解题速度太慢了，导致下午开始肝ta的时候，分数不过200了。
终端程序，无壳，gcc编译：
复制完vmtable之后进入调度算法：
|
1
2
3
4
5
6
7
8
9
10
|
int
__cdecl main(
int
argc,
const
char
**argv,
const
char
**envp)
{
int
table2;
// [esp+18h] [ebp-1D4h]
__main();
qmemcpy(&table2, byte_403040, 0x1C8u);
vm_operad(&table2,
'r'
);
puts
(
"good,The answer format is:flag {}"
);
return
0;
}
|
说是伪虚拟机，因为这个明显是仿照vm的意思自己完成switch小demo，没有寄存器也没啥调度算法：
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
|
int
__cdecl vm_operad(
int
*table,
int
a2)
{
int
result;
// eax
char
input[100];
// [esp+13h] [ebp-E5h]
char
v4[100];
// [esp+77h] [ebp-81h]
char
v5;
// [esp+DBh] [ebp-1Dh]
int
v6;
// [esp+DCh] [ebp-1Ch]
int
v7;
// [esp+E0h] [ebp-18h]
int
v8;
// [esp+E4h] [ebp-14h]
int
v9;
// [esp+E8h] [ebp-10h]
int
v10;
// [esp+ECh] [ebp-Ch]
v10 = 0;
v9 = 0;
v8 = 0;
v7 = 0;
v6 = 0;
while
( 1 )
{
result = v10;
if
( v10 >= a2 )
return
result;
switch
( table[v10] )
{
case
1:
v4[v7] = v5;
++v10;
++v7;
++v9;
break
;
case
2:
v5 = table[v10 + 1] + input[v9];
v10 += 2;
break
;
case
3:
v5 = input[v9] - LOBYTE(table[v10 + 1]);
v10 += 2;
break
;
case
4:
v5 = table[v10 + 1] ^ input[v9];
v10 += 2;
break
;
case
5:
v5 = table[v10 + 1] * input[v9];
v10 += 2;
break
;
case
6:
++v10;
break
;
case
7:
if
( v4[v8] != table[v10 + 1] )
// 最终比较
{
printf
(
"what a shame..."
);
exit
(0);
}
++v8;
v10 += 2;
break
;
case
8:
input[v6] = v5;
// 把之前的处理值放回到input中
++v10;
++v6;
break
;
case
10:
read(input);
// 先执行read函数
++v10;
break
;
case
11:
v5 = input[v9] - 1;
++v10;
break
;
case
12:
v5 = input[v9] + 1;
++v10;
break
;
default
:
continue
;
}
}
}
|
table:
int table[] = { 0x0A, 4, 0x10, 3, 5, 1, 4, 0x20, 8, 5, 3, 1, 3, 2, 0x8, 0x0B, 1, 0x0C, 8, 4, 4, 1, 5, 3, 8, 3, 0x21, 1, 0x0B, 8, 0x0B, 1, 4, 9, 8, 3, 0x20, 1, 2, 0x51, 8, 4, 0x24, 1, 0x0C, 8, 0x0B, 1, 5, 2, 8, 2, 0x25, 1, 2, 0x36, 8, 4, 0x41, 1, 2, 0x20, 8, 5, 1, 1, 5, 3, 8, 2, 0x25, 1, 4, 9, 8, 3,
0x20, 1, 2, 0x41,
8, 0x0C, 1, 7,
0x22, 7, 0x3F, 7,
0x34, 7, 0x32, 7,
0x72, 7, 0x33, 7,
0x18, 7, 0xA7, 0xFF, 0xFF, 0xFF, 7,
0x31, 7, 0xF1, 0xFF, 0xFF,
0xFF, 7, 0x28, 7, 0x84, 0xFF,
0xFF, 0xFF, 7, 0xC1, 0xFF, 0xFF, 0xFF, 7,
0x1E, 7, 0x7A };
第一个关键地方是case 7下的比较，table[10+1]明显每次比较的时候都是一个定值，动态时候记录下来：
断在4016E2处，动态调试记录每次eax值：
|
1
|
0x22,0x3F,0x34,0x32,0x72,0x33,0x18,0xFA7,0x31,0xF1，0x28,0xF84，0xC1,0x1E,0x7A
|
比较的关键是
而v4是case 1的时候保存。
所以分析一下指令：
table[1], 的read函数就是接收用户输入，然后4, 0x10, 3, 5, 1, 这样类似的一套就是一个handler，并且计算值等于最后比较的数组。
所有的handler：
|
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
|
10h ^ input[1]-5 = 22h
(20h ^input[2])*3=3Fh
input[3]-2-1=34h
(input[4]+1 )^4 =32 h
input[5]*3-21h=72h
input[6]-1-1=33h
9^input[7]-20=18
(51h +input[8])^24h=FA7
input[9]+1-1=31h
2*input[10]+25h=F1h
(36h+input[11]) ^41h =28h
(20h + input[12])*1=F84h
3*input[13]+25h=C1h
9^input[14]-20h=1E h
41h + input[15] +1 =7A h
|
757515121f3d478
没办法，师傅们都是秒题，我只能一个一个还原。