XTU.apk.apk逆向writeup

最近逆向了西安工业大学出的CTF题，XTU.apk.apk

打开后如图

首先放到jeb里，很强大，直接按Tab就可以反编译成Java代码

查找onclick事件函数的内容

但里面用到了内置函数encrypt

用AndroidKiller解包后，果断使用ida，打开工程里面的lib\armeabi\libXTU.so文件

找到java内置函数

一看汇编有点懵，幸亏ida可以转化为c代码（F5键）

代码有点不太明晰，拷贝到notepad里优化一下

signed int __fastcall Java_com_example_xtu_GetString_encrypt(_JNIEnv *a1, int a2, int a3)
{
  _JNIEnv *v3; // r4@1
  int v4; // r7@1
  int v5; // r6@1
  int v6; // r0@1
  const char *v7_Welc; // r5@1
  const char *v8_yInS; // r6@1
  char *s; // ST04_4@1
  size_t v10_len_Welc; // r4@1
  size_t v11_len_yInS; // r7@1
  char *v12_Welc; // r4@1
  char *v13_yInS; // r7@1
  size_t len_s; // r0@1
  size_t i; // r6@1
  int v16; // r3@4
  char *v18_s; // [sp+8h] [bp-60h]@1
  char dest; // [sp+14h] [bp-54h]@1

  v3 = a1;
  v4 = a3;
  v5 = _JNIEnv::NewStringUTF(a1, "yInS567!bcNOUv8_yInSvwCDefXYZadoPQRGx13ghTpqrsHklm2EFtuJKLzMijAB094W");
  v6 = _JNIEnv::NewStringUTF(v3, "Welc0meT0XTUCTF");
  v7_Welc = _JNIEnv::GetStringUTFChars(v3, v6, 0);
  v8_yInS = _JNIEnv::GetStringUTFChars(v3, v5, 0);
  s = _JNIEnv::GetStringUTFChars(v3, v4, 0);
  v10_len_Welc = j_j_strlen(v7_Welc);
  v11_len_yInS = j_j_strlen(v8_yInS);
  v12_Welc = j_operator new[](v10_len_Welc + 1);
  v13_yInS = j_operator new[](v11_len_yInS + 1);
  len_s = j_j_strlen(s);
  v18_s = j_operator new[](len_s + 1);
  j_j_memcpy(&dest, &unk_2018, 0x3Cu);
  j_j_strcpy(v12_Welc, v7_Welc);
  j_j_strcpy(v13_yInS, v8_yInS);
  j_j_strcpy(v18_s, s);
  for ( i = 0; i < j_j_strlen(v7_Welc); ++i )//长度15
    v12_Welc[i] = v13_yInS[*(&dest + i)];
  v16 = 0;
  while ( v18_s[v16] == v12_Welc[v16] )
  {
    if ( ++v16 == 15 )
      return 1;
  }
  return 0;
}

第38行，分析后发现就是个查表替换工作，查的是&unk_2018这个地址，双击后发现在.rodata段，参照以前的汇编知识应该是数据段的意思，也就是c里面最前面定义的全局变量

打开十六进制视图，由于指针是DWORD，所以显示使用4-byte

把表考出来，编写python代码获得flag

table = (0x39,0x20,0x07,0x0A,0x20,0x29,0x13,0x02,0x3A,0x0C,0x11,0x31,0x3B,0x0B,0x07) 

a = "yInS567!bcNOUV8vwCDefXYZadoPQRGx13ghTpqrsHklm2EFtuJKLzMijAB094W"
b = "Welc0meT0XTUCTF"
c = ''

for i in range(len(b)):
	c+=(a[table[i]])
	print(i)
	print(table[i])
	print(a[table[i]])
	print("----")
	
print c

得到flag：A1!N1HenBUCu0O!