CTF逆向-[SCTF2019]creakme-WP-基于AES加密算法下的保护：反调试及except_handler和SMC

最新推荐文章于 2023-12-20 16:18:21 发布
最新推荐文章于 2023-12-20 16:18:21 发布
阅读量863 收藏 2
点赞数 1
分类专栏： CTF-逆向 文章标签： 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_37157335/article/details/124072225
版权

CTF逆向-[SCTF2019]creakme-WP-基于AES加密算法下的保护：反调试及except_handler和SMC

来源：https://buuoj.cn/

内容：无

附件：链接：https://pan.baidu.com/s/16pQIqjmG2nUhGGDt8Iw-TQ?pwd=g965 提取码：g965

答案：sctf{Ae3_C8c_I28_pKcs79ad4}

总体思路

简单反调试的patch

_except_handler的知识点

smc得到解密算法，得到题目的flag密文

使用ctrl+alt+f发现encode方法是aes加密

猜测得到key和iv，解密得到flag

详细步骤

  • 检查文件信息

  • image-20220409192110209

  • 经过检查发现可能存在检查debugger的，进入该方法，找到所有退出进程的地方，nop掉

    • image-20220409193133356

  • 点击edit-patch program-apply patches to...应用上面的nop

    • image-20220409193620641
    • image-20220410072339315
最低0.47元/天 解锁文章
serfend
关注
专栏目录
2019SCTF crackme复现
siphre
07-04 597
比赛没做出来，参考SU战队WP复现。 exeinfope查无壳 有反调试 运行程序显示: welcome to 2019 sctf please input your ticket: 需要输入特定的ticket Shift+F12查找字符串,跟踪到主函数sub_402540 sub_402540内部伪代码 开头调用两个可疑函数：sub_402320、sub_402...
[SCTF2019]creakme
m0_46296905的博客
04-14 944
这题用到的知识点很多，我们先一步步分析。 首先看主函数： int __cdecl main(int argc, const char **argv, const char **envp) { HMODULE v3; // eax int v4; // eax _DWORD *v5; // eax unsigned int v6; // edx _DWORD *v7; // ecx unsigned int v8; // ebx char *v9; // edi unsigne
[SCTF2019]creakme1
weixin_61154173的博客
04-05 401
有一个_except_handler4，他是SEH的异常处理标志，在往下看发现一个函数sub_402450，发现他并没有被反编译出来，可能和_except_handler4有关，根据别人的博客说，这个函数被反跟踪所以无法直接查看他的伪代码，手动跟进 sub_402450，所以一个是密钥一个是偏移，采用CBC模式，可以猜一下那个是密钥，哪个是偏移量，最终知道 sctfsctfsctfsctf是偏移量，sycloversyclover是密钥，所以在线解密。接下来看主函数中的sub_4024A0函数。
[SCTF2019]creakme （SEH异常处理机制，AES）
weixin_52369224的博客
01-19 1020
32位无壳，放入IDA GetModuleHandleW 获取当前应用程序模块 首先分析一下 sub_402320函数，读取当前进程，匹配他的区段为 .SCTF 查看第一个函数的汇编代码，发现call了一处函数。但是并没有反编译 再来观察一下他的函数结构图，左半部分没有前驱调用，所以左半部分没有编译出来， 查壳函数开头，发现_except_handler4 这是SEH异常处理的标志 参考： SEH的反调试原理菜鸟版 15pb调...
CTF逆向-[SCTF2019]babyre-WP_简单去花指令和流程识别
serfend's blog
03-24 4676
CTF逆向-[SCTF2019]babyre-WP_简单去花指令和流程识别 来源：https://buuoj.cn/ 内容：无 附件：https://pan.baidu.com/s/1pWTpezTXnr_NN4lY9xWzag?pwd=m2zv 提取码：m2zv 答案：flag{ddwwxxssxaxwwaasasyywwdd-c2N0Zl85MTAy(fl4g_is_s0_ug1y!)} 总体思路 发现汇编中出现有红色部分，则说明反汇编失败，通常是有花指令或者说SMC（程序自己修改自己的代码）。 去除
CTF逆向-[羊城杯 2020]Bytecode-WP-Python字节码反编译
serfend's blog
04-12 2809
CTF逆向-[羊城杯 2020]Bytecode-WP-Python字节码反编译 来源：https://buuoj.cn/ 内容：无 附件：https://pan.baidu.com/s/15XJLq9jFV_pOtPMzNXG9XA?pwd=tlwo 提取码：tlwo 答案：GWHT{cfa2b87b3f746a8f0ac5c5963faeff73} 总体思路 反编译汇编成py源码 检查源码逻辑发现是一个约束求解（解方程） 使用z3输入条件得到flag 详细步骤 文件信息，打开发现是Python的
CTF逆向-[RoarCTF2019]polyre-WP_控制流扁平化去混淆idcpy去指令
serfend's blog
03-24 4503
CTF逆向-[RoarCTF2019]polyre-WP_控制流扁平化去混淆idcpy去指令 来源：BUUCTF在线评测/ 内容：无 附件：百度网盘 请输入提取码 提取码：nyty 答案：flag{6ff29390-6c20-4c56-ba70-a95758e3d1f8} 总体思路 使用deflat.py对程序扁平化处理。 使用ida的python idc工具对多余指令去除。 检查算法发现是crc64，按其流程逆运算 详细步骤 检查文件信息 打开程序发现控..
