ezre#

首先打开题，找到main函数，简单分析发现有RC4加密以及变表base64加密

那么整道题围绕RC4进行

提取s1 = v4

1
3pn1Ek92hmAEg38EXMn99J9YBf8=

变表base64用厨子梭了

得到解密后的数据

1
0f3c4175724253065d4c321d2a5c4926224b6922

下断点进行调试，把刚刚的数据past data给input，再F8步过

得到flag

vm？#

DIE查询是有UPX壳的，UPX -d一键去壳没有成功(当时就卡开头了)

再次学习修改并去除魔改UPX壳[原创] UPX源码学习和简单修改-加壳脱壳-看雪-安全社区|安全招聘|kanxue.com

再次010editor打开这里overlay_offset值为p_info字段的文件偏移

改为F4 00 00 00就可以正常去壳了

找到main函数，审计可以得到

1
void __fastcall __noreturn main(int a1, char **a2, char **a3)
2
{
3
  __int64 v3[2]; // [rsp+0h] [rbp-10h] BYREF
4

5
  v3[1] = __readfsqword(0x28u);
6
  setvbuf(stdin, 0LL, 2, 0LL);
7
  setvbuf(stdout, 0LL, 2, 0LL);
8
  setvbuf(stderr, 0LL, 2, 0LL);                 // 初始化
9
  sub_19C9();                                   // print字符画
10
  v3[0] = 0LL;
11
  sub_1815((__int64)v3);                        // code
12
  printf("What's the flag? ");
13
  read(0, (char *)input + 512, 0x20uLL);        // scanf
14
  sub_1989(v3);
15
  sub_19E3();                                   // 校验flag
16
}

点开sub_1815

点开sub_1989

result == 0xF8这里0xF8是opcode的最后一位

这里分析出来opcode就是在box中储存，在fun中形成汇编语言进行加密

分析这段代码上者在v3的地址4，6，8…18这八个位置存储了 -16，-15…，-9这几个值下面的在v3地址5，7，9…19这八个位置存储了上面的八个函数

根据分析，在sub_1989函数里面的sub_1916函数用到了这十六个位置，条件就是如果这个result的值为*a1[3]（这个值就是box[0]是0xF0）的话返回v3奇数（函数）参数为a1，如果是其他值就返回v3偶数位

这时候使用动调得到了结论，box中的一条完整的指令是在大于0xF0的机器码之间实现的，不同的0xF*就对应不同指令

继续动调，总结出八个函数对应指令

1
0xF0, 0xE0, 0x02, 0x00,
2
0xF0, 0xE0, 0x00, 0xE0, 0x02,
3
0xF0, 0xE1, 0xE0, 0x02, 0xE0, 0x02,
4
0xF0, 0xE0, 0x01, 0x10,
5
0xF2, 0xE0, 0x00, 0xE0, 0x01,   //F2:执行了 v1 = a1[0] % a1[1]
6
0xF1, 0xE0, 0x00, 0x20, 0x02,   //普通的F1:执行了((*(a1[3] + 4) << 8) + *(a1[3] + 3)) + *(a1 + v3);
7
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x00, //长度为6的F0:两次E0判断，然后v3 = input[0]
8
0xF0, 0xE0, 0x01, 0xE0, 0x02,   //长度为5的F0:a1[1] = a1[2]
9
0xF1, 0xE0, 0x01, 0x00, 0x01,    //F1翻译:a1[1] = 2 * a1[1]
10
0xF0, 0xE1, 0xE0, 0x01, 0xE0, 0x00,
11
0xF3, 0xE0, 0x02,               //F3:给寄存器a1[2]加1
12
0xF6, 0xE0, 0x02, 0x00, 0x01,   //F6:前者寄存器的值小于 256，那么就把a1[4]的值变成1
13
0xF7, 0x04,                     //循环跳转，如果没有大于256，那么就跳转到上面的第二行代码
14

