即可。我们继续求解这个白盒AES的密钥。
2023-12-27 22:27:02
1296
2
原创 第七届强网杯逆向ezre
发现ptrace这个函数，所以可以看出这道题应该是设有反调试的，但是具体操作我还不太清楚，不过这样也可以看出这里大致是主要区域，我们看一下这个函数调用的所有函数，有sub_3170,sub_3270,sub_3580。但是应该是有提示的，所以我们根据这个函数的交叉引用往外层找，发现在sub_39F0有引用。作为一道简单题，它确实没有改动，只要过了混淆，再发现反调试，其实也没有调试的必要，毕竟它是很正常的SM4，只要把密文和key一放，用在线网站也可以解。先进入它给的main函数，有个函数，进去看。
2023-12-20 23:56:10
826
1
原创 第七届强网杯强网先锋ezre
总结一下来看，我们需要再静态下拿到最后的对照字符表来作为密文解密，第一步是根据密文运用z3来暴力破解最后的一个加密，然后再根据4次循环的奇数偶数来进行base解加密，最后再来一次base解密即可。发现像是一段加密函数，用插件查找加密特征，发现base64的编码，可以确定这是base64加密函数，但是现在只能确定的是表是变的。简单看了下发现是根据索引再根据base表赋值，大概就可以看出是个base的解码函数，但是由于base表一直在变，所以这一步解密也是加密操作。s是我们的输入，v16和v3都是长度。
2023-12-20 17:31:43
409
原创 如何打造一个简单的PELoader
首先先介绍下什么是PEloader，它是相当于是一个PE加载器，运行该程序可以打开一个PE文件，如exe文件。而效果就如同双击该exe。PEloader可以帮助从本质上了解exe文件的格式和运行原理。然后我要介绍的是如何写一个简单的PEloader。要完成这个任务需要的知识有对PE文件的基本了解，对指针的熟练运用和对指针的深入理解，然后C语言方面学完结构体基本就可以了，其次是对如何运用代码对文件进行操作有一些了解和会最基本的操作，如使用fread读取文件，用stat获取一个文件的一些基本信息。
2023-12-18 10:23:38
124
4
原创 2023年第十四届极客大挑战re逆向方向babycode复现
我们再分析这个加密函数的后半段，这里是一个随机数加密，首先它是通过循环和随机数得出一个用来和base58加密后的字符串进行异或的值，所以我们可以通过动调的方式来这个数直接跑出来，但是它这里有一个坑点，就是它设置了反调试，发现这一类反调试的话，有两个办法，一个是对你的关键数据进行快捷键x查看应用，看有没有奇怪的赋值，二就是查看有没有奇怪的函数。我们重新定义类型和大小。最后再提一嘴，其实key的加密是单独的，可以抄写加密代码将每一轮用到的key跑出来，对最后两步的加密进行暴力求解，而无需写解密脚本。
2023-12-05 12:28:42
413
3
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人