攻防世界-re-rev300

查看文件为ELF 32位文件

查看在ubuntu中运行的状态，运行后提示拒绝访问

使用ida查看程序源码

进入main函数查看

Main函数中判断条件满足时，提示访问通过，首先看判断条件，a1 > 1

a1提示后面的参数不为空，运行程序的时候需要携带一个参数。

sub_8048414函数是判断参数是否正确的函数，验证函数

这个函数是递归调用

首先带有两个形参，a1和a2

a1应该是我们输入的key

a2参数带入的时候为0

进入验证函数中，先判断a2(a2 = 0),先进入case 0:,a1也就是我们输入字符串的首字符等于105(i)就goto到LABEL_19标签下：result = sub_8048414(a1 + 1, 7 * (a2 + 1) % 11);就是重新调用自己，并对参数重新赋值，可以看到a1+1也就是指向了下一个字符，a2也就是判断的参数进行了运算7*(0+1)%11=7,运算之后的代码是result = sub_8048414(a1 + 1, 7);去判断我们输入的第二个字符应该去找第七个进行判断也就是判断是否为115(s),以此类推进行判断，但是我们仔细观察switch case语句，它里面并没有case2 case8而且到case9结束，可以判断他的key的长度应该为8位字符，a2遇到2或者8，或者长度大于9就结束了。

int __cdecl sub_8048414(_BYTE *a1, int a2)
{
  int result; // eax

  switch ( a2 )
  {
    case 0:
      if ( *a1 == 105 )
        goto LABEL_19;
      result = 0;
      break;
    case 1:
      if ( *a1 == 101 )
        goto LABEL_19;
      result = 0;
      break;
    case 3:
      if ( *a1 == 110 )
        goto LABEL_19;
      result = 0;
      break;
    case 4:
      if ( *a1 == 100 )
        goto LABEL_19;
      result = 0;
      break;
    case 5:
      if ( *a1 == 97 )
        goto LABEL_19;
      result = 0;
      break;
    case 6:
      if ( *a1 == 103 )
        goto LABEL_19;
      result = 0;
      break;
    case 7:
      if ( *a1 == 115 )
        goto LABEL_19;
      result = 0;
      break;
    case 9:
      if ( *a1 == 114 )
LABEL_19:
        result = sub_8048414(a1 + 1, 7 * (a2 + 1) % 11);
      else
        result = 0;
      break;
    default:
      result = 1;
      break;
  }
  return result;
}

由此写出正确key的脚本：

int a1[20] = {105,101,0,110,100,97,103,115,0,114};

void key() {
	int p = 0;
	int p1[20];
//注意这里是让里面的if进行判断是否跳出循环，所以第二项条件控制为空，直接就是第三项
	for (int i = 0;; i = 7 * (i + 1) % 11, p++) {
		p1[p] = a1[i];
		if (i == 2 || i == 8 || i > 9) break;
	}

	for (int i = 0; i < 8; i++) {
		printf("%c\n",toascii(p1[i]));
	}
}

这应该就是正确的key吧，放到ubuntu中尝试一下isengard

既然是练习就继续分析下去。

回到主函数中，有个打印flag的函数：

sub_8048538函数携带a2[1]参数，也就是sub_8048414函数所处理后的数据。isengard

进入函数里面进行查看

首先是v2有33个元素，int i

memcpy()函数是将unk_8048760里面的数据copy到v2中，从v2的首字符开始。

那么unk_8048760里面有什么？

下面可以看到，int类型的unk_8048760，一个元素占4位，其余的使用0进行补充，也就是第一位是0x0F,第二位0X1F以此类推。

复制完成后，进行循环，循环33次也就是要把V2进行数据运算，异或运算^

这个就是将V2的数据和我们处理之后的数据进行异或运算后打印出来

putchar(v2[i] ^ *(char *)(a1 + i % 8));

完整的算法如下：

#include<iostream>
#include<cstdio>
#include<cstring>
#include<algorithm>
#include <ctype.h>
int a1[20] = {105,101,0,110,100,97,103,115,0,114};

void key() {
	int p = 0;
	int p1[20];

	for (int i = 0;; i = 7 * (i + 1) % 11, p++) {
		p1[p] = a1[i];
		if (i == 2 || i == 8 || i > 9) break;
	}

	for (int i = 0; i < 8; i++) {
		printf("%c\n",toascii(p1[i]));
	}
}

int main()
{
	int a2[20], k = 0;
	int v2[33] = { 0x0F,0x1F,0x04,0x09,0x1C,0x12,0x42,0x09,0x0C,0x44,0x0D,0x07,0x09,0x06,0x2D,0x37,0x59,0x1E,0x00,0x59,0x0F,0x08,0x1C,0x23,0x36,0x07,0x55,0x02,0x0C,0x08,0x41,0x0A,0x14 };
	//注意这里是让里面的if进行判断是否跳出循环，所以第二项条件控制为空，直接就是第三项
	for (int i = 0;; i = 7 * (i + 1) % 11, k++) {
		a2[k] = a1[i];
		if (i == 2 || i == 8 || i > 9)break;
	}
	//显示出正确的key值
	key();
	//打印出来正确的flag
	for (int i = 0; i <= 32; ++i)
		putchar(v2[i] ^ a2[i % 8]);
}

flag{s0me7hing_S0me7hinG_t0lki3n}