xctf BABYHOOK

xctf BABYHOOK

好几天没写了，该水一篇了
查壳(无壳，查过了)，看ida，主函数没有任何可疑的地方，但是因为添加了线程，所以猜测在线程中调用了核心函数，开始用ida动调，发现可疑的地方
在文件读取的地方调用了一个奇怪的函数

在动调看汇编的过程中发现这个函数会改变输入的字符串，盲猜是加密的核心函数，看代码是把输入的字符串按奇数和偶数区分。
如果是奇数：flag[i]=(a1[i]^i)+i
如果是偶数：flag[i+2]=(a[i]^i)
最后一位：flag[18]=a[18]^18
可以看出flag[0]没有被操作
所以写脚本

a= [
    0x61, 0x6A, 0x79, 0x67, 0x6B, 0x46, 0x6D,
    0x2E, 0x7F, 0x5F, 0x7E, 0x2D, 0x53, 0x56,
    0x7B, 0x38, 0x6D, 0x4C, 0x6E, 0x00
    ]
flag=list("1234567891234567890")
for i in range(18):
    if(i%2):
        flag[i]=chr((a[i]^i)+i)
    else:
        flag[i+2]=chr(a[i]^i)
print("".join(flag))
flag[18]=(a[18]^18)

得到结果把第一位赋值f字符就行了