CTF--2016XDCTF全国网络安全大赛之reverse5

怼烎@ 2022-09-28 11:42 239阅读 0赞

# 0x01 题目介绍 #

题目名称  
  
[reverse5][]  
  
题目描述  
  
File: reverse5.exe  
Size: 121344 bytes  
File Version: 1.0.0.1  
Modified: Friday, September 30, 2016, 01:24:54  
MD5: 01C16460135B1BA4BCA48E3AB0173A17  
SHA1: 06ACD42197A5F52A9CCFEC0B12EE52F647B1E71D  
CRC32: 1D3A0115

# 0x02 解题要点 #

运行程序显示，随便输入数字字符串点击按钮，没有任何提示。

![Center][]

IDA载入看看，等待分析完成，选中代码部分，键盘F5实现伪代码转化。

然后找到入口函数\_WinMain@16

![Center 1][]

进入之后到了主函数入口，红色标记位置是内部系统main函数的真正入口。

![Center 2][]

下面的才是真正的函数入口，也就是我们用户经常开发编写的代码入口函数winmain函数。

![Center 3][]

下图是进入主函数之后的主要代码部分

![Center 4][]

进入之后发现有线程函数创建，注意此处标记。跟踪进去，看线程函数实体。

也就是线程函数部分，是主要的执行体。

![Center 5][]

跟踪进去，看线程函数实体。发现主要是反调试和一些干扰花指令

IsDebuggerPresent函数 [ https://msdn.microsoft.com/en-us/library/ms680345.aspx][https_msdn.microsoft.com_en-us_library_ms680345.aspx]

![Center 6][]

花指令函数和无用的代码分支

![Center 7][]

然后继续往下分析代码，左侧为命令参数，右侧为对话框入口。

说明程序接收了外部的命令行参数，实现了数据的输入。

![Center 8][]

底部有对应的窗口函数创建，就是一开始我们双击之后的用户输入编辑框和确认检查按钮。

注意DialogFunc函数，是一个窗口回调函数，实现的是消息的实体循环处理部分。不太懂的

可以看windows的消息机制。

![Center 9][]

进入窗体处理，ID为1001的情况下进入这个分支。发现有关键函数。

获取文本内容函数GetWindowTextA,

[https://msdn.microsoft.com/en-us/library/windows/desktop/ms633520(v=vs.85).aspx][https_msdn.microsoft.com_en-us_library_windows_desktop_ms633520_v_vs.85_.aspx]

和计算文本长度函数GetWindowTextLengthA。

[https://msdn.microsoft.com/en-us/library/windows/desktop/ms633521(v=vs.85).aspx][https_msdn.microsoft.com_en-us_library_windows_desktop_ms633521_v_vs.85_.aspx]  
  
![Center 10][]

同样的，也发现使用了数据设置和退出函数。

SetWindowText函数 [ https://msdn.microsoft.com/en-us/library/windows/desktop/ms633546(v=vs.85).aspx][https_msdn.microsoft.com_en-us_library_windows_desktop_ms633546_v_vs.85_.aspx]

![Center 11][]

进入窗体处理，ID为2的情况下进入这个处理。发现有用户自定义的内部函数

![Center 12][]

进入窗体处理查看初始化，发现1001和1002为句柄赋值关键函数。

那么这之间到底有什么关联吗？多个ID可能触发多个事件。

![Center 13][]

![Center 14][]

文中没有解释的相关函数读者可以自己查阅微软官方文档。

[https://msdn.microsoft.com/en-us/library/windows/desktop/ff468925(v=vs.85).aspx][https_msdn.microsoft.com_en-us_library_windows_desktop_ff468925_v_vs.85_.aspx]

然后联系前面的代码中出现的ID事件，那么分析发现1001的ID事件是个花指令干扰，

因为无论你怎么填写数据到输入框，都不能计算正确。因为没有获取此事件进行处理，

也就是根本没有读取你的输入窗口数据。因为1001标记是程序的按钮。

而1002才是输入框标记。

![Center 15][]

![Center 16][]

那么根据前面的分析，那么我们抛弃1001的思路，进入1002，发现并没有处理1002的事件代码。

于是陷入了死循环。此时，我们注意我们的程序前面分析的执行流程，发现有个窗口之前，

命令行指令数据操作，于是跳转到此处。byte\_41B3B0可疑之处。

![Center 17][]

跟踪到此处变量引用的地方，发现在事件处理结束后，有代码操作。事件ID为无符号整数2。

![Center 18][]

![Center 19][]

进入此处，发现有对用户命令输入参数的代码处理过程，于是推断此处才是真正的逆向分析的考点。

经过程分析，跟踪调试。

![Center 20][]

过程和算法为des,base64算法和xor异或算法.执行顺序

sub\_401020((int)&byte\_41B3B0, v5, (int)&v7)//base64运算

sub\_402DB0(&v7, (int)&v18)

//xor异或运算

sub\_4024F0((int)&v7, v26, &v9, (int)v16)//des算法运算sub\_402E20(&unk\_41B370, v16)

//结果判断比较

![Center 21][]

![Center 22][]

![Center 23][]

