攻防世界逆向高手题之BabyXor
继续开启全栈梦想之逆向之旅~
这题是攻防世界逆向高手题的BabyXor
.
.
下载附件,照例扔入exeinfope
中查看信息,结果是不知名的壳,还叫我用DIE
查看,结果也没分析出来:
.
.
.
(这里积累第一个经验)
那没办法只能手动脱壳了,回顾以前的crackme
题中积累的ESP脱壳定律
,在这里也同样可以借鉴一二:
https://blog.csdn.net/xiao__1bai/article/details/120230397
.
.
就是这里的pop
和jmp
代替retn
,载入OD
中我们可以发现开头处有相似的入栈出栈操作,只不过没有调用壳层函数,而是直接用代码解压缩
而已:
.
.
断点执行到jmp
处右键分析代码然后点击插件处的脱壳即可,最后按照以前的教程用importRCE
修复导入表,虽然还是运行不了~
.
.
不管了,照例扔入IDA32
中查看伪代码信息,有Main
函数看main
函数:
.
.
.
(这里积累第二个经验)
一开始这全都是自定义函数的操作属实把我吓倒了,唉~ 总归还是底气不足啊,应该耐性下来一个个分析才对,不会太难的。
首先红框中的_filbuf(&File);
在博客https://www.cnblogs.com/volcanol/archive/2011/06/09/2076907.html
中有很好的诠释。
提取一下就是getc()的一个实现,就是读取输入。
.
getc() 在VC 6.0中有两个get()的定义, 一个是宏,一个是函数
.
宏的定义如下:
#define getc(_stream) (–(_stream)->_cnt >= 0 ? 0xff & *(_stream)->_ptr++ : _filbuf(_stream))
.
函数定义如下:
_CRTIMP int __cdecl getc(FILE *);
.
.
前面是读取输入的,那么关键就在后面了,耐心一点一个个点进去分析一下。第一个自定义函数sub_40108C
是简单的移位和异或
操作,赋值给v3[i]
.
.
第二个函数sub_401041
还是移位和异或操作,赋值给Buffer[i]
.
.
第三个函数sub_4010C3
还是简单的移位、异或、拼接操作,最终赋值给destination
.
.
看最后一个函数sub_40101E
,内部还有个sub_4010A5
函数,也双击跟踪看一下,发现是简单的计算长度strlen
操作,那么这个函数就是把前面生成的字符串都拼接在一起的操作。
.
.
很耐性的分析完了,好像和输入没有什么关系,那么应该是和输入无关的存储型flag
类型了,先静态写代码生成。
打印所有用于操作的数组:
addr=0x435dc0
list1=[]
for i in range(14):
list1.append(Dword(addr+4*i))
print(list1)
addr2=0x435df8
list2=[]
for i in range(14):
list2.append(Dword(addr2+4*i))
print(list2)
addr3=0x435e30
list3=[]
for i in range(14):
list3.append(Dword(addr3+4*i))
print(list3)
.
.
然后仿照逻辑写脚本:
key1=[102, 109, 99, 100, 127, 55, 53, 48, 48, 107, 58, 60, 59, 32]
flag1=""
for i in range(14):
flag1+=chr(i^key1[i])
#print(flag1)
key2=[55, 111, 56, 98, 54, 124, 55, 51, 52, 118, 51, 98, 100, 122]
flag2=""
flag2+=chr(key2[0]) #!!!!!!wocao
for i in range(1,14,1):
flag2+=chr(key1[i]^key2[i]^key1[i-1])
#print(flag2)
key3=[26, 0, 0, 81, 5, 17, 84, 86, 85, 89, 29, 9, 93, 18]
flag4=""
for i in range(13):
flag4+=chr(i^key3[i+1]^ord(flag2[i])) #前面flag2错了,所以这里也错了!!!!
flag3=""
flag3=chr(key2[0]^key3[0])
print(flag1+flag2+flag3+flag4)
.
.
(这里积累第三个经验)
写脚本中遇到一个坑就是flag2
的sub_401041
函数那里,Buffer[0]
被赋了初始值
啊,忽略的话对后面修改很大:
.
.
结果:
.
.
.
第二个方法,动态调试,在最后一个函数0x401712
处下断点看寄存器即可:
.
.
.
总结:
1:
(这里积累第一个经验)
那没办法只能手动脱壳了,回顾以前的crackme
题中积累的ESP脱壳定律
,在这里也同样可以借鉴一二:
.
https://blog.csdn.net/xiao__1bai/article/details/120230397
.
就是这里的pop
和jmp
代替retn
,载入OD
中我们可以发现开头处有相似的入栈出栈操作,只不过没有调用壳层函数,而是直接用代码解压缩
而已:
2:
(这里积累第二个经验)
一开始这全都是自定义函数的操作属实把我吓倒了,唉~ 总归还是底气不足啊,应该耐性下来一个个分析才对,不会太难的。
.
首先红框中的_filbuf(&File);
在博客https://www.cnblogs.com/volcanol/archive/2011/06/09/2076907.html
中有很好的诠释。提取一下就是getc()的一个实现,就是读取输入。
.
getc() 在VC 6.0中有两个get()的定义, 一个是宏,一个是函数
. 宏的定义如下:
#define getc(_stream) (–(_stream)->_cnt >= 0 ? 0xff & *(_stream)->_ptr++ : _filbuf(_stream)) . 函数定义如下: _CRTIMP int __cdecl getc(FILE *);前面是读取输入的,那么关键就在后面了,耐心一点一个个点进去分析一下。第一个自定义函数
sub_40108C
是简单的移位和异或
操作,赋值给v3[i]
.
.
第二个函数sub_401041
还是移位和异或操作,赋值给Buffer[i]
.
.
第三个函数sub_4010C3
还是简单的移位、异或、拼接操作,最终赋值给destination
.
.
看最后一个函数sub_40101E
,内部还有个sub_4010A5
函数,也双击跟踪看一下,发现是简单的计算长度strlen
操作,那么这个函数就是把前面生成的字符串都拼接在一起的操作。
3:
(这里积累第三个经验)
写脚本中遇到一个坑就是flag2
的sub_401041
函数那里,Buffer[0]
被赋了初始值
啊,忽略的话对后面修改很大:
解毕!敬礼!