琢磨一下午,也是了解了新技术attach过反调试,但在目前还没有做出来,在running。
之前也是没接触过过反调试,看大佬的wp还是有点蒙,这是2.21号目前没有做出来.
2.22在众多师傅的帮助下是逐渐了解了一些如何解开这道题。
2.23解题成功,这是我第一次在csdn上编写的wp,希望能被之后解这题的看到,有些许思路。
先对程序进行upx脱壳。
拖入ida,能看到最后比较函数是v4与v6进行比较,v6是输入值所以我们跟进v4看是否有思路
在sub_401390是对v4的写值和加密,但v4其实是一个指向地址的指针,这说明v4可能不是flag,甚至flag在堆或者栈中,那么我们使用动态调试去看那个地址指向的是什么。
按f9发现闪退,也就是说有反调试无法动调。那就得过反调试,网上有一个师傅说的attach to process其实也可以,但当时我试了很久没有结果,所以现在先说第一种。
法一
看main函数最先提及的前三个函数,我们一个个跟进去看
都有exit(0),所以我们将其nop,第三个函数其实也是反调试,也需要将其nop,然后保存重新打开。
在图所示地方下断点。
而这个断点需要跟精确,所以我们点if语句按下tab
在此处再下一个断点。这下我们开始动调。f9后在cmd中随便输入字符,ida会跳到这里
鼠标放到eax寄存器上就可以看到flag了。
法2
不进行nop,同样位置下断点,打开下载的.exe文件,选中Debugger中attach to process,找到下载此文件选中点ok,同样方式也可以找到flag。