buuctf 逆向 number_game

这是一题二叉树逆向

正常递归建立树的代码为：

VOID BinaryTree::BuildTree(Tree*& root)
{
	cout << "输入-1即结束" << endl;
	INT Val = 0;
	cin >> Val;
	if (Val == -1)
		return;
	
	root = new Tree(Val);

	cout << "请输入" << Val << "的左子树" << endl;
	BuildTree(root->Left);
	cout << "请输入" << Val << "的右子树" << endl;
	BuildTree(root->Right);
}

在这里，经过IDA反编译后代码是这样的：
 

_QWORD *__fastcall sub_400758(char *flag, int num1, signed int num2)
{
  char temp; // [rsp+1Fh] [rbp-11h]
  _QWORD *v6; // [rsp+28h] [rbp-8h]

  temp = flag[num1];
  if ( temp == ' ' || temp == '\n' || num1 >= num2 )
    return 0LL;
  v6 = malloc(0x18uLL);
  *(_BYTE *)v6 = temp;
  v6[1] = sub_400758(flag, 2 * num1 + 1, num2);
  v6[2] = sub_400758(flag, 2 * (num1 + 1), num2);
  return v6;
}

其实就是自动给树结点赋值了，相当于将输入进来的flag按照层序遍历赋值建树

其实瞅着这段代码：
 

__int64 *__fastcall sub_400807(__int64 *head, char *v7)
{
  __int64 *result; // rax

  result = head;
  if ( head )
  {
    sub_400807((__int64 *)head[1], v7);
    v7[global++] = *(_BYTE *)head;
    return sub_400807((__int64 *)head[2], v7);
  }
  return result;
}

也应该要知道是二叉树了，这就是中序遍历，也就是将刚刚按照输入的flag层次遍历建立起来的树，用中序遍历重新得到一个字符串。

__int64 __fastcall sub_400881(char *a1)
{
  __int64 result; // rax

  byte_601062 = *a1;
  byte_601067 = a1[1];
  byte_601069 = a1[2];
  byte_60106B = a1[3];
  byte_60106E = a1[4];
  byte_60106F = a1[5];
  byte_601071 = a1[6];
  byte_601072 = a1[7];
  byte_601076 = a1[8];
  result = (unsigned __int8)a1[9];
  byte_601077 = a1[9];
  return result;
}

这里将得到的中序遍历出来的字符串插入到待检测的数组中

__int64 sub_400917()
{
  unsigned int v1; // [rsp+0h] [rbp-10h]
  int i; // [rsp+4h] [rbp-Ch]
  int j; // [rsp+8h] [rbp-8h]
  int k; // [rsp+Ch] [rbp-4h]

  v1 = 1;
  for ( i = 0; i <= 4; ++i )
  {
    for ( j = 0; j <= 4; ++j )
    {
      for ( k = j + 1; k <= 4; ++k )
      {
        if ( *((_BYTE *)&unk_601060 + 5 * i + j) == *((_BYTE *)&unk_601060 + 5 * i + k) )// 每5个字符不重复
          v1 = 0;
        if ( *((_BYTE *)&unk_601060 + 5 * j + i) == *((_BYTE *)&unk_601060 + 5 * k + i) )
          v1 = 0;
      }
    }
  }
  return v1;
}

接下来是check函数

有两个监测点：

这是第一个检测点

if ( *((_BYTE *)&unk_601060 + 5 * i + j) == *((_BYTE *)&unk_601060 + 5 * i + k) )// 每5个字符不重复

将地址为0x601060的数组每五个一行

每一行的每一个字符都不能重复

第二检测点：

if ( *((_BYTE *)&unk_601060 + 5 * j + i) == *((_BYTE *)&unk_601060 + 5 * k + i) )
          v1 = 0;

每一列的元素不能相同。

最后可以得到

1 4 0 2 3 

3 0 4 1 2 

0 1 2 3 4

2 3 1 4 0

4 2 3 0

对应的中序遍历的数组就是0 4 2 1 4 2 1 4 3 0

重新建立树，再进行层次遍历，得到的就是1 1 3 4 2 4 0 0 2 4

所以flag就是flag{1134240024}