re学习笔记（27）攻防世界-re-csaw2013reversing2

最新推荐文章于 2023-08-17 17:14:21 发布
最新推荐文章于 2023-08-17 17:14:21 发布
阅读量802 收藏 6
点赞数
分类专栏： ctf小白成长ing # reverse 文章标签： ctf 攻防世界 reverse
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Palmer9/article/details/104044944
版权

新手一枚，如有错误（不足）请指正，谢谢！！
个人博客：点击进入
题目链接：攻防世界-re-csaw2013reversing2
题目下载：点击下载

在这里插入图片描述
既然运行就能拿到flag，就直接载入OD动态调试吧
在这里插入图片描述
F8一点点单步向下，来找到确切弹窗的位置
发现执行到这里的时候出现了弹窗，在这个位置下断点，重新载入
在这里插入图片描述
然后F9直接运行到此地址，F7进入call
然后F8单步，来到这里，jnz跳转未实现，je跳转实现
在这里插入图片描述
执行了第二个messagebox函数出现乱码
在这里插入图片描述
既然程序执行的是错误的路径，那我们就把跳转改掉，在此call段首下断，然后删除之前的断点，重载程序F9运行
然后F8单步来到这里
在这里插入图片描述
修改Z标志位让他跳转实现(毕竟下面是检测是否有调试器的函数)执行了检测调试器的函数后就没再执行下面的inc
将z标志位修改为0，F8单步
在这里插入图片描述
当执行到int3的时候程序会退出，重载程序，nop掉他
执行到这里的时候，发现jmp会跳向程序退出，nop掉jmp
在这里插入图片描述
第一个弹窗什么也没输出，关闭弹窗后继续f8
在这里插入图片描述
这里jmp跳转后没有输出的东西了，所以将其nop掉
在这里插入图片描述
执行到这里的时候出现了flag
在这里插入图片描述
数据地址存储在eax寄存器里，在eax寄存器右键→数据窗口中跟随
在这里插入图片描述
然后在数据窗口复制字符串
在这里插入图片描述
继续运行弹窗弹出flag
在这里插入图片描述
提交后显示正确。
在这里插入图片描述

