攻防世界reverse练习区WP

2022-04-19 2022-04-19 约 1478 字预计阅读 3 分钟

注意

本文最后更新于 2022-04-19，文中内容可能已过时。

0x00. simple-unpack

使用exeinfope脱壳，拖进IDA shift+F12搜索字符串。

0x01. logmein

反编译得到如下代码：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
void __fastcall __noreturn main(int a1, char **a2, char **a3)
{
  size_t v3; // rsi
  int i; // [rsp+3Ch] [rbp-54h]
  char s[36]; // [rsp+40h] [rbp-50h] BYREF
  int v6; // [rsp+64h] [rbp-2Ch]
  __int64 v7; // [rsp+68h] [rbp-28h]
  char v8[28]; // [rsp+70h] [rbp-20h] BYREF
  int v9; // [rsp+8Ch] [rbp-4h]

  v9 = 0;
  strcpy(v8, ":\"AL_RT^L*.?+6/46");
  v7 = 0x65626D61726168LL;
  v6 = 7;
  printf("Welcome to the RC3 secure password guesser.\n");
  printf("To continue, you must enter the correct password.\n");
  printf("Enter your guess: ");
  __isoc99_scanf();
  v3 = strlen(s);
  if ( v3 < strlen(v8) )
    sub_4007C0();
  for ( i = 0; i < strlen(s); ++i )
  {
    if ( i >= strlen(v8) )
      sub_4007C0();
    if ( s[i] != (char)(*((_BYTE *)&v7 + i % v6) ^ v8[i]) )
      sub_4007C0();
  }
  sub_4007F0();
}

可以看出，flag就是v7，v6，v8经过一定规则生成的字符串，提取出生成flag的逻辑，写成脚本如下：

1
2
3
4
5
6
v8=":\"AL_RT^L*.?+6/46"
v7 = 'ebmarah'[::-1]
s=''
for i in range(len(v8)):
    s+=chr(ord(v7[i%7])^ord(v8[i]))
print(s)

0x02. insanity

直接拖进IDA，查找字符串。

0x03. python-trade

反编译之后发现有个encode函数，根据函数的逻辑规则写出decode函数如下：

1
2
3
4
5
6
7
8
import base64
buf = base64.b64decode('XlNkVmtUI1MgXWBZXCFeKY+AaXNt')
flag = ''
for i in buf:
    i -= 16
    i ^= 32
    flag += chr(i)
print(flag)

0x04. re1

又一个直接查找字符串就能找到flag的题。

0x05. game

打开是个游戏，游戏通关拿到flag（草）

0x06. Hello, CTF

反编译获得如下代码：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
int __cdecl main(int argc, const char **argv, const char **envp)
{
  int i; // ebx
  char v4; // al
  int result; // eax
  char Buffer[2]; // [esp+12h] [ebp-5Eh] BYREF
  char v7[20]; // [esp+14h] [ebp-5Ch] BYREF
  char v8[32]; // [esp+28h] [ebp-48h] BYREF
  __int16 v9; // [esp+48h] [ebp-28h]
  char v10; // [esp+4Ah] [ebp-26h]
  char v11[36]; // [esp+4Ch] [ebp-24h] BYREF

  strcpy(v11, "437261636b4d654a757374466f7246756e");
  while ( 1 )
  {
    memset(v8, 0, sizeof(v8));
    v9 = 0;
    v10 = 0;
    printf(aPleaseInputYou);
    scanf("%s", v7);
    if ( strlen(v7) > 0x11 )
      break;
    for ( i = 0; i < 17; ++i )
    {
      v4 = v7[i];
      if ( !v4 )
        break;
      sprintf(Buffer, "%x", v4);
      strcat(v8, Buffer);
    }
    if ( !strcmp(v8, v11) )
      printf("success!\n");
    else
      printf("wrong!\n");
  }
  printf("wrong!\n");
  result = --Stream._cnt;
  if ( Stream._cnt < 0 )
    return _filbuf(&Stream);
  ++Stream._ptr;
  return result;
}

阅读代码后发现就是将输入的字符串转换为16进制存储，再与给定字符串比较。

因此可以根据给定字符串推导出flag。

0x07. open-source

题目直接给出了源代码：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
#include <stdio.h>
#include <string.h>

int main(int argc, char *argv[]) {
    if (argc != 4) {
    	printf("what?\n");
    	exit(1);
    }

    unsigned int first = atoi(argv[1]);
    if (first != 0xcafe) {
    	printf("you are wrong, sorry.\n");
    	exit(2);
    }

    unsigned int second = atoi(argv[2]);
    if (second % 5 == 3 || second % 17 != 8) {
    	printf("ha, you won't get it!\n");
    	exit(3);
    }

    if (strcmp("h4cky0u", argv[3])) {
    	printf("so close, dude!\n");
    	exit(4);
    }

    printf("Brr wrrr grr\n");

    unsigned int hash = first * 31337 + (second % 17) * 11 + strlen(argv[3]) - 1615810207;

    printf("Get your key: ");
    printf("%x\n", hash);
    return 0;
}

根据规则构造payload即可获取flag。

0x08. no-strings-attached

打开来发现是一个非常大的程序：

注意到最后一个函数authenticate可能是验证输入的flag是否正确，打开后如下：

看样子是要比较ws和s2的值是否一致，而s2是由decrypt函数生成的：

生成flag的算法看起来挺复杂，懒得写了，故采用动态调试。阅读汇编代码可知，decrypt函数结束后，返回值存在eax中。

用gdb再decrypt函数处下个断点，程序运行至decrypt处停下，再往前运行一步，再结束运行此函数，此时eax寄存器存储的值就是flag。

1
2
3
4
(gdb)b decrypt
(gdb)n
(gdb)finish
(gdb)x/6sw $eax

0x09. csaw2013reversing2

打开来发现有一个窗体，弹出了一坨乱码：

打开IDA查看程序逻辑：

发现程序存在反调试IsDebuggerPresent。

跳过反调试，将jnz short loc_401096改为jmp short loc_401096，绕过反调试检查。

再将int 3 ;Trap to Debugger改为nop去掉这个中断。

再跳转回原来的弹窗输出flag。

Patch Program的方法：Edit->Patch Program->Assemble
全部更改完成后，点击Edit->Patch Program->Apply patches to input file

0x0a. getit

拖进IDA看见如下代码：

分析逻辑之后发现t的值就是flag，可以直接根据逻辑写exp，不过我这里使用动态调试的方法。

在for循环的第一个函数处下个断点，之后直接查看t的值。

1
2
3
(gdb)b fseek
(gdb)r
(gdb)x/6 0x6010e0#t的地址

成功获取flag。

0x0b. maze

XCTF reverse maze - YenKoc - 博客园 (cnblogs.com)