Flare-on-2016: challenge 1 逆向分析

煮酒fu

1.看下有没有壳子，,没有~~。

2.再来尝试下，输入任何字符，发现统统闪退。{:1_915:}

3.OD 附件，~~，ctrl + N ，发现了这个API，下个断点看看撒。


4.断下来了，跟进去分析。{:1_912:}

5.输入 123456


6.在这里套路就是跟进呗，看看看，悄悄那，然后，我发现了一些秘密~~{:1_914:}。
仔细看我的图中标志的数据。



大框架清晰了，深入分析。。。。。{:1_912:}，
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
7. 我在IDA里面先看下刚才注释的函数的整体框架，然后一目了然的发现了字符串比较。



8.所以重点要分析的是   call 00401260，字符串是怎么来的。

00401473  |.  FF15 08D04000 call    dword ptr [<&KERNEL32.ReadFile>] ; \ReadFile
00401479  |.  8B55 FC       mov     edx, dword ptr [ebp-4]
0040147C  |.  83EA 02       sub     edx, 2
0040147F  |.  52            push    edx
00401480  |.  8D85 6CFFFFFF lea     eax, dword ptr [ebp-94]
00401486  |.  50            push    eax
00401487  |.  E8 D4FDFFFF   call    00401260 ;

9. 这能难倒我么，呵呵，都是套路，
    I）    打开IDA
    II）   找到这个call，然后F5
    III）  但是当我看到函数的时候，我的心情是这样的，啥，啥，啥，这TM都是啥！！！！


10.  等我一会，我去分析下这个函数。

11. 当我看到这个数组，然后跟进的时候，发现了这个不是base64的数组么。。。。{:1_912:}，所以我猜测这个是base64的变形。。
      其实，我是看了官方的solution的，他说是base64，我这里也是验证下撒。



12. 接下来就是把这个c研究下了。      challenge 1 编码数组是"ZYXABCDEFGHIJKLMNOPQRSTUVWzyxabcdefghijklmnopqrstuvw0123456789+/";
      正确的password转换后为， "x2dtJEOmyjacxDemx2eczT5cVS9fVUGvWTuZWjuexjRqy24rV29q";
      所以，逆推下password，


13.好了， challenge1 分析完毕。

Hmily

@煮酒fu 怎么权限设置255？这样大家都无法阅读的。

煮酒fu

Hmily 发表于 2016-12-21 17:34
@煮酒fu 怎么权限设置255？这样大家都无法阅读的。

多谢提醒，因为当时帖子还没写完，所以权限设置的225，现在改回来了。

78450760

为了积分不懂也要水一下

Sound

Flare-on-2016  前一段时间 组团去玩了下 后来没什么时间就没进行了.