ctfshow红包题 武穆遗书

琢磨一下午，也是了解了新技术attach过反调试，但在目前还没有做出来，在running。

之前也是没接触过过反调试，看大佬的wp还是有点蒙，这是2.21号目前没有做出来.

2.22在众多师傅的帮助下是逐渐了解了一些如何解开这道题。

2.23解题成功，这是我第一次在csdn上编写的wp，希望能被之后解这题的看到，有些许思路。

先对程序进行upx脱壳。

拖入ida，能看到最后比较函数是v4与v6进行比较，v6是输入值所以我们跟进v4看是否有思路

 在sub_401390是对v4的写值和加密，但v4其实是一个指向地址的指针，这说明v4可能不是flag，甚至flag在堆或者栈中，那么我们使用动态调试去看那个地址指向的是什么。

按f9发现闪退，也就是说有反调试无法动调。那就得过反调试，网上有一个师傅说的attach to process其实也可以，但当时我试了很久没有结果，所以现在先说第一种。

法一

看main函数最先提及的前三个函数，我们一个个跟进去看

 

 都有exit（0），所以我们将其nop，第三个函数其实也是反调试，也需要将其nop，然后保存重新打开。

在图所示地方下断点。

 而这个断点需要跟精确，所以我们点if语句按下tab

 在此处再下一个断点。这下我们开始动调。f9后在cmd中随便输入字符，ida会跳到这里

 鼠标放到eax寄存器上就可以看到flag了。

法2

不进行nop，同样位置下断点，打开下载的.exe文件，选中Debugger中attach to process，找到下载此文件选中点ok，同样方式也可以找到flag。