南京郵電大學 CTF 逆向部分 Writeup

Hello,RE!

提示 IDA 中按 R 。
Google 到 IDA 中 R 快捷鍵是 Character ，轉為字符串。
丟進 IDA（雖然我並不會使用 IDA

有個 strcmp 函數，比較 v4 和 v5 地址的。選中 v5 ，發現倒序的 flag 字樣。
得到 Flag 為 flag{Welcome_To_RE_World!}

ReadAsm2

main函數部分：

int main(int argc, char const *argv[])
{
  char input[] = {0x0,  0x67, 0x6e, 0x62, 0x63, 0x7e, 0x74, 0x62, 0x69, 0x6d,
                  0x55, 0x6a, 0x7f, 0x60, 0x51, 0x66, 0x63, 0x4e, 0x66, 0x7b,
                  0x71, 0x4a, 0x74, 0x76, 0x6b, 0x70, 0x79, 0x66 , 0x1c};
  func(input, 28);
  printf("%s\n",input+1);
  return 0;
}

ASM中文件內容（func函數）

00000000004004e6 <func>:
  4004e6: 55                    push   rbp
  4004e7: 48 89 e5              mov    rbp,rsp
  4004ea: 48 89 7d e8           mov    QWORD PTR [rbp-0x18],rdi
  4004ee: 89 75 e4              mov    DWORD PTR [rbp-0x1c],esi
  4004f1: c7 45 fc 01 00 00 00  mov    DWORD PTR [rbp-0x4],0x1
  4004f8: eb 28                 jmp    400522 <func+0x3c>
  4004fa: 8b 45 fc              mov    eax,DWORD PTR [rbp-0x4]
  4004fd: 48 63 d0              movsxd rdx,eax
  400500: 48 8b 45 e8           mov    rax,QWORD PTR [rbp-0x18]
  400504: 48 01 d0              add    rax,rdx
  400507: 8b 55 fc              mov    edx,DWORD PTR [rbp-0x4]
  40050a: 48 63 ca              movsxd rcx,edx
  40050d: 48 8b 55 e8           mov    rdx,QWORD PTR [rbp-0x18]
  400511: 48 01 ca              add    rdx,rcx
  400514: 0f b6 0a              movzx  ecx,BYTE PTR [rdx]
  400517: 8b 55 fc              mov    edx,DWORD PTR [rbp-0x4]
  40051a: 31 ca                 xor    edx,ecx
  40051c: 88 10                 mov    BYTE PTR [rax],dl
  40051e: 83 45 fc 01           add    DWORD PTR [rbp-0x4],0x1
  400522: 8b 45 fc              mov    eax,DWORD PTR [rbp-0x4]
  400525: 3b 45 e4              cmp    eax,DWORD PTR [rbp-0x1c]
  400528: 7e d0                 jle    4004fa <func+0x14>
  40052a: 90                    nop
  40052b: 5d                    pop    rbp
  40052c: c3                    ret

先 Mark 一記可能會關閉的網站：http://www.aogosoft.com/

逐行注釋：

分析過程記錄：

1.main() 部分

0x 表示十六進制。
flag 是對此 input 數組的操作組合而成。

http://www.bluesock.org/~willg/dev/ascii.html

2.函數調用部分

4004e6：表示該指令對應的虛擬內存地址
55：該指令對應的計算機指令

函數調用過程：

入棧，將寄存器的值壓入調用 bp 棧中
建立新棧幀，別掉函數棧幀棧底地址放入寄存器

實現

 push   rbp
 mov    rbp,rsp

寄存器類型：

ax(accumulator): 可用於存放函數返回值
bp(base pointer): 用於存放執行中的函數對應的棧幀的棧底地址
sp(stack poinger): 用於存放執行中的函數對應的棧幀的棧頂地址
ip(instruction pointer): 指向當前執行指令的下一條指令

