re学习（26）攻防世界-re-BABYRE（IDA无法分析出函数-代码混淆）

原创 已于 2023-08-03 15:24:22 修改 · 516 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#学习

于 2023-08-02 18:50:52 首次发布
本文介绍了如何使用IDA工具对Linux下elf可执行文件进行远程调试，涉及到了基本的调试步骤，如设置数据类型和使用rbp栈帧，以及解析包含输入值异或操作和字符串比较的汇编代码，最终展示了如何编写脚本来解密flag。

题目链接：
https://adworld.xctf.org.cn/challenges/list

elf是一种对可执行文件，目标文件和库使用的文件格式，跟window下的PE文件格式类似。载入IDA后如果需要对此文件进行远程调试，需要用linux系统，比如说Ubuntu，kali等

一般应对策略：使用按键U，告诉IDA，这是一个数据（通常是一个字节就够了），然后在下一个位置，点击C告诉IDA又可以开始按照代码来解释

最低0.47元/天 解锁文章
攻防世界——BABYRE
Nike_name的博客
12-15 869
代码内部加密
[攻防世界]BABYRE
逆向萌新的博客
06-24 812
[攻防世界]BABYRE
 攻防世界-BABYRE
m0_51713041的博客
12-27 745
攻防世界-BABYRE 分析代码，很明显得出这个judge是关键，点过去发现反编译失败，很奇怪的一段代码 后来尝试，使用idapython可以对这一串连续地址的数据，先进行代码所示的处理 a是那一串数...
攻防世界-re-babyre
底层社会中的弱智
03-22 493
第一次手撕汇编
攻防世界 BABYRE wp
__ys的博客
01-21 445
BABYRE 丢进IDA，进入main函数 很明显judge函数是关键，但显然judge函数被加密了 而加密关键在main函数中有所体现 很明显这是在调用judge函数之前改变了他的字节码，因此出现调用失败的情况，此时我们只需要用IDA Python进行解密即可 代码如下： 之后先undefine（快捷键U）一下，再重新创建函数（快捷键P），就可以F5了 （此处代码可能与网上其他wp中代码不同，可能是IDA7.5的原因，但经过分析其实是一样的） 分析过后发现就是简单的异或，写脚本得到flag即可
攻防世界---＞BABYRE
shdbehdvd的博客
09-19 438
因为call不能用在.data段，call一般是用于call函数的。说明其judge很大程度是一个函数，而非数据。总结：自我感觉考查对于数据段的识别，以及对汇编命令的理解、以及处理手段。(一般是调用了某个函数。call基本就是用于函数调用)很奇怪是一段.data(数据段)【ptr-一般是常数/局部变量】【ptr+一般是参数】
攻防世界-Reverse-re1
最新发布
2301_80797059的博客
07-11 478
摘要：通过IDA分析32位无壳exe文件，发现程序将预存的两段16进制数据与输入字符串比较。第一段0tem0c1eW{FTCTUD}和第二段FTCTUD经大小端转换后组合，得到flag：DUTCTF{We1c0met0DUTCTF}。分析过程涉及地址比较、16进制转换和内存存储顺序的理解。
精选资源
ida-embed-arch-disasm:允许IDA PRO在32位数据库中反汇编x86-64代码（WOW64）
05-08
使用32位IDA数据库时，允许您分解x86-64代码（如内联的WOW64代码）。 这将有助于分析WOW64模式开关。 依存关系 capstone Python模块 如果使用IDA 7和更高版本，请确保下载并安装适用于Python版本和体系结构的...
攻防世界RE——BABYRE
m0_53482319的博客
10-26 639
这段代码将judge函数的代码段进行了重构，我们需要嵌入脚本回复真正Judge函数代码段。回到之前的伪代码，然后双击judge即可看到恢复后的judge的伪代码。含义：unsigned int 是函数返回类型（无符号整型）无壳，64位elf，直接放到idapro（64位）里面。(char *)提取judge数组头字符串做函数名。这条代码的judge并非是数组而是一个函数。切记，要实现c p鼠标必须选中judge。完成上面的操作即可复现judge函数。得出flag{n1c3_j0b}
