[攻防世界]csaw2013reversing2

最新推荐文章于 2023-12-29 17:56:03 发布
最新推荐文章于 2023-12-29 17:56:03 发布
阅读量332 收藏 1
点赞数
分类专栏： REVERSE # 攻防世界 文章标签： c语言 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_71081503/article/details/125132524
版权

解题：

在这里插入图片描述
放入查壳软件中查壳，发现是32位无壳的软件，运行一下程序，看看有什么样的输出，得到的是乱码。
在这里插入图片描述
所以可能是里面的运算有问题，进入ida中进行查看，进入main函数，看汇编代码可能存在问题，进入反编译。

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  int v3; // ecx
  CHAR *lpMem; // [esp+8h] [ebp-Ch]
  HANDLE hHeap; // [esp+10h] [ebp-4h]

  hHeap = HeapCreate(0x40000u, 0, 0);
  lpMem = (CHAR *)HeapAlloc(hHeap, 8u, MaxCount + 1);
  memcpy_s(lpMem, MaxCount, &unk_409B10, MaxCount);
  if ( sub_40102A() || IsDebuggerPresent() )
  {
    __debugbreak();
    sub_401000(v3 + 4, lpMem);
    ExitProcess(0xFFFFFFFF);
  }
  MessageBoxA(0, lpMem + 1, "Flag", 2u);
  HeapFree(hHeap, 0, lpMem);
  HeapDestroy(hHeap);
  ExitProcess(0);
}

看到了，flag应该是在lpMen里面，但是返回去看汇编

_main           proc near               ; CODE XREF: ___tmainCRTStartup+106↓p
.text:0040103A
.text:0040103A lpMem           = dword ptr -0Ch
.text:0040103A var_8           = dword ptr -8
.text:0040103A hHeap           = dword ptr -4
.text:0040103A argc            = dword ptr  8
.text:0040103A argv            = dword ptr  0Ch
.text:0040103A envp            = dword ptr  10h
.text:0040103A
.text:0040103A                 push    ebp
.text:0040103B                 mov     ebp, esp
.text:0040103D                 sub     esp, 14h
.text:00401040                 push    0               ; dwMaximumSize
.text:00401042                 push    0               ; dwInitialSize
.text:00401044                 push    40000h          ; flOptions
.text:00401049                 call    ds:HeapCreate
.text:0040104F                 mov     [ebp+hHeap], eax
.text:00401052                 mov     eax, MaxCount
.text:00401057                 inc     eax
.text:00401058                 push    eax             ; dwBytes
.text:00401059                 push    8               ; dwFlags
.text:0040105B                 push    [ebp+hHeap]     ; hHeap
.text:0040105E                 call    ds:HeapAlloc
.text:00401064                 mov     [ebp+lpMem], eax
.text:00401067                 push    MaxCount        ; MaxCount
.text:0040106D                 push    offset unk_409B10 ; Src
.text:00401072                 push    MaxCount        ; DstSize
.text:00401078                 push    [ebp+lpMem]     ; Dst
.text:0040107B                 call    _memcpy_s
.text:00401080                 add     esp, 10h
.text:00401083                 call    sub_40102A
.text:00401088                 test    eax, eax
.text:0040108A                 jnz     short loc_401096
.text:0040108C                 call    ds:IsDebuggerPresent
.text:00401092                 test    eax, eax
.text:00401094                 jz      short loc_4010B9
.text:00401096
.text:00401096 loc_401096:                             ; CODE XREF: _main+50↑j
.text:00401096                 inc     ecx
.text:00401097                 inc     ecx
.text:00401098                 inc     ecx
.text:00401099                 inc     ecx
.text:0040109A                 int     3               ; Trap to Debugger
.text:0040109B                 mov     edx, [ebp+lpMem]
.text:0040109E                 call    sub_401000
.text:004010A3                 jmp     short loc_4010EF
.text:004010A5 ; ---------------------------------------------------------------------------
.text:004010A5                 push    2               ; uType
.text:004010A7                 push    offset Caption  ; "Flag"
.text:004010AC                 push    [ebp+lpMem]     ; lpText
.text:004010AF                 push    0               ; hWnd
.text:004010B1                 call    ds:MessageBoxA
.text:004010B7                 jmp     short loc_4010CD
.text:004010B9 ; ---------------------------------------------------------------------------
.text:004010B9
.text:004010B9 loc_4010B9:                             ; CODE XREF: _main+5A↑j
.text:004010B9                 push    2               ; uType
.text:004010BB                 push    offset Caption  ; "Flag"
.text:004010C0                 mov     eax, [ebp+lpMem]
.text:004010C3                 inc     eax
.text:004010C4                 push    eax             ; lpText
.text:004010C5                 push    0               ; hWnd
.text:004010C7                 call    ds:MessageBoxA
.text:004010CD
.text:004010CD loc_4010CD:                             ; CODE XREF: _main+7D↑j
.text:004010CD                 push    [ebp+lpMem]     ; lpMem
.text:004010D0                 push    0               ; dwFlags
.text:004010D2                 push    [ebp+hHeap]     ; hHeap
.text:004010D5                 call    ds:HeapFree
.text:004010DB                 mov     [ebp+var_8], eax
.text:004010DE                 push    [ebp+hHeap]     ; hHeap
.text:004010E1                 call    ds:HeapDestroy
.text:004010E7                 push    0               ; uExitCode
.text:004010E9                 call    ds:ExitProcess
.text:004010EF ; ---------------------------------------------------------------------------
.text:004010EF
.text:004010EF loc_4010EF:                             ; CODE XREF: _main+69↑j
.text:004010EF                 push    0FFFFFFFFh      ; uExitCode
.text:004010F1                 call    ds:ExitProcess
.text:004010F1 _main           endp
.text:004010F1
.text:004010F7 ; ---------------------------------------------------------------------------
.text:004010F7                 leave
.text:004010F8                 retn

