BUUCTF逆向的一些wp（2）

最新推荐文章于 2022-11-25 00:18:24 发布

∪v

最新推荐文章于 2022-11-25 00:18:24 发布

阅读量414

点赞数

文章标签：网络安全

本文链接：https://blog.csdn.net/qq_62188797/article/details/124996048

版权

reverse3

是个exe文件，不能运行，用exeinfo查壳，发现是32位的。

用ida打开，先看看字符串窗口，发现"right flag!\n",跟进并F5，看到"please enter the flag:"，明白这是要输入值的就没想着用OD调试了

int __cdecl main_0(int argc, const char **argv, const char **envp)
{
  size_t v3; // eax
  const char *v4; // eax
  size_t v5; // eax
  char v7; // [esp+0h] [ebp-188h]
  char v8; // [esp+0h] [ebp-188h]
  signed int j; // [esp+DCh] [ebp-ACh]
  int i; // [esp+E8h] [ebp-A0h]
  signed int v11; // [esp+E8h] [ebp-A0h]
  char Destination[108]; // [esp+F4h] [ebp-94h] BYREF
  char Str[28]; // [esp+160h] [ebp-28h] BYREF
  char v14[8]; // [esp+17Ch] [ebp-Ch] BYREF

  for ( i = 0; i < 100; ++i )//将Deseination的前100个值置零
  {
    if ( (unsigned int)i >= 100 )
      j____report_rangecheckfailure();
    Destination[i] = 0;
  }
  sub_41132F("please enter the flag:", v7);
  sub_411375("%20s", (char)Str);//输入flag
  v3 = j_strlen(Str);
  v4 = (const char *)sub_4110BE((int)Str, v3, (int)v14);// 加密算法
  strncpy(Destination, v4, 40u);//将v4前40个字符复制给Destination
  v11 = j_strlen(Destination);
  for ( j = 0; j < v11; ++j )//加密算法
    Destination[j] += j;
  v5 = j_strlen(Destination);
  if ( !strncmp(Destination, Str2, v5) )// Str2='e3nifIH9b_C@n@dH'，比较Destination与Str2的前v5个字符，相等则函数值为零
    sub_41132F("rigth flag!\n", v8);
  else
    sub_41132F("wrong flag!\n", v8);
  return 0;
}

查看之前用来加密的函数，这函数挺让我头疼的，看了很久都没看懂，后来才明白根据aAbcdefghijklmn='ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/='

再加以分析可以得出这就是base64加密

void *__cdecl sub_411AB0(char *a1, unsigned int a2, int *a3)
{
  int v4; // [esp+D4h] [ebp-38h]
  int v5; // [esp+D4h] [ebp-38h]
  int v6; // [esp+D4h] [ebp-38h]
  int v7; // [esp+D4h] [ebp-38h]
  int i; // [esp+E0h] [ebp-2Ch]
  unsigned int v9; // [esp+ECh] [ebp-20h]
  int v10; // [esp+ECh] [ebp-20h]
  int v11; // [esp+ECh] [ebp-20h]
  void *v12; // [esp+F8h] [ebp-14h]
  char *v13; // [esp+104h] [ebp-8h]

