最新要闻

广告

手机

iphone11大小尺寸是多少？苹果iPhone11和iPhone13的区别是什么？

iphone11大小尺寸是多少？苹果iPhone11和iPhone13的区别是什么？

 警方通报辅警执法直播中被撞飞：犯罪嫌疑人已投案

警方通报辅警执法直播中被撞飞：犯罪嫌疑人已投案

家电

  1. 首页
  2. 移动通信
  3. 内容

2023安洵杯 re复现

来源：博客园


(资料图片仅供参考)

ez_cpp

这个题目看了两种办法，受益匪浅

by Arr3stY0u

打开去花得到主函数，反编译后看到单字节判断，可以进行单字节爆破首先改掉不对就跳到wrong这个逻辑，判断错误后直接跳到exit函数上，然后改掉exit的参数，让它的参数变成ecx，也就是判断正确了几次反编译后就变成了这样那么就可以利用这样一个知识点在main中：return v; 与 exit(v); 的效果相同。返回值就是j，可以捕获这个j，来当成单字节爆破的判断依据师傅的脚本如下

import stringimport osimport timetable = string.ascii_letters+string.digits+"!-{}"# table = string.printable# "SYC{Y3S-yE5-y0u-S0Ve-Th3-C9P!!!}"theflag = ""while len(theflag) < 32:    for ch in table:        flag = (theflag+ch).ljust(32, "#")        exitcode = os.system(f"echo {flag} | ez_cpp.exe 1>&0")        if exitcode >= len(theflag) + 1:            theflag += ch            print(theflag, exitcode)            break            else:            print("not found")            time.sleep(0.1)

拼接flag部分并把flag输入到程序里，exitcode就是返回值，也就是ecx的值，如果ecx>=输入的flag的前几位＋1，那么这几位就是部分正确的flag，接下来继续拼接即可SYC{Y3S-yE5-y0u-S0Ve-Th3-C9P!!!}

by Blu3e

这个思路就是直接逆向依然是去花，然后爆破凯撒加密之后的密文

result=[]opcode=[0x00, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00,   0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,   0x00, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00,   0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,   0x01, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x01, 0x00,   0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00,   0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,   0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,   0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x01, 0x00,   0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,   0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,   0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00,   0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00]cmp=[0x22, 0x00, 0x00, 0x00, 0xA2, 0xFF, 0xFF, 0xFF, 0x72, 0x00,   0x00, 0x00, 0xE6, 0xFF, 0xFF, 0xFF, 0x52, 0x00, 0x00, 0x00,   0x8C, 0xFF, 0xFF, 0xFF, 0xF2, 0xFF, 0xFF, 0xFF, 0xD4, 0xFF,   0xFF, 0xFF, 0xA6, 0xFF, 0xFF, 0xFF, 0x0A, 0x00, 0x00, 0x00,   0x3C, 0x00, 0x00, 0x00, 0x24, 0x00, 0x00, 0x00, 0xA6, 0xFF,   0xFF, 0xFF, 0x9C, 0xFF, 0xFF, 0xFF, 0x86, 0xFF, 0xFF, 0xFF,   0x24, 0x00, 0x00, 0x00, 0x42, 0x00, 0x00, 0x00, 0xD4, 0xFF,   0xFF, 0xFF, 0x22, 0x00, 0x00, 0x00, 0xB6, 0xFF, 0xFF, 0xFF,   0x14, 0x00, 0x00, 0x00, 0x42, 0x00, 0x00, 0x00, 0xCE, 0xFF,   0xFF, 0xFF, 0xAC, 0xFF, 0xFF, 0xFF, 0x14, 0x00, 0x00, 0x00,   0x6A, 0x00, 0x00, 0x00, 0x2C, 0x00, 0x00, 0x00, 0x7C, 0x00,   0x00, 0x00, 0xE4, 0xFF, 0xFF, 0xFF, 0xE4, 0xFF, 0xFF, 0xFF,   0xE4, 0xFF, 0xFF, 0xFF, 0x1E, 0x00, 0x00, 0x00]for i in range(32):    for j in range(0x100):        if i<=16:            if i>=16:                a=j^4            else:                if opcode[i*4]==1:                    a=j^9                else:                    a=j-2        else:            if opcode[i*4]==1:                a=j^6            else:                a=j-5        v2=0        v3=0        v4=7        a2=8        while v3>v3)&1)<

ezr3

by Blu3e

拖进ida，看见函数很少，于是拖进winhex，看见了类似UPX的标志全部改成UPX，然后脱壳把得到的程序拖进ida，看见了两个可疑函数p和v在主函数里面也能找到这两个函数的调用并且没有其他条件，那么我们直接逆先逆v做了异或操作，逆一下是这样的

v2 = 0for i in range(0,len(auth),6):    for j in range(6):        auth[i + j] ^= mere[v2+j*12]    v2 += 2

