CTF--2016XDCTF全国网络安全大赛之reverse5
0x01 题目介绍
题目名称
reverse5
题目描述
File: reverse5.exe
Size: 121344 bytes
File Version: 1.0.0.1
Modified: Friday, September 30, 2016, 01:24:54
MD5: 01C16460135B1BA4BCA48E3AB0173A17
SHA1: 06ACD42197A5F52A9CCFEC0B12EE52F647B1E71D
CRC32: 1D3A0115
0x02 解题要点
运行程序显示，随便输入数字字符串点击按钮，没有任何提示。
IDA载入看看，等待分析完成，选中代码部分，键盘F5实现伪代码转化。
然后找到入口函数_WinMain@16
进入之后到了主函数入口，红色标记位置是内部系统main函数的真正入口。
下面的才是真正的函数入口，也就是我们用户经常开发编写的代码入口函数winmain函数。
下图是进入主函数之后的主要代码部分
进入之后发现有线程函数创建，注意此处标记。跟踪进去，看线程函数实体。
也就是线程函数部分，是主要的执行体。
跟踪进去，看线程函数实体。发现主要是反调试和一些干扰花指令
IsDebuggerPresent函数 https://msdn.microsoft.com/en-us/library/ms680345.aspx
花指令函数和无用的代码分支
然后继续往下分析代码，左侧为命令参数，右侧为对话框入口。
说明程序接收了外部的命令行参数，实现了数据的输入。
底部有对应的窗口函数创建，就是一开始我们双击之后的用户输入编辑框和确认检查按钮。
注意DialogFunc函数，是一个窗口回调函数，实现的是消息的实体循环处理部分。不太懂的
可以看windows的消息机制。
进入窗体处理，ID为1001的情况下进入这个分支。发现有关键函数。
获取文本内容函数GetWindowTextA,
https://msdn.microsoft.com/en-us/library/windows/desktop/ms633520(v=vs.85).aspx
和计算文本长度函数GetWindowTextLengthA。
https://msdn.microsoft.com/en-us/library/windows/desktop/ms633521(v=vs.85).aspx
同样的，也发现使用了数据设置和退出函数。
SetWindowText函数 https://msdn.microsoft.com/en-us/library/windows/desktop/ms633546(v=vs.85).aspx
进入窗体处理，ID为2的情况下进入这个处理。发现有用户自定义的内部函数
进入窗体处理查看初始化，发现1001和1002为句柄赋值关键函数。
那么这之间到底有什么关联吗？多个ID可能触发多个事件。
文中没有解释的相关函数读者可以自己查阅微软官方文档。
https://msdn.microsoft.com/en-us/library/windows/desktop/ff468925(v=vs.85).aspx
然后联系前面的代码中出现的ID事件，那么分析发现1001的ID事件是个花指令干扰，
因为无论你怎么填写数据到输入框，都不能计算正确。因为没有获取此事件进行处理，
也就是根本没有读取你的输入窗口数据。因为1001标记是程序的按钮。
而1002才是输入框标记。
那么根据前面的分析，那么我们抛弃1001的思路，进入1002，发现并没有处理1002的事件代码。
于是陷入了死循环。此时，我们注意我们的程序前面分析的执行流程，发现有个窗口之前，
命令行指令数据操作，于是跳转到此处。byte_41B3B0可疑之处。
跟踪到此处变量引用的地方，发现在事件处理结束后，有代码操作。事件ID为无符号整数2。
进入此处，发现有对用户命令输入参数的代码处理过程，于是推断此处才是真正的逆向分析的考点。
经过程分析，跟踪调试。
过程和算法为des,base64算法和xor异或算法.执行顺序
sub_401020((int)&byte_41B3B0, v5, (int)&v7)//base64运算
sub_402DB0(&v7, (int)&v18)
//xor异或运算
sub_4024F0((int)&v7, v26, &v9, (int)v16)//des算法运算sub_402E20(&unk_41B370, v16)
//结果判断比较
密文数据比较追踪，&unk_41B370为静态存储的密文, v16则为用户输入之后进行运算后的密文。
相等即可。整理后为
对密文进行逆向解码，因为是对称加密算法可以还原。代码自行编写：
1 sub_4024F0((int)&v7, v26, &v9, (int)v16) //des算法运算
2 sub_402DB0(&v7, (int)&v18) //xor异或运算
3 sub_401020((int)&byte_41B3B0, v5, (int)&v7) //base64运算
结果输出为：
XDFLAG{this_1s_a_small_di8h_for_y0u_today!}
0x03 学习总结
此题目挖坑不少，选手必须清楚识别出干扰的花指令和冗余代码。
中间出现比较多的错误算法分支和事件消息处理。还有必须去除
反调试代码，方可减小阻力，实现快速解题。