re之ida和OllyDbg的使用与代码分析

y4n9-

已于 2022-02-07 14:55:28 修改

阅读量2.2k

点赞数 11

分类专栏： ctf re 文章标签：经验分享

于 2022-02-07 14:30:12 首次发布

本文链接：https://blog.csdn.net/qq_54929422/article/details/122807400

版权

ctf re 专栏收录该内容

8 篇文章 0 订阅

订阅专栏

这里是ctf逆向小白学习之路的第一站

Section1 两个逆向工具的作用：

1：IDA pro7.0是完整版本 7.2只有64 f5可以查看源码，6.8 pro的有些文件grapf view不能分析，作用：静态调试，32位的程序用32位的ida分析
2：OllyDBG，作用：动态调试，只能调试32位的程序

Section2 ida伪代码分析

下面展示一些 内联代码片。

unsigned __int64 Decry()
{ char v1; // [rsp+Fh] [rbp-51h]
  int v2; // [rsp+10h] [rbp-50h]
  int v3; // [rsp+14h] [rbp-4Ch]
  int i; // [rsp+18h] [rbp-48h]
  int v5; // [rsp+1Ch] [rbp-44h]
  char src[8]; // [rsp+20h] [rbp-40h]
  __int64 v7; // [rsp+28h] [rbp-38h]
  int v8; // [rsp+30h] [rbp-30h]
  __int64 v9; // [rsp+40h] [rbp-20h]
  __int64 v10; // [rsp+48h] [rbp-18h]
  int v11; // [rsp+50h] [rbp-10h]
  unsigned __int64 v12; // [rsp+58h] [rbp-8h]
  v12 = __readfsqword(0x28u);
  *(_QWORD *)src = 357761762382LL;
  v7 = '\0';
  v8 = 0;
  v9 = 512969957736LL;
  v10 = '\0';
  v11 = 0;
  text = (char *)join(key3, &v9);
  strcpy(key, key1);
  strcat(key, src);
  v2 = 0;
  v3 = 0;
  getchar();
  v5 = strlen(key);
  for ( i = 0; i < v5; ++i )
  {
    if ( key[v3 % v5] > '@' && key[v3 % v5] <= 'Z' )
      key[i] = key[v3 % v5] + 32;
    ++v3;
  }
  printf("Please input your flag:");
  while ( 1 )
  {
    v1 = getchar();
    if ( v1 == '\n' )
      break;    输入回车程序终止

    if ( v1 == ' ' )
    {
      ++v2;
    }
    else
    {
      if ( v1 <= 96 || v1 > 122 )
      {
        if ( v1 > 64 && v1 <= 90 )
          str2[v2] = (v1 - 39 - key[v3++ % v5] + 97) % 26 + 97;
      }
      else
      {
        str2[v2] = (v1 - 39 - key[v3++ % v5] + 97) % 26 + 97;
      }
      if ( !(v3 % v5) )
        putchar(' ');
      ++v2;
    }
  }
  if ( !strcmp(text, str2)
    puts("Congratulation!\n");
  else
    puts("Try again!\n");
  return __readfsqword(0x28u) ^ v12;
}

//u：usigned

//_QWORD：Bit，Byte，Word，Dword，Qword. 8个比特(Bit)=一个字节（Byte），两个字节称为一个字（Word），两个字称为一个双字（Dword），两个双字称为一个四字（Qword）。
可以把_WORD理解为int，_Dword、 _QWORD理解为long int，这里src是一个强制类型转化为int类型的指针，char本质上也是int

//357761762382LL：涉及大小端序存储的问题
大端序(Big-endian)：高位字节存入低地址，低位字节存入高地址；小端序(Little-endian)：低位字节存入低地址，高位字节存入高地址,
这里可以看到两个十六进制是大端序，但是数据在内存中都是小端序，所以要将其反转一下。鼠标选中16进制按r键得到字符串，再反转为’NDCLS’和’hadow’
得到：
text= "killshadow"11个字符
key= "ADSFKNDCLS”11个字符

//Join：将key3和&v9两个字符串连接起来在这里插入图片描述
逆向编写脚本：
思路1：
11次外循环：依次将正确的v1值存储至flag[]中
内循环：找到正确的v1值使得str2[v2]值与text中的一个字符能够比对相等，v1值可以用循环129次，ASCII码0-128依次试，因为输入的数在ASCII码是不确定的，所以倒推可以把所有的数都试一遍
思路2：
已知flag变换后要比对的字符串
用已知的字符串经过已知的变换式子倒推未知的变量
str[i]=(v1-39-key[i]+97)%26+97= text[i];
text[i]、key[i] 已知，反写式子求v1

总结：
1：大端序和小端序存储
2：Word，Dword，Qword数据类型
3：Join函数的作用
4：逆向编写脚本，
首先从最后一步比较是否相等的字符串倒推

Section3 OllyDbg的基本操作

背景知识：pe文件用OllyDbg打开后，首先看到的是EP (EntryPoint)入口点代码，是执行程序最先执行的代码，依赖于CPU，之后是编译器为保证程序正常运行自动添加的启动函数（不同编译器产生的启动函数都不同），而逆向分析首先是找到pe文件的main函数。

1、用OllyDbg寻找主函数
以hello word.exe为例
这里先了解一下hello word.exe（双击会出现一个box框显示“hello word！”）在这里插入图片描述
main函数
方法一：代码执行法（只适用于代码量不大，功能明确的程序）
导入OD后，不断执行F8(单步步过，遇到call指令仅执行函数，不进入函数内部),当执行到main函数时，如果main函数功能是调用对话框显示信息，则在这一步程序会暂停，并执行mian函数功能，此时的地址就是main函数的地址，但如果main函数功能是比较两数的大小，那么f8会执行完整个程序，而不会在main函数处暂停

方法二：根据运行程序，程序给出的提示寻找main函数：
1）根据字符串找main函数
Cpu窗口右击查找-所有参考文本地段，双击即可进入cpu窗口对应字符串
在这里插入图片描述
2）查看被调用的api找main函数
推测main函数中使用的api—> 查看所有被调用的api（Cpu窗口右击查找-所有模块间的调用）—>双击进入函数

3）查看程序所有api找main函数（当程序被压缩保护后，OD就不能列出api调用列表了）
推测main函数中使用的api—>查看所有被加载的dll中的api（Cpu窗口右击查找-所有模块中的名称）—>定位到messagebox函数—>双击查看该函数的地址空间（我的理解是查看这个函数的具体实现方法）—>右侧寄存器窗口ESP的值即进程栈的地址，这里下一个断点，F9运行，程序停在了断点处，说明此处确实是mian函数的执行处—>查看栈窗口，看到call调用指令，说明0040100E处的指令调用了messagebox函数，go to(ctrl+g)跳转至0040100E，这里就是main函数的所在处
在这里插入图片描述