  if ( !a1 || !a2 )
    return 0;
  v9 = a2 / 3;
  if ( (int)(a2 / 3) % 3 )
    ++v9;
  v10 = 4 * v9;
  *a3 = v10;
  v12 = malloc(v10 + 1);                 
  if ( !v12 )
    return 0;
  j_memset(v12, 0, v10 + 1);
  v13 = a1;
  v11 = a2;                                 
  v4 = 0;
  while ( v11 > 0 )
  {
    byte_41A144[2] = 0;
    byte_41A144[1] = 0;
    byte_41A144[0] = 0;
    for ( i = 0; i < 3 && v11 >= 1; ++i )
    {
      byte_41A144[i] = *v13;
      --v11;
      ++v13;
    }
    if ( !i )
      break;
    switch ( i )                         
    {
      case 1:
        *((_BYTE *)v12 + v4) = aAbcdefghijklmn[(int)(unsigned __int8)byte_41A144[0] >> 2];
        v5 = v4 + 1;
        *((_BYTE *)v12 + v5) = aAbcdefghijklmn[((byte_41A144[1] & 0xF0) >> 4) | (16 * (byte_41A144[0] & 3))];
        *((_BYTE *)v12 + ++v5) = aAbcdefghijklmn[64];
        *((_BYTE *)v12 + ++v5) = aAbcdefghijklmn[64];
        v4 = v5 + 1;
        break;
      case 2:
        *((_BYTE *)v12 + v4) = aAbcdefghijklmn[(int)(unsigned __int8)byte_41A144[0] >> 2];
        v6 = v4 + 1;
        *((_BYTE *)v12 + v6) = aAbcdefghijklmn[((byte_41A144[1] & 0xF0) >> 4) | (16 * (byte_41A144[0] & 3))];
        *((_BYTE *)v12 + ++v6) = aAbcdefghijklmn[((byte_41A144[2] & 0xC0) >> 6) | (4 * (byte_41A144[1] & 0xF))];
        *((_BYTE *)v12 + ++v6) = aAbcdefghijklmn[64];
        v4 = v6 + 1;
        break;
      case 3:
        *((_BYTE *)v12 + v4) = aAbcdefghijklmn[(int)(unsigned __int8)byte_41A144[0] >> 2];// aAbcdefghijklmn='ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/='
        v7 = v4 + 1;
        *((_BYTE *)v12 + v7) = aAbcdefghijklmn[((byte_41A144[1] & 240) >> 4) | (16 * (byte_41A144[0] & 3))];
        *((_BYTE *)v12 + ++v7) = aAbcdefghijklmn[((byte_41A144[2] & 192) >> 6) | (4 * (byte_41A144[1] & 15))];
        *((_BYTE *)v12 + ++v7) = aAbcdefghijklmn[byte_41A144[2] & 63];
        v4 = v7 + 1;
        break;
    }
  }
  *((_BYTE *)v12 + v4) = 0;
  return v12;
}

剩下的就好办了，写一个python脚本解密

import base64

str = 'e3nifIH9b_C@n@dH'
flag = ''
for i in range(len(str)):
    flag += chr(ord(str[i]) - i)
flag = base64.b64decode(flag)
print(flag)

不一样的flag

是exe文件，先运行，这题可能是个迷宫，怎么走也告诉我了

查壳，是32位

先放ida里看字符串窗口，发现*11110100001010000101111# 这题是迷宫，迷宫图也出来了

看看main函数

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  char v3[29]; // [esp+17h] [ebp-35h] BYREF
  int v4; // [esp+34h] [ebp-18h]
  int v5; // [esp+38h] [ebp-14h] BYREF
  int i; // [esp+3Ch] [ebp-10h]
  _BYTE v7[12]; // [esp+40h] [ebp-Ch] BYREF

  __main();
  v4 = 0;
  strcpy(v3, "*11110100001010000101111#");
  while ( 1 )
  {
    puts("you can choose one action to execute");
    puts("1 up");
    puts("2 down");
    puts("3 left");
    printf("4 right\n:");
    scanf("%d", &v5);
    if ( v5 == 2 )
    {
      ++*(_DWORD *)&v3[25];
    }
    else if ( v5 > 2 )
    {
      if ( v5 == 3 )
      {
        --v4;
      }
      else
      {
        if ( v5 != 4 )
LABEL_13:
          exit(1);
        ++v4;
      }
    }
    else
    {
      if ( v5 != 1 )
        goto LABEL_13;
      --*(_DWORD *)&v3[25];
    }
    for ( i = 0; i <= 1; ++i )
    {
      if ( *(int *)&v3[4 * i + 25] < 0 || *(int *)&v3[4 * i + 25] > 4 )
        exit(1);
    }
    if ( v7[5 * *(_DWORD *)&v3[25] - 41 + v4] == '1' )
      exit(1);
    if ( v7[5 * *(_DWORD *)&v3[25] - 41 + v4] == '#' )
    {
      puts("\nok, the order you enter is the flag!");
      exit(0);
    }
  }
}

