本文深入探讨了一个 ELF64 文件的结构，通过 IDA Pro 分析发现其包含多个 sub 操作。重点研究了参数处理机制，揭示了如何通过设置 $al=0 来绕过反调试检测。进一步解析了算法逻辑，最终揭示了参数处理后的实际应用，即邮箱地址的验证过程。
真是不知道这么多没用的段子到底是用来吐槽的还是用来吐槽的呢？
首先这是一个elf64，扔到ida里面发现里面有很多sub。找到start，找到main：
看到参数怪怪的，测试一下：
看到不一样。Ling博士提醒两个参数是正解，用gdb试一下，遂发现被反调试了：
找到反调试的地址：(搜索string):
在判断是否是调试的时候，用了test al,al，这里断一下，进行设置：
Set $al=0
这样通过反调试。
ida里面搜索bad：
这里有段算法，是对参数进行了处理，ling博士逆出来了一段算法是对参数的前10位^=0x56,然后与bngcg’debd进行对比，计算出来的第一个参数为：4815162342
带参数运行后，发现程序被中断了，看到了一个syscall
Eax里面内容为23h，不明觉厉，跳过，直接继续运行。
然后跳到一块内存里面对参数二进行了运算，gdb出汇编指令，看看比较的字符，出来邮箱地址。
Gdb指令：
然后自己推=0=
l1nhax.hurt.u5.a1l@flare-on.com
扫一扫
2260
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
