xctf BABYHOOK
好几天没写了,该水一篇了
查壳(无壳,查过了),看ida,主函数没有任何可疑的地方,但是因为添加了线程,所以猜测在线程中调用了核心函数,开始用ida动调,发现可疑的地方
在文件读取的地方调用了一个奇怪的函数
在动调看汇编的过程中发现这个函数会改变输入的字符串,盲猜是加密的核心函数,看代码是把输入的字符串按奇数和偶数区分。
如果是奇数:flag[i]=(a1[i]^i)+i
如果是偶数:flag[i+2]=(a[i]^i)
最后一位:flag[18]=a[18]^18
可以看出flag[0]没有被操作
所以写脚本
a= [
0x61, 0x6A, 0x79, 0x67, 0x6B, 0x46, 0x6D,
0x2E, 0x7F, 0x5F, 0x7E, 0x2D, 0x53, 0x56,
0x7B, 0x38, 0x6D, 0x4C, 0x6E, 0x00
]
flag=list("1234567891234567890")
for i in range(18):
if(i%2):
flag[i]=chr((a[i]^i)+i)
else:
flag[i+2]=chr(a[i]^i)
print("".join(flag))
flag[18]=(a[18]^18)
得到结果把第一位赋值f字符就行了