re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除

新手一枚,如有错误(不足)请指正,谢谢!!
个人博客:点击进入
题目链接:[HDCTF2019]Maze
题目下载:点击下载

IDA载入
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第1张图片
可以看出这应该是关键代码的一部分。

这里jnz跳转到了下一行代码,相当于没跳转
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第2张图片
而下面的call near ptr 0EC85D78Bh调用了一个不是地址的地址,可以推断出这段代码添加了花指令,IDA分析失败了。

可以确定这个jnz指令是花指令,还有下面的call指令。
先将jnz指令nop掉。
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第3张图片
之后就是这个call指令,不能全部nop,因为后面那个东西可能是有效代码。摁d将其先转换为字节数据。
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第4张图片
经过试验(先将第一个数据nop掉再转成代码,不行再将前俩数据nop……)
发现 db 0E8h这条指令是添加的花指令,将其nop掉
nop掉之后IDA自动的将后面的数据转换为代码数据
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第5张图片
此时数据地址是红色的,将关键代码全部选中,摁p键将其声明为函数
然后就可以F5伪代码了
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第6张图片
根据题目maze可知这是一个迷宫题。
控制的有两个数据,一个是dword_408078,另一个是dword_40807C
双击进去查看初始数据。
初始状态:
dword_408078=7
dword_40807C=0
然后经过14次移动需要使
dword_408078=5
dword_40807C=-4
然后在内存中找到迷宫
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第7张图片
提取出来排列之后
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第8张图片
基准点和平常有点不一样……
用wasd控制行走,dword_408078控制左右,dword_40807C控制上下。
s是上,w是下,a是右,d是左。
行走路径为ssaaasaassdddw
则flag为flag{ssaaasaassdddw}
re学习笔记(34)BUUCTF-re-[HDCTF2019]Maze 花指令去除_第9张图片

参考资料:IDA学习经验和实战记录–手过花指令(1)
IDA学习经验和实战记录–手过花指令(2)

你可能感兴趣的:(ctf小白成长ing,#,reverse)