沐一 · 林 的博客

2022 年 5 月广东省省赛 simple_re程序梳理：程序将关键函数以对象元素的形式存在对象里，然后在申请内存中搭配指针间接调用。sub_140002110 有反调试，主要是 IsDebuggerPresent 和获取 ThreadContext 并检测是否有硬件断点。加密流程为先打乱每个字节的比特顺序，其实就是把比特串倒过来；然后利用打乱比特顺序的前 4 字节输入 SMC 解密一段代码，并开一个线程检测 SMC 解密后的代码段是否有 0xcc，有的话说明前 4 字节输入错误；之后调用上述代码段

2022 年网刃杯 ez_algorithm下载附件：..照例扔入 exeinfope 中查看信息，64 位无壳：..照例运行一下，查看主要回显信息：..照例扔入 IDA64 中查看伪代码，有 main 函数看 main 函数：..进入到 encryption2 和 嵌在里面的 encryption3 分析可知它们两个是加密解密同一函数的：..然后，嗯~代码比较长，我曾一度想在脑子中梳理逆向逻辑，结果梳乱了，所以还是写在纸上了，写完之后再写脚本思路就很清晰：

2022 年 5 月广东省省赛 pyre..以前做过 pyc 逆向，直接的 python exe 逆向还是第一次：第一种方法：用 pyinstxtractor.py 将 exe 文件转换成 pyc 文件。..用 PyInstaller 打包后，pyc 文件的前 8 个字节会被抹掉，所以最后要自己添加回去。前四个字节为 python 编译的版本，后四个字节为时间戳。想要获得编译版本可以查看打包文件里 struct 的信息，我这里还是提取出 struct 这个文件，有 struct 作为对

2022 *CTF REVERSE的Nacl下载附件：..照例扔入 exeinfope 中查看信息：..照例扔入虚拟机中运行一下，查看主要回显信息：..照例扔入 IDA64 中查看伪代码，没有 main 函数，根据关键字符串交叉引用定位到函数 sub_8001774 处：..因为是当时我不会做，所以赛后我尽力梳理逻辑，我的做法就是每一条指令都尽力理解它的作用，所以基本每条都有注释。...然后。。。。我误解了别人的博客，或者说是大佬们写的实在是太简略了啊！！

2022HGAME中REVERSE的creakme2下载附件：..照例扔入 exeinfope 中查看信息：..照例扔入 IDA64 中查看伪代码，有 main 函数看 main 函数：..F5 未生成的异常与回调函数处理：但是常规的 XTEA 解密算法并不对，一开始怀疑题目错了，果然还是自己太菜了，出人意料的结果都是表明中间存在未分析的操作啊！（这里是除 0 异常和异常处理回调函数，虽然不知道那里限定了 loc_140001141 就是回调函数）..修改一下 XT

2022年4月网刃杯freestyle：照例扔入 exeinfope 中查看信息：..64 位 ELF 文件，照例扔入虚拟机中运行一下，查看主要回显信息：..照例扔入 IDA64 中查看伪代码，有 main 函数看 main 函数：..最终 flag 就是 3327105 的 md5 值：比较有意思的是一开始我这样提交时并不对，搞到我以为是其它数，乱想了很久，但是后来又对了，浪费了太多时间，得吐槽一下。flag{31a364d51abd0c8304106c16779d83

2022 *CTF REVERSE的Simple File System..下载附件，有四个文件：..照例扔入虚拟机中运行一下，查看主要回显信息：..照例扔入 IDA64 中查看伪代码，有 main 函数看 main 函数：..那么流程就是从 flag 文件中取出 flag -----> plantflag 命令加密存入磁盘节点中。关键就是存入磁盘节点中也是写入磁盘文件中啊，而出题者取出的 flag 是完整的 flag 啊，所以磁盘中一开始里面就有加密后

