REVERSE-PRACTICE-BUUCTF-23

REVERSE-PRACTICE-BUUCTF-23

    • [2019红帽杯]Snake
    • [BSidesSF2019]blink
    • [De1CTF2019]Re_Sign
    • [ACTF新生赛2020]Splendid_MineCraft

[2019红帽杯]Snake

unity游戏,dnSpy打开Snake\Snake_Data\Managed\Assembly-CSharp.dll
发现要载入Interface这个dll
snake-dll
ida打开Snake\Snake_Data\Plugins\Interface.dll
交叉引用字符串"You win! flag is "来到GameObject函数
分析GameObject函数,该函数只有一个参数a1,当a1∈[0,99]时,会执行if语句包络的代码,其中就有输出flag的语句
snake-gameobject
snake-gameobject
于是考虑爆破,写C代码,载入Interface.dll,调用GameObject函数,传入从0到99之间的整数,爆破成功即可得到flag,从flag可以知道是RSA加密算法

#include<iostream>
#include<Windows.h>
#include"ida_defs.h"
//函数指针
typedef signed __int64(*Dllfunc)(int);
using namespace std;
int main()
{Dllfunc GameObject;//GameObject是dll中想要调用的函数名称HINSTANCE hdll = NULL;hdll = LoadLibrary("Interface.dll");//加载dll								if (hdll == NULL){cout << "加载动态库失败\n";}else{GameObject = (Dllfunc)GetProcAddress(hdll, "GameObject");//到dll中定位函数if (GameObject == NULL){cout << "加载动态库方法失败\n";}else{for (int i = 0; i <= 99; i++){signed __int64 res = GameObject(i);}}}FreeLibrary(hdll);//释放dllreturn 0;
}
/*
You win! flag is
flag{Ch4rp_W1th_R$@}
*/

[BSidesSF2019]blink

apk文件,jadx-gui打开,com.example.blink.MainActivity什么都没有
在com.example.blink.r2d2中,将一段字符串解base64,分割成byte数组,填入一个图像文件中
blink-logic
apk在模拟器中双击运行会直接退出
按照jeb调试apk smali的方法,在启动apk activity时,将MainActivity改成r2d2,即adb shell am start -D -n com.example.blink/com.example.blink.r2d2,jeb附加后运行即可得到flag
blink-flag

[De1CTF2019]Re_Sign

exe程序,运行后输入,有upx壳,ESP定律脱壳后ida分析
交叉引用字符串"Success"来到sub_401000函数,程序脱壳后不能运行,ida和x32dbg配合分析
调试发现,sub_402BA0函数读取输入,sub_402E40函数和sub_sub_402F80函数都是简单的赋值,调试的输入为"abcdefg",经过sub_401233函数变换为"GD9MH6SeHd==",而正常的base64编码结果为"YWJjZGVmZw==",猜测sub_401233函数是变表base64,重要的是找到变表
resign-logic
F7单步步入sub_401233函数,在这个地方找到变表
resign-sub_401233
验证一下,sub_401233函数的变表就是找到的这个表
resign-debase
分析sub_401F0A函数,输入经变表base64编码后,在while循环体中,一个字节一个字节拷贝到v30,v30赋给v37,v37传入sub_2160函数,返回值与v25(ebx)指向的int数据比较
resign-sub_401F0a
sub_402160函数中使用到了常规base64表,调试输入为"abcdefg",变表base64后为"GD9MH6SeHd==",第一个字节"G"传入sub_402160函数,返回值为7,也就是"G"在常规base64表中的位置(下标从1开始),于是可知要去比较的数据也是某字符在常规base64表中的位置(下标从1开始)
resign_sub_402160
x32dbg调试得到要去比较的数据
resign-data
写逆运算脚本即可得到flag

