攻防世界逆向高手题之BabyXor

攻防世界逆向高手题之BabyXor

继续开启全栈梦想之逆向之旅~
这题是攻防世界逆向高手题的BabyXor

.
.
下载附件，照例扔入exeinfope中查看信息，结果是不知名的壳，还叫我用DIE查看，结果也没分析出来：


.
.
.
(这里积累第一个经验)
那没办法只能手动脱壳了，回顾以前的crackme题中积累的ESP脱壳定律，在这里也同样可以借鉴一二：

https://blog.youkuaiyun.com/xiao__1bai/article/details/120230397

.
.
就是这里的pop和jmp代替retn，载入OD中我们可以发现开头处有相似的入栈出栈操作，只不过没有调用壳层函数，而是直接用代码解压缩而已：

.
.
断点执行到jmp处右键分析代码然后点击插件处的脱壳即可，最后按照以前的教程用importRCE修复导入表，虽然还是运行不了~


.
.
不管了，照例扔入IDA32中查看伪代码信息，有Main函数看main函数：

.
.
.
(这里积累第二个经验)
一开始这全都是自定义函数的操作属实把我吓倒了，唉~ 总归还是底气不足啊，应该耐性下来一个个分析才对，不会太难的。

首先红框中的_filbuf(&File);在博客https://www.cnblogs.com/volcanol/archive/2011/06/09/2076907.html中有很好的诠释。

提取一下就是getc()的一个实现，就是读取输入。
.
getc() 在VC 6.0中有两个get()的定义， 一个是宏，一个是函数
.
宏的定义如下：
#define getc(_stream) (–(_stream)->_cnt >= 0 ? 0xff & *(_stream)->_ptr++ : _filbuf(_stream))
.
函数定义如下：
_CRTIMP int __cdecl getc(FILE *);

.
.
前面是读取输入的，那么关键就在后面了，耐心一点一个个点进去分析一下。第一个自定义函数sub_40108C是简单的移位和异或操作，赋值给v3[i]


.
.
第二个函数sub_401041还是移位和异或操作，赋值给Buffer[i]


.
.
第三个函数sub_4010C3还是简单的移位、异或、拼接操作，最终赋值给destination


.
.
看最后一个函数sub_40101E，内部还有个sub_4010A5函数，也双击跟踪看一下，发现是简单的计算长度strlen操作，那么这个函数就是把前面生成的字符串都拼接在一起的操作。




.
.
很耐性的分析完了，好像和输入没有什么关系，那么应该是和输入无关的存储型flag类型了，先静态写代码生成。

打印所有用于操作的数组：

addr=0x435dc0
list1=[]
for i in range(14):
    list1.append(Dword(addr+4*i))
print(list1)
addr2=0x435df8
list2=[]
for i in range(14):
    list2.append(Dword(addr2+4*i))
print(list2)
addr3=0x435e30
list3=[]
for i in range(14):
    list3.append(Dword(addr3+4*i))
print(list3)

.
.
然后仿照逻辑写脚本：

key1=[102, 109, 99, 100, 127, 55, 53, 48, 48, 107, 58, 60, 59, 32]
flag1=""
for i in range(14):
	flag1+=chr(i^key1[i])
#print(flag1)

key2=[55, 111, 56, 98, 54, 124, 55, 51, 52, 118, 51, 98, 100, 122]
flag2=""
flag2+=chr(key2[0])	#!!!!!!wocao
for i in range(1,14,1):
	flag2+=chr(key1[i]^key2[i]^key1[i-1])
#print(flag2)

key3=[26, 0, 0, 81, 5, 17, 84, 86, 85, 89, 29, 9, 93, 18]
flag4=""
for i in range(13):
	flag4+=chr(i^key3[i+1]^ord(flag2[i]))			#前面flag2错了，所以这里也错了！！！！

flag3=""
flag3=chr(key2[0]^key3[0])

print(flag1+flag2+flag3+flag4)

.
.
（这里积累第三个经验）
写脚本中遇到一个坑就是flag2的sub_401041函数那里，Buffer[0]被赋了初始值啊，忽略的话对后面修改很大:

.
.
结果：

.
.
.
第二个方法，动态调试，在最后一个函数0x401712处下断点看寄存器即可：


.
.
.
总结：

1：
(这里积累第一个经验)
那没办法只能手动脱壳了，回顾以前的crackme题中积累的ESP脱壳定律，在这里也同样可以借鉴一二：
.
https://blog.youkuaiyun.com/xiao__1bai/article/details/120230397

.
就是这里的pop和jmp代替retn，载入OD中我们可以发现开头处有相似的入栈出栈操作，只不过没有调用壳层函数，而是直接用代码解压缩而已：

2：
(这里积累第二个经验)
一开始这全都是自定义函数的操作属实把我吓倒了，唉~ 总归还是底气不足啊，应该耐性下来一个个分析才对，不会太难的。
.
首先红框中的_filbuf(&File);在博客https://www.cnblogs.com/volcanol/archive/2011/06/09/2076907.html中有很好的诠释。

提取一下就是getc()的一个实现，就是读取输入。
.
getc() 在VC 6.0中有两个get()的定义， 一个是宏，一个是函数
. 宏的定义如下：
#define getc(_stream) (–(_stream)->_cnt >= 0 ? 0xff & *(_stream)->_ptr++ : _filbuf(_stream)) . 函数定义如下： _CRTIMP int __cdecl getc(FILE *);

前面是读取输入的，那么关键就在后面了，耐心一点一个个点进去分析一下。第一个自定义函数sub_40108C是简单的移位和异或操作，赋值给v3[i]
.
.
第二个函数sub_401041还是移位和异或操作，赋值给Buffer[i]
.
.
第三个函数sub_4010C3还是简单的移位、异或、拼接操作，最终赋值给destination
.
.
看最后一个函数sub_40101E，内部还有个sub_4010A5函数，也双击跟踪看一下，发现是简单的计算长度strlen操作，那么这个函数就是把前面生成的字符串都拼接在一起的操作。

3：
（这里积累第三个经验）
写脚本中遇到一个坑就是flag2的sub_401041函数那里，Buffer[0]被赋了初始值啊，忽略的话对后面修改很大:

解毕！敬礼！