攻防世界—EasyRE

下载exe附件，拖进IDA中F5反汇编

int __cdecl main(int argc, const char **argv, const char **envp)
{
  unsigned int v3; // kr00_4
  int v4; // edx
  char *v5; // esi
  char v6; // al
  unsigned int i; // edx
  int v8; // eax
  char Arglist[16]; // [esp+2h] [ebp-24h] BYREF
  __int64 v11; // [esp+12h] [ebp-14h] BYREF
  int v12; // [esp+1Ah] [ebp-Ch]
  __int16 v13; // [esp+1Eh] [ebp-8h]

  sub_401020(Format);
  v12 = 0;
  v13 = 0;
  *(_OWORD *)Arglist = 0i64;
  v11 = 0i64;
  sub_401050("%s", Arglist);
  v3 = strlen(Arglist);
  if ( v3 >= 0x10 && v3 == 24 )
  {
    v4 = 0;
    v5 = (char *)&v11 + 7;
    do
    {
      v6 = *v5--;
      byte_40336C[v4++] = v6;
    }
    while ( v4 < 24 );
    for ( i = 0; i < 0x18; ++i )
      byte_40336C[i] = (byte_40336C[i] + 1) ^ 6;
    v8 = strcmp(byte_40336C, aXircjR2twsv3pt);
    if ( v8 )
      v8 = v8 < 0 ? -1 : 1;
    if ( !v8 )
    {
      sub_401020("right\n");
      system("pause");
    }
  }
  return 0;
}

最重要的是下面这段代码：

for ( i = 0; i < 0x18; ++i )
      byte_40336C[i] = (byte_40336C[i] + 1) ^ 6;
    v8 = strcmp(byte_40336C, aXircjR2twsv3pt);
    if ( v8 )
      v8 = v8 < 0 ? -1 : 1;
    if ( !v8 )
    {
      sub_401020("right\n");
      system("pause");
    }

仔细分析，不难看出byte_40336C和aXircjR2twsv3pt相同时，表示我们的输入正确，byte_40336C要每一位进行异或加一才能变为aXircjR2twsv3pt。

flag长度为0x18即24。

查看aXircjR2twsv3pt内容（以下为IDA中内容）

.rdata:00402124 ; const char aXircjR2twsv3pt[]
.rdata:00402124 aXircjR2twsv3pt db 'xIrCj~<r|2tWsv3PtI' ; DATA XREF: _main+A8↑o
.rdata:00402124                                         ; .rdata:0040215C↓o
.rdata:00402136                 db  7Fh ; 
.rdata:00402137                 db  7Ah ; z
.rdata:00402138                 db  6Eh ; n
.rdata:00402139                 db  64h ; d
.rdata:0040213A                 db  6Bh ; k
.rdata:0040213B                 db  61h ; a
.rdata:0040213C                 db    0
.rdata:0040213D                 db    0
.rdata:0040213E                 db    0
.rdata:0040213F                 db    0

可以看出aXircjR2twsv3pt内容为xIrCj~<r|2tWsv3PtI\x7Fzndka

写脚本

#include <stdio.h>
#include <string.h>
#include <stdint.h>
#include <stdlib.h>

int main()
{
    char aXircjR2twsv3pt[100] = {"xIrCj~<r|2tWsv3PtI\x7Fzndka"}, flag[100] = {0};
    printf("%d\n", strlen(aXircjR2twsv3pt));
    for (size_t i = 0; i < 24; i++)
    {
        flag[i] = (aXircjR2twsv3pt[i] ^ 6) - 1;
    }
    printf("%s", flag);
    return 0;
}

运行输出为：}NsDkw9sy3qPto4UqNx{galf

反过来得到flag：flag{xNqU4otPq3ys9wkDsN}