SCTF2020 Reverse----get_up

最新推荐文章于 2021-08-27 07:26:07 发布

非著名不专业Re选手

最新推荐文章于 2021-08-27 07:26:07 发布

阅读量584

点赞数

分类专栏： CTF Reverse

本文链接：https://blog.csdn.net/u011642058/article/details/113639872

版权

CTF Reverse 专栏收录该内容

5 篇文章 0 订阅

订阅专栏

题目下载地址：
链接：https://pan.baidu.com/s/1ZMLB0lk1uh0PoD_vZiYCiw提取码：o9k8

拿到题目先看下main函数

在这里插入图片描述

调用了两个函数，第二个函数没有被IDA正常识别，可能存在SMC

先看下sub_402700的伪代码

在这里插入图片描述

要求输入一个长度不超过6的字符串，还要满足sub_401DF0的校验

取到.reioc段的地址，然后进行SMC解密，解密函数为sub_402610，解密操作是异或，不过不需要关心，动态调试下就好

这里待解决的是sub_401DF0函数,进入看下干了什么

在这里插入图片描述

查看sub_402C90函数可以发现是一个md5加密函数，也就是对我们的输入做了md5加密，但他循环了一百万次

作用是和加密一次是一样的，为了干扰动态调试？跳过就好

将经过md5的字节转换为十六进制字符串形式，与32c1d123c193aecc4280a5d7925a2504比较

经cmd5查询得改Md5对应得明文为sycsyc

所以就得到了正确输入为sycsyc

main函数的第一个函数分析完了，接下来看下第二个函数

sub_405000也就是.reioc

将SMC解密后的程序dump下来拖到IDA分析

在这里插入图片描述

sub_403120就一条语句printf(“flag plz!”);

看下第二个函数

在这里插入图片描述

操作与之前类似，这次输入的长度是30，并将输入的前5位赋值给v6，v6作为参数传入到sub_4025B0进行SMC的解密

因为flag的格式是以SCTF{XXX}所以前五位就有了，SMC就能正常解密，然后调用解密后的sub_404000

也是动态调试等解密完dump下来分析sub_404000，

在这里插入图片描述

把我们的输入赋值给v10作为参数传入到sub_401A70,第一个参数v9是由syclover字符串经过两个循环生成的，既然都是已知的动态调试提取出来就行，不用关心他的算法

接下去是sub_401A70

在这里插入图片描述

这里的v12是最后用于比较的密文，a1是第一个参数也就是由syclover生成的东西，看似一大串操作很复杂

其实就一步关键的异或 v5[j] ^= *(_DWORD *)(a1 + 4 * v6);

而*(_DWORD )(a1 + 4 * v6)组成都是已知的，那么只要将密文v12与(_DWORD *)(a1 + 4 * v6)异或就可以得到最后的flag了

