文本第三周ctf iscc reverse8勤王re

1、 2014 iscc Reverse8 勤王周室(score:400)目錄第一部分程序初探第二部分算法分析PPT模板下載： 行業(yè)PPT模板： 節(jié)日PPT模板： PPT素材下載： PPT背景圖片： PPT圖表下載： 優(yōu)秀PPT下載： PPT教程： Word教程： Excel教程： 資料下載： PPT課件下載： 范文下載： 試卷下載： 教案下載： PPT論壇： 第一部分第一部分程序初探首先下載這個(gè)題目先打開(kāi)程序看一下2022/7/252022/7/25PPT模板下載： 行業(yè)PPT模板： 節(jié)日PPT模板： PPT素材下載： PPT背景圖片： PPT圖表下載： 優(yōu)秀PPT下載： PPT教程： Word

2、教程： Excel教程： 資料下載： PPT課件下載： 范文下載： 試卷下載： 教案下載： PPT論壇： 剛開(kāi)始看這個(gè)程序什么都沒(méi)有，只有界面上的一個(gè)圖片，猜測(cè)有可能和圖片有關(guān)，先用OD載入2022/7/25第二部分第二部分算法分析首先一直F8單步運(yùn)行在地址402DE0這個(gè)call執(zhí)行單步步過(guò)，窗口就出現(xiàn)了，所以這個(gè)call要跟進(jìn)去，設(shè)置一個(gè)斷點(diǎn)然后重新載入2022/7/25單步運(yùn)行到這個(gè)call跟進(jìn)去看一下這里是一個(gè)API LoadIcon(HINSTANCE hInstance,LPCTSTR lpIconName);作用是裝入lpIconName指定的圖標(biāo)資源這個(gè)call里面都是一些Wi

3、n API，運(yùn)行出去2022/7/25到了這個(gè)call，F(xiàn)7進(jìn)去看一下首先是一個(gè)CreateWindowEx然后看到一個(gè)call，先按回車看看里面的內(nèi)容2022/7/25看到一個(gè)循環(huán)，可能是某個(gè)計(jì)算，F(xiàn)7跟進(jìn)去看一下這里把0040F1C0的值賦給了ecx,在數(shù)據(jù)窗口跟隨40F1C02022/7/25經(jīng)過(guò)上面的運(yùn)算之后，又把計(jì)算過(guò)后的ecx賦值給401FC0，所以這段代碼的作用就是計(jì)算401FC0，計(jì)算次數(shù)由eax看出來(lái)，是0 x300E。我們直接運(yùn)算完之后看到401FC0變成了這樣2022/7/25注意到開(kāi)頭是BM，BMP的數(shù)據(jù)開(kāi)頭就是BM因?yàn)樯厦嫣岬搅耍?jì)算次數(shù)是0 x300E，一次計(jì)算4個(gè)

4、字節(jié)，所以計(jì)算完成的地址是40F1C0+300E*4=41B1F8結(jié)尾是個(gè)Ra，猜測(cè)可能還隱藏了壓縮文件rar，所以后面還有解密沒(méi)有完成，要修改eax=300E的值讓他解密完，把數(shù)據(jù)窗口往下拖，一直找到程序本身字符串的地方就是我們解密完成的地址2022/7/25這里這個(gè)路徑就是程序本身字符串了，所以要解密到41C3A7h。41C3A7h-41B1F6h=11B1h，再除以4，等于46C，所以eax的值要等于300Eh+46C=347Ah在這里下個(gè)斷點(diǎn)然后重新運(yùn)行在eax按回車修改其值2022/7/25在數(shù)據(jù)窗口中跳轉(zhuǎn)到40F1C0從Rar開(kāi)始到41C3A7的值全部復(fù)制下來(lái)，然后點(diǎn)復(fù)制-到剪切板

5、然后打開(kāi)十六進(jìn)制編輯器UltraEdit，粘貼進(jìn)去點(diǎn)菜單上的列模式，可以縱向編輯2022/7/25刪掉兩邊的地址數(shù)據(jù)和ASCII字符，賦值到WinHex中點(diǎn)擊File-Save as，命名為key.rar，打開(kāi)之后發(fā)現(xiàn)一個(gè)key.png的文件2022/7/25但是還需要一個(gè)解壓密碼，剛才用OD分析程序在對(duì)地址40F1C0解碼之后就是消息循環(huán)，后面就沒(méi)有什么信息了。我們可以Binwalk來(lái)分析內(nèi)嵌文件數(shù)據(jù)，這里我們?cè)趉ali里用binwalk命令結(jié)果發(fā)現(xiàn)這個(gè)可執(zhí)行文件里還有一個(gè)RAR文件，在偏移0 x25FF8處2022/7/25這里用工具C32asm提取，點(diǎn)右鍵自定義選擇塊 選中之后新建十六進(jìn)制文件，然后粘貼進(jìn)去，另存為pass.