2022年HGAME中REVERSE的fake shell下载附件：..照例扔入 exeinfope 中查看信息：..照例扔入虚拟机中运行一下，查看主要回显信息：结合题目暗示可以看出这的确是一个假的 shell，只是简单的 if 命令分情况执行而已。..照例扔入 IDA64 中查看伪代码，有 main 函数看 main 函数：..跟踪前面说得 RC4 加密函数：（特征是 256 字节数组）..那直接下断点把要比较的密文提取出来加密即可，但是发现用密钥 "h

2022年HGAME中REVERSE的upx magic 0下载附件：..照例扔入 exeinfope 中查看信息：..照例扔入虚拟机中运行一下，查看主要回显信息：..照例扔入 IDA64 中查看伪代码，有 main 函数

2022年HGAME中REVERSE的猫头鹰选择在白天走迷宫下载附件：..照例扔入 exeinfope 中查看信息：..先运行一下看主要回显信息：..64 位无壳，照例扔入 IDA64 中查看伪代码，有 main 函数看 main 函数：..把 byte_404020 数组内容提取出来整理成 64*64 矩阵即可：（下面是学到的整理代码）map=[0x20,0x20,0x23,0x23,0x23,0x23,0x23,0x23,0x23,0x23,0x23,0x23,0x

2022年HGAME中REVERSE的creakme下载附件，照例扔入 exeinfope 中查看信息：..32 位无壳，照例扔入 IDA 32中查看信息，有 main 函数看main 函数：..那么直接给出解密脚本：#include <stdio.h>#include <stdint.h> void decrypt (uint32_t* v, uint32_t* k) { uint32_t v0=v[0], v1=v[1], sum=11835

2022年HGAME中REVERSE的猫头鹰是不是猫..下载附件，照例扔入 exeinfope 中查看信息：..64 位无壳，ELF 文件，照例扔入虚拟机中运行一下，查看具体回显信息：..照例扔入 IDA64 中查看伪代码，有 main 函数看 main 函数：..所以就是用户输入经过与两个除 10 后的 64*64 矩阵相乘后与预定义值比较的程序。首先得回顾处矩阵乘法，是一行乘以一列来得出一个数，乘以全部列才得出一行数。..知道这些后先下断点拿出两个除 10 后的

2022年HGAME中REVERSE的Flag Checker照例下载附件：..APK 文件，运行不了，照例扔入 JEB 中查看代码：..既然是 RC4 加密，那么直接搬上解密代码，结果发现解码错误：..那就修改编码为 Unicode-escape 编码，正确代码如下：（相关编码细节可以查看另一篇博客）# -*- coding: utf-8 -*-import base64def get_message(): print("输入你的信息： ") s=input() r

[FlareOn1]Shellolololol..下载附件，照例扔入 exeinfope 中查看信息：..32 位无壳，照例运行一下查看主要回显字符串：..一开始我以为这是一个弹框程序，后来才发现这是我自己电脑的异常处理，而且还创建了一个什么文件，因为我的火绒拦截了，但是这个被拦截的文件也没啥子用。..照例先扔入 IDA32 中查看伪代码，没有 main 函数：..然后就懵了，跟踪不进，断下不了：..既然是动调的话还是 OD 比较好，用 OD F7单步跟进

[HDCTF2019]Maze..照例下载附件，扔入 exeinfope 中查看信息：..32 位 UPX 壳，照例脱壳，这次用 UpxUnpacker：..按流程来，常规运行一下看一下主要回显函数：..照例扔入 IDA32 中分析伪代码，有 main 函数看 main 函数：..这道题坑比较多，第一个就是你硬拼凑数5和-4都给你过：..第二个就是 string 窗口看到的迷宫和双击跟踪看到的迷宫是不一样的，导致我一开始没法排序，真的离谱！！！..然