Forgo7ten
关注
  • 0
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 2
    评论
专栏目录
一天一道ctf 第27天（MD5扩展攻击）
scrawman的博客
04-20 366
打开题目就能看到源码，这里整理源码的时候觉得好长好难，但其实静下心来看了以后会发现还好，有耐心地跟下去就可以了。 #! /usr/bin/env python #encoding=utf-8 from flask import Flask from flask import request import socket import hashlib import urllib import sys import os import json reload(sys) sys.setdefaultencodin.
[XCTF-Reverse] 72 2019_Redhat_childRE
weixin_52640415的博客
03-27 197
程序中能搜到flag字符串，跟到主函数。加密分几部分 1，输入的数据位置交换。怎么换的函数都太复杂了，ida跟进去后输入0123...得到一个顺序变化的串，并没有加密内容只是交换位置 v1 = sub_13F5F1280(&v13); v2 = name; if ( v1 ) { sub_13F5F15C0((unsigned __int8 *)v1[1]); sub_13F5F15C0(*(unsigned __int8 **)(v3 + 16));
re学习（34）攻防世界-csaw2013reversing2(修改汇编顺序)
最新发布
m0_66039322的博客
08-17 792
所以我们把这个跳转也给nop掉，继续F8，执行完一个MessageBoxA（弹框）函数后，发现程序此时处于Running状态，弹出一个什么也没有的框，其实这是另外一个弹框函数，真正输出flag的弹框函数是后面那个，在我们之前那个ida的修改之后的汇编图也可以发现，确实是有一个没有被调用的弹框函数，所以我们之前可以那个nop掉的跳转改为跳转到下面那个弹框函数，但既然说了是nop大法，就nop到底。由于运行之后的是乱码，所以可以猜测生成flag的函数没有执行，所以需要跳到生成flag的函数执行，但是前面的。
[攻防世界]csaw2013reversing2
逆向萌新的博客
06-05 338
放入查壳软件中查壳，发现是32位无壳的软件，运行一下程序，看看有什么样的输出，得到的是乱码。 所以可能是里面的运算有问题，进入ida中进行查看，进入main函数，看汇编代码可能存在问题，进入反编译。 看到了，flag应该是在lpMen里面，但是返回去看汇编 按照逻辑图来看。 没有走flag的那里的逻辑，所以我们静态调试可能就会很费劲，所以用OD进行调试，在OD中查找flag，直接跳转过去。 这里是有需要修改的地方，看逻辑位置，在图片中标记出来。 按照正常的逻辑，这里flag的运算会被跳过，那么把跳转和
csaw2013reversing2
XFox_的博客
10-24 131
csaw2013reversing2 IDA分析写脚本 OD调试 IDA修改汇编代码 IDA分析写脚本 方法一：写脚本运行得到flag 查看main函数 hHeap = HeapCreate(0x40000u, 0, 0); lpMem = (CHAR *)HeapAlloc(hHeap, 8u, SourceSize + 1); memcpy_s(lpMem, SourceSize, &unk_409B10, SourceSize); //memcpy_s是memory cop
【XCTF-RE】新手练习区-csaw2013reversing2.exe
08-03
题目：https://adworld.xctf.org.cn/task/task_list?type=reverse&number=4&grade=0&page=1 我的解题记录：https://www.yuque.com/jianouzuihuai/study/ova41g
eda-reversing-2.zip_reverse engineering_zip
09-24
The Embedded Disassembler
rust-reversing-helper:防锈辅助脚本
05-11
防锈助剂 ida脚本可帮助逆转生锈的二进制文件 如何使用 预防措施 仅本机ELF x64。 该exe文件将具有更正参数的功能的问题。 功能 拆解函数名称。 （功能名称分解） 保存要使用的字符串。... 它纠正了未正确捕获的因素。...
FOR-610-Day2-Reversing Malicious Code.pdf
11-12
SANS FOR 610，SANS FOR 610，SANS FOR 610，SANS FOR 610，
Awesome-Reversing:精选的优秀反向工程资源列表，涵盖各种主题
05-24
很棒的逆向工程 （n）的艺术打破下来的东西，提取设计和力学的背后，操纵成其基本原理的科学。 逆转是从对象分析中部分或全部恢复产品的设计，需求规格和功能的过程。内容逆向工程是一个很大的主题，因此我们将其...
攻防世界csaw2013reversing2：
weixin_52230368的博客
08-13 250
攻防世界csaw2013reversing2： 文件下载下来是一个可执行程序，先来运行一下是来干什么的： [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上 一个小程序看见了Flag标题但是是一堆乱码。放进IDA查看伪代码，分析程序的基本思路： 在分析之前啊，我们要先了解几个函数是干什的： 1.HANDLE hheap;这个代码是定义一个句柄，实际上是一个数据，是一个Long类型的数据，是一种指向指针的指针。 1.Heap Create()函数，创建一个只有调用进程才能访问的私有堆。进程从
csaw2013reversing2（OD动态调试笔记）
HLi1219的博客
11-06 349
通过别人的文章，学习动态调试 PE查壳：无壳、32位 没有输入函数，再根据题目，打开就有flag，打开发现是乱码 用相应的ida打开，找的main函数F5反编译 代码中mencpy_s的具体含义为（目标地址，字节数，源地址，复制的字节数）也就是把&unk_409B10里面的值给了IpMem，在sub_401000的函数中进行加密，随货就是关闭程序后显示,看了其他的文章，&unk_409B10中就是乱码的flag。使用OD动态调试 在003F1094中对应了id...
逆向-攻防世界-CSAW2013Reversing2
weixin_30701521的博客
04-25 209
运行程序乱码，OD载入搜索字符串，断电到弹窗Flag附近。 发现跳过00B61000函数，弹窗乱码，我们试试调用00B61000函数。将00B61094的指令修改为JE SHORT 00B6109b。然后跟进函数，单步执行。 拿到了flag。 原程序是在00B610B9处弹窗，我们将00B610A3的指令修改为JE SHORT 00B610B9。保存修改，然后就会弹窗真正的f...
攻防世界 csaw2013reversing2 CSAW CTF 2014
08-27 365
运行程序 flag显示乱码 IDA打开查看程序逻辑 1 int __cdecl __noreturn main(int argc, const char **argv, const char **envp) 2 { 3 int v3; // ecx 4 CHAR *lpMem; // [esp+8h] [ebp-Ch] 5 HANDLE hH...
攻防世界-RE-csaw2013reversing2
Henlenl的博客
05-14 147
文章目录查看文件信息IDA 静态分析动态调试getflag 查看文件信息 无壳 IDA 静态分析 来到 main()函数处 我们可以看到 程序有个if 判断 进入sub_40102A()函数 发现没什么 IsDebuggerPresent()函数猜测应该是判断程序是否进入调试阶段 _debugbreak() //在代码中引起断点 提示用户运行调试程序 我们进入 sub_40100()函数 他返回result 明显是加密后的flag 但是 他应该没有调用 那么我们就可以用OD动调就可以
攻防世界（新手篇）
热门推荐
sjt670994562的博客
06-02 1万+
作为刚刚进入reserve的小白，这几天在攻防世界的一些解题 no_strings_attached 一看没有exe，估计是linux的文件了，扔进C32Asm里 果然elf文件 先用扔进ida分析，发现主要函数authenticate，找到他的地址 OK，接下来就是扔到linux的gdb里面分析啦（这里我用的是peda显示的更方便点） 用b来下断点，b*0x08048708，然后r运行，n单...
攻防世界-新手区csaw2013reversing2
qq_43447375的博客
12-15 255
攻防世界-新手区csaw2013reversing2欢迎使用Markdown编辑器新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 欢迎使用Markdown编辑器 #题目： csaw2013reversing2 ##题目来源
攻防世界csaw2013reversing2Writeup
m0_58348028的博客
01-08 344
32位无壳 先试着运行exe文件，得到如下结果符合题目 描述输出的玩意是乱码 用ida解析 主函数逻辑，跟进sub_40102A()函数中 发现函数的返回值默认为0，但是!0就意味着if所包含的语句会一直被默认执行 ，联想到我们一开始看到程序运行起来的乱码，我们就确定if所包含的语句就是导致乱码发生的原因 结合汇编发现if语句的默认正是跳过了sub_401000所以我们猜测这个被跳过的藏有flag 开始动态调试 执行完成后面就是退出不需要再执行此时edx地址中就存...
攻防世界——CSAW CTF 2016 Quals: mfw .git源码泄露——学习
qq_43409582的博客
06-04 802
0x01 今天从攻防世界上又看了一个题打开后，F12看到提示 然后看看结果： 一片空白。em…然后尝试了一些payload都没有用。就去看了下别人写的wp发现是有个新知识点：.git源码泄露。 在百度的时候发现了一片很好的博客：https://blog.csdn.net/qq_36869808/article/details/88909961 整理的很全面很具体。 这次借鉴下大佬的话（链接：h...
reversing-x64elf-100
04-06
b'reversing-x64elf-100' 是一道逆向分析题目，它的目标是找出一个给定的 x86-64 ELF 可执行文件的密码，并且密码的长度为16个字符。这道题目涉及到二进制代码的理解和反汇编、调试技巧和逆向工程方法。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Forgo7ten

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值