按照逻辑图来看。
在这里插入图片描述
没有走flag的那里的逻辑，所以我们静态调试可能就会很费劲，所以用OD进行调试，在OD中查找flag，直接跳转过去。

00A61092   .  85C0          test eax,eax
00A61094      74 23         je short 0453d212.00A610B9
00A61096   >  41            inc ecx                                  ;  0453d212.<ModuleEntryPoint>
00A61097   .  41            inc ecx                                  ;  0453d212.<ModuleEntryPoint>
00A61098   .  41            inc ecx                                  ;  0453d212.<ModuleEntryPoint>
00A61099   .  41            inc ecx                                  ;  0453d212.<ModuleEntryPoint>
00A6109A      CC            int3
00A6109B   .  8B55 F4       mov edx,dword ptr ss:[ebp-0xC]           ;  kernel32.75D16739
00A6109E   .  E8 5DFFFFFF   call 0453d212.00A61000
00A610A3      EB 4A         jmp short 0453d212.00A610EF
00A610A5   .  6A 02         push 0x2                                 ; /Style = MB_ABORTRETRYIGNORE|MB_APPLMODAL
00A610A7   .  68 2078A600   push 0453d212.00A67820                   ; |Flag
00A610AC   .  FF75 F4       push dword ptr ss:[ebp-0xC]              ; |Text = "P(豼<豼^?t	?"
00A610AF   .  6A 00         push 0x0                                 ; |hOwner = NULL
00A610B1   .  FF15 E460A600 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
00A610B7      EB 14         jmp short 0453d212.00A610CD
00A610B9   >  6A 02         push 0x2                                 ; /Style = MB_ABORTRETRYIGNORE|MB_APPLMODAL
00A610BB   .  68 2078A600   push 0453d212.00A67820                   ; |Flag
00A610C0   .  8B45 F4       mov eax,dword ptr ss:[ebp-0xC]           ; |kernel32.75D16739
00A610C3   .  40            inc eax                                  ; |
00A610C4   .  50            push eax                                 ; |Text = "匉?
00A610C5   .  6A 00         push 0x0                                 ; |hOwner = NULL
00A610C7   .  FF15 E460A600 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA

这里是有需要修改的地方，看逻辑位置，在图片中标记出来。
在这里插入图片描述
按照正常的逻辑，这里flag的运算会被跳过，那么把跳转和int3填充，让他跳回来，形成正常的一个逻辑。
逻辑从最开始的。