#coding:utf-8
import base64
table="ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/="
table_changed="0123456789QWERTYUIOPASDFGHJKLZXCVBNMqwertyuiopasdfghjklzxcvbnm+/="
data=[0x08,0x3b,0x01,0x20,0x07,0x34,0x09,0x1f,0x18,0x24,0x13,0x03,0x10,0x38,0x09,0x1b,0x08,0x34,0x13,0x02,0x08,0x22,0x12,0x03,0x05,0x06,0x12,0x03,0x0f,0x22,0x12,0x17,0x08,0x01,0x29,0x22,0x06,0x24,0x32,0x24,0x0f,0x1f,0x2b,0x24,0x03,0x15,0x41,0x41]
s=""
ss=""
for i in data:s+=table[i-1]       #s赋完值其实是输入经变表base64后的结果
for c in s:ss+=table[table_changed.find(c)]    #由变表和常规表的映射得到常规base64编码的结果
print(base64.b64decode(ss))
#de1ctf{E_L4nguag3_1s_K3KeK3_N4Ji4}

[ACTF新生赛2020]Splendid_MineCraft

exe程序,运行后输入,无壳,ida分析
交叉引用字符串"Welcome to ACTF_Splendid_MineCraft!“来到sub_401080函数
读取输入,验证输入的长度是否为26,strtok函数用字符’_'将输入分割成三个部分,于是可知输入的格式为"ACTF{xxxxxx_yyyyyy_xxxxxx}”,v12-v13(v14-v15)为{}中的第一部分"xxxxxx",v8-v9为{}中的第二部分"yyyyyy",v10-v11为{}中的第三部分"xxxxxx"
SM-logic
v12-v13,即{}中的第一部分要进入dword_4051D8,经SMC后,验证{}中的第一部分
来到data段dword_4051D8,按d转成字节形式的数据,按c转成代码,可看到SMC的代码
sm-smc1
调试,SMC执行完成后是这个样子
sm-smcdone
往下走,来到验证{}内的第一部分的代码,“3@1b;b"和"elcome"两个字符串异或,再加0x23,结果与传入的{}内的第一部分比较,可知正确的第一部分的6个字符为"yOu0y*”
sm-part1
由于v5与{}内的第一部分的6个字符相关,更新输入后调试,可知v5==0x20
执行完SMC后,来到验证{}内第二部分的代码,eax指向的是数组byte_DC5018,于是这段代码的验证思路就是,cl=byte_DC5018[input[i]^(i+0x83)],写脚本可知第二部分为"knowo3"
sm-smc2done
往下走(期间要修改几次ZF的值),来到验证第三部分的代码,这里直接比较第三部分和已知字符串"5mcsM<"
sm-part3
于是三个部分的脚本放在一起就是,输入flag,验证成功

