【2021春节】解题领红包之二 Windows 初级题

hwjoy009 · 发表于 2021-3-1 21:39

本帖最后由 hwjoy009 于 2021-3-2 20:59 编辑

解题领红包之二 Windows 初级题

此题是一道PE逆向题，本文按常规思路来解。
打开发现提示输入密码。
图片1.png

拖入查壳工具 Exeinfo PE
图片2.png
发现有UPX压缩壳，32位的PE文件

使用x32dbg软件打开
图片3.png

断在入口点 pushad 上
自然想到去找 popad
图片4.png

搜索代码找到 popad，发下下面有一个大跳转 jmp
图片5.png

单步步过，找到 OEP
图片6.png

使用x32dbg自带的插件 Scylla
Inked图片7_LI.jpg

Dump -> Fix Dump
得到CrackMe_dump_SCY.exe，但是发现打不开

使用CFF Explorer 打开
图片8.png

勾选 Relocation info stripped from file
保存替换原程序
成功脱壳

使用IDA Pro (32-bit)打开脱壳后的文件
查找字符串找到 "Success" 字符串
图片9.png

分析代码可得，大致思路是输入的字符串和另一个字符串比较相等，输出 Success

使用x32dbg软件打开脱壳后的文件
查找字符串，发现有两个地方打印了"Error, please try again"
在字符串前的跳转语句分别打上软件断点
程序窗口内随便输入字符串进行调试，断点断在某一个跳转
修改zf寄存器的值跳过失败的逻辑
图片10.png

继续单步跟踪，发现调用了某两个函数之后，堆栈窗口打印出了
0019FEAC 006993C0 "2021HappyNewYear52PoJie"
图片12.png

猜测flag是此（并且之前的静态分析可得比较的字符串长度为23）
（其实不用脱壳也能跟到这些）
输入测试，正确
图片11.png

佚名RJ · 发表于 2021-3-2 09:50

hwjoy009 发表于 2021-3-1 21:53
最后一个多出来的图片怎么都删不掉

你这个图片5，应该是插错位置了，不用删除可以调整一下，
不会调的话就找到图片5删了，再上传后插入到合适的位置。

wtanywn · 发表于 2021-3-1 22:06

搜索代码找到 popad，发下下面有一个大跳转 jmp

单步步过到，找到 OEP。这两步的截图呢没找到啊，最好更详细些，标注些更好
------新手小白

hwjoy009 · 发表于 2021-3-1 21:53

最后一个多出来的图片怎么都删不掉

gunxsword · 发表于 2021-3-1 22:07

我没脱,直接带壳搞的,稀里糊涂过的!

梦旅意中人 · 发表于 2021-3-1 23:11

感谢楼主分享经验，一起学习进步

weilai1917 · 发表于 2021-3-2 08:55

，厉害。

chenerndong · 发表于 2021-3-2 09:08

感觉大佬分享，我脱壳脱了半天，

yilesoft · 发表于 2021-3-2 09:31

反正我是没有脱壳成功，也就卡住了

PriceXiao · 发表于 2021-3-2 09:40

这项游戏感觉不适合我

帐号		自动登录	找回密码
密码			注册[Register]