下载exe附件,拖进IDA中F5反汇编
int __cdecl main(int argc, const char **argv, const char **envp)
{
unsigned int v3; // kr00_4
int v4; // edx
char *v5; // esi
char v6; // al
unsigned int i; // edx
int v8; // eax
char Arglist[16]; // [esp+2h] [ebp-24h] BYREF
__int64 v11; // [esp+12h] [ebp-14h] BYREF
int v12; // [esp+1Ah] [ebp-Ch]
__int16 v13; // [esp+1Eh] [ebp-8h]
sub_401020(Format);
v12 = 0;
v13 = 0;
*(_OWORD *)Arglist = 0i64;
v11 = 0i64;
sub_401050("%s", Arglist);
v3 = strlen(Arglist);
if ( v3 >= 0x10 && v3 == 24 )
{
v4 = 0;
v5 = (char *)&v11 + 7;
do
{
v6 = *v5--;
byte_40336C[v4++] = v6;
}
while ( v4 < 24 );
for ( i = 0; i < 0x18; ++i )
byte_40336C[i] = (byte_40336C[i] + 1) ^ 6;
v8 = strcmp(byte_40336C, aXircjR2twsv3pt);
if ( v8 )
v8 = v8 < 0 ? -1 : 1;
if ( !v8 )
{
sub_401020("right\n");
system("pause");
}
}
return 0;
}
最重要的是下面这段代码:
for ( i = 0; i < 0x18; ++i )
byte_40336C[i] = (byte_40336C[i] + 1) ^ 6;
v8 = strcmp(byte_40336C, aXircjR2twsv3pt);
if ( v8 )
v8 = v8 < 0 ? -1 : 1;
if ( !v8 )
{
sub_401020("right\n");
system("pause");
}
仔细分析,不难看出byte_40336C
和aXircjR2twsv3pt
相同时,表示我们的输入正确,byte_40336C
要每一位进行异或加一才能变为aXircjR2twsv3pt
。
flag长度为0x18即24。
查看aXircjR2twsv3pt
内容(以下为IDA中内容)
.rdata:00402124 ; const char aXircjR2twsv3pt[]
.rdata:00402124 aXircjR2twsv3pt db 'xIrCj~<r|2tWsv3PtI' ; DATA XREF: _main+A8↑o
.rdata:00402124 ; .rdata:0040215C↓o
.rdata:00402136 db 7Fh ;
.rdata:00402137 db 7Ah ; z
.rdata:00402138 db 6Eh ; n
.rdata:00402139 db 64h ; d
.rdata:0040213A db 6Bh ; k
.rdata:0040213B db 61h ; a
.rdata:0040213C db 0
.rdata:0040213D db 0
.rdata:0040213E db 0
.rdata:0040213F db 0
可以看出aXircjR2twsv3pt
内容为xIrCj~<r|2tWsv3PtI\x7Fzndka
写脚本
#include <stdio.h>
#include <string.h>
#include <stdint.h>
#include <stdlib.h>
int main()
{
char aXircjR2twsv3pt[100] = {"xIrCj~<r|2tWsv3PtI\x7Fzndka"}, flag[100] = {0};
printf("%d\n", strlen(aXircjR2twsv3pt));
for (size_t i = 0; i < 24; i++)
{
flag[i] = (aXircjR2twsv3pt[i] ^ 6) - 1;
}
printf("%s", flag);
return 0;
}
运行输出为:}NsDkw9sy3qPto4UqNx{galf
反过来得到flag:flag{xNqU4otPq3ys9wkDsN}