00A6108C   .  FF15 1460A600 call dword ptr ds:[<&KERNEL32.IsDebugger>; [IsDebuggerPresent
00A61092   .  85C0          test eax,eax
00A61094      74 23         je short 0453d212.00A610B9
00A61096   >  41            inc ecx                                  ;  0453d212.<ModuleEntryPoint>
00A61097   .  41            inc ecx                                  ;  0453d212.<ModuleEntryPoint>
00A61098   .  41            inc ecx                                  ;  0453d212.<ModuleEntryPoint>
00A61099   .  41            inc ecx                                  ;  0453d212.<ModuleEntryPoint>
00A6109A      CC            int3
00A6109B   .  8B55 F4       mov edx,dword ptr ss:[ebp-0xC]           ;  kernel32.75D16739
00A6109E   .  E8 5DFFFFFF   call 0453d212.00A61000
00A610A3      EB 4A         jmp short 0453d212.00A610EF
00A610A5   .  6A 02         push 0x2                                 ; /Style = MB_ABORTRETRYIGNORE|MB_APPLMODAL
00A610A7   .  68 2078A600   push 0453d212.00A67820                   ; |Flag
00A610AC   .  FF75 F4       push dword ptr ss:[ebp-0xC]              ; |Text = "P(豼<豼^?t	?"
00A610AF   .  6A 00         push 0x0                                 ; |hOwner = NULL
00A610B1   .  FF15 E460A600 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
00A610B7      EB 14         jmp short 0453d212.00A610CD
00A610B9   >  6A 02         push 0x2                                 ; /Style = MB_ABORTRETRYIGNORE|MB_APPLMODAL
00A610BB   .  68 2078A600   push 0453d212.00A67820                   ; |Flag
00A610C0   .  8B45 F4       mov eax,dword ptr ss:[ebp-0xC]           ; |kernel32.75D16739
00A610C3   .  40            inc eax                                  ; |
00A610C4   .  50            push eax                                 ; |Text = "匉?
00A610C5   .  6A 00         push 0x0                                 ; |hOwner = NULL
00A610C7   .  FF15 E460A600 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
00A610CD   >  FF75 F4       push dword ptr ss:[ebp-0xC]              ; /pMemory = kernel32.75D16739
00A610D0   .  6A 00         push 0x0                                 ; |Flags = 0
00A610D2   .  FF75 FC       push dword ptr ss:[ebp-0x4]              ; |hHeap = 75D16720
00A610D5   .  FF15 0860A600 call dword ptr ds:[<&KERNEL32.HeapFree>] ; \HeapFree

变成更改之后的。

00A6108C   .  FF15 1460A600 call dword ptr ds:[<&KERNEL32.IsDebugger>; [IsDebuggerPresent
00A61092   .  85C0          test eax,eax
00A61094      90            nop
00A61095      90            nop
00A61096   >  41            inc ecx
00A61097   .  41            inc ecx
00A61098   .  41            inc ecx
00A61099   .  41            inc ecx
00A6109A      90            nop
00A6109B   .  8B55 F4       mov edx,dword ptr ss:[ebp-0xC]
00A6109E   .  E8 5DFFFFFF   call 0453d212.00A61000
00A610A3      EB 14         jmp short 0453d212.00A610B9
00A610A5   .  6A 02         push 0x2                                 ; /Style = MB_ABORTRETRYIGNORE|MB_APPLMODAL
00A610A7   .  68 2078A600   push 0453d212.00A67820                   ; |Flag
00A610AC   .  FF75 F4       push dword ptr ss:[ebp-0xC]              ; |Text = ""
00A610AF   .  6A 00         push 0x0                                 ; |hOwner = NULL
00A610B1   .  FF15 E460A600 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
00A610B7      EB 14         jmp short 0453d212.00A610CD
00A610B9   >  6A 02         push 0x2                                 ; /Style = MB_ABORTRETRYIGNORE|MB_APPLMODAL
00A610BB   .  68 2078A600   push 0453d212.00A67820                   ; |Flag
00A610C0   .  8B45 F4       mov eax,dword ptr ss:[ebp-0xC]           ; |
00A610C3   .  40            inc eax                                  ; |
00A610C4   .  50            push eax                                 ; |Text = NULL
00A610C5   .  6A 00         push 0x0                                 ; |hOwner = NULL
00A610C7   .  FF15 E460A600 call dword ptr ds:[<&USER32.MessageBoxA>>; \MessageBoxA
00A610CD   >  FF75 F4       push dword ptr ss:[ebp-0xC]              ; /pMemory = 006701A2
00A610D0   .  6A 00         push 0x0                                 ; |Flags = 0
00A610D2   .  FF75 FC       push dword ptr ss:[ebp-0x4]              ; |hHeap = NULL
00A610D5   .  FF15 0860A600 call dword ptr ds:[<&KERNEL32.HeapFree>] ; \HeapFree

