攻防世界-666

**

查壳

**
首先我们用Exeinfo工具查壳

我们发现该程序是ELF文件，且是64位程序，我们用64位IDA打开

IDA打开

首先我们找到main函数，双击后按F5反汇编

int __cdecl main(int argc, const char **argv, const char **envp)
{
  char s[240]; // [rsp+0h] [rbp-1E0h] BYREF
  char v5[240]; // [rsp+F0h] [rbp-F0h] BYREF

  memset(s, 0, 0x1EuLL);
  printf("Please Input Key: ");
  __isoc99_scanf("%s", v5);//这里输入的是flag
  encode(v5, s);//对flag进行加密
  if ( strlen(v5) == key )//判断flag的长度大小为key
  {
    if ( !strcmp(s, enflag) )//比较s变量的字符串和enflag变量的字符串是否相等
      puts("You are Right");
    else
      puts("flag{This_1s_f4cker_flag}");
  }
  return 0;
}

经过上面的分析我们可以发现key的值和enflag的值是已知的
如下图

enflag的值为izwhroz"“w"v.K”.Ni
转化成10进制为enflag[]={105,122,119,104,114,111,122,34,34,119,34,118,46,75,34,46,78,105};
ASCII码转换:传送门

Key的值为12h 这里是16进制，我们转化成10进制是18
所以Key=18
那么我们就可以清晰的知道该main的流程，接下来我们去encode(v5, s)函数分析

双击encode(v5, s)函数可以该函数的伪代码

int __fastcall encode(const char *a1, __int64 a2)   //这里的a2变量就是main函数里面s变量，从上面我们已经得知s的值为“izwhroz""w"v.K".Ni”
//所以这里的a2的值也为“izwhroz""w"v.K".Ni”
{
  char v3[104]; // [rsp+10h] [rbp-70h]
  int v4; // [rsp+78h] [rbp-8h]
  int i; // [rsp+7Ch] [rbp-4h]

  i = 0;
  v4 = 0;
  if ( strlen(a1) != key ) //判断变量a1的长度是否为Key值，上面我们已经分析出Key的值为18
    return puts("Your Length is Wrong");
  for ( i = 0; i < key; i += 3 )
  {
    v3[i + 64] = key ^ (a1[i] + 6); //异或加密
    v3[i + 33] = (a1[i + 1] - 6) ^ key;
    v3[i + 2] = a1[i + 2] ^ 6 ^ key;
    *(_BYTE *)(a2 + i) = v3[i + 64];
    *(_BYTE *)(a2 + i + 1LL) = v3[i + 33];
    *(_BYTE *)(a2 + i + 2LL) = v3[i + 2];
  }
  return a2;
}

编写wp

range(x,y,z) 从0开始到y结束，步长为z

enflag=[105, 122, 119, 104, 114, 111, 122, 34, 34, 119, 
  34, 118, 46, 75, 34, 46, 78, 105, 0]
flag=''
for i in range(0,18,3):
    flag+=chr((18^enflag[i])-6)
    flag+=chr((18^enflag[i+1])+6)
    flag+=chr(18^enflag[i+2]^6)    
print(flag)

最后我们得出flag为unctf{b66_6b6_66b}