攻防世界--re1-100

测试文件：https://adworld.xctf.org.cn/media/task/attachments/dc14f9a05f2846249336a84aecaf18a2.zip

1.准备

获取信息

• 64位文件

2.IDA打开

前面大部分都是“无用代码”，这里贴上我们需要的代码

    while (  )
    {
      memset(flag, , 0xC8uLL);
      numRead = read(pParentWrite[], flag, 0xC8uLL);
      if ( numRead == - )
        break;
      if ( numRead )
      {
        if ( childCheckDebugResult() )
        {
          responseFalse();
        }
        else if ( flag[] == '{' )              // flag[0]为'{'
        {
          if ( strlen(flag) ==  )             // len(flag)=42
          {
            if ( !strncmp(&flag[], "53fc275d81", 10uLL) )// flag[1]~flag[10]为"53fc275d81"
            {
              if ( flag[strlen(flag) - ] == '}' )// flag[41]='}'
              {
                if ( !strncmp(&flag[], "4938ae4efd", 10uLL) )// flag[31]~flag[40]为'4938ae4efd'
                {
                  if ( !confuseKey(flag, ) )  // 改变原本flag中字符串的顺序
                  {
                    responseFalse();
                  }
                  else if ( !strncmp(flag, "{daf29f59034938ae4efd53fc275d81053ed5be8c}", 42uLL) )// '{}'中间有40个字符，10个为一组，则现在顺序为3,4,1,2
                  {
                    responseTrue();
                  }
                  else
                  {
                    responseFalse();
                  }
                }
                else
                {
                  responseFalse();
                }
              }
              else
              {
                responseFalse();
              }
            }
            else
            {
              responseFalse();
            }
          }
          else
          {
            responseFalse();
          }
        }
        else
        {
          responseFalse();
        }
      }
    }
    exit();
  }
  exit();
}

bool __cdecl confuseKey(char *szKey, int iKeyLength)
{
  char szPart1[]; // [rsp+10h] [rbp-50h]
  char szPart2[]; // [rsp+20h] [rbp-40h]
  char szPart3[]; // [rsp+30h] [rbp-30h]
  char szPart4[]; // [rsp+40h] [rbp-20h]
  unsigned __int64 v7; // [rsp+58h] [rbp-8h]

  v7 = __readfsqword(0x28u);
  *(_QWORD *)szPart1 = 0LL;
  *(_DWORD *)&szPart1[] = ;
  *(_WORD *)&szPart1[] = ;
  szPart1[] = ;
  *(_QWORD *)szPart2 = 0LL;
  *(_DWORD *)&szPart2[] = ;
  *(_WORD *)&szPart2[] = ;
  szPart2[] = ;
  *(_QWORD *)szPart3 = 0LL;
  *(_DWORD *)&szPart3[] = ;
  *(_WORD *)&szPart3[] = ;
  szPart3[] = ;
  *(_QWORD *)szPart4 = 0LL;
  *(_DWORD *)&szPart4[] = ;
  *(_WORD *)&szPart4[] = ;
  szPart4[] = ;
  if ( iKeyLength !=  )
    return ;
  if ( !szKey )
    return ;
  if ( strlen(szKey) !=  )
    return ;
  if ( *szKey !=  )
    return ;
  strncpy(szPart1, szKey + , 0xAuLL);
  strncpy(szPart2, szKey + , 0xAuLL);
  strncpy(szPart3, szKey + , 0xAuLL);
  strncpy(szPart4, szKey + , 0xAuLL);
  memset(szKey, , iKeyLength);
  *szKey = ;
  strcat(szKey, szPart3);
  strcat(szKey, szPart4);
  strcat(szKey, szPart1);
  strcat(szKey, szPart2);
  szKey[] = ;
  return ;
}

3.代码分析

第一段代码我们能够获取到flag[0]，flag[1]~flag[10]，flag[31]~flag[40]，flag[41]，以及调换顺序之后的flag

第二段代码实际上是在对原来的flag字符串的位置进行调换，"{}"中间有40个字符，10个为一组，现在的顺序就是3,4,2,1。

因此，我们通过调换顺序之后的flag，能够获取到原来的flag。这道题最坑的就是真正的flag没有"{}"

4.get flag！

53fc275d81053ed5be8cdaf29f59034938ae4efd