加上动态调试得到的a1

编写C语言脚本

#include "stdio.h"
#include "windows.h"
unsigned char  a1[1024] = {
	0x31, 0x00, 0x00, 0x00, 0x50, 0x00, 0x00, 0x00, 0x52, 0x00, 0x00, 0x00, 0xC1, 0x00, 0x00, 0x00,
	0xCD, 0x00, 0x00, 0x00, 0xA7, 0x00, 0x00, 0x00, 0x07, 0x00, 0x00, 0x00, 0x39, 0x00, 0x00, 0x00,
	0x3D, 0x00, 0x00, 0x00, 0x04, 0x00, 0x00, 0x00, 0xFD, 0x00, 0x00, 0x00, 0xC4, 0x00, 0x00, 0x00,
	0x2A, 0x00, 0x00, 0x00, 0x72, 0x00, 0x00, 0x00, 0xDF, 0x00, 0x00, 0x00, 0x60, 0x00, 0x00, 0x00,
	0xE3, 0x00, 0x00, 0x00, 0xBD, 0x00, 0x00, 0x00, 0xE2, 0x00, 0x00, 0x00, 0x61, 0x00, 0x00, 0x00,
	0xE4, 0x00, 0x00, 0x00, 0x63, 0x00, 0x00, 0x00, 0xEA, 0x00, 0x00, 0x00, 0xFF, 0x00, 0x00, 0x00,
	0xFE, 0x00, 0x00, 0x00, 0x09, 0x00, 0x00, 0x00, 0xF9, 0x00, 0x00, 0x00, 0xC3, 0x00, 0x00, 0x00,
	0xCE, 0x00, 0x00, 0x00, 0x9E, 0x00, 0x00, 0x00, 0x25, 0x00, 0x00, 0x00, 0x6A, 0x00, 0x00, 0x00,
	0x4C, 0x00, 0x00, 0x00, 0xDC, 0x00, 0x00, 0x00, 0x13, 0x00, 0x00, 0x00, 0xF0, 0x00, 0x00, 0x00,
	0x83, 0x00, 0x00, 0x00, 0x3B, 0x00, 0x00, 0x00, 0x24, 0x00, 0x00, 0x00, 0xDB, 0x00, 0x00, 0x00,
	0xDD, 0x00, 0x00, 0x00, 0x7F, 0x00, 0x00, 0x00, 0xEF, 0x00, 0x00, 0x00, 0x8C, 0x00, 0x00, 0x00,
	0x3E, 0x00, 0x00, 0x00, 0xE1, 0x00, 0x00, 0x00, 0x26, 0x00, 0x00, 0x00, 0x6F, 0x00, 0x00, 0x00,
	0x92, 0x00, 0x00, 0x00, 0x06, 0x00, 0x00, 0x00, 0xF7, 0x00, 0x00, 0x00, 0x96, 0x00, 0x00, 0x00,
	0xD0, 0x00, 0x00, 0x00, 0xB4, 0x00, 0x00, 0x00, 0xE7, 0x00, 0x00, 0x00, 0xF8, 0x00, 0x00, 0x00,
	0x5F, 0x00, 0x00, 0x00, 0x78, 0x00, 0x00, 0x00, 0xF2, 0x00, 0x00, 0x00, 0xAA, 0x00, 0x00, 0x00,
	0x44, 0x00, 0x00, 0x00, 0x32, 0x00, 0x00, 0x00, 0x36, 0x00, 0x00, 0x00, 0x5A, 0x00, 0x00, 0x00,
	0xEC, 0x00, 0x00, 0x00, 0xA6, 0x00, 0x00, 0x00, 0x7B, 0x00, 0x00, 0x00, 0x08, 0x00, 0x00, 0x00,
	0xC0, 0x00, 0x00, 0x00, 0x2E, 0x00, 0x00, 0x00, 0x9B, 0x00, 0x00, 0x00, 0x84, 0x00, 0x00, 0x00,
	0x55, 0x00, 0x00, 0x00, 0x9C, 0x00, 0x00, 0x00, 0xAE, 0x00, 0x00, 0x00, 0x65, 0x00, 0x00, 0x00,
	0x0A, 0x00, 0x00, 0x00, 0x10, 0x00, 0x00, 0x00, 0x53, 0x00, 0x00, 0x00, 0x88, 0x00, 0x00, 0x00,
	0x49, 0x00, 0x00, 0x00, 0x46, 0x00, 0x00, 0x00, 0xAB, 0x00, 0x00, 0x00, 0x0C, 0x00, 0x00, 0x00,
	0x1F, 0x00, 0x00, 0x00, 0x59, 0x00, 0x00, 0x00, 0x7E, 0x00, 0x00, 0x00, 0xE5, 0x00, 0x00, 0x00,
	0xB3, 0x00, 0x00, 0x00, 0xF6, 0x00, 0x00, 0x00, 0x48, 0x00, 0x00, 0x00, 0x1A, 0x00, 0x00, 0x00,
	0xD1, 0x00, 0x00, 0x00, 0xA4, 0x00, 0x00, 0x00, 0x67, 0x00, 0x00, 0x00, 0x6B, 0x00, 0x00, 0x00,
	0xBA, 0x00, 0x00, 0x00, 0x87, 0x00, 0x00, 0x00, 0x73, 0x00, 0x00, 0x00, 0x4B, 0x00, 0x00, 0x00,
	0xA2, 0x00, 0x00, 0x00, 0xCF, 0x00, 0x00, 0x00, 0x1D, 0x00, 0x00, 0x00, 0x18, 0x00, 0x00, 0x00,
