JCTF 2014 小菜两碟

测试文件：https://static2.ichunqiu.com/icq/resources/fileupload//CTF/JCTF2014/re200

参考文章：https://blog.csdn.net/chenlycly/article/details/53378196

1.程序分析

检测时发现不是PE文件，但是打开16进制却发现了MZ标识，因此我们能够判断文件中存在错误。

1.1 第一处错误

通过观察，发现指向PE文件头的地址为E9，但是实际的地址却是E8。

1.2 第二处错误

将地址修改正确之后，在010Editor打开文件，导入EXE模板

可以看到，正确的PE文件标识应该是0x00004550，但是文件中是0x00FF4550,修改FF为00

将修改后的文件保存为EXE文件

2.IDA打开

定位到main函数

 __int64 __cdecl main_0()
 {
   int v0; // eax
   __int64 v1; // rax
   int v2; // eax
   int v3; // ST08_4
   int v4; // eax
   int v5; // eax
   int v6; // eax
   int v7; // eax
   int v8; // eax
   int v9; // eax
   int v11; // [esp-10h] [ebp-170h]
   int v12; // [esp-Ch] [ebp-16Ch]
   char *v13; // [esp-8h] [ebp-168h]
   int v14; // [esp-4h] [ebp-164h]
   int *v15; // [esp+Ch] [ebp-154h]
   int k; // [esp+D4h] [ebp-8Ch]
   int j; // [esp+E0h] [ebp-80h]
   int i; // [esp+ECh] [ebp-74h]
   char v19; // [esp+FBh] [ebp-65h]
   int v20; // [esp+104h] [ebp-5Ch]
   int Dst; // [esp+108h] [ebp-58h]
   int v22; // [esp+10Ch] [ebp-54h]
   int v23; // [esp+110h] [ebp-50h]
   int v24; // [esp+114h] [ebp-4Ch]
   int v25; // [esp+118h] [ebp-48h]
   char Str1; // [esp+14Ch] [ebp-14h]
   int v27; // [esp+14Dh] [ebp-13h]
   int v28; // [esp+151h] [ebp-Fh]
   char v29; // [esp+155h] [ebp-Bh]

   v0 = sub_411154(std::cout, "欢迎来到数字游戏 请输入9个数字");
   std::basic_ostream<char,std::char_traits<char>>::operator<<(v0, std::endl);
   Str1 = ;
   v27 = ;
   v28 = ;
   v29 = ;
   v20 = ;
   j_memset(&Dst, , 0x3Cu);
   for ( i = ; i < ; ++i )
     std::basic_istream<char,std::char_traits<char>>::operator>>(std::cin, &v20 + i);// v20中输入9个数字
   if ( v22 * Dst * v20 /  !=  )            // 需要满足条件1
     goto LABEL_31;
   if ( (Dst ^ v20) != v22 -  )                 // 需要满足条件2
     goto LABEL_31;
   HIDWORD(v1) = (v22 + Dst + v20) % ;        // v1的计算表达式，反向推倒，需要满足条件3
   if ( HIDWORD(v1) !=  )                      // v1 = 34
     goto LABEL_31;
   if ( v23 ==  )                              // v23=80
   {
     for ( j = ; j < ; ++j )
     {
       HIDWORD(v1) = (j + ) % ;
       for ( *(&Str1 + j) = *((_BYTE *)&v20 +  * HIDWORD(v1)) + *(&v20 + j % ); ; *(&Str1 + j) /=  )
       {
         while ( *(&Str1 + j) <  )
         {
           HIDWORD(v1) = j;
           *(&Str1 + j) *= ;
         }
         if ( *(&Str1 + j) <=  )
           break;
         v1 = *(&Str1 + j);
       }
     }
     if ( v24 ==  && v25 ==  )               // v24=94,v25=98
     {
       for ( k = ; k < ; ++k )
       {
         for ( *(&Str1 + k) = *(&Str1 + (k + ) % ) + *(&Str1 + k % ); ; *(&Str1 + k) /=  )
         {
           while ( *(&Str1 + k) <  )
             *(&Str1 + k) *= ;
           if ( *(&Str1 + k) <=  )
             break;
         }
       }
       if ( !j_strcmp(&Str1, "*&8P^bP^b") )
       {
         v2 = sub_411154(std::cout, "success!");
         std::basic_ostream<char,std::char_traits<char>>::operator<<(v2, std::endl);
         v14 = std::endl;                        // 换行
         v13 = "abc}";
         v12 = v22;
         v11 = Dst;
         v3 = v20;
         v15 = &v11;
         v4 = sub_411154(std::cout, "jlflag{");
         v5 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v4, v3);
         v6 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v5, v11);
         v7 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v6, v12);
         v8 = sub_411154(v7, v13);
         std::basic_ostream<char,std::char_traits<char>>::operator<<(v8, v14);// 以上输出的组合为v4 v3 v11 v12 v13 v14
         sub_4112D0(std::cin, &v19);
         goto LABEL_32;
       }
 LABEL_31:
       v9 = sub_411154(std::cout, "please try again!");
       std::basic_ostream<char,std::char_traits<char>>::operator<<(v9, std::endl);
       goto LABEL_32;
     }
   }
 LABEL_32:
   v14 = HIDWORD(v1);
   v13 = ;
   return *(_QWORD *)&v13;
 }

2.1 代码分析

通过第90~94行代码，我们知道正确的flag为组合[v4 v3 v11 v12 v13 v14]，其中v4="jlflag{"，v13="abc}"，v14=std::endl

因此我们只需要求出v3,v11,v12即可，通过第85~87行代码，我们知道v12 = v22;v11 = Dst;v3 = v20;

我们能够通过这三个变量满足的三个表示，求出三个数的值。

3.脚本获取

for v22 in range(100):
    for dst in range(100):
        for v20 in range(100):
            if v22*dst*v20//11 == 106 and (v22 + dst + v20) % 100 == 34:
                if (dst^v20) == v22 - 4:
                    if (v22 + dst + v20) % 100 == 34:
                        print("jlflag{%d%d%dabc}"%(v22, dst, v20), end='\n')

jlflag{61315abc}
jlflag{61513abc}
jlflag{13615abc}
jlflag{13156abc}
jlflag{15613abc}
jlflag{15136abc}

将这6组得到的flag一组一组试，就能得到正确flag。（记得去掉jl）

4.get flag!

flag{15613abc}