buu Reverse学习记录(25) Youngter-drive

最新推荐文章于 2023-02-28 13:35:19 发布
原创 最新推荐文章于 2023-02-28 13:35:19 发布 · 426 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

题目链接：https://buuoj.cn/challenges#Youngter-drive

把题目拖进exeinfo里，是个32位upx壳程序，脱下壳。

在这里插入图片描述

再把脱壳后的程序拖进IDA里 ，找到main_0函数

在这里插入图片描述

先是sub_4110FF函数，这个函数是先输入一串字符串并放进Source里，再把Source拷贝到Dest里，接下来CreateMutexW函数是创建一个互斥体，在创建两个线程hObject和v2，进行了一些操作，最后在sub_411190函数中，Source要跟off_418004一样。

sub_411190函数：
在这里插入图片描述

off_418004：
在这里插入图片描述

看看这两个线程里做了什么操作
在这里插入图片描述

最低0.47元/天 解锁文章
buuctf Youngter-drive
weixin_45701079的博客
10-31 2854
buuctf Youngter-drive 拿到题目，查壳(upx),首先脱壳，(不会脱壳自行百度,很多教程),脱壳之后是不能运行的，好像是因为文件重定向，但是不影响ida静态分析，ida打开 分析，多线程，最近刚好在学多线程，第一个线程h0bject会执行StartAddress函数，第二个线程v2执行sub_41119f函数,然后挨个分析打开StartAddress函数 会出现这种情况，原因是堆栈不平衡利用ida调堆栈就好， 在红色部分用alt+k，打开![在这里插入图片描述] 把原来的0x-4改成
buuctf---＞Youngter-drive
最新发布
shdbehdvd的博客
10-02 639
关键是 提高对win32 API的重视程度，如果 不知道 createMutexW互斥 那想都别想做。Youngter-drive - PYozo_free - 博客园 (cnblogs.com)”Source“很眼熟，在字符判断时也出现过，猜测是input。脚本：不会，不想动脑筋(思路清晰，不想写。因为这题运行不起来，调试不起来，会报错，只能纯分析。看见的一瞬间就知道，是某种表以及某种加密。所以，我先看的字符串：>>>信息收集。跟踪sub_411940就好。所以，此时可以综合所有已知的。
Youngter-drive
weixin_52034946的博客
01-25 841
有壳,upx的,先脱壳,教程自己上网搜 从main函数开始 创造俩个进程,StartAddress和sub_41119F StartAddress 里面含有一个加密处理和一个减一 看加密函数,在进 sub_411940 时会有一个报错,我这边用的IDA7.5,提示错误了,但是还是可以看到伪代码 加密函数就是大写字母-38,小写字母-96, 是off_418000 减d的. off_418000:QWERTYUIOPASDFGHJKLZXCVBNMqwertyuiopasd 下一个线程里面只有减一 最后一
buu:Youngter-drive
weixin_60553183的博客
12-30 1538
查壳发现有壳，UPX脱壳放IDA进入MAIN函数 学到新的知识点，多线程。CreateThread是创造一个线程，CloseHandle是关闭该线程。 先点进第一个线程的第一个函数 发现打不开，放百度。 这里又是一个新的知识点：堆栈不平衡。这里需要修改栈顶。 这里勾选Stack pointer再去汇编指令那里，就会发现有标红，在对应的地址那里按ALT+K进行修改后。即可打开函数 这里就很简单了小写改大写。 ...
buu Youngter-drive
YenKoc的博客
04-03 552
一.查壳，发现是upx的壳，用自解压方式，脱下壳 二.之后发现打不开了，应该是要修复，不想修复了，直接拖入ida 找到关键函数，中间发生一点小插曲，发现堆栈不平衡，然后导致F5反编译失败，百度了下是ALT+k快捷键来修改栈顶指针，维持栈顶平衡，修改之后发现可以反编译了 发现是创建进程，再进入 这块发现是加密，而且外面还创建了一个进程，说明是一次不加，一次加，这种循环来加密的。 然后看看，输出...
buu-Youngter-drive
qq_53087690的博客
05-02 272
差壳 脱壳 IDA打开，找到main函数 值得注意的是这个CreateMutexW函数 进程在执行过程中可能创建多个新的进程。创建进程称为父进程，而新的进程称为子进程。每个新进程可以再创建其他进程，从而形成进程树。 详细可以看进程的创建和终止 这里创建了两个进程 第一个线程h0bject会执行StartAddress函数，第二个线程v2执行sub_41119f函数 然后挨个分析打开StartAddress函数 加密函数：这是将字符串进行了替换，当字符是大写字母时，替换为off_418000处-38，
[BUUCTF]REVERSE——Youngter-drive
mcmuyanga的博客
11-17 638
Youngter-drive 附件 步骤： 例行查壳儿，32位程序，upx壳儿 利用网上找的upx脱壳儿工具脱完壳扔进ida，首先检索程序里的字符串，发现了有关flag的字样，跟进，当source=TOiZiZtOrYaToUwPnToBsOaOapsyS的时候才会输出flag 从main函数开始看程序 函数创建了两个进程，一个startaddress，一个sub_41119F 4. 先看startaddress 到sub_411940这里报错了 转汇编看一下，这边由于堆栈不平衡所以报错了