![Center 24][]

![Center 25][]![Center 26][]![Center 27][]

密文数据比较追踪，&unk\_41B370为静态存储的密文, v16则为用户输入之后进行运算后的密文。

相等即可。整理后为

![Center 28][]

![Center 29][]

对密文进行逆向解码，因为是对称加密算法可以还原。代码自行编写：  
  
1 sub\_4024F0((int)&v7, v26, &v9, (int)v16) //des算法运算  
  
2 sub\_402DB0(&v7, (int)&v18) //xor异或运算  
  
3 sub\_401020((int)&byte\_41B3B0, v5, (int)&v7) //base64运算

结果输出为：

XDFLAG\{this\_1s\_a\_small\_di8h\_for\_y0u\_today!\}

#    0x03 学习总结 #

此题目挖坑不少，选手必须清楚识别出干扰的花指令和冗余代码。

中间出现比较多的错误算法分支和事件消息处理。还有必须去除

反调试代码，方可减小阻力，实现快速解题。

[reverse5]: http://download.csdn.net/detail/bjtbjt/9777088
[Center]: /images/20220708/ec3e1664464d4e65942aa20603df610d.png
[Center 1]: /images/20220708/1c20ac57595343db89536fecfe10460f.png
[Center 2]: /images/20220708/0ffd3df29ff247d380d834d189151ea7.png
[Center 3]: /images/20220708/17653138d71e43ebb3ce63a6752b4cf8.png
[Center 4]: /images/20220708/25daf68da73847938b111ee65023f6c7.png
[Center 5]: /images/20220708/1744b5b61b294f15ade88be76a9889f1.png
[https_msdn.microsoft.com_en-us_library_ms680345.aspx]: https://msdn.microsoft.com/en-us/library/ms680345.aspx
[Center 6]: /images/20220708/6fdc9b556b4e4630a28277aab5128af8.png
[Center 7]: /images/20220708/f4c356e558d84a488acc747f551995f7.png
[Center 8]: /images/20220708/feba147f851d4cd489cdf0b24db81016.png
[Center 9]: /images/20220708/0149171c007a4029afcd50795ddc1c6d.png
[https_msdn.microsoft.com_en-us_library_windows_desktop_ms633520_v_vs.85_.aspx]: https://msdn.microsoft.com/en-us/library/windows/desktop/ms633520%28v=vs.85%29.aspx
[https_msdn.microsoft.com_en-us_library_windows_desktop_ms633521_v_vs.85_.aspx]: https://msdn.microsoft.com/en-us/library/windows/desktop/ms633521%28v=vs.85%29.aspx
[Center 10]: /images/20220708/0314a2c4658c4d7a837f9f25089819f4.png
[https_msdn.microsoft.com_en-us_library_windows_desktop_ms633546_v_vs.85_.aspx]: https://msdn.microsoft.com/en-us/library/windows/desktop/ms633546%28v=vs.85%29.aspx
[Center 11]: /images/20220708/5dd90ce20666445e93e2ce922452fe9d.png
[Center 12]: /images/20220708/50ecb731b0da4f1581dd115809de879f.png
[Center 13]: /images/20220708/f0a4f2f1b88349e5a0bd3941b96bfb50.png
[Center 14]: /images/20220708/702082fb9c6342ca8a435ecaae05178c.png
[https_msdn.microsoft.com_en-us_library_windows_desktop_ff468925_v_vs.85_.aspx]: https://msdn.microsoft.com/en-us/library/windows/desktop/ff468925%28v=vs.85%29.aspx
[Center 15]: /images/20220708/ea011051b296442c961fafc27fbbe815.png
[Center 16]: /images/20220708/3cc4c0163eff41808d1aa83a1c4a89f1.png
[Center 17]: /images/20220708/5e6af8b9852b419b9683a86bb76e622b.png
[Center 18]: /images/20220708/8a8286425ad04237957e585142ebcc54.png
[Center 19]: /images/20220708/c915f4d2c2f14ebd891513586dd59991.png
[Center 20]: /images/20220708/587a6b9393bb40348630d944cff31dac.png
[Center 21]: /images/20220708/54598c520d274bf3b09b2ac7e9a958de.png
[Center 22]: /images/20220708/7b7e47171e1544c19923ad20900b7bca.png
[Center 23]: /images/20220708/2e8ccc7129754f65b909587e51ee096e.png
[Center 24]: /images/20220708/9f329d90ba644b0e89f2f2e481162e64.png
[Center 25]: https://img-blog.csdn.net/20170310164338293?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvbWljcm96b25l/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center
[Center 26]: https://img-blog.csdn.net/20170310164342433?watermark/2/text/aHR0cDovL2Jsb2cuY3Nkbi5uZXQvbWljcm96b25l/font/5a6L5L2T/fontsize/400/fill/I0JBQkFCMA==/dissolve/70/gravity/Center
[Center 27]: /images/20220708/6e6712a953774d42ab9fed402ca5e753.png
[Center 28]: /images/20220708/088e6717e83548b4946195d735c4966f.png
[Center 29]: /images/20220708/4553fdac704544d884d47301c46411b8.png