首先说明一下,ELF文件是小端序存储,IDA会把内存中的数据转化为大端序存储,所以有的字符串需要倒序输出,那该如何判断哪些需要倒序输出呢?本小白发现一个规律,大端序(不需要做倒序处理的)存储地址在变量中或代码中(就是点两下会跳回到原文中的),而小端序则相反,点两下会单独出现一个窗口,下面用两个gif来演示一下~
下面开始做题
首先用exeinfope查壳,发现为64位无壳
用IDA64位打开文件,tab转为伪代码
分析代码无果,我们找地方继续跟进,发现14行的Decry,意思是上面if如果没有返回break就会进入这个Decry函数,于是我们从这里跟进
从后往前看,发现如果text和str2相同的话(第65行)就会输出Congratulation!接着我们再回到上面从上往下分析,会发现小端序存储,这时需要将其倒序输出(不会的回去看开头),这里我将它们的转换结果都注释在后面了
其中29到34行是将大写转为小写(详情请查ASCII码)
接下来继续往下面看,没有什么头绪了,所以来写脚本暴力破解,因为部分值已知,写脚本就相对容易些
看起来复杂其实伪代码后面v1的范围就是所有的大小写字母,因为它虽然有if,else来限制v1,但是if,else后面的输出结果是一样的,最后输出的值即为flag