攻防世界 五道reverse新手题

攻防世界五道reverse新手题

1.re1

考点：基础反编译，快捷键

下载完之后，是一个exe文件，先PE看看软件信息。

32位，直接拖到IDA32。
F5查看伪代码，没有效果。
shift+F12 查看字符串窗口，往下拉，找到flag get，双击跳转。
然后找到一串数据，A转为字符串。
即为flag。

2.game

考点：初步的加解密，

看到题目，迷上玩游戏，下载得到一个exe文件，直接打开准备玩玩游戏，
发现就是之前做的一道题目。
解法一：依次输入12345678，直接得到flag。

第二种解法：重温之前的解题方法，先用PE查看软件信息。

32位，还是直接IDA32位。
出来一大堆函数，直接Ctrl+f 搜索main，F5进入反编译。
找到下面的return，双击，双击进入。

一个for循环。
1.自己写一个脚本。
2.使用OD跟踪。

3.Hello，CTF

考点：ctrl+x打开交叉引用，十六进制转换文本

出来一大堆字符串，直接搜索main，F5之后，发现没用。

shift+F12 查看字符串，找到一个wrong！
ctrl+x 打开交叉引用。再按F5反编译。
（小技巧：打开交叉引用之后，还可以直接反编译）

分析代码，发现那一串数据，会复制给V13，所以把那一串字符拷贝，去在线十六进制转化。

ctrl+x深入：CTRL+X支持在任意位置打开交叉引用 打开View▶Open Subviews▶Names，只要这里面有的符号名
字，如果它们出现在注释中，IDA会将这个符号作为反汇编指令中的一个操作数处理。双击该符号，反汇编窗口将
跳转到相应位置。同时，右击该符号，将显示上下文菜单。

一个基本的代码交叉引用类似如下：
.text:00401000 sub_40100 proc near ; CODE XREF: main+2A ↓p

CODE XREF代表这是一个代码交叉引用，后面的地址（这里为main+2A）是交叉引用的源头地址*，即main+2A
处调用了该方法，交叉引用中使用的地址提供了额外的信息，指出交叉引用是在一个名为main的函数中提出的，
具体而言是main函数中的第0x2A（42）字节。

地址后面总是有一个上行或下行箭头，表示引用位置的相对方向。需要向下滚动才能到达该地址。同样，上行箭头
表示引用地址是一个较低的内存地址，需要向上滚动才能到达。

箭头后还包含了一个单字符后缀，代表交叉引用的类型，p代表这是一个调用类型，j则代表这是一个跳转类型的交
叉引用。
———————————————— 原文链接：
https://blog.csdn.net/qq523176585/article/details/111878530

4.open-source

考点：纯C语言代码分析

发现密码就是下面的hash = first那么一长串。

然后寻找first，second，argv【3】.
first就是0xcafe，十六进制转换为十进制为51966
second就是除以17余数等于8的，除以5余数不为3的，25.
argv【3】就是字符串h4cky0u的长度 为 7.
最后得到一串数，再转为十六进制就行了。

5.simple-unpack

考点：upx脱壳

下载题目，看到提示是被加了壳。

UPX？百度一波。

UPX 是一款先进的可执行程序文件压缩器。压缩过的可执行文件体积缩小50%-70% ，这样减少了磁盘占用空间、
网络上传下载的时间和其它分布以及存储费用。 通过 UPX 压缩过的程序和程序库完全没有功能损失，和压缩之前
一样可正常地运行。对于支持的大多数格式没有运行时间或内存的不利后果。

UPX 支持许多不同的可执行文件格式 ：包含 Windows 95/98/ME/NT/2000/XP/CE 程序和动态链接库、DOS 程
序、Linux 可执行文件和核心。

UPX有不光彩的使用记录，它被用来给木马和病毒加壳，躲避杀毒软件的查杀。

UPX是一个著名的压缩壳,主要功能是压缩PE文件(比如exe,dll等文件),有时候也可能被病毒用于免杀.壳upx是一种保
护程序。一般是EXE文件的一种外保护措施，主要用途 ：
1、让正规文件被保护起来，不容易被修改和破解。
2、使文件压缩变小。
3、保护杀毒软件安装程序，使之不受病毒侵害。
4、木马，病毒的保护外壳，使之难以为攻破。 仅仅看一个壳upx路径 是不能确定什么的。要仔细看看他相对应的
文件，如果是杀毒或者是自己已知的文件那就无伤大雅，要是其他疑似，就要认真对待了。

有些软件的安装程序是加壳安装的，属正常现象。 建议查杀一下恶意程序、病毒。

来自百度百科。https://baike.baidu.com/item/upx/4630968

去吾爱破解，搜一波软件，安装下载之后。
脱壳。

对比一下脱壳前后软件的信息。
脱壳前：

脱壳后：

直接把脱壳后的文件，拖到IDA64位。
在主main函数里：

得到flag。
总结：upx脱壳，使用命令行 upx -d xxxxx
了解了一种简单的壳子upx壳