攻防世界 elrond32

工具：IDA

附件是Linux可执行文件，放入IDA中看伪代码

int __cdecl main(int a1, char **a2)
{
  if ( a1 > 1 && sub_8048414(a2[1], 0) )
  {
    puts("Access granted");
    sub_8048538(a2[1]);
  }
  else
  {
    puts("Access denied");
  }
  return 0;
}

关键函数：sub_8048414

命令函参数要交给此函数处理，查看这个函数的内容

int __cdecl sub_8048414(_BYTE *a1, int a2)
{
  int result; // eax

  switch ( a2 )
  {
    case 0:
      if ( *a1 == 105 )
        goto LABEL_19;
      result = 0;
      break;
    case 1:
      if ( *a1 == 101 )
        goto LABEL_19;
      result = 0;
      break;
    case 3:
      if ( *a1 == 110 )
        goto LABEL_19;
      result = 0;
      break;
    case 4:
      if ( *a1 == 100 )
        goto LABEL_19;
      result = 0;
      break;
    case 5:
      if ( *a1 == 97 )
        goto LABEL_19;
      result = 0;
      break;
    case 6:
      if ( *a1 == 103 )
        goto LABEL_19;
      result = 0;
      break;
    case 7:
      if ( *a1 == 115 )
        goto LABEL_19;
      result = 0;
      break;
    case 9:
      if ( *a1 == 114 )
LABEL_19:
        result = sub_8048414(a1 + 1, 7 * (a2 + 1) % 11); //关键
      else
        result = 0;
      break;
    default:
      result = 1;
      break;
  }
  return result;
}

main函数传给此函数的参数是命令行参数和0，这个函数判断第一个字符是否满足switch—case中的内容，若不满足则返回零；满足时再递归调用这个函数来判断下一个字符

可以看出a2为2和8的时候，会进入switch—case的default语句，即停止判断下一个字符，返回1。而a2和我们输入的内容是无关的，看一下a2的内容

a2 = 0
for i in range(20):
    print(a2, end=' ')
    a2 = 7 * (a2 + 1) % 11

0 7 1 3 6 5 9 4 2 10 0 7 1 3 6 5 9 4 2 10

可以看出在第9次调用sub_8048414函数时a2=2，就停止判断了，并且根据a2的值和switch—case语句，我们可以推出要输入的字符串的ASCII码为

[105, 115, 101, 110, 103, 97, 114, 100]

脚本

ords = [105, 115, 101, 110, 103, 97, 114, 100]
flag = ''
for c in ords:
    flag += chr(c)
print(flag)

>>> isengard

运行一下，得到flag

flag{s0me7hing_S0me7hinG_t0lki3n}