#coding:utf-8
flag="ACTF{"
#第一部分
s1="3@1b;b"
s2="elcome"
data=[]
for i in range(len(s1)):data.append(ord(s1[i])^ord(s2[i]))
for i in range(len(data)):data[i]+=0x23
flag+=''.join(chr(i) for i in data)
flag+='_'
#第二部分
data=[0xF6, 0xA3, 0x5B, 0x9D, 0xE0, 0x95, 0x98, 0x68, 0x8C, 0x65,0xBB, 0x76, 0x89, 0xD4, 0x09, 0xFD, 0xF3, 0x5C, 0x3C, 0x4C,0x36, 0x8E, 0x4D, 0xC4, 0x80, 0x44, 0xD6, 0xA9, 0x01, 0x32,0x77, 0x29, 0x90, 0xBC, 0xC0, 0xA8, 0xD8, 0xF9, 0xE1, 0x1D,0xE4, 0x67, 0x7D, 0x2A, 0x2C, 0x59, 0x9E, 0x3D, 0x7A, 0x34,0x11, 0x43, 0x74, 0xD1, 0x62, 0x60, 0x02, 0x4B, 0xAE, 0x99,0x57, 0xC6, 0x73, 0xB0, 0x33, 0x18, 0x2B, 0xFE, 0xB9, 0x85,0xB6, 0xD9, 0xDE, 0x7B, 0xCF, 0x4F, 0xB3, 0xD5, 0x08, 0x7C,0x0A, 0x71, 0x12, 0x06, 0x37, 0xFF, 0x7F, 0xB7, 0x46, 0x42,0x25, 0xC9, 0xD0, 0x50, 0x52, 0xCE, 0xBD, 0x6C, 0xE5, 0x6F,0xA5, 0x15, 0xED, 0x64, 0xF0, 0x23, 0x35, 0xE7, 0x0C, 0x61,0xA4, 0xD7, 0x51, 0x75, 0x9A, 0xF2, 0x1E, 0xEB, 0x58, 0xF1,0x94, 0xC3, 0x2F, 0x56, 0xF7, 0xE6, 0x86, 0x47, 0xFB, 0x83,0x5E, 0xCC, 0x21, 0x4A, 0x24, 0x07, 0x1C, 0x8A, 0x5A, 0x17,0x1B, 0xDA, 0xEC, 0x38, 0x0E, 0x7E, 0xB4, 0x48, 0x88, 0xF4,0xB8, 0x27, 0x91, 0x00, 0x13, 0x97, 0xBE, 0x53, 0xC2, 0xE8,0xEA, 0x1A, 0xE9, 0x2D, 0x14, 0x0B, 0xBF, 0xB5, 0x40, 0x79,0xD2, 0x3E, 0x19, 0x5D, 0xF8, 0x69, 0x39, 0x5F, 0xDB, 0xFA,0xB2, 0x8B, 0x6E, 0xA2, 0xDF, 0x16, 0xE2, 0x63, 0xB1, 0x20,0xCB, 0xBA, 0xEE, 0x8D, 0xAA, 0xC8, 0xC7, 0xC5, 0x05, 0x66,0x6D, 0x3A, 0x45, 0x72, 0x0D, 0xCA, 0x84, 0x4E, 0xF5, 0x31,0x6B, 0x92, 0xDC, 0xDD, 0x9C, 0x3F, 0x55, 0x96, 0xA1, 0x9F,0xCD, 0x9B, 0xE3, 0xA0, 0xA7, 0xFC, 0xC1, 0x78, 0x10, 0x2E,0x82, 0x8F, 0x30, 0x54, 0x04, 0xAC, 0x41, 0x93, 0xD3, 0x3B,0xEF, 0x03, 0x81, 0x70, 0xA6, 0x1F, 0x22, 0x26, 0x28, 0x6A,0xAB, 0x87, 0xAD, 0x49, 0x0F, 0xAF]
res=[0x30,0x4,0x4,0x3,0x30,0x63]
for i in range(len(res)):for j in range(len(data)):if data[j]==res[i]:flag+=chr(j^(i+0x83))
flag+='_'
#第三部分
flag+="5mcsM<"
flag+='}'
print(flag)
#ACTF{yOu0y*_knowo3_5mcsM<}

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/438146.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

REVERSE-PRACTICE-BUUCTF-24

REVERSE-PRACTICE-BUUCTF-24[watevrCTF 2019]Timeout[SUCTF2019]hardcpp[CISCN2018]2ex[UTCTF2020]babymips[watevrCTF 2019]Timeout elf文件&#xff0c;无壳&#xff0c;ida分析 main函数中signal&#xff0c;alarm&#xff0c;delay三个函数配合使用是为了反调试 交叉引用…

C#中双问号、双冒号等几个特殊关键字

&#xff1a;放在字符串的前面&#xff0c;直接让字符串原样输出。常用于&#xff1a;sql语句、路径等 string sql "select * from tablename where id 1"; string path "C:\filename.xml";如果字符串里边包含双引号时&#xff0c;需要两个双引号代表一…