[SUCTF2019]REVERSE的hardcpp..下载附件，照例扔入 exeinfope 中查看信息：..64 位 ELF 文件，无壳，照例运行一下查看主要回显信息：..照例扔入 IDA64 中查看信息，有 main 函数看 main 函数：..上面的变量名是被我注释过的，现在看一下那些有冗余代码运算函数的分析过程：（看到函数内有一堆大数基本都是冗余代码了）..所以一个 while 循环的逻辑就是：enc=((pre_single_flag%7)+

[De1CTF2019]REVERSE的Re_Sign..照例下载附件，扔到 exeinfope 中查看信息：..提示 UPX 壳，但是好像无法使用 UPX -D 来脱壳：..那么先尝试一下手动脱壳，扔入 OD 中，利用 ESP 脱壳定律：..然后嘛~脱壳后导入表乱了，用 ImportREC 修复也修复不了，(我曾想着自己修复，但还是太年轻了 ~ ^ ~)：然后经友人推荐使用了 UpxUnpacker.exe ，直接脱壳且能运行！不得不说这个几百KB的工具真的专业，希

2018年九月份安恒杯月赛之NewDriver这题是复现的，用于研究 RC4 加密，首先拿到附件：..照例扔入 exeinfope 中查看信息：..32 位无壳，照例扔入 IDA32 中查看信息，有 main 函数看 main 函数：（这次就用老版7.0 IDA 来分析算了）..分析第一个自定义函数：..分析第二个自定义函数：..分析第三个自定义函数：..所以总的流程是，用户输入------>base64加密------>RC4数据初

2022年 HSC-1th中REVERSE的WAY下载附件，照例扔入exeinfope中查看信息：..可以看到有upx壳，用万能脱壳工具脱壳：..扔入32位IDA中查看逻辑：..常规的 5*5 迷宫题，直接手动走迷宫，小写sdsddwd后MD5加密即可：..解毕！敬礼！...

2022年 HSC-1th中REVERSE的ANDROID下载附件，是APK逆向，用雷电模拟器打开查看主要内容：..直接写解密脚本即可：secret=[102, 13, 99, 28, 0x7F, 55, 99, 19, 109, 1, 0x79, 58, 83, 30, 0x4F, 0, 0x40, 42]flag=[]for i in range(17): if i%2==0: flag.append(secret[i]^i) else: flag.append(0)fo

2022年 HSC-1th中REVERSE的hiahia o(▽)┛下载附件，是个 exe 文件，照例扔入 exeinfope 中查看信息：..64 位无壳，照例用 IDA64 打开，定位 main 函数：..简单的加减加密，直接逆向逻辑得到 flag：scret=list("igdb~Mumu@p&>%;%<$<p")for i in range(20): if i > 9: if i&1==0: a[i]=chr(ord(a[i

第二届BMZCTF公开赛REVERSE的bmzre..下载附件后照例扔入 exeinfope 中查看信息：..32 为无壳，照例扔入 IDA 中查看伪代码，有 main 函数看 main 函数：..单个流程就是上面这样操作了，可是堆栈不平衡的地方不止一个，那就用脚本批量操作：该花指令的特征就是 call xxxx push 12h add esp 4，符合这个流程的就是要填充的代码区了。def nop(addr,next): while addr<next:

看雪题库REVERSE的马到成功继续开启全栈梦想之逆向之旅~这题是看雪题库REVERSE的马到成功.今天复毛概，比较枯燥，看见看雪搞了个CTF题库就注册玩一下，简单写一道题。..照例下载附件，是个APK文件，照例JEB打开查主main函数：..然后就提交成功了。。。。算了，继续复习去了...解毕！敬礼！...

攻防世界逆向高手题之2ex继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的2ex.这题和2ex1不能说完全一样，只能说一模一样，参考对应博客：https://blog.youkuaiyun.com/xiao__1bai/article/details/122372452...解毕！敬礼！...

