文件无壳 直接拖入IDA shift+F12查看可疑字符串 发现有很多可以字符串 继续跟进
跟进后发现还是没有什么头绪 先看看主函数吧
主函数是这个样子
可以发现主函数引用了sub_403CF8函数,sub_401080函数
1.sub_403CF8函数
sub_403CF8
函数执行了一个与文件相关的操作,该操作涉及到了文件的某种“开始”和“结束”处理(通过 _stbuf
和 _ftbuf
),以及一个自定义的文件操作函数 sub_406119
。这个函数能够处理可变数量的参数,并通过这些参数(以及文件句柄)来执行具体的文件操作。并没有什么实际意义
2.sub_401080函数
这段代码实现了一个自定义的编码过程,它将一个输入字符串(通过 a1
指针传递)和一个输出缓冲区(通过 a3
指针传递)的长度进行编码处理。这个编码过程看应该是针对Base64编码的变种。我们继续跟进sub_401000函数
int __cdecl sub_401080(int a1, int a2, int a3)
{
int v3; // edi
int v4; // esi
int v5; // edx
int v6; // eax
int v7; // ecx
int v8; // esi
int v9; // esi
int v10; // esi
int v11; // esi
_BYTE *v12; // ecx
int v13; // esi
int v15; // [esp+18h] [ebp+8h]
v3 = 0;
v4 = 0;
sub_401000();
v5 = a2 % 3;
v6 = a1;
v7 = a2 - a2 % 3;
v15 = a2 % 3;
if ( v7 > 0 )
{
do
{
LOBYTE(v5) = *(_BYTE *)(a1 + v3);
v3 += 3;
v8 = v4 + 1;
*(_BYTE *)(v8 + a3 - 1) = byte_40E0A0[(v5 >> 2) & 0x3F];
*(_BYTE *)(++v8 + a3 - 1) = byte_40E0A0[16 * (*(_BYTE *)(a1 + v3 - 3) & 3)
+ (((int)*(unsigned __int8 *)(a1 + v3 - 2) >> 4) & 0xF)];
*(_BYTE *)(++v8 + a3 - 1) = byte_40E0A0[4 * (*(_BYTE *)(a1 + v3 - 2) & 0xF)
+ (((int)*(unsigned __int8 *)(a1 + v3 - 1) >> 6) & 3)];
v5 = *(_BYTE *)(a1 + v3 - 1) & 0x3F;
v4 = v8 + 1;
*(_BYTE *)(v4 + a3 - 1) = byte_40E0A0[v5];
}
while ( v3 < v7 );
v5 = v15;
}
if ( v5 == 1 )
{
LOBYTE(v7) = *(_BYTE *)(v3 + a1);
v9 = v4 + 1;
*(_BYTE *)(v9 + a3 - 1) = byte_40E0A0[(v7 >> 2) & 0x3F];
v10 = v9 + 1;
*(_BYTE *)(v10 + a3 - 1) = byte_40E0A0[16 * (*(_BYTE *)(v3 + a1) & 3)];
*(_BYTE *)(v10 + a3) = 61;
LABEL_8:
v13 = v10 + 1;
*(_BYTE *)(v13 + a3) = 61;
v4 = v13 + 1;
goto LABEL_9;
}
if ( v5 == 2 )
{
v11 = v4 + 1;
*(_BYTE *)(v11 + a3 - 1) = byte_40E0A0[((int)*(unsigned __int8 *)(v3 + a1) >> 2) & 0x3F];
v12 = (_BYTE *)(v3 + a1 + 1);
LOBYTE(v6) = *v12;
v10 = v11 + 1;
*(_BYTE *)(v10 + a3 - 1) = byte_40E0A0[16 * (*(_BYTE *)(v3 + a1) & 3) + ((v6 >> 4) & 0xF)];
*(_BYTE *)(v10 + a3) = byte_40E0A0[4 * (*v12 & 0xF)];
goto LABEL_8;
}
LABEL_9:
*(_BYTE *)(v4 + a3) = 0;
return sub_401030(a3);
}
sub_401000函数使用一个for
循环,从result
(初始值为6)开始,直到小于15为止,每次循环result
递增1。这个循环遍历了从索引6到14的数组元素。函数的主要目的是交换两个数组中索引从6到14的元素。将byte_40E0AA数组的第7个到第15个和byte_40E0A0数组进行交换
我们跟进byte_40E0A0 此处是base64编码
根据以上的代码 可以推测sub_401080函数实现的是交换过6到15的编码表的base64编码
而当这个函数执行完后,base64的编码表就被修改为
ABCDEFQRSTUVWXY
PGHIJKLMNO
Zabcdefghijklmnopqrstuvwxyz0123456789+/
我们跟进最后一个函数sub_401030
这个函数是对字符串MXHz3TIgnxLxJhFAdtZn2fFk3lYCrtPC2l9进行大小写转换
反脚本的思路是先对字符串进行大小写转换,再对新的编码表进行新的base64解密
import base64
import string
# 原始字符串
original_string = 'zMXHz3TIgnxLxJhFAdtZn2fFk3lYCrtPC2l9'
# 大小写转换
swapped_case_string = original_string.swapcase()
# 原始的 base64 字符集
original_base64_table = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
# 自定义的 base64 字符集
custom_base64_table = 'ABCDEFQRSTUVWXYPGHIJKLMNOZabcdefghijklmnopqrstuvwxyz0123456789+/'
# 创建一个转换表,将自定义 base64 字符集映射回原始的 base64 字符集
trans_table = str.maketrans(custom_base64_table, original_base64_table)
# 使用转换表将字符串中的字符从自定义 base64 转换为标准 base64
standard_base64_string = swapped_case_string.translate(trans_table)
# 解码 base64 字符串
decoded_data = base64.b64decode(standard_base64_string)
# 打印解码后的数据
print(decoded_data)
得到flag
flag{bAse64_h2s_a_Surprise}