re学习笔记（93）攻防世界 - mobile进阶区 - Illusion

推荐肉丝r0ysue课程（包含安卓逆向与js逆向）：
jeb载入查看MainActivity

可以发现是将用户输入，与encflag传入了native方法中去，native方法的返回值就是显示结果

而encflag是从assets文件夹下的flag文件中获取的

之后IDA查看so文件
JNI_OnLoad动态注册了函数


查看逻辑
将input与字符串相加，再减去64，和93一并传入sub_10C0函数
之后将返回值加上32得到字符串结果。
将得到的字符串与参数二也就是encflag进行比较，返回比较结果

而sub_10C0函数，则是判断a2是否等于0，然后来判断执行哪个函数
由于a2的值恒定为93，所以只执行sub_1028()函数

sub1028虽然有些长，但是逻辑很简单，返回的结果就是a1除以a2的商

动调后发现结果不一致，找到sub_10C0函数的最后，将商R0再乘以R2=93，然后让R1减去相乘后的结果
也就是说10C0函数实际上返回的值是除以93的余数

所以程序的流程就是
将用户输入的每个字符，加上内置data字符串对应的下标的字符，然后再减去64；
得到的结果，取余93后，进行比较

exp为

enc_flag = "Ku@'G_V9v(yGS"
data = "(Ljava/lang/String;Ljava/lang/String;)Ljava/lang/String;"
data = [ord(i) for i in data]


def main():
    enc = [ord(i) for i in enc_flag]
    flag = [0]*len(enc)
    for i in range(len(enc)):
        flag[i] = (enc[i]-32)+64-data[i]
        while flag[i] < 0x32:
            flag[i] += 93
        while flag[i] > 125:
            flag[i] -= 93
    print("".join([chr(i) for i in flag]))


if __name__ == '__main__':
    main()
# CISCN{GJ5728}

得到flag为 CISCN{GJ5728}