we_solo的博客

下载附件这一题考查的是脱壳的基本知识，先用exeinfoPE查看一下，发现是加了壳的，可以用upx进行脱壳。

ELF的linux文件64位，没有加壳 （壳是对代码的加密，起混淆保护的作用，一般用来阻止逆向）。可以看到前面有对flag内容的替换，就是把ASCII码等于105和114的替换成ASCII码49。也就是{hacking_for_fun}，需要将i和r替换为1。flag为flag{hack1ng_fo1_fun}IDA64位打开查看代码，按“F5”查看伪C代码。下载附件，照例扔入Exeinfo PE查看信息。上一篇已经对strncmp函数的讲解过了。双击flag进去之后就找到了。

为非，所以只要( strncmp(str1,str2,v3) )为0，!strncmp(str1,str2,v3)是把str1与str2两字符串的前v3位数做一个比较，若str1=str2，返回0；双击str2进去之后就找到了str2 '{hello_world}'，因为str2中所有的"o"都被转换成了"0"。strncmp（str1，str2，v3））是一个判断语句，if（）括号里面的内容如果为真，则输出。"sub_14001128F"是scanf函数，所以字符串str1为我们输入的内容。

拿到exe文件先查下信息，是一个64位程序，没有加壳。打开以后就可以看到flag。

相比于之前介绍的file命令行工具来说，file只是从文件的第一个字节开始识别，且只能把一个文件识别成一个类型的文件，很难看出是否隐藏着其他的文件，Binwalk就能很好的完成这项任务。用来编辑二进制文件。在CTF中一个文件中隐藏着另外其他文件的题目是经常有的。既然会出现没有后缀的文件，那当然也会出现缺少头部的情况，可以根据后缀名来选择文件头部进行填充，如果没有后缀名，则查看文件尾部来判断文件类型。天下之事分久必合合久必分，既然CTF有文件分离的题目，那自然也少不了文件合成的了，但是文件合成还是有技巧的。