Hackergame 2022 Flag自动机

这个exe文件可以运行
当把鼠标放在“狠心夺取”的按钮上是这个按钮会跑，ida打开，先看winmain函数

 WNDCLASSW WndClass; // [esp+3Ch] [ebp-4Ch] BYREF
 struct tagMSG Msg; // [esp+64h] [ebp-24h] BYREF

这里是定义了一个窗口类，和一个处理信息队列的东西。

 WndClass.lpszClassName = L"flag 自动机";
  WndClass.hInstance = hInstance;
  WndClass.hbrBackground = GetSysColorBrush(15);
  WndClass.lpfnWndProc = sub_401510;
  WndClass.hCursor = LoadCursorA(0, (LPCSTR)0x7F00);// 不用管

这里开始给窗口类的属性赋值，其中第一个是窗口类的名称，第二个是给窗口句柄赋值，第三个是背景样式可以忽略，第四个是窗口的处理过程，第五个是光标的位置，不用管

  RegisterClassW(&WndClass);
  CreateWindowExW(0, WndClass.lpszClassName, L"flag 自动机", 0x10CF0000u, 150, 150, 400, 300, 0, 0, hInstance, 0);

这里是注册一个窗口然后给CreatWindowExW用，由后面的参数可知，所使用的窗口类的名称是“WndClass.lpszClassName”，即L"flag 自动机"
窗口名称是L"flag 自动机"。

while ( GetMessageA(&Msg, 0, 0, 0) )
  {
    TranslateMessage(&Msg);
    DispatchMessageA(&Msg);
  }

这里的循环是信息队列处理。
关键的就是窗口过程的处理函数sub_401510
进入

LRESULT __stdcall sub_401510(HWND hWndParent, UINT Msg, WPARAM a3, LPARAM lParam)
当我们对窗口进行操作时，Msg WPARAM lParam的值会发生改变，
看到下面的

MessageBoxW(hWndParent, &word_40A0C4, L"Congratulations", 0);
Stream = fopen("flag_machine.txt", "w");

可知满足一定条件时，会给你创建一个名为flag的文件，flag肯定在这个文件里面，我们再来看条件

Msg==0x111u;
WPARAM a3==3;
lParam == 114514;

然后问题来了，如何操作窗口使这三个参数变成对应值，我们就要利用C语言的PostMessageW函数

BOOL PostMessageW(
  [in, optional] HWND   hWnd,
  [in]           UINT   Msg,
  [in]           WPARAM wParam,
  [in]           LPARAM lParam
);

改变窗口的消息队列首先要有窗口，所以第一个参数是窗口的句柄，就是窗口的身份证，后三个就是要改变的参数了，我们要获得这个窗口的句柄。利用C语言的FindWindowW

HWND FindWindowW(
  [in, optional] LPCWSTR lpClassName,
  [in, optional] LPCWSTR lpWindowName
);

第一个是你要获取句柄的窗口的窗口类的名称，第二个是窗口名称。
CreateWindowExW(0, WndClass.lpszClassName, L"flag 自动机", 0x10CF0000u, 150, 150, 400, 300, 0, 0, hInstance, 0);
WndClass.lpszClassName = L"flag 自动机";
由这两句知道窗口类的名称是L"flag 自动机"
窗口的名称是L"flag 自动机"
所有东西都找到了代码如下

#include <windows.h>
#include <stdio.h>

int main(void){
    HWND target = NULL;

    // 获取窗口句柄
    target = FindWindowW(L"flag 自动机", L"flag 自动机");
    if (target == NULL){
        printf("error!");
        return -1;
    }
    printf("0x%x", target);

    // 发送消息
    PostMessageW(target, 0x111, 3, 114514);
    return 0;
}

用指令把他打包成exe文件gcc main.c -o main
然后先打开flag自动机文件，再双击运行刚才打包的main.exe文件会出现下面情况

打开flag就在里面