MoeCTF 2023 Reverse题解
Reverse入门指北
搜索main函数跟进
双击跟进aMoectfF1rstSt3
得到flag
base_64
python反编译 - Online Tools
使用在线软件反编译
就是一个变换编码表的base64加密
直接用现有的工具解密
UPX!
查壳，加了UPX壳，直接用官网工具脱壳
打开字符串窗口，跟进敏感字符串
在aWelcomeToMoect，按X交叉引用，找到主要逻辑的函数
加密函数就是一个异或
直接写脚本爆破
data=[0x0A, 0x08, 0x02, 0x04, 0x13, 0x01, 0x1C, 0x57, 0x0F, 0x38,
0x1E, 0x57, 0x12, 0x38, 0x2C, 0x09, 0x57, 0x10, 0x38, 0x2F,
0x57, 0x10, 0x38, 0x13, 0x08, 0x38, 0x35, 0x02, 0x11, 0x54,
0x15, 0x14, 0x02, 0x38, 0x32, 0x37, 0x3F, 0x46, 0x46, 0x46,
0x1A]
for i in data:
print(chr(i^0x67),end="")Xor
同样从字符串窗口，跟踪找到主要逻辑函数
直接异或解密
data=[0x54, 0x56, 0x5C, 0x5A, 0x4D, 0x5F, 0x42, 0x60, 0x56, 0x4C,
0x66, 0x52, 0x57, 0x09, 0x4E, 0x66, 0x51, 0x09, 0x4E, 0x66,
0x4D, 0x09, 0x66, 0x61, 0x09, 0x6B, 0x18, 0x44]
for i in data:
print(chr(i^0x39),end="")ANDROID
使用jadx反编译，很多kali自带
找到MainActivity
也是一个异或加密逻辑
enc = ['\u0019', '\u0007', '\u0000', '\u000E', '\u001B', '\u0003', '\u0010', '/', '\u0018', '\u0002', '\t', ':',
'\u0004', '\u0001', ':', '*', '\u000B', '\u001D', '\u0006', '\u0007', '\f', '\t', '0', 'T', '\u0018', ':',
'\u001C', '\u0015', '\u001B', '\u001C', '\u0010']
key = ['t', 'h', 'e', 'm', 'o', 'e', 'k', 'e', 'y']
# 将整数列表中的每个元素转换为字符串，然后获取其ASCII值
enc_int = bytearray(ord(str(i)) for i in enc)
for i in range(len(enc_int)):
print(chr(enc_int[i]^ord(key[i%len(key)])),end="")RRRRRc4
很明显就是一个RC4加密，用IDA找到密钥和密文就可以了
密钥是moectf2023，密文在byte_140196000，加密函数是sub_140075052
def rc4_decrypt(ciphertext, key):
S = list(range(256))
j = 0
res = []
for i in range(256):
j = (j + S[i] + key[i % len(key)]) % 256
S[i], S[j] = S[j], S[i]
i = j = 0
for byte in ciphertext:
i = (i + 1) % 256
j = (j + S[i]) % 256
S[i], S[j] = S[j], S[i]
k = S[(S[i] + S[j]) % 256]
res.append(byte ^ k)
return bytes(res)
ciphertext = [0x1B, 0x9B, 0xFB, 0x19, 0x06, 0x6A, 0xB5, 0x3B, 0x7C, 0xBA,
0x03, 0xF3, 0x91, 0xB8, 0xB6, 0x3D, 0x8A, 0xC1, 0x48, 0x2E,
0x50, 0x11, 0xE7, 0xC7, 0x4F, 0xB1, 0x27, 0xCF, 0xF3, 0xAE,
0x03, 0x09, 0xB2, 0x08, 0xFB, 0xDC, 0x22]
key = b'moectf2023'
plaintext = rc4_decrypt(ciphertext, key)
print("解密结果：", plaintext.decode())SMC
找到main函数
加密函数是sub_401023
发现加载不出代码来，其实是代码被加密了，IDA识别不了加密了的代码
之前执行的sub_401550就是一个解密函数，动态调试跑完这个解密函数，就可以得到解密了的代码了
下断点，调试
输入假flag，回车
然后找到函数地址
选中红色区域，按下C，Analyze分析为代码
然后再选中，按下P，设置为函数
然后按下F5反编译
就是一个异或逻辑
直接异或解密就可以
junk_code
32位文件
可以看到sub_45A9A0(Str, 18) && sub_459EBF(v5, 18)应该是加密函数
没加载出来是因为花指令，我们修改一下花指令
这种jz后面loc_460612+1，这个+1就是有问题，明明有一个字节跳过没有执行，但是IDA分析了这个脏字节，导致反汇编出错了
跳过的那个脏字节是call指令的字节，就是E8，我们把E8改成90，就是nop，空指令
然后选中这片区域，按下P识别为一个函数，F5反编译
另一处
将jz jnz全部nop掉
再将call 这个字节nop掉
同样操作得到了函数
然后写解密脚本
str="hj`^oavt+pZm`h+q._"
data=[0x39, 0x12, 0x0E, 0x55, 0x39, 0x0C, 0x13, 0x08, 0x0D, 0x39,
0x05, 0x56, 0x02, 0x55, 0x47, 0x47, 0x47, 0x1B]
flag=""
for i in range(len(str)):
flag+=chr(ord(str[i])+5)
for i in data:
flag+=chr(i^0x66)
print(flag)RUST
找到main函数，RUST写的看起来有点麻烦
看到一串像是密文的东西
看到一个0x88
跟进去确实是异或
别的函数浏览了一下，都像是库函数，系统函数，只有这一个应该是加密逻辑
我们用这个密文异或一下0x88试试
data=[0xE5, 0xE7, 0xED, 0xEB, 0xFC, 0xEE, 0xF3, 0xDA,
0xFD, 0xFB, 0xFC, 0xD7, 0xFA, 0xED, 0xFE, 0xD7,
0xFF, 0xE1, 0xE4, 0xE4, 0xD7, 0xEA, 0xED, 0xD7,
0xE9, 0xFF, 0xEE, 0xFD, 0xB9, 0xF5]
for i in data:
print(chr(i^0x88),end="")确实得到了flag
ezAndroid
还是找到MainActivity
关键函数是check，双击进入
看到上面的定义
这个函数是定义在native层的，不是java层
将apk后缀改为zip，解压
将so文件拖入IDA分析
64位文件
很少的几个函数
找到了加密函数，发现是个迷宫，asdw操控
应该是15个为一行
这个迷宫的路径就是flag
ssaassssdddddwwddddssss
GUI
data= [0x0F, 0x3E, 0x30, 0x27, 0x13,0x01, 0x7D, 0x70, 0x70, 0x03,0x7D, 0x38, 0x0E, 0x7A, 0x23,0x7C, 0x0B, 0x1A, 0x3C, 0x7D,0x39, 0x7F, 0x3C, 0x4D, 0x4D,0x4D, 0x29]
for i in data:
print(chr((i ^ 0x51) + 5), end='')