BUUCTF_Youngter-drive
weixin_46009088的博客
10-30 1955
BUUCTF_Youngter-drive 学到一些多线程和IDA平衡堆栈的知识！同样也是尽量写的详细！ 解压后拖进IDA，发现UPX的壳，如图： 用upx -d 把它给脱壳了，如图： 接下来就可以用IDA载入了，如图： 找到main_0函数就可以用F5大法了 一个函数一个函数来看，先看到sub_4110FF，点进去看看： 没啥东西，往下看，CreateThread创建了两个线程，MSDN文档1如下： 点进StartAddress查看线程，如图： 发现一个函数，点进去看，如图： 但是弹出了下面的错误.
buuctf——youngter_drive
yhfgs的博客
05-29 382
1.得到exe文件，查壳。 upx
BUUCTF--Youngter-drive
Hk_Mayfly的博客
03-26 977
测试文件：https://www.lanzous.com/ianojbc 如果运行程序提示缺少msvcr100d.dll文件，将此dll文件放程序的同一目录。（https://www.lanzous.com/iap3v6f） 准备 获取信息 32位文件 存在upx壳 代码分析 upx脱壳之后，打开主函数代码 int __thiscall main_0(void *thi...
BUU Youngter-drive wp
__ys的博客
04-22 346
Youngter-drive 拿到题目，发现有upx壳，先去壳，然后丢入IDA 分析 看到这里我们应该先了解一下关于Windows多线程的知识 CreateThread是一种微软在Windows API中提供了建立新的线程的函数，该函数在主线程的基础上创建一个新线程。线程终止运行后，线程对象仍然在系统中，必须通过CloseHandle函数来关闭该线程对象。 可以看出主函数中创建了2个子线程，我们分别进行分析 StartAddress： 这里我们回到main函数中打开sub_411190（）函数可以找
BUUCTF RE Youngter-drive by YuSec
YuSec
08-12 397
Youngter-drive Start 打开发现加了个UPX壳 想手脱，发现 好吧，直接脱壳机脱吧，脱完重新载入IDA 搜索字符串，将flag放在Source中，后面就没了 看看谁用了Source 发现四处引用的地方，除了当前的，还有三处 看到sub_411880 对Source和off_418004常量字符串进行比较，这里应该就是最终加密后进行比较的 看到StartAddress_0 发现调用了sub_41112C进行处理Source 这里有个细节需要注意，dword_418008是临界资源
buu刷题-Youngter-drive
m0_73393932的博客
02-28 224
逆向
BUUCTF Youngter-drive
zgwz123456的博客
06-21 428
首先查壳发现是upx壳，直接上工具脱壳 upx -d E:\桌面\7289daa8-a5d5-430e-87a0-92ce805d8f15\Youngter-drive.exe 打开是这样的程序 拉入IDA进行分析 找到主函数，发现创建了两个线程，一个StartAddress，一个sub_41119F，进去看看 这里是对我们的flag进行操作，主要函数是sub_41112C 会出现这种情况，原因是堆栈不平衡利用ida调堆栈就好 找到411A04处，在pop ebp上按alt+k 将0x4改为.
buu-Reserve：Youngter-drive
Asteri5m
03-23 375
buu-Reserve ：Youngter-drive 平时也经常在buu练题，练到后面收获越发的多。便想着记录下来。 0x00 初步分析 尝试运行的时候发现不可以，好吧，直接查壳： 0x01 查壳脱壳 简单的upx壳，但是由于也不能运行，直接自动脱壳吧： 脱完壳还是不能运行，估计是需要修复，懒人直接上IDA，shift+F12可以看到关键字符： 0x02 代码分析 直接转过去试试能不能反编译，直接进入查看伪代码。那就直接分析它的算法吧： 可以看到我们的输入保存在Source字符串里面；返回上一
BUUCTF-Youngter-drive
weixin_50783572的博客
10-25 281
BUUCTF reverse Youngter-drive 用Exeinfo打开发现加了upx壳 用upxshell脱壳后用IDA32打开 找到主函数 sub_4110FF函数控制输入了Source的值 打开StartAddress函数 发现sub_41112C函数，进入查看 是将输入的字符中的大小写字母从下面这个字符串中进行替换 这里我犯了错误，没有继续看main后面的函数，以为每一个都要替换 回去看main函数，发现在sub_41119F函数中也对dword_418008的值进行了减一操作，
BUU reverse 1
08-22
BU reverse 1是一个反向工程题目。我们需要使用IDA来分析给定的程序并找到正确的flag。根据引用，我们可以使用strncmp函数来比较两个字符串的前几位。如果相同，返回0；如果不同，返回正数或负数。根据引用，我们...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值