buu Reverse学习记录(25) Youngter-drive

最新推荐文章于 2024-10-02 01:59:48 发布
原创 最新推荐文章于 2024-10-02 01:59:48 发布 · 426 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

题目链接：https://buuoj.cn/challenges#Youngter-drive

把题目拖进exeinfo里，是个32位upx壳程序，脱下壳。

在这里插入图片描述

再把脱壳后的程序拖进IDA里 ，找到main_0函数

在这里插入图片描述

先是sub_4110FF函数，这个函数是先输入一串字符串并放进Source里，再把Source拷贝到Dest里，接下来CreateMutexW函数是创建一个互斥体，在创建两个线程hObject和v2，进行了一些操作，最后在sub_411190函数中，Source要跟off_418004一样。

sub_411190函数：
在这里插入图片描述

off_418004：
在这里插入图片描述

看看这两个线程里做了什么操作
在这里插入图片描述

最低0.47元/天 解锁文章
BUUCTF逆向题Youngter-drive
于高山之巅，方见大河奔涌；于群峰之上，更觉长风浩荡。
11-07 941
其实线程一代码我自己也不大理解，看了正确的 flag 后，我自己推出来的是这样：在 couece 中取出字符，然后在 QWERTYUIOPASDFGHJKLZXCVBNMqwertyuiopasdfghjklzxcvbnm 中找出一样的，取出该字符在 QWERTYUIOPASDFGHJKLZXCVBNMqwertyuiopasdfghjklzxcvbnm 中的下标，如果取出的字符是大写则 在ASCII中找出【下标 - 38】值对应的字符替换couece中的字符，同理，小写就减 96。
[BUUCTF] Youngter-drive笔记与思考 (线程)
Tokameine的博客
04-30 513
Ⅰ. 解题步骤(省略细节的描述) Ⅱ. 知识拓展(对各函数作用进行解释) Ⅰ. 如下为IDA分析得到的main函数。 //main函数(主流程) int __cdecl main_0(int argc, const char **argv, const char **envp) { HANDLE v4; // [esp+D0h] [ebp-14h] HANDLE hObject; // [esp+DCh] [ebp-8h] sub_4110FF(); ::hObje...
初探反调试&Youngter-drive
2301_81223471的博客
03-28 1687
链接链接进程的每个线程共享其虚拟地址，函数的局部变量对于每个线程都是唯一的。但是全局变量和静态变量我们都知道，它们可以随时随地访问，也就是说被进程的所有线程共享。所以，在多线程程序中，这些全局变量和静态变量可能会被一个线程修改和访问，这可能会给其他程序带来麻烦，为了避免这种问题，几乎所有的多线程操作系统都提供一种可以在每个线程的基础上有效存储状态的机制，通过TLS，我们可以为每个线程提供只能访问的唯一数据所以TLS就是为每个线程创建一个私密的空间供其访问与修改。
Youngter-drive
weixin_52034946的博客
01-25 841
有壳,upx的,先脱壳,教程自己上网搜 从main函数开始 创造俩个进程,StartAddress和sub_41119F StartAddress 里面含有一个加密处理和一个减一 看加密函数,在进 sub_411940 时会有一个报错,我这边用的IDA7.5,提示错误了,但是还是可以看到伪代码 加密函数就是大写字母-38,小写字母-96, 是off_418000 减d的. off_418000:QWERTYUIOPASDFGHJKLZXCVBNMqwertyuiopasd 下一个线程里面只有减一 最后一
buu:Youngter-drive
weixin_60553183的博客
12-30 1538
查壳发现有壳，UPX脱壳放IDA进入MAIN函数 学到新的知识点，多线程。CreateThread是创造一个线程，CloseHandle是关闭该线程。 先点进第一个线程的第一个函数 发现打不开，放百度。 这里又是一个新的知识点：堆栈不平衡。这里需要修改栈顶。 这里勾选Stack pointer再去汇编指令那里，就会发现有标红，在对应的地址那里按ALT+K进行修改后。即可打开函数 这里就很简单了小写改大写。 ...
buuctf---＞Youngter-drive
最新发布
shdbehdvd的博客
10-02 639
关键是 提高对win32 API的重视程度，如果 不知道 createMutexW互斥 那想都别想做。Youngter-drive - PYozo_free - 博客园 (cnblogs.com)”Source“很眼熟，在字符判断时也出现过，猜测是input。脚本：不会，不想动脑筋(思路清晰，不想写。因为这题运行不起来，调试不起来，会报错，只能纯分析。看见的一瞬间就知道，是某种表以及某种加密。所以，我先看的字符串：>>>信息收集。跟踪sub_411940就好。所以，此时可以综合所有已知的。
[BUUCTF]REVERSE——Youngter-drive
mcmuyanga的博客
11-17 638
Youngter-drive 附件 步骤： 例行查壳儿，32位程序，upx壳儿 利用网上找的upx脱壳儿工具脱完壳扔进ida，首先检索程序里的字符串，发现了有关flag的字样，跟进，当source=TOiZiZtOrYaToUwPnToBsOaOapsyS的时候才会输出flag 从main函数开始看程序 函数创建了两个进程，一个startaddress，一个sub_41119F 4. 先看startaddress 到sub_411940这里报错了 转汇编看一下，这边由于堆栈不平衡所以报错了
BUUCTF_Youngter-drive
weixin_46009088的博客
10-30 1954
BUUCTF_Youngter-drive 学到一些多线程和IDA平衡堆栈的知识！同样也是尽量写的详细！ 解压后拖进IDA，发现UPX的壳，如图： 用upx -d 把它给脱壳了，如图： 接下来就可以用IDA载入了，如图： 找到main_0函数就可以用F5大法了 一个函数一个函数来看，先看到sub_4110FF，点进去看看： 没啥东西，往下看，CreateThread创建了两个线程，MSDN文档1如下： 点进StartAddress查看线程，如图： 发现一个函数，点进去看，如图： 但是弹出了下面的错误.
