[BUUCTF]Reverse——[2019红帽杯]childRE（C/C++函数名修饰）

[2019红帽杯]childRE

1. 例行检查，64位程序，c++写的，无壳儿
   
2. 试运行程序没有得到有用的提示，检索字符串看到有关flag的提示信息，跟进来到关键函数
   
3. 截取关键部分代码分析
   
   循环遍历去取outputString字符串中的字符，然后分别对23取余和除数，做为下标，分别在str3中找到对应位置，而且还必须与str1和str2对应位置的值相等

先来逆算一下outputstring中的字符串

str3 = '1234567890-=!@#$%^&*()_+qwertyuiop[]QWERTYUIOP{}asdfghjkl;\'ASDFGHJKL:"ZXCVBNM<>?zxcvbnm,./'
str2 = '55565653255552225565565555243466334653663544426565555525555222'
str1 = '(_@4620!08!6_0*0442!@186%%0@3=66!!974*3234=&0^3&1@=&0908!6_0*&'
ops = ''
for i in range(len(str1)):
    index1 = str3.index(str2[i])
    index2 = str3.index(str1[i])
    ops += chr(index1 * 23 + index2)

print(ops)
#outputstring=private: char * __thiscall R0Pxx::My_Aut0_PWN(unsigned char *)

但是这个好像不是flag，继续看程序

4. 然后关于outputString进行函数名修饰，这里给一个大佬的思路，C++代码，运行就能得到修饰结果。这样就拿到了正确的v5.

#include<iostream>
using namespace std;
 
class ROPxx {
public:
	ROPxx(){
		unsigned char a;
		My_Aut0_PWN(&a);
	}
 
private:
	char My_Aut0_PWN(unsigned char*) {
		printf("%s", __FUNCDNAME__);
		return '0';
	}
};
int main() {
	new ROPxx();
	getchar();
	return 0;
}

v5= ?My_Aut0_PWN@R0Pxx@@AAEPADPAE@Z

还可以看看这篇文章针对这道题的分析：https://blog.nowcoder.net/n/eaa035234db243959947fde394ce6964?from=nowcoder_improve

这篇文章写的比较详细：https://www.cnblogs.com/invisible2/p/6204492.html

5. 然后看上面的那一段程序，看看v5的值一开始哪儿来的
   
   28行v4后面的那个函数我没看大懂，估计是个加密方式或者是其他什么，肯定是有规律可循的东西，不可能硬逆。这边动调，看看上方这一块代码干了什么

6. sub_140001280（）函数我跟进去没看懂，就直接看给v5赋值的函数了
   sub_1400015c0()
   
   我传入的v14=“abcdefghijklmnopqrstuvwxyz12345”,第一次的时候它给name[0]赋值成了p，对应我输入的字符串的下标是15，我调试了多次，发现每次都是这样，而且最后的name里存放的是打乱了顺序的输入的字符串，动调它给name赋值的过程，记录下对应的下标
   最后得到的赋值顺序下标是[15, 16, 7, 17, 18, 8, 3, 19, 20, 9, 21, 22, 10, 4, 1, 23, 24, 11, 25, 26, 12, 5, 27, 28, 13, 29, 30, 14, 6, 2, 0]

7. 到这里程序逻辑就清楚了，首先输入长度为31的字符串，然后根据赋值下标的顺序打乱数据得到v2。
   逆算一下输入的字符串

ops = '?My_Aut0_PWN@R0Pxx@@AAEPADPAE@Z'
result = [''] * 31
index = [15, 16, 7, 17, 18, 8, 3, 19, 20, 9, 21, 22, 10, 4, 1, 23, 24, 11, 25, 26, 12, 5, 27, 28, 13, 29, 30, 14, 6, 2, 0]

for i in range(len(ops)):
    result[index[i]] += ops[i]
ss = ''.join(i for i in result)
print(ss)
print(hashlib.md5(ss.encode('utf-8')).hexdigest())
#63b148e750fed3a33419168ac58083f5

flag{63b148e750fed3a33419168ac58083f5 }

百度了其他师傅写的wp后知道了那个函数是用来生成二叉树的，具体的看链接：https://blog.csdn.net/qq_41858371/article/details/103111366