buuctf-re Youngter-drive 题解

于 2024-12-07 01:12:40 发布
阅读量456 收藏 4
点赞数 5
分类专栏： reverse ctf 文章标签： c++ 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_75137273/article/details/144279154
版权

upx壳，32位exe文件

工具脱壳后拖入ida反编译，发现很多不认识的api函数，具体作用不讲了，可以自己去查

第一个函数，确定Source为flag

将source复制到Destination,之后可以对Destination进行加密，并且与密文比较以确定flag是否正确

新建两个线程，一个线程startAddress指向startAddr

最低0.47元/天 解锁文章
buuctf Youngter-drive
weixin_45701079的博客
10-31 2800
buuctf Youngter-drive 拿到题目，查壳(upx),首先脱壳，(不会脱壳自行百度,很多教程),脱壳之后是不能运行的，好像是因为文件重定向，但是不影响ida静态分析，ida打开 分析，多线程，最近刚好在学多线程，第一个线程h0bject会执行StartAddress函数，第二个线程v2执行sub_41119f函数,然后挨个分析打开StartAddress函数 会出现这种情况，原因是堆栈不平衡利用ida调堆栈就好， 在红色部分用alt+k，打开![在这里插入图片描述] 把原来的0x-4改成
buu Reverse学习记录(25) Youngter-drive
EMsheep的博客
03-14 385
题目链接：https://buuoj.cn/challenges#Youngter-drive
BUUCTF Youngter-drive
zgwz123456的博客
06-21 407
首先查壳发现是upx壳，直接上工具脱壳 upx -d E:\桌面\7289daa8-a5d5-430e-87a0-92ce805d8f15\Youngter-drive.exe 打开是这样的程序 拉入IDA进行分析 找到主函数，发现创建了两个线程，一个StartAddress，一个sub_41119F，进去看看 这里是对我们的flag进行操作，主要函数是sub_41112C 会出现这种情况，原因是堆栈不平衡利用ida调堆栈就好 找到411A04处，在pop ebp上按alt+k 将0x4改为.
BUUCTF-Youngter-drive
weixin_50783572的博客
10-25 264
BUUCTF reverse Youngter-drive 用Exeinfo打开发现加了upx壳 用upxshell脱壳后用IDA32打开 找到主函数 sub_4110FF函数控制输入了Source的值 打开StartAddress函数 发现sub_41112C函数，进入查看 是将输入的字符中的大小写字母从下面这个字符串中进行替换 这里我犯了错误，没有继续看main后面的函数，以为每一个都要替换 回去看main函数，发现在sub_41119F函数中也对dword_418008的值进行了减一操作，
BUUCTF_Youngter-drive
weixin_46009088的博客
10-30 1715
BUUCTF_Youngter-drive 学到一些多线程和IDA平衡堆栈的知识！同样也是尽量写的详细！ 解压后拖进IDA，发现UPX的壳，如图： 用upx -d 把它给脱壳了，如图： 接下来就可以用IDA载入了，如图： 找到main_0函数就可以用F5大法了 一个函数一个函数来看，先看到sub_4110FF，点进去看看： 没啥东西，往下看，CreateThread创建了两个线程，MSDN文档1如下： 点进StartAddress查看线程，如图： 发现一个函数，点进去看，如图： 但是弹出了下面的错误.
buu Youngter-drive
YenKoc的博客
04-03 528
一.查壳，发现是upx的壳，用自解压方式，脱下壳 二.之后发现打不开了，应该是要修复，不想修复了，直接拖入ida 找到关键函数，中间发生一点小插曲，发现堆栈不平衡，然后导致F5反编译失败，百度了下是ALT+k快捷键来修改栈顶指针，维持栈顶平衡，修改之后发现可以反编译了 发现是创建进程，再进入 这块发现是加密，而且外面还创建了一个进程，说明是一次不加，一次加，这种循环来加密的。 然后看看，输出...
BUUCTF RE Youngter-drive by YuSec
YuSec
08-12 371
Youngter-drive Start 打开发现加了个UPX壳 想手脱，发现 好吧，直接脱壳机脱吧，脱完重新载入IDA 搜索字符串，将flag放在Source中，后面就没了 看看谁用了Source 发现四处引用的地方，除了当前的，还有三处 看到sub_411880 对Source和off_418004常量字符串进行比较，这里应该就是最终加密后进行比较的 看到StartAddress_0 发现调用了sub_41112C进行处理Source 这里有个细节需要注意，dword_418008是临界资源
Youngter-drive
weixin_52034946的博客
01-25 808
