高校战“疫” 天津垓
查壳
这个程序根据后面的分析是属于自解密一类的的程序，
这个程序在我电脑上跑不起来，搞了半天环境就是跑不起来
算了直接拖入IDA分析
进到入口函数
然后进入sub_100401B2F
接着进入sub_1004011F6()，这个函数是第一个key的check
解密代码
a = "Rising_Hopper!"
tt = [17,8,6,10,15,20,42,59,47,3,47,4,16,72,62,0,7,16]
tmp = []
for j in range(len(tt)):
for i in range(32,127):
if tt[j] == ~(i & ord(a[j%14])) & (i | ord(a[j%14])):
tmp.append(i)
print(tmp)
#第一个key为Caucasus@s_ability
#[67, 97, 117, 99, 97, 115, 117, 115, 64, 115, 95, 97, 98, 105, 108, 105, 116, 121]
这个函数对用户第一个输入Str进行检测，然后如果不对就直接退出，那么会不会在别的地方也用到了Str，对Str进行交叉引用
发现还有两个函数使用了Str，跟过去看下
发现这个函数的作用应该是属于自解密的，这个函数有三个参数，再通过交叉引用，跟到上一层，看下他的三个参数分别是啥
结合sub_100401506这个函数分析得知，第一个参数应该就是加密了的程序代码，第二个应该就是修改的字节数，第三个就是用户输入的那个第一个key；
而且sub_100401A6C这个函数最后还有对这个byte_10040164D进行函数调用的代码；代码段有一大段数据，这很不正常，说明这里的数据是被加密的函数
根据sub_100401506，写IDAPython脚本对byte_10040164D这段代码进行解密
a = [67, 97, 117, 99, 97, 115, 117, 115, 64, 115, 95, 97, 98, 105, 108, 105, 116, 121]
start = 0x10040164D
for i in range(1045):
patch_byte(start+i,Byte(start+i) ^ a[i%18])
在IDA中运行解密代码
然后回到byte_10040164D处，按C,把数据转换为代码
接着按P，把这个段代码转换为函数
然后此处就可以F5看伪代码了
这里就是flag校验的逻辑代码
我写了个脚本进行爆破
a = """ v9 = 0x1EA272;
v10 = 0x206FC4;
v11 = 0x1D2203;
v12 = 0x1EEF55;
v13 = 0x24F111;
v14 = 0x193A7C;
v15 = 0x1F3C38;
v16 = 0x21566D;
v17 = 0x2323BF;
v18 = 0x2289F9;
v19 = 0x1D2203;
v20 = 0x21098A;
v21 = 0x1E08AC;
v22 = 0x223D16;
v23 = 0x1F891B;
v24 = 0x2370A2;
v25 = 0x1E558F;
v26 = 0x223D16;
v27 = 0x1C883D;
v28 = 0x1F891B;
v29 = 0x2289F9;
v30 = 0x1C883D;
v31 = 0xEB773;
v32 = 0xE6A90;
v33 = 0xE6A90;
v34 = 0xE6A90;
v35 = 0xB1CCF;
v36 = 0x1C883D;
v37 = 0x2289F9;
v38 = 0x22D6DC;
v39 = 0x223D16;
v40 = 0x21566D;
v41 = 0x21098A;
v42 = 0x1EEF55;
v43 = 0x1E558F;
v44 = 0x223D16;
v45 = 0x1C883D;
v46 = 0x22D6DC;
v47 = 0x1F3C38;
v48 = 0x1D2203;
v49 = 0x21098A;
v50 = 0x1C883D;
v51 = 0x24A42E;
v52 = 0x1E558F;
v53 = 0x223D16;
v54 = 0x21566D;
v55 = 0xD83E7;
v56 = 0x21566D;
v57 = 0x21098A;
v58 = 0x1E558F;
v59 = 0x258AD7;"""
import re
pt = re.compile(r"= (.*?);")
tmp = pt.findall(a)
flag = ""
for i in range(51):
for j in range(32,127):
if int(tmp[i],16) == (0x4ce3 * j % 0x8000000B):
flag += chr(j)
break
print(flag)
flag{
Thousandriver_is_1000%_stronger_than_zero-one}