170909 WarGames-Utumno（0-1）

1625-5 王子昂 总结《2017年9月9日》 【连续第341天总结】
A. WarGames-utumno
B.

Level 0

执行提示“Readme :p”
刚开始还没懂什么意思，习惯性想down到本地IDA
发现SFTP和SSH都没法把文件下载到本地才反应过来，文件只有可执行权限

查了一波，发现可以用xocopy工具将内存中的程序dump下来
http://reverse.lostrealm.com/tools/xocopy.html

utumno0@utumno:~$ gcc xocopy.c -o xocopy -m32

以32位编译生成文件后运行

Obtains an executable copy of a binary with execute but no read permission
Usage: ./xocopy [-a addr] <file>
where addr is the memory address of the elf header

utumno0@utumno:~$ ./xocopy /utumno/utumno0
multiple elf headers found:
0x08048000
0x08049000
couldn’t find elf header in memory

utumno0@utumno:~$ ./xocopy -a 0x08048000 /utumno/utumno0
could not recover data - 4096 bytes at file offset 4096
created file `utumno0.out’

utumno0.out就是放开权限的utumno0了，然后通过gdb查看反汇编代码可以发现在mov“readme”之前，还mov了另外一个字符串

Dump of assembler code f