REVERSE-PRACTICE-BUUCTF-25

REVERSE-PRACTICE-BUUCTF-25特殊的 BASE64[FlareOn1]Javascrap[WMCTF2020]easy_re[NPUCTF2020]BasicASM特殊的 BASE64 exe程序&#xff0c;运行后输入&#xff0c;无壳&#xff0c;ida分析 main函数&#xff0c;读取输入&#xff0c;进行变表base64编码&#xff0c;与rightFla…

C#的变迁史01 - C# 1.0篇

C#与.NET平台诞生已有10数年了&#xff0c;在每次重大的版本升级中&#xff0c;微软都为这门年轻的语言添加了许多实用的特性&#xff0c;下面我们就来看看每个版本都有些什么。老实说&#xff0c;分清这些并没什么太大的实际意义&#xff0c;但是很多老资格的.NET程序员还是热…

REVERSE-PRACTICE-BUUCTF-26

REVERSE-PRACTICE-BUUCTF-26[FlareOn6]FlareBear[SUCTF2018]babyre[GKCTF2020]WannaReverse[FlareOn4]greek_to_me[FlareOn6]FlareBear apk文件&#xff0c;模拟器上运行&#xff0c;创建一个小熊&#xff0c;有三种方式交互&#xff0c;分别为“吃饭”&#xff0c;“篮球”以…

C#的变迁史02 - C# 2.0篇

在此重申一下&#xff0c;本文仅代表个人观点&#xff0c;如有不妥之处&#xff0c;还请自己辨别。 第一代的值类型装箱与拆箱的效率极其低下&#xff0c;特别是在集合中的表现&#xff0c;所以第二代C#重点解决了装箱的问题&#xff0c;加入了泛型。1. 泛型 - 珍惜生命&#x…

REVERSE-PRACTICE-BUUCTF-27

REVERSE-PRACTICE-BUUCTF-27[XMAN2018排位赛]Dragon Quest[羊城杯 2020]easyre[watevrCTF 2019]Repyc[2019红帽杯]calc[XMAN2018排位赛]Dragon Quest elf文件&#xff0c;无壳&#xff0c;ida分析 main函数&#xff0c;读取输入&#xff0c;start_quest函数验证输入&#xff0…

C#的变迁史03 - C# 3.0篇

C# 3.0 (.NET 3.5, VS2008) 第三代C#在语法元素基本完备的基础上提供了全新的开发工具和集合数据查询方式&#xff0c;极大的方便了开发。 1. WPF&#xff0c;WCF&#xff0c;WF 这3个工程类型奠定了新一代.NET开发的客户端模型&#xff0c;通信模型&#xff0c;工作流模型。 …

REVERSE-PRACTICE-BUUCTF-28

REVERSE-PRACTICE-BUUCTF-28[FlareOn6]Memecat Battlestation[b01lers2020]chugga_chugga[INSHack2018]Tricky-Part1[watevrCTF 2019]esreveR[FlareOn6]Memecat Battlestation .Net程序&#xff0c;运行后输入weapon code&#xff0c;用dnSpy打开 在Stage1Form直接找到第一个w…

C#的变迁史04 - C# 4.0 之多线程篇

在.NET 4.0中&#xff0c;并行计算与多线程得到了一定程度的加强&#xff0c;这主要体现在并行对象Parallel&#xff0c;多线程Task&#xff0c;与PLinq。这里对这些相关的特性一起总结一下。 使用Thread方式的线程无疑是比较麻烦的&#xff0c;于是在这个版本中有了改善的版本…

REVERSE-PRACTICE-BUUCTF-29

REVERSE-PRACTICE-BUUCTF-29[FlareOn1]Shellolololol[CFI-CTF 2018]powerPacked[INSHack2018]Tricky-Part2[CFI-CTF 2018]Automated Reversing[FlareOn1]Shellolololol exe程序&#xff0c;直接不能运行&#xff0c;无壳&#xff0c;ida分析 简单F8单步调试发现&#xff0c;在…