BABYRE 攻防世界
re1wn
04-29 1538
BABYRE 攻防世界
网鼎杯-第三场-逆向-babyre
08-27
2018年8月27日网鼎杯第三场逆向题-babyre
攻防世界逆向高手题的BABYRE
沐一 · 林 的博客
08-21 3898
攻防世界逆向高手题之BABYRE 继续开启全栈梦想之逆向之旅~ 这题是攻防世界逆向高手题的BABYRE
攻防世界—REVERSE—高手进阶区—BABYRE
Nu1bzzi的博客
03-27 834
攻防世界—REVERSE—高手进阶区—BABYRE 这道题真的是对新手的一个考验了，做了挺久的，脑瓜疼>m< 拿到文件先放进PEiD里查壳（养成好习惯） 应该是linux下的程序 放进IDA64里进行分析 找到main函数F5查看伪代码 if ( v5 == 14 && (*(unsigned int (__fastcall **)(char *)) judge)(s) ) 字符长度为14并且满足后面judge()函数条件即为正确，但是在点击judge函数时跳到了如下界面 判
逆向攻防世界CTF系列34-BABYRE
LH1013886337的博客
11-16 790
SMC的基本原理是在编译可执行文件时，将需要加密的代码区段（例如函数、代码块等）单独编译成一个section（段），并将其标记为可读、可写、不可执行（readable, writable, non-executable），然后通过某种方式在程序运行时将这个section解密为可执行代码，并将其标记为可读、可执行、不可写（readable, executable, non-writable）。在真正执行某一段代码时，程序会对自身的该段代码进行自修改，只有在修改后的代码才是可汇编， 可执行的。
攻防世界 Reverse进阶区 BABYRE WP
qq_55785697的博客
03-24 387
IDA下得到反汇编代码 显然，对于judge这个常量先与或处理，而后读取字符串s，判断s长度是否为14； 接下来这个judge（s）让我看不懂了，judge不是个数组吗，怎么可以这么使用？ <关键点>看了其他大佬的WP才知道，原来还有将data转为code执行的骚操作，所以这里其实是将judge数组的内容当成一个函数来执行，可以使用热键C将data转化为code，也可以用U恢复。 调试程序，先让其运行完字符串的初始处理，在if处下断点，观察judge函数的汇编代码 1. push
攻防世界-XCTF 4th-WHCTF-2017 BABYRE
qq_45771413的博客
04-22 448
查壳 ELF文件，无壳 IDA 逻辑很简单，判断输入的字符串长度是否为14，然后是judge(s)的函数判断，都正确则输出right 那么重点就是judge函数。双击进入，发现是长度为181的字符串，将其ASCⅡ提取出来后转字符串，发现毫无意义。 然后……只能看看别人的wp看看咋回事(#_<-)>) 这题是SMC，judge函数在运行时会进行自解密操作，否则静态分析时无法窥探其真正内容。 SMC虽然还没整太明白，但是可以动调试试。既然静态分析他不肯露面，那么动态分析它说不定会自己一层一层剥
攻防世界 Reverse高手进阶区 2分题 BABYRE
闵行小鱼塘
12-26 732
继续ctf的旅程，攻防世界Reverse高手进阶区的2分题，本篇是BABYRE的writeup
IDA---未识别函数处理
lixiangminghate的专栏
08-20 3952
有时候会遇到IDA无法自动识别某个函数，地址表现为红色, 如下: (附注:这种状态下无法反汇编)。选中这部分代码，进行如下操作:Edit -> Functions -> Create function 然后就能愉快地F5了
利用IDA-Pro进行软件逆向分析的中间语言转换方法
"基于IDA-Pro的软件逆向分析方法，主要探讨如何利用IDA-Pro工具进行二进制程序的逆向工程，包括反汇编、汇编文法识别、转换规则制定以及中间语言优化，旨在提高软件分析和调试的效率。" 在软件开发和安全研究领域，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值