就可以获得flag值flag{reversing_is_not_that_hard!}
在这里插入图片描述

逆向萌新
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
【XCTF-RE】新手练习区-csaw2013reversing2.exe
08-03
题目：https://adworld.xctf.org.cn/task/task_list?type=reverse&number=4&grade=0&page=1 我的解题记录：https://www.yuque.com/jianouzuihuai/study/ova41g
Lena reversing
01-26
snd-reversingwithlena-tutorials Lena的40节关于逆向工程入门课程 压缩密码：tuts4you
XCTF-csaw2013reversing2
臭nana的博客
12-22 1207
三种做法 1、ida静态分析修改指令 main函数反编译的代码 由于运行之后的是乱码，所以可以猜测生成flag的函数没有执行，所以需要跳到生成flag的函数执行，但是前面的中断函数不能执行，需要nop掉，并且后面退出程序的函数不能执行，需要跳到弹框函数继续执行。（修改的路径和文件名不要有中文，我用ida修改的时候踩了坑，大家可以试一试） ida修改代码的方法： 1、鼠标停留在要修改的...
攻防世界逆向入门题之csaw2013reversing2
沐一 · 林 的博客
08-17 705
攻防世界逆向入门题之csaw2013reversing2 继续开启全栈梦想之逆向之旅~ 这题是攻防世界逆向入门题的csaw2013reversing2 首先把下载的附件扔如exeinfope中查看信息： win32无壳，那么既然是windows的直接双击运行一下看看： 弹了个框，结合题目所说的： 听说运行就能拿到Flag，不过菜鸡运行的结果不知道为什么是乱码 那么这个就是乱码的flag了，乱码有好多种，base64加密等等这些，我们一个个排除，先扔入IDA中查看伪代码。要先看C或C++伪代码再分析反汇编
chapter2:逆向工程之学习——动态分析与静态分析结合解CTF（csaw2013reversing2）
lmboss的博客
06-28 1065
逆向工程之学习——动态分析与静态分析结合解CTF（csaw2013reversing2）
re学习（34）攻防世界-csaw2013reversing2(修改汇编顺序)
m0_66039322的博客
08-17 777
所以我们把这个跳转也给nop掉，继续F8，执行完一个MessageBoxA（弹框）函数后，发现程序此时处于Running状态，弹出一个什么也没有的框，其实这是另外一个弹框函数，真正输出flag的弹框函数是后面那个，在我们之前那个ida的修改之后的汇编图也可以发现，确实是有一个没有被调用的弹框函数，所以我们之前可以那个nop掉的跳转改为跳转到下面那个弹框函数，但既然说了是nop大法，就nop到底。由于运行之后的是乱码，所以可以猜测生成flag的函数没有执行，所以需要跳到生成flag的函数执行，但是前面的。
radare2book:Radare2官方书
05-07
介绍 这本书是原始的radee1书（由pancake编写）的更新版本（由maijin开始）。 许多贡献者都通过Internet积极地维护和更新该文件。 检查Github网站以添加新内容或修正错别字： GitHub： : 在线： :
5道reversing的writeUp.docx
07-22
逆向分析CTF题目的write UP,详细写了Easy_Crack、Easy_UnpackMe、Replace、position和Easy_Keygen5道CTF题目的解题过程。
Practical Foundations of Windows Debugging Disassembling Reversing 无水印pdf
09-23
Practical Foundations of Windows Debugging Disassembling Reversing 英文无水印pdf pdf所有页面使用FoxitReader和PDF-XChangeViewer测试都可以打开 本资源转载自网络，如有侵权，请联系上传者或csdn删除 本...
攻防世界Reverse第十一题csaw2013reversing2
weixin_52369224的博客
09-18 226
尝试运行一下 发现点击按钮都会推出 放入Exenifo PE中查看无壳 32位文件 放入IDApro 看到提示 Trap to Debugger 我们来破除这trap 第一种 patch大法 为确保if中函数可以实现 将jz short loc_401096改为jmpshort loc_401096 把int 3改为nop 阻止程序跳出将jmp short loc_4010EF改为jmp short 4010B9 保存之后运行程序得到flag ...