攻防世界逆向高手题之2ex1继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的2ex1照例下载附件，解压后是两个文件：..由于两个文件类型的题目做得比较少，所以联想到2021年11月深育杯REVERSE的press，.out文件应该是密文写入的文件：..照例把mx程序扔入exeinfope中查看信息：..由于一开始只注意到ELF程序，所以照例在linux中运行看一下主要回显信息：..运行错误？好吧，从别人博客中学到了用 file 命令查看文件类型，效果等同 exe

第二届BMZCTF公开赛REVERSE的checkin照例下载压缩包附件，解压后是一个单独的exe程序：..照例扔入exeinfope中查看信息：..32位windows程序，无壳，照例运行一下查看主要回显信息：..首先讲一下正确的流程：前面的LPL自定义函数后已经限定了v8要和v9相等才能接着运行。也就是说v8的值必定等于v9，所以LPL函数就不用管了。直接来看后面的LCK函数即可：..所以可以直接仿写逻辑写解题脚本：这里要注意的是题目的putchar函数，输出的

攻防世界逆向高手题之mfc逆向-200继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的mfc逆向-200MFC类型的题目基本没接触过，现阶段也不想入门MFC语法，所以只能大量搜寻资料学个大概了。..照例下载附件，扔入exeinfope中查看信息：..照例运行一下查看主要回显信息：首先第一步看暗示，题目提示是MFC程序，这首先就是一个暗示，然后这里说Flag在控件里，这也是一个暗示。..在这之前我们先了解一下怎么用工具获取MFC程序的控件：（总不能为了做题而做题吧）以下

攻防世界逆向高手题之The_Maya_Society继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的The_Maya_Society现在做题应该一步步按照自己笔记积累的流程来了，只有一层层分析才不会感到迷惑，才感觉有迹可循。...第一步分析题目，题目The_Maya_Society看上去就是有含义的类型，玛雅社会，大家熟知的玛雅文明可能就有当年的2012年12月21日的世界末日预警了，先留在这里，后面再看。.照例下载附件，解压，是一个src文件夹：..就剩下launche

攻防世界逆向高手题之What-does-this-button-do继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的What-does-this-button-do照例下载附件，解压，是一个rev200的文件，没有后缀，照例扔入exeinfope中查看主要信息：显示是zip文件，那压缩软件打开解压一下看看：确定是android文件后，把原来没有后缀的文件加个apk后缀运行一下：照例JEB打开该APK文件分析一下源代码：python逻辑仿写代码：=[102, 108, 97

攻防世界逆向高手题之APK-逆向2继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的APK-逆向2照例下载附件，这次竟然是个exe文件：直接运行看一下主要回显信息，connecting了一会直接就退出了，根据经验可以判断是与本地环境相关：照例放入exeinfope中查看文件类型：NET类型以前做过，要用ILSPY或dnSPY分析，ILSPY用来静态分析代码最好了，它的函数名虽然可能乱码不显示，但是单击函数名还是能跟踪的。而dnSPY用于动态调试的，它的函数名不仅乱码不显示，点击后还无

攻防世界逆向高手题之android-app-100继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的android-app-100由于这道题是android，可以说是我第一次真正面对安卓逆向，所以我卡在这里相当长的时间，把菜鸟教程的JAVA教程学过一遍后才来重新看这道题。当然，入门安卓逆向要学的东西还很多，只能一步一个脚印走下去了。...照例下载APK附件：我用的是雷电模拟器，不过你用什么其实都差不多：运行一下查看大致回显内容：JEB打开并定位分析代码：现在我们跟踪一下对

2021年11月深育杯REVERSE的press下载附件，是两个文件：.猜想是题目类型是与本地文件相关的操作类型，照例扔入exeinfope中查看信息：.然后两个文件可以简单猜想一下press程序应该是输出了一些信息到out文件中，在linux下照例运行一下press程序看一下回显：..那么这个程序没有输入，根据经验这种类型的题目通常直接利用程序外部的一些东西来作为条件继续执行的，如本地环境，文件读取等。所以照例扔入IDA查看伪代码，有main函数看main函数：..知道大