再逆p，先进行了一次对前四位和后四位的转换，然后进行异或，最后进行验证逆向脚本如下

v2 = 0for i in range(0,len(auth),6):    for j in range(6):        flag.append(auth[i + j]//mere[(v2+j*6)*2])    v2 += 1for i in range(len(flag)):    flag[len(flag)-1-i] ^= flag[i]    flag[len(flag)-1-i] = (flag[len(flag)-1-i]>>4|flag[len(flag)-1-i]<<4)&0xff

所以总的脚本如下

auth = [0x0003BC69, 0x000D3FA0, 0x0003A94A, 0x00044AFF, 0x00045254, 0x0000CDD1, 0x00001815, 0x00003B08, 0x00070868, 0x000C6560, 0x00065662, 0x000855C8, 0x0000DCF6, 0x00004CE6, 0x0014EEC2, 0x0002CFD6, 0x00032766, 0x0014F6BA, 0x00025E69, 0x0006A9A3, 0x00121EBD, 0x0005991C, 0x00050016, 0x00004A3D, 0x00097485, 0x0008D0A0, 0x0003B916, 0x00054C58, 0x00096F94, 0x00010334, 0x000DAD22, 0x0004B234, 0x0002FE96, 0x000F33CC, 0x0012C1E8, 0x00148F9E]mere = [0x00000D21, 0x00000000, 0x0000009D, 0x00000000, 0x0000094B, 0x00000000, 0x000003C9, 0x00000000, 0x00000C3F, 0x00000000, 0x000017E9, 0x00000000, 0x0000130E, 0x00000000, 0x00000088, 0x00000000, 0x00000486, 0x00000000, 0x0000202F, 0x00000000, 0x00002230, 0x00000000, 0x000024B4, 0x00000000, 0x000008B1, 0x00000000, 0x00000A9F, 0x00000000, 0x00001AD2, 0x00000000, 0x000023EB, 0x00000000, 0x00000C7E, 0x00000000, 0x0000042B, 0x00000000, 0x000005BF, 0x00000000, 0x0000113C, 0x00000000, 0x00000449, 0x00000000, 0x00001751, 0x00000000, 0x00000ACE, 0x00000000, 0x00001894, 0x00000000, 0x0000208A, 0x00000000, 0x00000E82, 0x00000000, 0x000006BD, 0x00000000, 0x00000CEE, 0x00000000, 0x00002386, 0x00000000, 0x000013D4, 0x00000000, 0x00000111, 0x00000000, 0x00000D1C, 0x00000000, 0x0000238E, 0x00000000, 0x00001759, 0x00000000, 0x0000012B, 0x00000000, 0x0000214D, 0x00000000, 0x00000040]v2 = 0flag = []for i in range(0,len(auth),6):    for j in range(6):        auth[i + j] ^= mere[v2+j*12]    v2 += 2v2 = 0for i in range(0,len(auth),6):    for j in range(6):        flag.append(auth[i + j]//mere[(v2+j*6)*2])    v2 += 1for i in range(len(flag)):    flag[len(flag)-1-i] ^= flag[i]    flag[len(flag)-1-i] = (flag[len(flag)-1-i]>>4|flag[len(flag)-1-i]<<4)&0xffprint(bytes(flag))

babythread

by ATC Team

进入main函数，查看，发现是一个RC4调试不动，查看TLS回调函数里有反调试，去掉然后进行调试，找到RC4的密文Buf2和密钥v12dump下来后写脚本，这个是RC4脚本

def KSA(key):    key_length = len(key)    S = list(range(256))    j = 0    for i in range(256):        j = (j + S[i] + key[i % key_length]) % 256        S[i], S[j] = S[j], S[i]    return Sdef PRGA(S):    i = 0    j = 0    while True:        i = (i + 1) % 256        j = (j + S[i]) % 256        S[i], S[j] = S[j], S[i]        K = S[(S[i] + S[j]) % 256]        yield Kdef RC4(key):    S = KSA(key)    keystream = PRGA(S)    return keystream# 使用示例if __name__ == "__main__":    key = [0x01, 0xE5, 0xD5, 0x40, 0xC3, 0xD5, 0x76, 0x36, 0xFE, 0x66, 0x2D, 0x05, 0xC9, 0xFB, 0x50, 0xE7]    Buf1 = [0xDE, 0x1C, 0x22, 0x27, 0x1D, 0xAE, 0xAD, 0x65, 0xAD, 0xEF, 0x6E, 0x41, 0x4C, 0x34, 0x75, 0xF1, 0x16, 0x50, 0x50, 0xD4, 0x48, 0x69, 0x6D, 0x93, 0x36, 0x1C, 0x86, 0x3B, 0xBB, 0xD0, 0x4C, 0x91]    # 解密    plaintext2 = bytearray()    keystream = RC4(key)    for b in Buf1:        plaintext2.append(b ^ next(keystream))  # 异或操作    print(plaintext2)

    关键词：