buuctf——youngter_drive
yhfgs的博客
05-29 382
1.得到exe文件，查壳。 upx
buu Youngter-drive
YenKoc的博客
04-03 552
一.查壳，发现是upx的壳，用自解压方式，脱下壳 二.之后发现打不开了，应该是要修复，不想修复了，直接拖入ida 找到关键函数，中间发生一点小插曲，发现堆栈不平衡，然后导致F5反编译失败，百度了下是ALT+k快捷键来修改栈顶指针，维持栈顶平衡，修改之后发现可以反编译了 发现是创建进程，再进入 这块发现是加密，而且外面还创建了一个进程，说明是一次不加，一次加，这种循环来加密的。 然后看看，输出...
buuctf Youngter-drive
weixin_45701079的博客
10-31 2854
buuctf Youngter-drive 拿到题目，查壳(upx),首先脱壳，(不会脱壳自行百度,很多教程),脱壳之后是不能运行的，好像是因为文件重定向，但是不影响ida静态分析，ida打开 分析，多线程，最近刚好在学多线程，第一个线程h0bject会执行StartAddress函数，第二个线程v2执行sub_41119f函数,然后挨个分析打开StartAddress函数 会出现这种情况，原因是堆栈不平衡利用ida调堆栈就好， 在红色部分用alt+k，打开![在这里插入图片描述] 把原来的0x-4改成
buu-Youngter-drive
qq_53087690的博客
05-02 272
差壳 脱壳 IDA打开，找到main函数 值得注意的是这个CreateMutexW函数 进程在执行过程中可能创建多个新的进程。创建进程称为父进程，而新的进程称为子进程。每个新进程可以再创建其他进程，从而形成进程树。 详细可以看进程的创建和终止 这里创建了两个进程 第一个线程h0bject会执行StartAddress函数，第二个线程v2执行sub_41119f函数 然后挨个分析打开StartAddress函数 加密函数：这是将字符串进行了替换，当字符是大写字母时，替换为off_418000处-38，
BUUCTF--Youngter-drive
Hk_Mayfly的博客
03-26 977
测试文件：https://www.lanzous.com/ianojbc 如果运行程序提示缺少msvcr100d.dll文件，将此dll文件放程序的同一目录。（https://www.lanzous.com/iap3v6f） 准备 获取信息 32位文件 存在upx壳 代码分析 upx脱壳之后，打开主函数代码 int __thiscall main_0(void *thi...
BUU Youngter-drive wp
__ys的博客
04-22 346
Youngter-drive 拿到题目，发现有upx壳，先去壳，然后丢入IDA 分析 看到这里我们应该先了解一下关于Windows多线程的知识 CreateThread是一种微软在Windows API中提供了建立新的线程的函数，该函数在主线程的基础上创建一个新线程。线程终止运行后，线程对象仍然在系统中，必须通过CloseHandle函数来关闭该线程对象。 可以看出主函数中创建了2个子线程，我们分别进行分析 StartAddress： 这里我们回到main函数中打开sub_411190（）函数可以找
BUUCTF RE Youngter-drive by YuSec
YuSec
08-12 396
Youngter-drive Start 打开发现加了个UPX壳 想手脱，发现 好吧，直接脱壳机脱吧，脱完重新载入IDA 搜索字符串，将flag放在Source中，后面就没了 看看谁用了Source 发现四处引用的地方，除了当前的，还有三处 看到sub_411880 对Source和off_418004常量字符串进行比较，这里应该就是最终加密后进行比较的 看到StartAddress_0 发现调用了sub_41112C进行处理Source 这里有个细节需要注意，dword_418008是临界资源
buu刷题-Youngter-drive
m0_73393932的博客
02-28 224
逆向
BUUCTF Youngter-drive
zgwz123456的博客
06-21 428
首先查壳发现是upx壳，直接上工具脱壳 upx -d E:\桌面\7289daa8-a5d5-430e-87a0-92ce805d8f15\Youngter-drive.exe 打开是这样的程序 拉入IDA进行分析 找到主函数，发现创建了两个线程，一个StartAddress，一个sub_41119F，进去看看 这里是对我们的flag进行操作，主要函数是sub_41112C 会出现这种情况，原因是堆栈不平衡利用ida调堆栈就好 找到411A04处，在pop ebp上按alt+k 将0x4改为.
BUU reverse 1
08-22
BU reverse 1是一个反向工程题目。我们需要使用IDA来分析给定的程序并找到正确的flag。根据引用，我们可以使用strncmp函数来比较两个字符串的前几位。如果相同，返回0；如果不同，返回正数或负数。根据引用，我们可以得知，正确的flag应该与字符串"this is the right flag!"相同。因此，我们需要在IDA中查看字符串并找到正确的flag。然后，我们可以按照引用中的步骤来进行操作，将ASCII码转为字符。通过这些步骤，我们可以找到正确的flag。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [buuctf 逆向刷题01——reverse1](https://blog.youkuaiyun.com/qq_42642222/article/details/127678168)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] - *2* [BUUCTF--Reverse--easyre，reverse1，新年快乐(面向新手，超详细)](https://blog.youkuaiyun.com/qq_65165505/article/details/130263889)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_1"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]
评论 1
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值