记一次失败的 reverse 经历

第一次做 CTF 逆向题，太难了！

我之前从来没打过 CTF。拿到这道题的时候毫无头绪，所以我只好到网上疯狂 Google 相关知识。可惜逆向这个东西是速成不了的，经过几周几次高并发尝试之后，我放弃了。

打这篇blog的时候再次失败了。打到一半电脑没电，几百字的 blog（近期最长啊！）就没了啊orz我恨

2022 Update: 现在这篇已经快 1k 字了！反咕咕大成功！

题源

司虎老师的《网络安全基础与应用》选做题 happyreverse：happyreverse

废话

剪掉了！（其实是因为压力太大，没力气再码一遍了）

最远尝试

损坏 rar 修复

在老师提供的课程主页上拿到 rar 的时候解压不了。刚开始的时候我是在 iPad 上解压的，换了 n 个软件也不行，回去用电脑仍然未果。所以我考虑这个压缩文件已经损坏。

用了两个小时，配置好 Windows 官方 VMware 虚拟机之后把它放入找的 rar 修复软件里，顺利修复（实际上用 WinHex 看了下前面有缺失的 HEX 字符，对应填补后就可以了）。解压后是 MFC 写的应用程序。

查壳

拿到 MFC 应用程序之后开始准备逆向，第一步应该是看下有没有加壳，所以找了 peid 看一下。

刚开始下的 peid 有毛病，告诉我是穿山甲壳，傻傻的信了：

所以找了 n 小时的破壳脚本和教程，没有任何进展。开始思考是不是根本就没壳，换了看起来正常一点的 peid 结果是没壳的（最后找老师确认也是这样）。

白跑一场，不过没壳是好事。

开始逆向

动态调试 ollydbg + 静态 IDA Pro。

IDA Pro 静态调试

逆向过后查 string 找到 flag 位置：

找到 data 段位置：

查交叉引用 XREF：

找到对应汇编代码段，反汇编试一下：

在标黄的地方。同时这个函数也是加/解密的主函数。

我已经将一些伪代码（未命名的）通过具体行为分析猜测它对应 C 的哪些函数了。重要代码段如下：

// 省略了前面的变量声明部分
__alloca_probe();
  v48 = a1;
  your_flag = (const WCHAR *)a3;
  v46 = (wchar_t *)a2;
  v45 = (unsigned int)&savedregs ^ __security_cookie;
  v3 = sub_407915();
  if ( v3 == 0 )
    return_error(-2147467259);	// 应该是初始化部分，如果没初始化成功就返回错误信息
  v4 = ((int (__thiscall *)(int (__stdcall ***)(int, int), unsigned int, wchar_t *, const WCHAR *))(*v3)[3])(
         v3,
         v45,
         v46,
         your_flag);
  *(_DWORD *)ArgList = v4 + 16;
  v49 = 0;
  v5 = *(_DWORD *)v4;
  if ( *(_DWORD *)(v4 + 4) )
  {
    if ( *(_DWORD *)(v4 + 12) >= 0 )
    {
      if ( _InterlockedDecrement((volatile signed __int32 *)(v4 + 12)) <= 0 )
        (*(void (__stdcall **)(int))(**(_DWORD **)v4 + 4))(v4);
      *(_DWORD *)ArgList = (*(int (__thiscall **)(int, int))(*(_DWORD *)v5 + 12))(v5, v48) + 16;
    }
    else
    {
      if ( *(_DWORD *)(v4 + 8) < 0 )
        return_error(-2147024809);
      *(_DWORD *)(v4 + 4) = 0;
      **(_WORD **)ArgList = 0;
    }
  }
  your_flag = (const WCHAR *)ArgList;	// flag
  v6 = mfc_stuff(1001);					// MFC 相关函数，和题目本身没啥关系
  sub_40F9D4(v6, (int)your_flag);		
  if ( *(_DWORD *)(*(_DWORD *)ArgList - 12) > 0 )
  {
    v7 = sub_407915();
    if ( v7 == 0 )
      return_error(-2147467259);
    string_input = (LPCWSTR)(((int (__thiscall *)(int (__stdcall ***)(int, int), int))(*v7)[3])(v7, v48) + 16);			
    LOBYTE(v49) = 1;
    v8 = *(const WCHAR **)ArgList;
    if ( ((1 - *(_DWORD *)(*(_DWORD *)ArgList - 4)) | *(_DWORD *)(*(_DWORD *)ArgList - 8)) < 0 )
    {
      modify_v15((int *)ArgList, 0);
      v8 = *(const WCHAR **)ArgList;
    }
    your_flag = v8;						// flag
    scanf((int)&string_input, &The_key_you_typed_is, v8);	// 接收输入字符串
    your_flag = string_input;			// 将输入字符串赋值给 your_flag 变量
    v9 = (HWND *)mfc_stuff(1002);		// MFC 相关函数
    sub_4119E3(v9, your_flag);			//
    printf(L"\r\n", 2u);				// 打印字符串：“尝试利用该密钥进行解密：”
    printf(&Try_to_use_this_key, '\r');	// 打印字符串：“尝试利用该密钥进行解密：”
    your_flag = string_input;			// 将输入字符串赋值给 your_flag 变量
    v10 = (HWND *)mfc_stuff(1002);		// MFC 相关函数
    sub_4119E3(v10, your_flag);
    v24 = 0;
    memset(&v25, 0, 0x7FEu);
    if ( ((1 - *(_DWORD *)(*(_DWORD *)ArgList - 4)) | *(_DWORD *)(*(_DWORD *)ArgList - 8)) < 0 )								// 检查输入长度
      modify_v15((int *)ArgList, 0);
    v22 = 0;
    memset(&v23, 0, 0x7FEu);
    sub_401140();
    sub_401000(2 * wcslen((const unsigned __int16 *)&v22));
    memset(&v26, 0, 0x100u);
    sub_4011B0(wcslen((const unsigned __int16 *)&v24));
     // 隐藏 flag （加密过的）
    *(_DWORD *)v27 = 316603392;
    v28 = 521699724;
    v29 = -1896982701;
    v30 = 23873730;
    v31 = -1217616604;
    v32 = -653821873;
    v33 = 147644523;
    v34 = 1788871112;
    v35 = -401501575;
    v36 = -670459317;
    v37 = -247200577;
    v38 = 691461817;
    v39 = 800007765;
    v40 = -1582862633;
    v41 = 779312504;
    v42 = -1253129845;
    v43 = -1463759142;
    v44 = -434474754;
    v45 = -729680901;
    v46 = (wchar_t *)254367706;
    your_flag = (const WCHAR *)-1086890754;
    sub_401260(v27);                            //加密函数
    