攻防世界逆向高手题之re5-packed-movement继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的re5-packed-movement下载附件，照例扔入exeinfope中查看信息：32位的UPX壳，直接扔入Kali中脱壳处理先：照例先运行一下程序，看一下主要的回显信息：照例扔入32位IDA中查看伪代码信息，有main函数看main函数，结果没有Main函数：...现在冷静分析一下，关键代码都在main函数中，但是都是Mov指令，这应该是经过某种处理的好像

攻防世界逆向高手题之tar-tar-binks继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的tar-tar-binks照例下载附件，结果有两个附件，一个压缩包，一个常规文件。压缩包在windows下直接解压竟然还是报错的，kali上则可以解压出一个flag.txt文件：..照例把文件扔入exeinfope中查看信息，结果发现是mac的64位动态链接库文件。照例扔入64位IDA中查看伪代码信息，因为是动态链接库文件，所以没有main函数，那要想找到关键函数就需要一些关键信息

攻防世界逆向高手题之echo-server继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的handcrafted-pyc..下载附件，照例扔入exeinfope中查看信息：..32位ELF文件无壳，照例运行下一程序，查看主要回显信息。但是如上图一样，我的是Kali，所以有报错libcrypto.so.1.0.0缺失，但是我没有ubuntu，所以我只能结合别人的资料静态直接分析了：..照例扔入32位IDA中分析伪代码，有main函数看main函数：因为前面修改后调

2021年9月广州羊城杯，REVERSE的RE-DeltX下载附件，照例扔入exeinfope中查看信息：64位无壳，照例扔入IDA64中查看信息，有main函数看main函数，先附上完整的代码再慢慢分析：int __cdecl main(int argc, const char **argv, const char **envp){ __int64 v3; // rdx __int64 v4; // r8 int v5; // edi __int64 v6; // rdx i

2021年10月广东强网杯，REVERSE的simplere下载附件，照例扔入exeinfope中查看信息：..64位ELF文件，无壳，照例先运行一下程序，查看主要回显信息：..照例扔入IDA中查看伪代码信息，有main函数看main函数：..（这里积累第一个经验）上图分析了前半部分，现在跟踪那个关键自定义函数v10 = sub_401192(v5);这是对前15个字符进行操作，手扒得到ssddddwddddssas..然后上半部分条件就过了，开始分析后半部分：..

攻防世界逆向高手题之easyCpp继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的easyCpp..下载附件，解压缩包，照例扔入exeinfope中查看信息：..64位ELF文件，无壳，照例运行一下程序，看看主要回显信息：..一开始啥也没有，就一直乱输入，然后弹出个you failed字符串，信息够了。照例扔入IDA64中查看伪代码，有main函数看main函数：（这里我一开始分析时注释了一些代码，这并不影响）..一开始大致浏览了一下，发现很多的STL（标准模板库）

攻防世界逆向高手题之handcrafted-pyc继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的handcrafted-pyc..下载附件，照例扔入exeinfope中查看信息：..额，这里写着py脚本文件，但是因为我下载的附件没有后缀名，以为是编译好的pyc文件，于是用https://tool.lu/pyc/在线反编译来反编译文件。编译的结果一言难尽，我以为是出题人和 https://tool.lu/pyc/串通好了，结果发现是我错了：...

攻防世界逆向高手题之BabyXor继续开启全栈梦想之逆向之旅~这题是攻防世界逆向高手题的BabyXor..下载附件，照例扔入exeinfope中查看信息，结果是不知名的壳，还叫我用DIE查看，结果也没分析出来：...(这里积累第一个经验)那没办法只能手动脱壳了，回顾以前的crackme题中积累的ESP脱壳定律，在这里也同样可以借鉴一二：https://blog.youkuaiyun.com/xiao__1bai/article/details/120230397..就是这里的po