攻防世界逆向高手题的BABYRE

攻防世界逆向高手题之BABYRE

继续开启全栈梦想之逆向之旅~
这题是攻防世界逆向高手题的BABYRE

这题应该是我第一次接触的花指令题，怪兴奋的！目前我的理解是代码和数据混淆，让IDA误认为是数据而反汇编出错。

好了，开始分析：
照例扔入exeinpefo中查看信息：

64位ELF文件，无壳，扔入IDA64位中查看伪代码：

这里犯下第一个错误：
由于是第一次接触花指令，对 (*(unsigned int (__fastcall **)(char *))judge)(input_flag) ) 这一行代码我看了好久愣是没看懂，input_flag是我们输入的字符串,judge中文是判断，根据以前做题这种中文类名字的确是暗示，可前面显示的judge[i] 这摆明是个数组啊，judge(input_flag) 不就变成了数组首地址加Input_flag了吗？还有这种玩法？？？

然后我就去看wp了(笑~)：
他们大概意思了judge是一个函数名，这个judge函数名的函数呢是通过前面逻辑用数据生成出来的。
想起C语言好像有通过字符串拼接生成新命令的技巧，突然就恍然大悟了。
所以这里 (*(unsigned int (__fastcall **)(char *))judge)(input_flag) ) 应该这样分析，unsigned int 是judge函数的返回类型，(__fastcall **)是函数的调用约定，(char *)这个只是提取judge的数组头的一连串字符串做函数名而已。

然后看他们WP中显示judge是双击跟踪跟踪不了的，会报错，我的倒是跟踪得了，长这样：

这里犯下第二个错误：
一开始这里也卡了我好一会，后来发现是我用了新版的IDA7.5,这里本来有个指针分析错误，IDA7.5直接把它当成数据去了，如果我用C（汇编），P（创建函数），在judge开头出按一下照样显示指针分析错误：(ps：不按C的话有时IDA会报错函数在指定地址具有未定义的指令/数据。您的请求已放入自动分析队列。按一下C可能是提醒它可以转成数据吧)

知道原理后我们可以开始做题了，顺带说一下这题型是用户输入相关的生成型flag，所以要逆向逻辑。

第一种方法：直接嵌入脚本在让他把加密流程跑一遍得出真正judge代码逻辑，根据逻辑解密：

代码如下：(记住按一遍即可，按两遍就归回原样了)

add=0x600b00
for i in range(182):
    PatchByte(add+i,Byte(add+i)^0xC)

然后C，P键扫描生成函数，如果有红色的行就用U设为未定义再C，P键即可：

函数逻辑很简单，flag是用户输入有关的生成型flag，对输入的简单的异或然后比较每个字符与预先给的字符串是否相等，等就返回1(true)，所以我们直接用预先给的字符串逆逻辑异或即可：

#key1="fmcd"
#key2=chr(0x7f)
#key3="k7d;V`;np"
#key4=key1+key2+key3
key="fmcd\x7Fk7d;V`;np"
flag=""
for i in range(14):
	flag+=chr(ord(key[i])^i)
print(flag)

代码如上，犯下的第 3 个错误就是我一开始以为python会吧\x7F判断成4个字符，结果是我多虑了，直接就是python自己会解析\x类型，太妙了，结果如图：

第二种方法：
直接远程调试，在第12行 if ( v5 == 14 && (unsigned int)judge((__int64)s) )处断下代码，断在这里的话IDA已经把judge解密完了，直接双击跟踪生成函数即可：

最后：
由于使用新的IDA7.5，一开始遇到了Byte等IDApython函数未定义的问题，在以下博客中找到了解决方法,非常感谢！：(IDA Pro 7.5版本使用IDAPython)

https://blog.csdn.net/HaiLanLin/article/details/115585340

总结：

1：犯下第一个错误
由于是第一次接触花指令，对 (*(unsigned int (__fastcall **)(char ))judge)(input_flag) ) 这一行代码我看了好久愣是没看懂。
((unsigned int (__fastcall **)(char *))judge)(input_flag) ) 应该这样分析，unsigned int 是judge函数的返回类型，(__fastcall **)是函数的调用约定，(char *)这个只是提取judge的数组头的一连串字符串做函数名而已。

2：犯下第二个错误：
我用了新版的IDA7.5,这里本来有个指针分析错误，IDA7.5直接把它当成数据去了，如果我用C（汇编），P（创建函数），在judge开头出按一下照样显示指针分析错误：(ps：不按C的话有时IDA会报错函数在指定地址具有未定义的指令/数据。您的请求已放入自动分析队列。按一下C可能是提醒它可以转成数据吧)

3：犯下的第 3 个错误就是我一开始以为python会吧\x7F判断成4个字符，结果是我多虑了，直接就是python自己会解析\x类型，太妙了。

解毕！敬礼！