1625-5 王子昂 總結《2017年9月21日》 【連續第354天總結】
A. Syclover成信CTF練習平臺-RE
B.

ReverseMe

開啟是一個elf檔案，執行報段錯誤
通過gdb除錯發現錯誤出現在sub_400646的puts函式處

拖入IDA反編譯：

__int64 __fastcall main(int a1, char **a2, char **a3)
{
  __int64 result; // [email protected]
  __int64 v4; // [email protected]
  char v5; // [sp+10h] [bp-10h]@4
 

  __int64 v6; // [sp+18h] [bp-8h]@1

  v6 = *MK_FP(__FS__, 40LL);
  if ( a1 != 3 && (unsigned int)sub_400646((__int64)a2) )// 驗證引數
  {
    puts("Keep thinking!");
    result = 0LL;
  }
  else
  {
    printf("Please input your password(5 words):", a2, a2);// 檢查password
    __isoc99_scanf("%5s", &v5);
    if
 
 ( (unsigned int)sub_400755((__int64)&v5) == 1 )
    {
      printf("Good Job!\nThe password:%s", &v5);
      result = 0LL;
    }
    else
    {
      puts("Wrong!");
      result = 0LL;
    }
  }
  v4 = *MK_FP(__FS__, 40LL) ^ v6;
  return result;
}

我們知道，main的三個引數分別為argc, argc, env
很明顯a1即argc沒有被反編譯出來，但是我們知道數量要等於3，即需要附加兩個引數（第一個引數為檔案路徑）
因此在未輸入足夠引數的時候puts的引數自動跳到了後邊env造成溢位

sub_400646的內容很簡單，直接將兩個引數分別與字串對比，寫個指令碼跑出來是“l1nux”和”crack“

驗證完引數後對照password，檢視sub_400755：

__int64 __usercall sub_400755@<rax>(__int64 a1@<rax>)
{
  __int64 result; // [email protected]

  if ( *(_BYTE *)a1 + *(_BYTE *)(a1 + 4) != 106 || *(_BYTE *)a1 != 73 )// 1=73;5=33
  {
    result = 0LL;
  }
  else if ( *(_BYTE *)(a1 + 1) == 76 )          // 2=76
  {
    result = *(_BYTE *)(a1 + 2) + *(_BYTE *)(a1 + 3) == 137 && *(_BYTE *)(a1 + 3) == 70;// 4=70;3=67
  }
  else
  {
    result = 0LL;
  }
  return result;
}

稍微有點意思的驗證，不過簡單加減法就能得到5個ASCII：“ILCF!”

最後flag按提示拼接：flag{l1nux_crack_ILCF!}

CLAZZ

down下來發現無殼，C++寫的exe
直接執行提示輸入password

題目提示是C++的類

IDA反編譯的結構還是比較凌亂的，找不到main函式，直接搜尋字串”plz input your flag”找到了sub_43A1C0

int sub_43A1C0()
{
  char v1; // [sp-4h] [bp-210h]@1
  int v2; // [sp+Ch] [bp-200h]@1
  LPVOID v3; // [sp+14h] [bp-1F8h]@1
  int v4; // [sp+20h] [bp-1ECh]@4
  int v5; // [sp+ECh] [bp-120h]@1
  char input; // [sp+F8h] [bp-114h]@1
  unsigned int v7; // [sp+1FCh] [bp-10h]@1
  int v8; // [sp+208h] [bp-4h]@1
  int savedregs; // [sp+20Ch] [bp+0h]@1

  memset(&v2, 0xCCu, 0x1F4u);
  v7 = (unsigned int)&savedregs ^ __security_cookie;
  v5 = 0;
  sub_43650C((int)"plz input your flag:", (unsigned int)&savedregs ^ __security_cookie);//printf
  sub_4343D8("%s", &input, 256);//scanf
  v3 = sub_4357C9(288);
  v8 = 0;
  if ( v3 )
    v2 = sub_43618D(&input);
  else
    v2 = 0;
  v4 = v2;
  v8 = -1;
  v5 = v2;
  sub_433267(v2);//change_input
  sub_43438D(v5);//strcmp
  if ( sub_43418A(v5) )//get_result
    sub_43650C((int)"flag is true!\n", v1);
  sub_43350A();
  sub_43410D("pause");
  sub_43590E(&savedregs, &dword_43A31C);
  sub_435A17();
  return sub_434716();
}