    // 错误处理 
    v11 = sub_407915();
    if ( !v11 )
      return_error(-2147467259);
    v19 = (wchar_t *)(((int (__thiscall *)(int (__stdcall ***)(int, int)))(*v11)[3])(v11) + 16);
    your_flag = (const WCHAR *)v27;
    LOBYTE(v49) = 2;
    scanf((int)&v19, L"%s", v27);
    v12 = v19;
     // 处理输入长度
    if ( ((1 - *((_DWORD *)v19 - 1)) | *((_DWORD *)v19 - 2)) < 0 )
    {
      modify_v15((int *)&v19, 0);
      v12 = v19;
    }
      // 如果输入正确
    if ( _wcsnicmp(v12, L"flag{", '\x05') )
    {
      your_flag = (const WCHAR *)5;
      v46 = &STRING_the_key_you_typed_is_WRONG;
    }
      // 输入错误了
    else
    {
      printf(L"Flag : ", '\a');
      your_flag = (const WCHAR *)*((_DWORD *)v12 - 3);
      v46 = v12;
    }
      // 打印你输入的 flag
    printf(v46, (size_t)your_flag);
    v13 = string_input;
    your_flag = string_input;
      // MFC 相关函数
    v14 = (HWND *)mfc_stuff(1002);
    sub_4119E3(v14, your_flag);
    LOBYTE(v49) = 1;
    if ( _InterlockedDecrement((volatile signed __int32 *)v12 - 1) <= 0 )
    {
      v15 = **((_DWORD **)v12 - 4);
      your_flag = v12 - 8;
      (*(void (__stdcall **)(wchar_t *))(v15 + 4))(v12 - 8);
    }
    LOBYTE(v49) = 0;
    if ( _InterlockedDecrement((volatile signed __int32 *)v13 - 1) <= 0 )
    {
      v16 = **((_DWORD **)v13 - 4);
      your_flag = v13 - 8;
      (*(void (__stdcall **)(LPCWSTR))(v16 + 4))(v13 - 8);
    }
  }
  else
  {
    sub_406D72((int)&STRING_Please_Input_Your_key, 0, 0);
  }
  v49 = -1;
  result = (const WCHAR *)(*(_DWORD *)ArgList - 16);
  if ( _InterlockedDecrement((volatile signed __int32 *)(*(_DWORD *)ArgList - 16 + 12)) <= 0 )
  {
    v18 = **(_DWORD **)result;
    your_flag = result;
    result = (const WCHAR *)(*(int (__stdcall **)(const WCHAR *))(v18 + 4))(result);
  }
  return result;
}