行走规则如下：

1：上
2：下
3：左
4：右

接下来只要把迷宫变成二维的就行

从最后两个if语句可以看出，#是出口，而1为墙，迷宫每行有5个字符，迷宫为

直接走迷宫得到flag{222441144222}

helloword

附件是apk文件，我用的是APKIDE，使用教程网上有很多。

在网上看可以直接Ctrl+F查找main函数，我可能用错了，没找到

所以我直接找到helloword文件夹，再找到main函数，flag就在其中

SimpleRev

查壳，64位elf文件

查看main函数代码易知，关键在Decry()函数

unsigned __int64 Decry()
{
  char v1; // [rsp+Fh] [rbp-51h]
  int v2; // [rsp+10h] [rbp-50h]
  int v3; // [rsp+14h] [rbp-4Ch]
  int i; // [rsp+18h] [rbp-48h]
  int v5; // [rsp+1Ch] [rbp-44h]
  char src[8]; // [rsp+20h] [rbp-40h] BYREF
  __int64 v7; // [rsp+28h] [rbp-38h]
  int v8; // [rsp+30h] [rbp-30h]
  __int64 v9[2]; // [rsp+40h] [rbp-20h] BYREF
  int v10; // [rsp+50h] [rbp-10h]
  unsigned __int64 v11; // [rsp+58h] [rbp-8h]

  v11 = __readfsqword(0x28u);
  *(_QWORD *)src = 'SLCDN';
  v7 = 0LL;
  v8 = 0;
  v9[0] = 'wodah';
  v9[1] = 0LL;
  v10 = 0;
  text = join(key3, (const char *)v9);          // key3=kills  text=killshadow
  strcpy(key, key1);                            // key1='ADSFK'
  strcat(key, src);                             // key=ADSFKNDCLS
  v2 = 0;
  v3 = 0;
  getchar();
  v5 = strlen(key);
  for ( i = 0; i < v5; ++i )                    // 大写变小写，key=adsfkndcls
  {
    if ( key[v3 % v5] > '@' && key[v3 % v5] <= 'Z' )
      key[i] = key[v3 % v5] + 32;
    ++v3;
  }
  printf("Please input your flag:");
  while ( 1 )
  {
    v1 = getchar();                              //获取输入字符
    if ( v1 == '\n' )
      break;
    if ( v1 == ' ' )
    {
      ++v2;
    }
    else
    {
      if ( v1 <= 96 || v1 > 122 )
      {
        if ( v1 > 64 && v1 <= 90 )
        {
          str2[v2] = (v1 - 39 - key[v3 % v5] + 97) % 26 + 97;// 关键算法
          ++v3;
        }
      }
      else
      {
        str2[v2] = (v1 - 39 - key[v3 % v5] + 97) % 26 + 97;
        ++v3;
      }
      if ( !(v3 % v5) )
        putchar(' ');
      ++v2;
    }
  }
  if ( !strcmp(text, str2) )
    puts("Congratulation!\n");
  else
    puts("Try again!\n");
  return __readfsqword(0x28u) ^ v11;
}

以下代码将key中的字符变成小写，需要注意的是大端序与小端序的问题，在IDA的伪代码中，int型的数据是常见的大端序，而int64型的数据是少见的小端序。

最后写了个python脚本，因自身编程能力差，参考了这篇博客

BUUCTF 逆向工程(reverse)之SimpleRev_若丶时光破灭的博客-CSDN博客_buuctf 逆向

text = 'killshadow'
key = 'adsfkndcls'
flag = ''
for i in range(len(key)):
    for j in range(128):
        if chr(j).isalpha():  # 过滤非字符串，防止结果乱码
            str = (j - 39 - ord(key[i]) + 97) % 26 + 97
            if text[i] == chr(str):
                flag += chr(j)
                break
print(flag)

flag{KLDQCUDFZO}

新手一枚，错误较多，请见谅。

∪v

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
打赏
0
评论
BUUCTF逆向的一些wp（2）

目录reverse3不一样的flaghellowordSimpleRevreverse3是个exe文件，不能运行，用exeinfo查壳，发现是32位的。用ida打开，先看看字符串窗口，发现"right flag!\n",跟进并F5，看到"please enter the flag:"，明白这是要输入值的就没想着用OD调试了int __cdecl main_0(int argc, const char **argv, const char **e............
复制链接

扫一扫