前綴加上 r 表示 64 位， e 表示 32 位，使用時表示該寄存器存儲 xx 位的數據。

3.執行過程

00000000004004e6 <func>:
  4004e6: 55                    push   rbp                         /*函數調用
  4004e7: 48 89 e5              mov    rbp,rsp                              */
  4004ea: 48 89 7d e8           mov    QWORD PTR [rbp-0x18],rdi       //rdi 存第一個參數
  4004ee: 89 75 e4              mov    DWORD PTR [rbp-0x1c],esi       //esi 存第二個參數
  4004f1: c7 45 fc 01 00 00 00  mov    DWORD PTR [rbp-0x4],0x1        //在[rbp-0x4]寫入 0x1
  4004f8: eb 28                 jmp    400522 <func+0x3c>
  4004fa: 8b 45 fc              mov    eax,DWORD PTR [rbp-0x4]         //把[rbp-0x4]的值送入 eax ,即 eax = 1
  4004fd: 48 63 d0              movsxd rdx,eax                         //擴展,傳送 rdx=1
  400500: 48 8b 45 e8           mov    rax,QWORD PTR [rbp-0x18]        //第一個參數 [rbp-0x18]，rax=input[0]
  400504: 48 01 d0              add    rax,rdx                         //rax = input[1]
  400507: 8b 55 fc              mov    edx,DWORD PTR [rbp-0x4]         //第 6 行中存儲的 0x1 ,傳入 edx ,即 edx =1
  40050a: 48 63 ca              movsxd rcx,edx                          //rcx=1
  40050d: 48 8b 55 e8           mov    rdx,QWORD PTR [rbp-0x18]         // rdx = input[0]
  400511: 48 01 ca              add    rdx,rcx                          //rdx += rcx ,rdx = input[1]
  400514: 0f b6 0a              movzx  ecx,BYTE PTR [rdx]               //ecx = input[1]
  400517: 8b 55 fc              mov    edx,DWORD PTR [rbp-0x4]          //edx = 0x1 
  40051a: 31 ca                 xor    edx,ecx                          //edx ^= ecx ,原先 ecx 為 1100111，edx 為 0000001，操作后 edx 為 1100110，即 f
  40051c: 88 10                 mov    BYTE PTR [rax],dl                //rax = dl
  40051e: 83 45 fc 01           add    DWORD PTR [rbp-0x4],0x1          //[rbp-0x4]處為 0x1
  400522: 8b 45 fc              mov    eax,DWORD PTR [rbp-0x4]          //把[rbp-0x4]的值送入 eax
  400525: 3b 45 e4              cmp    eax,DWORD PTR [rbp-0x1c]         // 比較操作，將[rbp-0x1c] 處的值和eax的值作差
  400528: 7e d0                 jle    4004fa <func+0x14>               //eax < 28 時跳轉至 4004fa   func(input, 28);
  40052a: 90                    nop
  40052b: 5d                    pop    rbp
  40052c: c3                    ret

• -word 表示字
  q 四字 d 雙字
  dword qword

dword 2*16 =32 位
qword 4*16 = 64 位 

• PTR 指針（pointer）
  沒有寄存器名時， X ptr 指明內存單元的長度，X 在匯編指令中可以為word 或 byte 。

• 內存地址

[rbp-0x18]

• 涉及指令

1.movsxd 指令為擴展至零
將32位的寄存器和內存操作數符號擴展到64位的寄存器
2.邏輯異或運算指令 XOR 
XOR OPRD1,OPRD2 
實現兩個操作數按位‘異或’(異為真,相同為假)運算,結果送至目的操作數中.
OPRD1<--OPRD1 XOR OPRD2
3.JLE
 小於等於時轉移

操作行為鏈：

rdx——rax
edx——rcx
rcx——rdx 作為累加

總而言之，func函數部分進行的操作是
遍歷數組，將一個值和該值的前一個值進行異或運算，得到這個具體字母。

input = [0x67,0x6e,0x62,0x63,0x7e,0x74, 0x62, 0x69, 0x6d, 0x55, 0x6a, 0x7f, 0x60, 0x51, 0x66, 0x63, 0x4e, 0x66, 0x7b,0x71, 0x4a, 0x74, 0x76, 0x6b, 0x70, 0x79, 0x66 , 0x1c]
flag = ""
for x in range(1,28):
    flag = flag + chr(input[x-1]^ x)
print flag

文章MD文件備份：
鏈接: http://pan.baidu.com/s/1nvPkNOH 密碼: 84dp

參考資料：
http://www.cnblogs.com/clover-toeic/p/3755401.html
http://www.cnblogs.com/bangerlee/archive/2012/05/22/2508772.html
http://book.51cto.com/art/201210/359678.htm