C#的变迁史05 - C# 4.0篇

C# 4.0 (.NET 4.0, VS2010) 第四代C#借鉴了动态语言的特性&#xff0c;搞出了动态语言运行时&#xff0c;真的是全面向“高大上”靠齐啊。 1. DLR动态语言运行时 C#作为静态语言&#xff0c;它需要编译以后运行&#xff0c;在编译的过程中&#xff0c;编译器要检查语法的正确性…

REVERSE-PRACTICE-BUUCTF-30

REVERSE-PRACTICE-BUUCTF-30[RCTF2019]DontEatMe[b01lers2020]little_engine[NPUCTF2020]你好sao啊[MRCTF2020]Shit[RCTF2019]DontEatMe exe程序&#xff0c;运行后输入&#xff0c;无壳&#xff0c;用ida分析 交叉引用字符串来到sub_401260函数&#xff0c;读取输入&#xff…

C#的变迁史06 - C# 4.0 之并行处理篇

前面看完了Task对象&#xff0c;这里再看一下另一个息息相关的对象Parallel。 Parallel对象 Parallel对象封装了能够利用多核并行执行的多线程操作&#xff0c;其内部使用Task来分装多线程的任务并试图将它们分配到不同的内核中并行执行。请注意“试图”这个词&#xff0c;Par…

REVERSE-PRACTICE-BUUCTF-31

REVERSE-PRACTICE-BUUCTF-31[羊城杯 2020]login[羊城杯 2020]Bytecode[羊城杯 2020]babyre[ACTF新生赛2020]fungame[羊城杯 2020]login exe程序&#xff0c;运行后输入&#xff0c;无壳&#xff0c;ida分析 没找到主要逻辑&#xff0c;在字符串窗口看到一些“py”的字样&#…

C#的变迁史07 - C# 4.0 之线程安全集合篇

作为多线程和并行计算不得不考虑的问题就是临界资源的访问问题&#xff0c;解决临界资源的访问通常是加锁或者是使用信号量&#xff0c;这个大家应该很熟悉了。 而集合作为一种重要的临界资源&#xff0c;通用性更广&#xff0c;为了让大家更安全的使用它们&#xff0c;微软为我…

PWN-PRACTICE-BUUCTF-1

PWN-PRACTICE-BUUCTF-1test_your_ncripwarmup_csaw_2016ciscn_2019_n_1test_your_nc 附件的main函数直接system("/bin/sh")&#xff0c;nc直接连即可cat flag rip main函数中&#xff0c;gets函数读取一行会造成栈溢出 构造payload覆盖rip&#xff0c;使得return…

C#的变迁史08 - C# 5.0 之并行编程总结篇

C# 5.0 搭载于.NET 4.5和VS2012之上。 同步操作既简单又方便&#xff0c;我们平时都用它。但是对于某些情况&#xff0c;使用同步代码会严重影响程序的可响应性&#xff0c;通常来说就是影响程序性能。这些情况下&#xff0c;我们通常是采用异步编程来完成功能&#xff0c;这在…

REVERSE-PRACTICE-CTFSHOW-1

REVERSE-PRACTICE-CTFSHOW-1逆向签到题re2逆向4逆向5逆向签到题 ida打开即可得到明文flag re2 附件是一个加密过的flag文本和勒索病毒exe 运行程序&#xff0c;输入1&#xff0c;回车&#xff0c;直接退出&#xff0c;ida分析 选项1的逻辑为&#xff0c;打开flag.txt和enfl…

C#的变迁史09 - C# 5.0 之调用信息增强篇

Caller Information CallerInformation是一个简单的新特性&#xff0c;包括三个新引入的Attribute&#xff0c;使用它们可以用来获取方法调用者的信息&#xff0c; 这三个Attribute在System.Runtime.CompilerServices命名空间下&#xff0c;分别叫做CallerMemberNameAttribute&…