15
0xF0, 0xE0, 0x02, 0x00,
16
0xF0, 0xE0, 0x03, 0x00,
17
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x02, //循环跳转处
18
0xF1, 0xE0, 0x03, 0xE0, 0x00,  //遇到了0xE0的F1 :执行了*(a1 + *(a1[3] + 4)) + *(a1 + v3);
19
0xF0, 0xE0, 0x00, 0xE1, 0x02,
20
0xF1, 0xE0, 0x00, 0x00, 0x01,
21
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x00,
22
0xF1, 0xE0, 0x03, 0xE0, 0x00,
23
0xF2, 0xE0, 0x03, 0x00, 0x01,
24
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x02,
25
0xF0, 0xE0, 0x01, 0xE1, 0xE0, 0x03,
26
0xF0, 0xE1, 0xE0, 0x03, 0xE0, 0x00,
27
0xF0, 0xE1, 0xE0, 0x02, 0xE0, 0x01,
28
0xF3, 0xE0, 0x02,
29
0xF6, 0xE0, 0x02, 0x00, 0x01,   小于256
30
0xF7, 0x45,                //F7:结束之后跳转到到上面循环跳转处
31

32
0xF0, 0xE0, 0x02, 0x00,
33
0xF0, 0xE0, 0x03, 0x00,   //循环跳转处
34
0xF3, 0xE0, 0x02,
35
0xF2, 0xE0, 0x02, 0x00, 0x01,
36
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x02,
37
0xF1, 0xE0, 0x03, 0xE0, 0x00,
38
0xF2, 0xE0, 0x03, 0x00, 0x01,
39
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x02,
40
0xF0, 0xE0, 0x01, 0xE1, 0xE0, 0x03,
41
0xF0, 0xE1, 0xE0, 0x03, 0xE0, 0x00,
42
0xF0, 0xE1, 0xE0, 0x02, 0xE0, 0x01,
43
0xF1, 0xE0, 0x00, 0xE0, 0x01,
44
0xF2, 0xE0, 0x00, 0x00, 0x01,
45
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x00,
46
0xF0, 0xE0, 0x01, 0xE0, 0x02,
47
0xF4, 0xE0, 0x01,                  //F4:让寄存器a1[1]减1
48
0xF1, 0xE0, 0x01, 0x00, 0x02,
49
0xF0, 0xE0, 0x01, 0xE1, 0xE0, 0x01,
50
0xF5, 0xE0, 0x00, 0xE0, 0x01,      //F5:异或操作 a1[0] ^= a1[1]
51
0xF1, 0xE0, 0x00, 0xE0, 0x02,      //这里是RC4魔改的地方，一般的RC4在最后的异或之后就会进行
52
0xF0, 0xE0, 0x01, 0xE0, 0x02,        下一次循环，这里还有别的操作。
53
0xF4, 0xE0, 0x01,
54
0xF1, 0xE0, 0x01, 0x00, 0x02,
55
0xF0, 0xE1, 0xE0, 0x01, 0xE0, 0x00,
56
0xF0, 0xE0, 0x01, 0xE0, 0x02,
57
0xF4, 0xE0, 0x01,
58
0xF6, 0xE0, 0x01, 0x20, 0x00,    //特殊的F6:这里是a1[1] < 0x20(36)就是我们的input长度
59
0xF7, 0x94,
60

61
0xF8,                              //结束指令

F0 MOV F1 ADD F2 MOD取余 F3 INC递加1 F4 DEC递减1 F5 XOR F6 CMP F7 JMP

翻译如下：(by 咸鱼渊Yuan)

