- 博客(11)
- 收藏
- 关注
RSS订阅原创 [GWCTF 2019]babyvm复现题解
实际呢，只有第一个自定义函数是有用的，后面两个函数类似于检查加密逻辑的函数实际是假的，起到一个迷惑作用，这部分很好判断，不再过多赘述。这里我们先构造一个新的结构体opcode，存放这种成对的数据类型，并且都是dq的类型。而且，一共有7组这样的数据，那就需要我们把这种类型的数据整体放入_cpu的结构体中，改变它的数据类型和个数即可，并重命名。OK现在我们全部的指令都改了过来，并且知道加密的数据存储在unk_202060，开始写我们的第一个还原操作指令的exp。那现在我们要做的就是去看一看这里的函数了。
2026-03-28 11:00:47
252
原创 VM虚拟机保护学习记录--示例：[HGAME 2023 week4]vm
本文详细分析了虚拟机保护技术在逆向工程中的应用。通过将x86汇编转换为自定义字节码指令系统，程序实现了代码保护功能。文章解析了虚拟机核心组件：初始化模块(vm_init)、入口函数(vm_start)和调度器(vm_dispatcher)，并详细说明了常见指令(如mov、push/pop、运算指令等)的特征识别方法。通过实际案例[HGAME2023week4]vmre，展示了结构体修复、指令流模拟和加密逻辑逆向的全过程，最终通过Python脚本成功解密出flag。该技术能有效保护代码不被轻易逆向或修改
2026-03-18 07:15:48
535
原创 .NET文件逆向--[强网杯 2022]GameMaster复现
.NET文件是基于微软 .NET 框架（及其后续的跨平台版本 .NET Core / .NET 5/6/7/8/9）编写的、遵循特定标准的可执行文件（如 应用程序）和动态链接库（如 库文件）。MZ是该文件的文件头标志：在可执行文件（、、等）的最开头，前两个字节固定为ASCII字符 和 。如果用十六进制查看器打开，会看到 压缩包给了我们三个文件，exe肯定是我们要重点关注的对象。放到桌面后，我第一时间怀疑过是不是py编写的程序，但这只是猜测，准确的要放到exeinfo查壳后才知道。这里看到给我们提示是
2026-03-08 16:39:48
1245
原创 [HNCTF 2022 WEEK3]What‘s 1n DLL?--动态链接库和XXTEA学习记录
首先我们需要了解一下动态链接库和XXTEA再来看这道题。
2026-03-04 19:14:17
716
原创 shellcode逆向基础知识学习记录--[HDCTF 2023]double_code
Shellcode 是一段精炼的、用作有效载荷（Payload） 的机器代码。它之所以叫这个名字，是因为最初这类代码的唯一目的就是启动一个命令行 Shell（例如 /bin/sh），从而让攻击者能够控制被入侵的机器。如今，这个术语的含义已经扩展，泛指任何被注入到漏洞利用程序（Exploit）中并执行的机器代码，其功能不再局限于获取 Shell，也可以是执行其他操作，如创建用户、下载文件、反弹连接等。以上都是官方话，我认为通俗理解就是一个能够直接攻击软件的病毒代码。
2026-02-22 19:15:24
1148
原创 ida远程动调Linux程序学习记录--例题：[hnctf 2022 week2]try2bebug_plus
首先，你需要一个ida，和一个VM虚拟机，这里我配备的是kali虚拟机，然后找到你的ida文件夹，里面有一个这样的文件夹，这个就是远程调试助手的文件。然后你需要把你对应虚拟机需要的助手文件，复制到虚拟机中。像这样：我单独创建了一个文件夹，因为调试时也需要把程序放在虚拟机中，所以我觉得这个单独的文件夹还是有一定帮助的。之后，就是在这个文件夹路径下打开终端。输入命令去运行这个文件，如果显示如下图，则证明链接成功。对应ida这边的操作是：选择Debugger对应Linux这个。
2026-02-21 19:19:46
957
1原创 网鼎杯青龙组 jocker题解记录
本文记录了新手逆向分析一个包含SMC保护的EXE程序的过程。作者首先通过IDA静态分析发现VirtualProtect函数和两个加密函数，判断存在SMC保护。随后通过动态调试，在关键位置下断点、修改ZF寄存器值，成功绕过SMC保护。在分析加密函数时，作者处理了花指令问题，最终通过参考他人脚本解密得到flag。文章详细记录了逆向分析思路和调试技巧，同时坦诚表达了作为新手在编写解密脚本方面的不足，并希望得到专业指导。整个分析过程展现了逆向工程的基本方法和常见问题的解决思路。
2025-12-23 18:49:01
444
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人