当前位置：首页 > article >正文

SWPUCTF 2024 奇迹新生塞签到？

article 2024/11/19 8:42:13

很久没有做CTF逆向，找了一道题试一试
还是常规操作看看，多少位的，有没有带壳
再看看是不是EXE程序
在这里插入图片描述
先运行看看有什么特别的
尝试输入了一下，直接退出了
IDA打开进行分析
找到主函数

一步一步调试看看，找到运行输出的一个函数

看来是要判断是否是39个字符这么长，不然会直接退出
如果是39这么长，返回以下函数里的值，看看里面的函数
在这里插入图片描述
一下子就看到了，原来当str经过一个异或运算然后和dword_7FF6AEDE2020[j]做判断，如果成立就行了
而且dword_7FF6AEDE2020[j]是静态的

在这里插入图片描述
看到byte_7FF6AEDE2000

那这不就解密了嘛

根据异或运算再次进行异或就会得到答案本身

值得注意的是dd是4个字节，db是一个字节
在这里插入图片描述

但是回到代码本身，我们发现做运算的在一个数组里面，其实是4个字节为一个值进行异或运算

在这里插入图片描述
这里乘以4的意思就是这个

然后写exp代码进行测试，发现不正确为什么？

跳到之前的函数，看到byte_7FF6AEDE2000前面做了异或运算，在mian函数里他的值是现在这里做了异或运算再拿去做上面那个异或运算
同时我们看到
*(_DWORD *)&byte_7FF6AEDE2000[4 * i]
这里取的就是4个字节
在这里插入图片描述为了减少写代码的量，这里我们可以动调，把值拿出来就好
在这里设置断点

在这里插入图片描述
然后就可以修改一下EXP

还是有错，问题在哪里？

发现4个字节为一个数组里的值，而且是小端序
所以要用代码计算一下

在这里插入图片描述
然后再进行解密操作，报错：list超出范围
代码逻辑里面是39个长度，我列表里面居然有122个数

所以取出前面39个就好了
另外一个也同理，同时byte_7FF6AEDE2000[4 * i] ，byte_7FF66F072000[4 * (i % 6)]在IDA那里其实也说明了，只用了数组里6个数进行运算，
在这里插入图片描述所以输出的应该是这样子

手动删一下多余的两个0
最后解密的代码如下：

在这里插入图片描述

惊喜

搞了半天这个代码，四个字节一组，小端序输出，然后又是转数的
后来我才想起来，IDA其实提取数的时候，如图这里就很明显了
同时还可以看见数组的大小是dd122个数组
破天荒的，苦笑
在这里插入图片描述
给个源码：

str1=[]
str1=[ 0x20, 0x00, 0x00, 0x00, 0x27, 0x00, 0x00, 0x00, 0x26, 0x00, 
  0x00, 0x00, 0x25, 0x00, 0x00, 0x00, 0x2C, 0x00, 0x00, 0x00, 
  0x2D, 0x00, 0x00, 0x00, 0x0F, 0x00, 0x00, 0x00, 0x22, 0x00, 
  0x00, 0x00, 0x14, 0x00, 0x00, 0x00, 0x1E, 0x00, 0x00, 0x00, 
  0x21, 0x00, 0x00, 0x00, 0x18, 0x00, 0x00, 0x00, 0x09, 0x00, 
  0x00, 0x00, 0xDF, 0x00, 0x00, 0x00, 0xC8, 0x00, 0x00, 0x00, 
  0x1C, 0x00, 0x00, 0x00, 0xE7, 0x00, 0x00, 0x00, 0x05, 0x00, 
  0x00, 0x00, 0xE5, 0x00, 0x00, 0x00, 0xE2, 0x00, 0x00, 0x00, 
  0xEE, 0x00, 0x00, 0x00, 0x1A, 0x00, 0x00, 0x00, 0xE6, 0x00, 
  0x00, 0x00, 0x04, 0x00, 0x00, 0x00, 0xD9, 0x00, 0x00, 0x00, 
  0xC9, 0x00, 0x00, 0x00, 0xE3, 0x00, 0x00, 0x00, 0x0A, 0x00, 
  0x00, 0x00, 0xF5, 0x00, 0x00, 0x00, 0xF1, 0x00, 0x00, 0x00, 
  0xF8, 0x00, 0x00, 0x00, 0xF3, 0x00, 0x00, 0x00, 0xFA, 0x00, 
  0x00, 0x00, 0xEA, 0x00, 0x00, 0x00, 0xFF, 0x00, 0x00, 0x00, 
  0xE7, 0x00, 0x00, 0x00, 0xF5, 0x00, 0x00, 0x00, 0xB9, 0x00, 
  0x00, 0x00, 0xE4, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00]

# 目标 str2 列表
str2 = []

# 将 str1 中每四个字节按小端序组合成整数，并存入 str2 列表
for i in range(0, len(str1), 4):
    # 获取 str1 中的四个字节
    four_bytes = str1[i:i+4]
    
    # 如果剩下的字节少于4个，我们只取剩余的字节
    if len(four_bytes) < 4:
        four_bytes.extend([0] * (4 - len(four_bytes)))  # 填充0以补齐

    # 按小端序将四个字节组合成一个整数
    # 小端序: 低字节在前，高字节在后
    value = four_bytes[0] + (four_bytes[1] << 8) + (four_bytes[2] << 16) + (four_bytes[3] << 24)
    
    # 将整数存入 str2
    str2.append(value)

# 打印 str2 列表
print(str2[:39])
byte_7FF6AEDE2000=[ 0x6E, 0x00, 0x00, 0x00, 0x73, 0x00, 0x00, 0x00, 0x73, 0x00, 
  0x00, 0x00, 0x63, 0x00, 0x00, 0x00, 0x74, 0x00, 0x00, 0x00, 
  0x66, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 
  0x00, 0x00]
str3 = []

# 将 byte_7FF6AEDE2000 中每四个字节按小端序组合成整数，并存入 str2 列表
for i in range(0, len(byte_7FF6AEDE2000), 4):
    # 获取四个字节
    four_bytes = byte_7FF6AEDE2000[i:i+4]
    
    # 如果剩余的字节少于4个，补充0
    if len(four_bytes) < 4:
        four_bytes.extend([0] * (4 - len(four_bytes)))  # 填充0以补齐
    
    # 按小端序将四个字节组合成一个整数
    value = four_bytes[0] + (four_bytes[1] << 8) + (four_bytes[2] << 16) + (four_bytes[3] << 24)
    
    # 将结果存入 str2
    str3.append(value)

# 打印 str2 列表
print(str3)



Str=[32, 39, 38, 37, 44, 45, 15, 34, 20, 30, 33, 24, 9, 223, 200, 28, 231, 5, 229, 226, 238, 26, 230, 4, 217, 201, 227, 10, 245, 241, 248, 243, 250, 234, 255, 231, 245, 185, 228]
byte_7FF6AEDE2000=[110, 115, 115, 99, 116, 102]
for i in range(len(Str)):
    Str[i]^=byte_7FF6AEDE2000[(i % 6)] + i
    print(chr(Str[i]),end="")