看到 flag 已经被加密了。主函数里面没有加密函数。找到其他函数：

int __usercall sub_401260@<eax>(int result@<eax>, int a2@<ecx>)
{
  int v2; // esi
  int v3; // edi
  _BYTE *v4; // ecx
  int v5; // esi
  unsigned __int8 v6; // dl
  int v7; // edi
  int v8; // esi
  unsigned __int8 v9; // dl
  int v10; // edi
  int v11; // esi
  unsigned __int8 v12; // dl
  int v13; // edi
  int v14; // esi
  unsigned __int8 v15; // dl
  int v16; // edi
  int v17; // esi
  unsigned __int8 v18; // dl
  int v19; // edi
  unsigned __int8 v20; // dl
  signed int v21; // [esp+Ch] [ebp-4h]

  v2 = 0;
  v3 = 0;
  v4 = (_BYTE *)(a2 + 1);
  v21 = 14;
  do
  {
    v5 = (v2 + 1) % 256;
    v6 = *(_BYTE *)(v5 + result);
    v7 = (v6 + v3) % 256;
    *(_BYTE *)(v5 + result) = *(_BYTE *)(v7 + result);
    *(_BYTE *)(v7 + result) = v6;
    *(v4 - 1) ^= *(_BYTE *)((v6 + *(unsigned __int8 *)(v5 + result)) % 256 + result);
    v8 = (v5 + 1) % 256;
    v9 = *(_BYTE *)(v8 + result);
    v10 = (v9 + v7) % 256;
    *(_BYTE *)(v8 + result) = *(_BYTE *)(v10 + result);
    *(_BYTE *)(v10 + result) = v9;
    *v4 ^= *(_BYTE *)((v9 + *(unsigned __int8 *)(v8 + result)) % 256 + result);
    v11 = (v8 + 1) % 256;
    v12 = *(_BYTE *)(v11 + result);
    v13 = (v12 + v10) % 256;
    *(_BYTE *)(v11 + result) = *(_BYTE *)(v13 + result);
    *(_BYTE *)(v13 + result) = v12;
    v4[1] ^= *(_BYTE *)((v12 + *(unsigned __int8 *)(v11 + result)) % 256 + result);
    v14 = (v11 + 1) % 256;
    v15 = *(_BYTE *)(v14 + result);
    v16 = (v15 + v13) % 256;
    *(_BYTE *)(v14 + result) = *(_BYTE *)(v16 + result);
    *(_BYTE *)(v16 + result) = v15;
    v4[2] ^= *(_BYTE *)((v15 + *(unsigned __int8 *)(v14 + result)) % 256 + result);
    v17 = (v14 + 1) % 256;
    v18 = *(_BYTE *)(v17 + result);
    v19 = (v18 + v16) % 256;
    *(_BYTE *)(v17 + result) = *(_BYTE *)(v19 + result);
    *(_BYTE *)(v19 + result) = v18;
    v4[3] ^= *(_BYTE *)((v18 + *(unsigned __int8 *)(v17 + result)) % 256 + result);
    v2 = (v17 + 1) % 256;
    v20 = *(_BYTE *)(v2 + result);
    v3 = (v20 + v19) % 256;
    *(_BYTE *)(v2 + result) = *(_BYTE *)(v3 + result);
    *(_BYTE *)(v3 + result) = v20;
    v4[4] ^= *(_BYTE *)((v20 + *(unsigned __int8 *)(v2 + result)) % 256 + result);
    v4 += 6;
    --v21;
  }
  while ( v21 );
  return result;
}

这个就是加密算法了啊，实际上是类 RC 4 算法，这之后应该跑一下脚本对之前的密文进行解码，但能力实在不够了 TAT 就到此为止了。

Ollydbg 动态调试

把文件拖入到 Ollydbg 打断点看了下跑起来时候的具体行为，具体是：

接收输入input
把 input base64 编码一遍
把编码后的 input 继续 rc4 加密一遍
对 hard-code 的 flag （放在上面了）进行同样操作
比较，得出结果

大概是这样一个流程。

感想

应该是自己第一次做 ctf reverse 题，感觉难度比在网上搜罗到的所有rc4/mfc题解都难一个等级，各种输入函数和mfc组件函数混在一起，真的感觉很难。

可惜这门课除了这道题外，别的什么也没有教。这就让像我这样的入门小白来说，短时间内做出这种题基本上[我感觉]是没戏的。

不过好的一点是现在会了一丢丢逆向知识，~~解个入门赛签到题估计应该是可以的？~~

Share on

Twitter Facebook LinkedIn

记一次失败的 reverse 经历

amezzz

题源

废话

最远尝试

损坏 rar 修复

查壳

开始逆向

IDA Pro 静态调试

Ollydbg 动态调试

感想

Share on

You may also enjoy

Paper Reading - [NeurIPS 2020] Denoising Diffusion Probabilistic Models

Paper Reading - [CVPR 2021] Taming Transformers for High-Resolution Image Synthesis

Training Results of some models against DROP dataset (AI2)

Paper Reading - [CVPR 2022] Learning to Answer Questions in Dynamic Audio-Visual Scenarios