csaw2013reversing2
qq_61554462的博客
03-31 197
攻防世界
攻防世界——csaw2013reversing2
最新发布
Nike_name的博客
12-29 392
基本反调试
csaw2013reversing2 WP
weixin_50569442的博客
08-09 165
首先有题目可知这是一段乱码，下载文件后打开 按照正常思路我们先用Exeinfo PE查看文件 我们可以看到这是一个VC++写的程序，并且我们发现提示让用ollydbg 1、首先我们先用ida静态分析修改指令 将文件在ida中打开，找到main函数F5查看伪代码 由于运行之后的是乱码，所以我们猜测生成flag的函数没有执行，因此我们应该把前边的中断函数给nop掉，并且后边退出程序的函数也不能执行，需要跳到弹框函数继续执行。 修改之前的代码 修改之后的代码 修...
攻防世界csaw2013reversing2：
weixin_52230368的博客
08-13 246
攻防世界csaw2013reversing2： 文件下载下来是一个可执行程序，先来运行一下是来干什么的： [外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上 一个小程序看见了Flag标题但是是一堆乱码。放进IDA查看伪代码，分析程序的基本思路： 在分析之前啊，我们要先了解几个函数是干什的： 1.HANDLE hheap;这个代码是定义一个句柄，实际上是一个数据，是一个Long类型的数据，是一种指向指针的指针。 1.Heap Create()函数，创建一个只有调用进程才能访问的私有堆。进程从
攻防世界 REVERSE 新手区/csaw2013reversing2
ookami6497的博客
07-12 518
攻防世界 REVERSE 新手区/csaw2013reversing2 看题目描述，说是运行就能拿到flag，下载运行一下，看来不行 先查一下有没有加壳，这个没有加壳，而且是个32位的程序 用IDA32位打开，f5查看伪代码 接下来就是分析代码了 int __cdecl __noreturn main(int argc, const char **argv, const char **envp) { int v3; // ecx CHAR *lpMem; // [esp+8h
攻防世界--csaw2013reversing2
weixin_30876945的博客
08-30 916
测试文件：https://adworld.xctf.org.cn/media/task/attachments/3f35642056324371b913687e770e97e6.exe 1.准备 打开测试文件，flag内容为乱码。 检测文件信息 获得信息 32位文件 OllyDbg打开 2.IDA打开 将main函数反编译为C语言文件后，...
攻防世界 csaw2013reversing2 CSAW CTF 2014
08-27 364
运行程序 flag显示乱码 IDA打开查看程序逻辑 1 int __cdecl __noreturn main(int argc, const char **argv, const char **envp) 2 { 3 int v3; // ecx 4 CHAR *lpMem; // [esp+8h] [ebp-Ch] 5 HANDLE hH...
逆向-攻防世界-CSAW2013Reversing2
weixin_30701521的博客
04-25 208
运行程序乱码，OD载入搜索字符串，断电到弹窗Flag附近。 发现跳过00B61000函数，弹窗乱码，我们试试调用00B61000函数。将00B61094的指令修改为JE SHORT 00B6109b。然后跟进函数，单步执行。 拿到了flag。 原程序是在00B610B9处弹窗，我们将00B610A3的指令修改为JE SHORT 00B610B9。保存修改，然后就会弹窗真正的f...
reversing linked list c语言
03-16
反转链表是一种常见的链表操作，可以使用C语言来实现。具体实现方法是，遍历链表，将每个节点的指针指向前一个节点，最后将链表的头节点指向最后一个节点，完成反转操作。需要注意的是，在遍历链表时需要保存当前...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

逆向萌新

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值