1
0xF0, 0xE0, 0x02, 0x00,                mov a[2] 0
2
0xF0, 0xE0, 0x03, 0x00,   //循环跳转处  mov a[3] 0 新的寄存器
3
0xF3, 0xE0, 0x02,                      a[2] ++  //推断出a2就是循环加的i
4
0xF2, 0xE0, 0x02, 0x00, 0x01,          a[2] %= (256 + 0)  a3可能就是循环的j
5
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x02,    a[0] = input[a[2]]
6
0xF1, 0xE0, 0x03, 0xE0, 0x00,          a[3] += a[0]
7
0xF2, 0xE0, 0x03, 0x00, 0x01,          a[3] %= (256 + 0)
8
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x02,    a[0] = input[a[2]]     交
9
0xF0, 0xE0, 0x01, 0xE1, 0xE0, 0x03,    a[1] = input[a[3]]     换
10
0xF0, 0xE1, 0xE0, 0x03, 0xE0, 0x00,    input[a[3]] = a[0]     函  input其实就是box的角色
11
0xF0, 0xE1, 0xE0, 0x02, 0xE0, 0x01,    input[a[2]] = a[1]     数
12
0xF1, 0xE0, 0x00, 0xE0, 0x01,          a[0] += a[1]
13
0xF2, 0xE0, 0x00, 0x00, 0x01,          a[0] %= (256 + 0)
14
0xF0, 0xE0, 0x00, 0xE1, 0xE0, 0x00,    a[0] = input[a[0]]
15
0xF0, 0xE0, 0x01, 0xE0, 0x02,          a[1] = a[2]
16
0xF4, 0xE0, 0x01,                      a[1] --
17
0xF1, 0xE0, 0x01, 0x00, 0x02,          a[1] += 0x200 （512）
18
0xF0, 0xE0, 0x01, 0xE1, 0xE0, 0x01,    a[1] = input[a[1]]
19
下面是RC4异或加密部分:
20
0xF5, 0xE0, 0x00, 0xE0, 0x01,            a1[0] ^= a1[1]   a0貌似才是我们输入的数据
21
0xF1, 0xE0, 0x00, 0xE0, 0x02,            a1[0] += a1[2]   关键就是这里，他在这多了一步加密
22
0xF0, 0xE0, 0x01, 0xE0, 0x02, mov a1 a2  a1[1]  = a1[2]
23
0xF4, 0xE0, 0x01,               sub      a1[1]--
24
0xF1, 0xE0, 0x01, 0x00, 0x02,            a1[1] += 0x200 （512）
25
0xF0, 0xE1, 0xE0, 0x01, 0xE0, 0x00,      input[a1[1]] = a1[0]         属于i=6的mov
26
0xF0, 0xE0, 0x01, 0xE0, 0x02,            a1[1] = a1[2]
27
0xF4, 0xE0, 0x01,               sub      a1[1]--
28
0xF6, 0xE0, 0x01, 0x20, 0x00,            a1[1] < 36
29
0xF7, 0x94

魔改的RC4就是a1[0] += a1[2] 这一步的代码

加密的最后一步异或相当于a1[0] = (a1[0] ^ a1[1]) + a1[2]

提取出key和data

得到脚本:

1
#include <stdio.h>
2
#include <string.h>
3

4
void rc4_init(unsigned char *s, unsigned char *key, unsigned long Len_k)
5
{
6
    int i = 0, j = 0;
7
    char k[256] = {0};
8
    unsigned char tmp = 0;
9
    for (i = 0; i < 256; i++)
10
    {
11
        s[i] = i;
12
        k[i] = key[i % Len_k];
13
    }
14
    for (i = 0; i < 256; i++)
15
    {
16
        j = (j + s[i] + k[i]) % 256;
17
        tmp = s[i];
18
        s[i] = s[j];
19
        s[j] = tmp;
20
    }
21
}
22

23
void rc4_crypt(unsigned char *Data, unsigned long Len_D, unsigned char *key, unsigned long Len_k)
24
{
25
    unsigned char s[256];
26
    rc4_init(s, key, Len_k);
27
    int i = 0, j = 0, t = 0;
28
    unsigned long k = 0;
29
    unsigned char tmp;
30
    int cc;
31
    for (k = 0; k < Len_D; k++)
32
    {
33
        i = (i + 1) % 256;
34
        cc = (Data[k] - i);
35
        j = (j + s[i]) % 256;
36
        tmp = s[i];
37
        s[i] = s[j];
38
        s[j] = tmp;
39
        t = (s[i] + s[j]) % 256;
40
        Data[k] = cc ^ s[t];
41
    }
42
}
43
void main()
44
{
45
    unsigned char key[] = "This_1s_f1lLllag";
46
    unsigned long key_len = sizeof(key) - 1;
47
    unsigned char data[] = {0x56, 0x54, 0xD9, 0xB5, 0xF3, 0xB1, 0xFD, 0x67, 0x15, 0xEE, 0xB0, 0x68, 0xB7, 0x2B, 0x4A, 0x64,
48
                            0x10, 0x27, 0x52, 0xDE, 0x43, 0x26, 0x0F, 0x2A, 0x41, 0x30, 0x75, 0x30, 0x98, 0x9E, 0x79, 0x5E};
49
    rc4_crypt(data, sizeof(data), key, key_len);
50
    for (int i = 0; i < 32; i++)
51
    {
52
        printf("%c", data[i]);
53
    }
54
    return;
55
}
56

57
// flag{711df52879efbcb8964b6056d926ea35}

Welcome!

ezre#

vm？#