[2019红帽杯]easyRE

查壳

拖到die里，发现无壳，是64位elf文件，可以用ida分析

ida静态分析

进来以后看不到明显的main函数，于是查看一下字符串
进入交叉引用
能初步判断这就是这道题的关键函数
可以推测sub_424BA0函数就是strlen函数，在这个if判断中，v12已知，i可知，可通过 ^ 的特性去反推v48(a^ b ^b = a)
脚本如下：

key = [73, 111, 100, 108, 62, 81, 110, 98, 40, 111, 99, 121, 127, 121,
       46, 105, 127, 100, 96, 51, 119, 125, 119, 101, 107, 57, 123,
       105, 121, 61, 126, 121, 76, 64, 69, 67]
flag = ''
for i in range(len(key)):
    flag += str(chr(key[i] ^ i))

运行得到：

感觉是一个障眼法，接着往下分析
双击sub_400E44函数发现它是一个base64编码函数（通过观察它编码表的特点可知）

将v53进行10次base64编码，接着sub_400360函数推测是strcmp函数（有些时候就得靠猜，猜错了就再换思路）
那么v12就是v53变化后的值

v12 = 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

于是写脚本通过v12反推出v53
脚本如下：

import base64

key = '''Vm0wd2VHUXhTWGhpUm1SWVYwZDRWVll3Wkc5WFJsbDNXa1pPVlUxV2NIcFhhMk0xVmpKS1NHVkdXbFpOYmtKVVZtcEtTMUl5VGtsaVJtUk9
ZV3hhZVZadGVHdFRNVTVYVW01T2FGSnRVbGhhVjNoaFZWWmtWMXBFVWxSTmJFcElWbTAxVDJGV1NuTlhia0pXWWxob1dGUnJXbXRXTVZaeVdrWm9hV
lpyV1hwV1IzaGhXVmRHVjFOdVVsWmlhMHBZV1ZSR1lWZEdVbFZTYlhSWFRWWndNRlZ0TVc5VWJGcFZWbXR3VjJKSFVYZFdha1pXWlZaT2NtRkhhRk5
pVjJoWVYxZDBhMVV3TlhOalJscFlZbGhTY1ZsclduZGxiR1J5VmxSR1ZXSlZjRWhaTUZKaFZqSktWVkZZYUZkV1JWcFlWV3BHYTFkWFRrZFRiV3hvV
FVoQ1dsWXhaRFJpTWtsM1RVaG9hbEpYYUhOVmJUVkRZekZhY1ZKcmRGTk5Wa3A2VjJ0U1ExWlhTbFpqUldoYVRVWndkbFpxUmtwbGJVWklZVVprYUd
FeGNHOVhXSEJIWkRGS2RGSnJhR2hTYXpWdlZGVm9RMlJzV25STldHUlZUVlpXTlZadE5VOVdiVXBJVld4c1dtSllUWGhXTUZwell6RmFkRkpzVWxOa
VNFSktWa1phVTFFeFduUlRhMlJxVWxad1YxWnRlRXRXTVZaSFVsUnNVVlZVTURrPQ=='''
key = key.encode()

for i in range(10):
    key = base64.b64decode(key)

print(key.decode())

得到一个网址
点进去是一篇文章，讲了出题者如何设置心理陷阱让解题人更难找到正确答案
事实上我写到这之后就已经无从下手了，在网上看了大佬的wp之后才知道如何接着往下做

实际上解题关键点在于byte_6CC0A0这个数组的交叉引用

进入这个引用处

102和103转换成char型分别是f和g，正好对应的是第一位和第四位字符，那是不是可以推断前四位数字是flag，我们带着这个推断来反推v5,v5虽然在定义上是一个unsigned int型，但是从函数体的内容来看它其实应该是一个长度为4的char型数组char v5[4]。于是不难写出脚本：

//python
key = 'flag'
byte = [0x40, 0x35, 0x20, 0x56, 0x5D, 0x18, 0x22, 0x45, 0x17,
        0x2F, 0x24, 0x6E, 0x62, 0x3C, 0x27, 0x54, 0x48, 0x6C,
        0x24, 0x6E, 0x72, 0x3C, 0x32, 0x45]
temp = []
for i in range(4):
    temp.append(byte[i] ^ ord(key[i]))

得到我们推测的v5值为{38, 89, 65, 49}
接着for循环里又是一个异或的操作，我们也跟着进行操作看看得到什么

key = 'flag'
byte = [0x40, 0x35, 0x20, 0x56, 0x5D, 0x18, 0x22, 0x45, 0x17,
        0x2F, 0x24, 0x6E, 0x62, 0x3C, 0x27, 0x54, 0x48, 0x6C,
        0x24, 0x6E, 0x72, 0x3C, 0x32, 0x45, 0x5B]
temp = []
flag= []
for i in range(4):
    temp.append(byte[i] ^ ord(key[i]))

for i in range(25):
    flag.append(chr(byte[i] ^ temp[i % 4]))
print(''.join(flag))

运行得到flag{Act1ve_Defen5e_Test}

总结

这道题脑洞挺大的，我觉得更多是考验做题经验，考察解题人的思维，按照常规思路可能根本想不到去找一段不知道在哪被调用的数据，只能说是做的题多了，自然也就有把握了。