	0xD4, 0x00, 0x00, 0x00, 0xBB, 0x00, 0x00, 0x00, 0x2C, 0x00, 0x00, 0x00, 0x70, 0x00, 0x00, 0x00,
	0x93, 0x00, 0x00, 0x00, 0xAC, 0x00, 0x00, 0x00, 0x0F, 0x00, 0x00, 0x00, 0x7A, 0x00, 0x00, 0x00,
	0x51, 0x00, 0x00, 0x00, 0xB5, 0x00, 0x00, 0x00, 0x21, 0x00, 0x00, 0x00, 0x85, 0x00, 0x00, 0x00,
	0x45, 0x00, 0x00, 0x00, 0x02, 0x00, 0x00, 0x00, 0x1C, 0x00, 0x00, 0x00, 0x9F, 0x00, 0x00, 0x00,
	0x81, 0x00, 0x00, 0x00, 0x5C, 0x00, 0x00, 0x00, 0x4A, 0x00, 0x00, 0x00, 0x95, 0x00, 0x00, 0x00,
	0x1B, 0x00, 0x00, 0x00, 0x16, 0x00, 0x00, 0x00, 0xD2, 0x00, 0x00, 0x00, 0xC7, 0x00, 0x00, 0x00,
	0xE0, 0x00, 0x00, 0x00, 0xDA, 0x00, 0x00, 0x00, 0x58, 0x00, 0x00, 0x00, 0xA9, 0x00, 0x00, 0x00,
	0x1E, 0x00, 0x00, 0x00, 0xD7, 0x00, 0x00, 0x00, 0xC2, 0x00, 0x00, 0x00, 0x69, 0x00, 0x00, 0x00,
	0x71, 0x00, 0x00, 0x00, 0xD6, 0x00, 0x00, 0x00, 0x2D, 0x00, 0x00, 0x00, 0x75, 0x00, 0x00, 0x00,
	0xBC, 0x00, 0x00, 0x00, 0x66, 0x00, 0x00, 0x00, 0xFA, 0x00, 0x00, 0x00, 0x30, 0x00, 0x00, 0x00,
	0xAD, 0x00, 0x00, 0x00, 0x99, 0x00, 0x00, 0x00, 0x8B, 0x00, 0x00, 0x00, 0x77, 0x00, 0x00, 0x00,
	0x41, 0x00, 0x00, 0x00, 0x97, 0x00, 0x00, 0x00, 0x22, 0x00, 0x00, 0x00, 0xB8, 0x00, 0x00, 0x00,
	0xB2, 0x00, 0x00, 0x00, 0xD3, 0x00, 0x00, 0x00, 0x47, 0x00, 0x00, 0x00, 0xC6, 0x00, 0x00, 0x00,
	0x79, 0x00, 0x00, 0x00, 0x14, 0x00, 0x00, 0x00, 0x0B, 0x00, 0x00, 0x00, 0xF4, 0x00, 0x00, 0x00,
	0x3F, 0x00, 0x00, 0x00, 0x11, 0x00, 0x00, 0x00, 0x2B, 0x00, 0x00, 0x00, 0xDE, 0x00, 0x00, 0x00,
	0xEE, 0x00, 0x00, 0x00, 0xF3, 0x00, 0x00, 0x00, 0xF5, 0x00, 0x00, 0x00, 0xAF, 0x00, 0x00, 0x00,
	0xA5, 0x00, 0x00, 0x00, 0x86, 0x00, 0x00, 0x00, 0x91, 0x00, 0x00, 0x00, 0xBE, 0x00, 0x00, 0x00,
	0x8E, 0x00, 0x00, 0x00, 0x8F, 0x00, 0x00, 0x00, 0xE8, 0x00, 0x00, 0x00, 0xE6, 0x00, 0x00, 0x00,
	0xB1, 0x00, 0x00, 0x00, 0x4E, 0x00, 0x00, 0x00, 0x37, 0x00, 0x00, 0x00, 0xD5, 0x00, 0x00, 0x00,
	0xFC, 0x00, 0x00, 0x00, 0x4D, 0x00, 0x00, 0x00, 0x5E, 0x00, 0x00, 0x00, 0x42, 0x00, 0x00, 0x00,
	0xCA, 0x00, 0x00, 0x00, 0x35, 0x00, 0x00, 0x00, 0xC8, 0x00, 0x00, 0x00, 0x6E, 0x00, 0x00, 0x00,
	0xA3, 0x00, 0x00, 0x00, 0x89, 0x00, 0x00, 0x00, 0x15, 0x00, 0x00, 0x00, 0x6D, 0x00, 0x00, 0x00,
	0x03, 0x00, 0x00, 0x00, 0x8A, 0x00, 0x00, 0x00, 0x8D, 0x00, 0x00, 0x00, 0xD8, 0x00, 0x00, 0x00,
	0x76, 0x00, 0x00, 0x00, 0xCB, 0x00, 0x00, 0x00, 0xC5, 0x00, 0x00, 0x00, 0xF1, 0x00, 0x00, 0x00,
	0x6C, 0x00, 0x00, 0x00, 0xB9, 0x00, 0x00, 0x00, 0x17, 0x00, 0x00, 0x00, 0x64, 0x00, 0x00, 0x00,
	0x68, 0x00, 0x00, 0x00, 0xE9, 0x00, 0x00, 0x00, 0x56, 0x00, 0x00, 0x00, 0x29, 0x00, 0x00, 0x00,
	0x90, 0x00, 0x00, 0x00, 0xED, 0x00, 0x00, 0x00, 0x74, 0x00, 0x00, 0x00, 0x0D, 0x00, 0x00, 0x00,
	0xEB, 0x00, 0x00, 0x00, 0xB0, 0x00, 0x00, 0x00, 0xA1, 0x00, 0x00, 0x00, 0x94, 0x00, 0x00, 0x00,
