攻防世界逆向高手题之simple-check-100
继续开启全栈梦想之逆向之旅~
这题是攻防世界逆向高手题的simple-check-100
下载附件,又是三个同一类型不同版本的附件,还以为终于遇到了那种关联文件的逆向题:向用win32文件,照例扔入IDA32中查看伪代码,有main函数看main函数:
关键代码如上,输入和检查判断是v8,而v8=&v6,也就是说我们是在v6地址上操作。
这里犯下第一个错误:我看v6栈地址的时候发现编译器给v6留了好多空间,但我竟然以为这题没有这么简单,我以为我么输入的v8会覆盖v7~v35这些地址,如果会覆盖的话题型就变成与用户输入有关的生成型flag了,就不能靠简单修改跳转点来做了,毕竟我们的输入会修改数据,可结果就是v6空间大到我们输入的数据不会覆盖其它变量的数据,真是多想了!
(下图是v6空间,从40~2D,够大了!)
所以我们简单修改条件输出调用后面生成flag的函数即可:
。
。
。
直接用刚学到的IDA本地调试:
额,乱码了。
换linux32位来试,继续扔ELF32位入IDA中查看对应代码在虚拟内存中的位置,好下断点:(在8048719处)
LInux GDB调试,代码如下:
b *0x8048717 //判断位置test eax eax处下断点
r
set var $eax=1 //这里犯下第二个错误:因为前面位运算语句是test eax eax,我们没法直接修改状态标志位ZF=0或修改jz为jnz , 所以我们直接修改eax让test eax eax使ZF=0
c
结果:
总结:
1:
这里犯下第一个错误:我看v6栈地址的时候发现编译器给v6留了好多空间,但我竟然以为这题没有这么简单,我以为我么输入的v8会覆盖v7~v35这些地址,如果会覆盖的话题型就变成与用户输入有关的生成型flag了,就不能靠简单修改跳转点来做了,毕竟我们的输入会修改数据,可结果就是v6空间大到我们输入的数据不会覆盖其它变量的数据,真是多想了!
(下图是v6空间,从40~2D,够大了!)
2:
这里犯下第二个错误:因为前面位运算语句是test eax eax,我们没法直接修改状态标志位ZF=0或修改jz为jnz ,
所以我们直接修改eax让test eax eax使ZF=0
解毕!敬礼!