有壳,upx的,先脱壳,教程自己上网搜 从main函数开始 创造俩个进程,StartAddress和sub_41119F StartAddress 里面含有一个加密处理和一个减一 看加密函数,在进 sub_411940 时会有一个报错,我这边用的IDA7.5,提示错误了,但是还是可以看到伪代码 加密函数就是大写字母-38,小写字母-96, 是off_418000 减d的. off_418000:QWERTYUIOPASDFGHJKLZXCVBNMqwertyuiopasd 下一个线程里面只有减一 最后一
re题(10)BUUCTF-re Youngter-drive
2301_80907001的博客
05-05 437
虽然得出flag，但是把flag输入题目中是错误的，检查一下发现flag是有30位的，最后一位没进行比较，我们要得到最后一位，唯一的办法就是把字母一个一个代到答案中试一下，发现最后一个字符是E。另一个线程啥也没干，只有dw自减1，根据两个线程我们直到第奇数个字符不变，第偶数个字符进行第一个线程的操作。发现这是一个双线程的，进入sub_41112c看一下。进入sub_411190（）函数，分析一下，拖到ida，F5反汇编，分析一下。按x看一下flag的交叉引用。先查一下壳，是upx壳。进入另一个线程看一下。
buu-Reserve：Youngter-drive
Asteri5m
03-23 357
buu-Reserve ：Youngter-drive 平时也经常在buu练题，练到后面收获越发的多。便想着记录下来。 0x00 初步分析 尝试运行的时候发现不可以，好吧，直接查壳： 0x01 查壳脱壳 简单的upx壳，但是由于也不能运行，直接自动脱壳吧： 脱完壳还是不能运行，估计是需要修复，懒人直接上IDA，shift+F12可以看到关键字符： 0x02 代码分析 直接转过去试试能不能反编译，直接进入查看伪代码。那就直接分析它的算法吧： 可以看到我们的输入保存在Source字符串里面；返回上一
buu:Youngter-drive
weixin_60553183的博客
12-30 1516
查壳发现有壳，UPX脱壳放IDA进入MAIN函数 学到新的知识点，多线程。CreateThread是创造一个线程，CloseHandle是关闭该线程。 先点进第一个线程的第一个函数 发现打不开，放百度。 这里又是一个新的知识点：堆栈不平衡。这里需要修改栈顶。 这里勾选Stack pointer再去汇编指令那里，就会发现有标红，在对应的地址那里按ALT+K进行修改后。即可打开函数 这里就很简单了小写改大写。 ...
BUUCTF--Youngter-drive
Hk_Mayfly的博客
03-26 949
测试文件：https://www.lanzous.com/ianojbc 如果运行程序提示缺少msvcr100d.dll文件，将此dll文件放程序的同一目录。（https://www.lanzous.com/iap3v6f） 准备 获取信息 32位文件 存在upx壳 代码分析 upx脱壳之后，打开主函数代码 int __thiscall main_0(void *thi...
buu-Youngter-drive
qq_53087690的博客
05-02 244
差壳 脱壳 IDA打开，找到main函数 值得注意的是这个CreateMutexW函数 进程在执行过程中可能创建多个新的进程。创建进程称为父进程，而新的进程称为子进程。每个新进程可以再创建其他进程，从而形成进程树。 详细可以看进程的创建和终止 这里创建了两个进程 第一个线程h0bject会执行StartAddress函数，第二个线程v2执行sub_41119f函数 然后挨个分析打开StartAddress函数 加密函数：这是将字符串进行了替换，当字符是大写字母时，替换为off_418000处-38，
buuctf-Youngter-drive
liuzejie1的博客
07-07 260
无
buuctf---＞Youngter-drive
最新发布
shdbehdvd的博客
10-02 569
关键是 提高对win32 API的重视程度，如果 不知道 createMutexW互斥 那想都别想做。Youngter-drive - PYozo_free - 博客园 (cnblogs.com)”Source“很眼熟，在字符判断时也出现过，猜测是input。脚本：不会，不想动脑筋(思路清晰，不想写。因为这题运行不起来，调试不起来，会报错，只能纯分析。看见的一瞬间就知道，是某种表以及某种加密。所以，我先看的字符串：>>>信息收集。跟踪sub_411940就好。所以，此时可以综合所有已知的。
bnnctf-re-Youngter-drive
qq_44625297的博客
03-19 300
这里是引用 拿到exe先查壳。 发现UPX壳，直接软件脱壳。 脱完壳将32位exe拉进IDA。F5一下。 先进入sub_4110FF（）函数查看。 这里是输入flag。 再去查看sub_411190函数 这里是将输入的Source与一个数组进行比较，配对成功就输出flag。 这个程序是输入一个flag。经过两个线程进行加密，再进行比较，若相同则成功。 所以重点是这两个线程。 进入第一...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值