170930 逆向-Reversing.kr（Twist）

最新推荐文章于 2021-02-20 21:04:21 发布

奈沙夜影

最新推荐文章于 2021-02-20 21:04:21 发布

阅读量660

点赞数 1

分类专栏： CrackMe

本文链接：https://blog.csdn.net/whklhhhh/article/details/78146134

版权

本文详细介绍了在解决Reversing.kr的Twist题目时遇到的挑战，包括程序的壳、反调试机制、异常处理函数的利用以及通过IDA、OD等工具进行的逆向分析过程。通过分析代码，解密输入验证逻辑，最终揭示了flag的组成和解题思路。

摘要由CSDN通过智能技术生成

1625-5 王子昂总结《2017年9月30日》【连续第365天总结】
A. Reversing.kr-Twist
B.

Twist

今天放假回家，在高速上耗了半天(:з」∠)再加上今天的题目恶心到爆炸，于是拖到现在

readme很简单，提示我运行在x86系统上
当时的我没多想，抄着WIN10 x64就运行下去了……嗨呀，前面好几个题目都说明题目一定要反复读透了才能做的

先查壳，EXEINFO说无壳，PEID提示是PASCAL写的无壳
事实证明高兴的太早了

拖入IDA，空荡荡的函数列表告诉我这里面还有猫腻……
F5提示函数内容被写过，那就只能乖乖用OD跟了

往下运行几步就看出来了，代码一边走一边被解密，还是有层保护壳
单步跟到最后一个大跳后，出现了熟悉的OEP：
这里写图片描述

这里我直接用OlleyDump脱壳出来以后，ImportRECR修复也无法运行，放到XP系统下可以运行，拖回物理机用IDA分析时F5提示某个call无法分析

当时没多想，继续OD跟
在_main函数中先SetUnhandledExceptionFilter
这个函数绑定了异常捕获函数，是一种反调试机制：
当有调试器附加时，错误会先报给调试器，导致出错
无调试器时则会调用异常捕获函数
这里写图片描述
可以看到，这一行调用了ds:[edx]，而edx=0，出现了错误

直接NOP掉，或者修改EIP到下一行都可以跳过
再往下是很简单的输入、输出和判断结构

004012AA  |.  E8 21FFFFFF   call Twist1_0.004011D0                    ;  print说明
004012AF  |.  E8 4CFFFFFF   call Twist1_0.00401200                    ;  print "input:"
004012B4  |.  E8 67FFFFFF   call Twist1_0.00401220                    ;  scanf
……
NOP