Start
这一次四个dll
先将exe拖入IDA看总体流程
来到Imports导入表发现没有调用dll,这说明是程序执行时手动调用的
F5看反编译,这里利用Win32
的函数动态载入dll
,所以在导入表中不会显示,关于动态载入dll,可以参考https://blog.csdn.net/roshy/article/details/81944264
将cm.dll
拖入IDA,查看字符串
交叉引用+F5
这里又调用了两个dll,先调用了lib.dll
中的change函数
记住三个参数v1, 19, -8
来到lib.dll, 找到change函数,与之前的change一样,出对单个字符减8,这次的flag为19位
foreach_lib.dll的foreach函数:
enc = "baflaYfbamr`]qYf_d]"
flag = ''
for i in enc:
flag += chr(ord(i) + 8)
程序来源: http://52pojie.cn/thread-1180696-1-1.html