171019 逆向-Reversing.kr（MetroApp）

1625-5 王子昂 总结《2017年10月19日》 【连续第384天总结】
A. reversing.kr
B.

MetroApp

这次的逆向处理了很多麻烦，学到了不少关于MetroApp的东西，有没有用呢……囧

首先解压得到README，两个文件夹，一个ps1脚本，一个appx安装文件，一个cer证书

README中说明flag是全大写英文和数字，就没了

查了一下，用自带的PowerShell可以安装appx：

Add-AppxPackage F:\ctf\reversing.kr\MetroApp\MetroApp\MetroApp_1.0.0.5_Win32.appx

但是报错证书不可信任，看了一下证书的许可日期是2013-2014，很明显超出时间了
将本地的时间改到2013年后再次安装，又报错缺少依赖的包，查了得知是C#RunTime的库，但是我以前应该安装过╮(╯_╰)╭
ps1后缀名是PowerShell脚本，直接运行也会报错

到这里就没辙了，只好去查一下appx的相关知识，得知
appx跟APK类似，实际上也是一个压缩包
通过RAR或者ZIP可以直接打开，解压后得到一堆配置文件和一个exe文件：

虽然这个exe不能直接运行，会报错要求容器上下文，必须依赖metro

但是还是个PE文件，可以直接拖IDA反编译呀~

查找字符串发现Correct和Wrong：

几个API稍微猜猜查查就能得到意思，只是要求MERONG出现在开头嘛~很简单啊~

验证果然错误╮(╯_╰)╭

上下查了一下也没找到GetWindowText类型的API，不知道从哪里看起
而且由于有大量的虚函数，所以纯静态分析过于困难了

于是再回头研究如何安装吧(:з」∠)
后来发现，脚本运行需要先更改执行策略来执行不安全的脚本&