getit

本逆向题还是源码分析，通过源码追出flag，下面步入正题

0x01源码分析

int __cdecl main(int argc, const char **argv, const char **envp)
{
  char v3; // al
  __int64 v5; // [rsp+0h] [rbp-40h]
  int i; // [rsp+4h] [rbp-3Ch]
  FILE *stream; // [rsp+8h] [rbp-38h]
  char filename[8]; // [rsp+10h] [rbp-30h]
  unsigned __int64 v9; // [rsp+28h] [rbp-18h]

  v9 = __readfsqword(0x28u);
  LODWORD(v5) = 0;
  while ( (signed int)v5 < strlen(s) )
  {
    if ( v5 & 1 )
      v3 = 1;
    else
      v3 = -1;
    *(&t + (signed int)v5 + 10) = s[(signed int)v5] + v3;
    LODWORD(v5) = v5 + 1;
  }
  strcpy(filename, "/tmp/flag.txt");
  stream = fopen(filename, "w");
  fprintf(stream, "%s\n", u, v5);
  for ( i = 0; i < strlen(&t); ++i )
  {
    fseek(stream, p[i], 0);
    fputc(*(&t + p[i]), stream);
    fseek(stream, 0LL, 0);
    fprintf(stream, "%s\n", u);
  }
  fclose(stream);
  remove(filename);
  return 0;
}

上面是主要核心代码，其中作者的算法就在其中，通过观察代码，我们发现真正核心代码在这里

 while ( (signed int)v5 < strlen(s) )
  {
    if ( v5 & 1 )
      v3 = 1;
    else
      v3 = -1;
    *(&t + (signed int)v5 + 10) = s[(signed int)v5] + v3;
    LODWORD(v5) = v5 + 1;
  }

所以，我们来看看这段代码，究竟它循环都干了些上面，首先观察变量的值

s="c61b68366edeb7bdce3c6820314b7498";
t="SharifCTF{????????????????????????????????}"

这里读者可能会有疑问，说，你这个t哪里多个S啊？其实有时候我们不能太相信IDA，IDA有时候分析会出现问题，这个IDA在分析的时候有一个字符没有显示，我们可以通过winhex看到是有S，不然到后面你会发现运行不出真正的flag
通过观察这两个变量的值，发现很奇怪啊，这明显就是flag的形式啊
那回过头来，我们在看看关键代码是怎么执行的。

0x02核心代码

LODWORD(v5) = 0;
 while ( (signed int)v5 < strlen(s) )
  {
    if ( v5 & 1 )
      v3 = 1;
    else
      v3 = -1;
    *(&t + (signed int)v5 + 10) = s[(signed int)v5] + v3;
    LODWORD(v5) = v5 + 1;
  }

首先，判断v5的值和s的长度，然后下面有个if语句，v5 & 1这个运算是说，如果v5二进制数最后一位是1就返回1，是0就返回0，根据返回值不同，v3有两种值的情况。

再往下一段代码的意思就是，把字符串s的一部分值加上v3赋值给了字符串t的一部分，然后就凑出了flag了

0x03编写输出

下面是我编写的后c++代码，用来输出flag

#include <stdio.h>
#include <stdlib.h>
#include<string.h>
int main()
{
    int v6 = 0;
    int v3;
    char s[] = "c61b68366edeb7bdce3c6820314b7498";
    char t[] = "SharifCTF{????????????????????????????????}";
    while (v6 < strlen(s))
    {
        if (v6 & 1)
            v3 = 1;
        else
            v3 = -1;
        t[v6 + 10] = s[v6] + v3;
        v6 = v6 + 1;
    };
    printf("%s", t);
    return 0;
}

输出结果：

拿到flag，over！