攻防世界WP-reverse-getitcsaw2013reversing2

最新推荐文章于 2025-03-05 16:38:37 发布

原创最新推荐文章于 2025-03-05 16:38:37 发布 · 238 阅读

0 ·

CC 4.0 BY-SA版权

ctf 同时被 3 个专栏收录

19 篇文章

订阅专栏

reverse

17 篇文章

订阅专栏

ida

15 篇文章

订阅专栏

本文详细解析了通过逆向工程解决程序弹出乱码窗口的问题，从查壳、IDA伪代码分析到使用OD调试，逐步揭露隐藏的flag信息。通过对函数sub_40102A和sub_401000的研究，最终找到了关键的EDX值，成功揭示了flag。

打开之后弹乱码
在这里插入图片描述第一步还是查壳，没有。
第二步拖入IDA，直接看伪代码吧

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
  int v3; // ecx
  CHAR *lpMem; // [esp+8h] [ebp-Ch]
  HANDLE hHeap; // [esp+10h] [ebp-4h]

  hHeap = HeapCreate(0x40000u, 0, 0);
  lpMem = (CHAR *)HeapAlloc(hHeap, 8u, MaxCount + 1);
  memcpy_s(lpMem, MaxCount, &unk_409B10, MaxCount);
  if ( sub_40102A() || IsDebuggerPresent() )
  {
    __debugbreak();
    sub_401000(v3 + 4, lpMem);
    ExitProcess(0xFFFFFFFF);
  }
  MessageBoxA(0, lpMem + 1, "Flag", 2u);
  HeapFree(hHeap, 0, lpMem);
  HeapDestroy(hHeap);
  ExitProcess(0);
}

最开始看到了IsDebuggerPresent，我以为要跳过这个检测，所以没有管它。注意到memcpy_s(lpMem, MaxCount, &unk_409B10, MaxCount);，然后看看&unk_409B10，结果发现这个就是乱码。
然后点开sub_40102A，发现这个函数永远return 0，if判断永远不成立，推测if里面的这个函数sub_401000，很有可能出flag，我们看看这个函数。

unsigned int __fastcall sub_401000(int a1, int a2)
{
  int v2; // esi
  unsigned int v3; // eax
  unsigned int v4; // ecx
  unsigned int result; // eax

  v2 = dword_409B38;
  v3 = a2 + 1 + strlen((const char *)(a2 + 1)) + 1;
  v4 = 0;
  result = ((v3 - (a2 + 2)) >> 2) + 1;
  if ( result )
  {
    do
      *(_DWORD *)(a2 + 4 * v4++) ^= v2;
    while ( v4 < result );
  }
  return result;
}

但是我搞不清楚a1的值，也就是外面v3的值为多少，所以用OD直接跑一跑。
我们首先在IDA中rebase program，方便查看。在OD里面查看e模块，得到基址，然后在IDA中修改。
我们先在OD里面找这个if在哪
在这里插入图片描述可以看到在1221096附近，我们ctrl+g在OD中跳转。
在上方JNZ处下一个断点，让程序跑到这。je会跳转，但是我们想要运行下面的函数，所以不让它跳。int3也要nop掉，不然程序会中断。
然后我们进入关键的函数
在这里插入图片描述
在retn上面下一个断点。直接运行，查看EDX中的值
可知flag。