CTF逆向-[SUCTF2018]babyre-WP-cpp简单迭代并按表输出值的爆破
serfend's blog
04-13 2067
CTF逆向-[SUCTF2018]babyre-WP-cpp简单迭代并按表输出值的爆破 来源：https://buuoj.cn/ 内容：https://github.com/hebtuerror404/CTF_competition_warehouse_2018 附件：链接：https://pan.baidu.com/s/1j-DBK5eELYR3c1L6hhB1qg?pwd=2kxh 提取码：2kxh 答案：SUCTF{Flag_8i7244980f} 总体思路 去除反调试，动调 发现没有逻辑分支，发现
java版sm4源码-SCTF2019-Write-Up:SCTF2019报道
06-04
java版sm4源码 SCTF 2019 官方 Write-Up Misc 签到 出题人: XXX 解题人数: 260 最终分数：71 [removed]/9j/4QBkRXhpZgAATU0AKgAAAAgABYdp... 给了个图片的base64编码，某些浏览器可能渲染会截断，本来想放hint提示浏览器问题，但是直接被秒了就没放hint了，这里可能有点小坑，后端上题目的时候并没有挤在一行，结果到了题目界面却挤到一行了...这里直接快速三击三下url即可选中，复制到地址栏扫码关注公众号，然后输入cat /flag即可 头号玩家 出题人：xxx 解题人数：75 最终分数：212 一直往前 Maaaaaaze 出题人: Kkdlong 解题人数: 27 最终分数: 434 关于树的直径（最长路径）的证明可以看： #处理html部分 from bs4 import BeautifulSoup from collections import deque import re with open("Maze.html", "r") as file: html_doc
[buuctf.reverse] 084_[SCTF2019]creakme
weixin_52640415的博客
05-13 380
SEH异常处理防跟踪 patch代码区加密 AES加密
BUUCTF [SCTF2019]creakme 题解
sirrior的博客
12-04 475
这个函数是void类型，但是在反调试函数后有一个return，这会导致程序异常。有aes加密，追踪一下，发现是sub_4020d0内进行加密，base64在aes里。没法反编译，看汇编吧。v3+=40后变成了.sctf,继续在数据段往下看看，+=40后是.data 可见是数据段的名字。异或在取反，这里笔者本来想patch掉反调试函数后自动解密，不知为何patch后一片飘红。GetModuleHandleW函数返回指定模块的句柄，进入402320看看。这段代码是设置函数的栈帧和设置数据，为异常调试做准备。
新手逆向练习与详解（6）（详解带有源文件）51-creakme
qq_41071646的博客
09-04 171
链接：百度云盘 密码：23l0 我这里和大家声明一下 我这个是文件 是来自吾爱破解的creakme 160   导航链接  帖子里面有更厉害的思路   本帖是编号为51的creakme  好久没有怎么动过creakme 因为已经开学了 有很多课程需要学习 自己还想深入学习一下数据结构 还有密码学什么的课程 比较多 然后 一些毛概什么课也逃不掉。。。。。看见比较好的书 还想一口气读完 因为自己...
SEH stack 结构探索（3）--- __exception_handler4() 探秘1
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
06-05 1637
SEH stack 结构探索（3）--- __exception_handler4() 探秘1 在我的环境里，用户的缺省的 exception handler 是 MSVCR100D!_except_handler4()，它是 VC/C++ 的调试版本运行库里的函数，当然如果是发行版的话是MSVCR100!_except_handler4() 在 WinNT.h 里定义的 exceptio
CTF逆向-[WMCTF2020]easy_re-WP_虚机-perl加载器截取
serfend's blog
03-24 558
CTF逆向-[WMCTF2020]easy_re-WP_虚机-perl加载器截取 来源：BUUCTF在线评测/ 内容：无 附件：百度网盘 请输入提取码 提取码：jua5 答案：WMCTF{I_WAnt_dynam1c_F1ag} 总体思路 面对perl脚本加载的题，可以是从Shift+F12中搜索script找到其引用位置，则该引用位置为脚本加载的位置，按F8让脚本载入完成，则在下一个eax中就能看到脚本原文，根据原文分析perl代码得到flag。 详细步骤 检查文件信息
CTF解题——[ACTF新生赛2020]crypto-aes（保姆级图解+讲解）
最新发布
qq_46089119的博客
12-20 2732
【ACTF新生赛2020】crypto-aes图解。
[CTF]AES-CBC字节翻转攻击
V1040375575的博客
12-27 5663
文章目录前言一、AES-CBC二、攻击步骤1.对于解密时：2.字节翻转3.修复IV：三、CTF实例题 前言 [CTF] AES-CBC字节翻转攻击 一、AES-CBC 加密过程： Plaintext：明文数据 IV：初始向量 Key：分组加密使用的密钥 Ciphertext：密文数据 明文都是先与混淆数据（第一组是与IV，之后都是与前一组的密文）进行异或，再执行分组加密的。 1、首先将明文分组(常见的以16字节为一组)，位数不足的使用特殊字符填充。 2、生成一个随机的初始化向量(IV)和一个密钥。
window异常处理——except_handler4以及栈展开分析
weixin_30478619的博客
12-15 159
以前在15pb学习时候在看雪论坛发的一篇精华帖。 主要是分析在try块中发生嵌套异常时候堆栈是如何平衡的。 就不复制过来了，给个链接http://bbs.pediy.com/showthread.php?t=206603 转载于:https://www.cnblogs.com/shangye/p/6183159.html...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值