雖然能夠從字串推測出來printf和scanf，但是大部分函式都經過多層包裝，很難發現真正含義

這一題簡單的做法是直接通過OD進行動態除錯，從scanf開始跟蹤input
發現在sub_433267後暫存器中出現了新的字串
而在sub_43438D後改變了eax的值，最後跳轉是test eax,eax，即比較過程應該在sub_43438D中完成

回到IDA中觀察，sub_433267的過程很簡單：

int __thiscall sub_43A670(int this)
{
  unsigned int v1; // [email protected]
  char v3; // [sp+Ch] [bp-D8h]@1
  unsigned int i; // [sp+D0h] [bp-14h]@2
  int v5; // [sp+DCh] [bp-8h]@1

  memset(&v3, 0xCCu, 0xD8u);
  v5 = this;
  if ( *(_DWORD *)(this + 280) )
  {
    for ( i = 0; ; ++i )
    {
      v1 = sub_4340BD(v5);
      if ( i >= v1 )
        break;
      *(_BYTE *)(i + v5) ^= 0xCu;
    }
  }
  return sub_434716();
}

sub_4340BD應該是get_value類的函式，取出資料成員
核心語句為最後的異或0xC

嘗試輸入123456789，手動逐字元與0xc異或後與sub_433267後的字串對比發現一致
下一步則是找到cmp的字串常量，IDA中發現地址為this + 256
看來是類常量
最簡單的方法就是直接OD檢視暫存器中的另一個字串，發現為：

_UOwXN=`KH?d|G;Utz_vq

指令碼異或處理後得到flag:SYC{TB1lGD3hpK7YxvSz}

這種是比較簡單的類逆向，如果是很複雜的類，則需要理清類結構了

首先知道，this指標通常存放在ecx中
也就是說，如果很多函式呼叫之前mov ecx, xxx了，那麼很可能它們就是函式成員
例如本題中，change_flag、strcmp和get_value都是函式成員

0111A296   .  8B8D E0FEFFFF mov ecx,dword ptr ss:[ebp-0x120]
0111A29C   .  E8 C68FFFFF   call CTF_RE_B.01113267                   ;  change_input
0111A2A1   .  8B8D E0FEFFFF mov ecx,dword ptr ss:[ebp-0x120]
0111A2A7   .  E8 E1A0FFFF   call CTF_RE_B.0111438D                   ;  strcmp
0111A2AC   >  8B8D E0FEFFFF mov ecx,dword ptr ss:[ebp-0x120]
0111A2B2   .  E8 D39EFFFF   call CTF_RE_B.0111418A
0111A2B7   .  85C0          test eax,eax
0111A2B9   .  74 11         je short CTF_RE_B.0111A2CC

每次呼叫之前都將ebp-0x120送入ecx中，很可能就是在取this指標
因為函式成員的第一個引數必為this（隱性）
同時，如果函式體內ecx還未被初始化就被使用，那麼基本上就可以確定它是函式成員了

注意IDA在這裡反編譯的時候給他們送入了錯誤的引數，甚至沒有引數
說明IDA對類的函式成員識別地不太好

在記憶體中，類的成員是依次排列的，所以經常會使用this + xxx的方式來呼叫資料成員
虛擬函式表的指標存放在類中，通常call eax這一類就是在呼叫虛擬函式表
這種情況下首先要找到虛擬函式表，然後再逐個函式反編譯

C. 明日計劃
國賽RE