	0x80, 0x00, 0x00, 0x00, 0xC9, 0x00, 0x00, 0x00, 0x7C, 0x00, 0x00, 0x00, 0xB7, 0x00, 0x00, 0x00,
	0x28, 0x00, 0x00, 0x00, 0x05, 0x00, 0x00, 0x00, 0x5B, 0x00, 0x00, 0x00, 0x23, 0x00, 0x00, 0x00,
	0x9D, 0x00, 0x00, 0x00, 0xA0, 0x00, 0x00, 0x00, 0x27, 0x00, 0x00, 0x00, 0x98, 0x00, 0x00, 0x00,
	0x43, 0x00, 0x00, 0x00, 0x7D, 0x00, 0x00, 0x00, 0xBF, 0x00, 0x00, 0x00, 0x4F, 0x00, 0x00, 0x00,
	0x12, 0x00, 0x00, 0x00, 0x34, 0x00, 0x00, 0x00, 0xA8, 0x00, 0x00, 0x00, 0xD9, 0x00, 0x00, 0x00,
	0x57, 0x00, 0x00, 0x00, 0x33, 0x00, 0x00, 0x00, 0x9A, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00,
	0x54, 0x00, 0x00, 0x00, 0x2F, 0x00, 0x00, 0x00, 0x3C, 0x00, 0x00, 0x00, 0x62, 0x00, 0x00, 0x00,
	0x38, 0x00, 0x00, 0x00, 0xFB, 0x00, 0x00, 0x00, 0x82, 0x00, 0x00, 0x00, 0x0E, 0x00, 0x00, 0x00,
	0x3A, 0x00, 0x00, 0x00, 0x19, 0x00, 0x00, 0x00, 0x5D, 0x00, 0x00, 0x00, 0xB6, 0x00, 0x00, 0x00,
	0x40, 0x00, 0x00, 0x00, 0x20, 0x00, 0x00, 0x00, 0xCC, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00
};
unsigned int v12[30];
void main()
{
	v12[0] = 0x80;
	v12[1] = 85;
	v12[2] = 126;
	v12[3] = 45;
	v12[4] = 209;
	v12[5] = 9;
	v12[6] = 37;
	v12[7] = 171;
	v12[8] = 60;
	v12[9] = 86;
	v12[10] = 149;
	v12[11] = 196;
	v12[12] = 54;
	v12[13] = 19;
	v12[14] = 237;
	v12[15] = 114;
	v12[16] = 36;
	v12[17] = 147;
	v12[18] = 178;
	v12[19] = 200;
	v12[20] = 69;
	v12[21] = 236;
	v12[22] = 22;
	v12[23] = 107;
	v12[24] = 103;
	v12[25] = 29;
	v12[26] = 249;
	v12[27] = 163;
	v12[28] = 150;
	v12[29] = 217;
	int i, j;
	int v11 = 0;
	int v10 = 0;
	int v6 = 0;
	int v3 = 30;
	for (j = 0; ; ++j)
	{
		if (j >= v3)
			break;
		v11 = (v11 + 1) % 256;
		v10 = (*(DWORD *)(a1 + 4 * v11) + v10) % 256;
		*(DWORD *)(a1 + 4 * v11) = *(DWORD *)(a1 + 4 * v10) & ~*(DWORD *)(a1 + 4 * v11) | *(DWORD *)(a1 + 4 * v11) & ~*(DWORD *)(a1 + 4 * v10);
		*(DWORD *)(a1 + 4 * v10) = *(DWORD *)(a1 + 4 * v10) & ~*(DWORD *)(a1 + 4 * v11) | *(DWORD *)(a1 + 4 * v11) & ~*(DWORD *)(a1 + 4 * v10);
		*(DWORD *)(a1 + 4 * v11) = *(DWORD *)(a1 + 4 * v10) & ~*(DWORD *)(a1 + 4 * v11) | *(DWORD *)(a1 + 4 * v11) & ~*(DWORD *)(a1 + 4 * v10);
		v6 = (*(DWORD *)(a1 + 4 * v10) + *(DWORD *)(a1 + 4 * v11)) % 256;
		v12[j] ^= *(DWORD *)(a1 + 4 * v6);
	}
	for (i = 0; i < 30; i++)
		printf("%c", v12[i]);
}

最后flag:

SCTF{zzz~(|3[___]_rc4_5o_e4sy}

非著名不专业Re选手

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
5
评论
SCTF2020 Reverse----get_up

题目下载地址：链接：https://pan.baidu.com/s/1ZMLB0lk1uh0PoD_vZiYCiw提取码：o9k8拿到题目先看下main函数调用了两个函数，第二个函数没有被IDA正常识别，可能存在SMC先看下sub_402700的伪代码要求输入一个长度不超过6的字符串，还要满足sub_401DF0的校验取到.reioc段的地址，然后进行SMC解密，解密函数为sub_402610，解密操作是异或，不过不需要关心，动态调试下就好这里待解决的是sub_401DF0函数,进入看下.
复制链接

扫一扫