搜索

[12840] 2018-06-18_RCTF2018Magic题目详解

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-06-18_RCTF2018Magic题目详解 R C T F   2 0 1 8   M a g i c 题 目 详 解 b u g n o f r e e   F r e e B u f   2 0 1 8 - 0 6 - 1 8 背 景 背 景 & 摘 要 摘 要 此 题 来 自 此 题 来 自   R C T F   2 0 1 8   的 一 道 逆 向 题 目 的 一 道 逆 向 题 目   m a g i c .   赛 后 分 析 许 久 赛 后 分 析 许 久 ,   看 了 几 个 看 了 几 个   w r i t e u p ,   但 是 始 终 不 得 要 领 但 是 始 终 不 得 要 领 ,   大 神 们 寥 大 神 们 寥 寥 数 语 寥 数 语 ,   扔 下 一 堆 代 码 扔 下 一 堆 代 码 ,   就 搞 定 问 题 就 搞 定 问 题 .   也 理 解 这 寥 寥 数 语 也 理 解 这 寥 寥 数 语 ,   毕 竟 比 赛 的 时 候 时 间 紧 张 毕 竟 比 赛 的 时 候 时 间 紧 张 ,   做 出 题 目 后 就 开 始 下 一 道 了 做 出 题 目 后 就 开 始 下 一 道 了 , 而 赛 后 而 赛 后 ,   大 多 也 会 因 为 一 些 乱 七 八 糟 的 事 情 不 再 去 整 理 题 解 大 多 也 会 因 为 一 些 乱 七 八 糟 的 事 情 不 再 去 整 理 题 解 .   最 终 在 网 上 留 下 的 就 是 一 份 草 稿 版 题 解 最 终 在 网 上 留 下 的 就 是 一 份 草 稿 版 题 解 ,   对 于 新 手 对 于 新 手 , 实 在 是 难 实 在 是 难 .   此 文 从 六 月 一 号 开 始 写 此 文 从 六 月 一 号 开 始 写 ,   中 间 各 种 事 情 中 间 各 种 事 情 ,   一 直 拖 着 一 直 拖 着 ,   直 到 六 月 八 号 才 写 完 直 到 六 月 八 号 才 写 完 . 本 着 分 享 知 识 ,   就 分 享 让 大 家 能 看 的 懂 的 原 则 ,   在 这 里 写 一 份 题 解 .   希 望 对 于 新 手 有 所 帮 助 , 还 望 大 佬 轻 拍 . 本 文 涉 及 到 的 知 识 点 有 I D A   远 程 调 试 设 置 使 用   I D A   K e y p a t c h   插 件 对 程 序 打 补 丁 了 解 并 能 够 识 别   r c 4   加 密 算 法 s e t j m p / l o n g j m p 简 单 虚 拟 机 指 令 的 分 析 方 法 根 据   I D A   伪 代 码 分 析 程 序 时 的 细 节 问 题 我 并 非 逐 一 罗 列 这 些 知 识 点 ,   而 是 从 拿 到 程 序 ,   一 步 步 往 下 走 ,   遇 到 什 么 说 什 么 ,   直 到 最 后 找 到   f l a g   为 止 . 环 境 环 境 一 个   I D A   P r o   和   W i n d o w s   足 矣 . 但 是 因 为 我 用 的 是   m a c   笔 记 本 ,   安 装 的   I D A   P r o   7 . 0 ,   虚 拟 机 是   V i r t u a l B o x   中 安 装 的   W i n d o w s   1 0 ,   有 些 路 径 需 要 根 据 你 自 己 的 环 境 进 行 配 置 . 附 件 下 载 初 步 分 析 初 步 分 析 解 压   m a g i c _ 9 7 6 1 6 4 5 3 4 1 b 9 b 9 1 4 2 1 3 8 8 b 9 6 3 1 c b 6 8 7 7 . z i p   后 ,   我 们 将 会 得 到 一 个   m a g i c . e x e .   是 骡 子 是 马 拉 出 来 溜 溜 ,   运 行 一 下 程 序 ,   提 示 如 下 : 用   f i l e   简 要 看 一 下 信 息 ( w o r k s h o p   是 我 的 工 作 目 录 )
因 为 是   W i n d o w s   6 4   位 程 序 ,   我 们 设 置 一 下   I D A   的 编 译 器 选 项 ,   依 次   O p t i o n s / C o m p i l e r ,   确 保 设 置 如 下 ,   如 果 你 不 设 置 的 话 ,   I D A   用   L i n u x   x 6 4   的 约 定 来 分 析 函 数 ,   分 析 出 来 的 函 数 参 数 都 是 错 误 的 ,   我 在 这 上 面 踩 了 很 大 一 个 坑 . 因 此 让 我 们 用   i d a 6 4   打 开 该 程 序 ,   打 开 字 符 串 窗 口 ( s h i f t + F 1 2 ) ,   搜 索 上 面 的 ” f l a g   o n l y   a p p e a r s   … ”   字 符 串 ,   得 到 如 下 一 条 结 果 . 通 过 交 叉 引 用 ,   可 以 定 位 到 该 字 符 串 位 于   0 x 4 0 2 5 B 4 .   然 后 我 们 动 态 调 试 一 下 , 如 何 动 态 调 试 呢 ?   我 这 里 是 在   M a c   中 运 行 I D A ,   然 后   V i r t u a l B o x   中 的   W i n d o w s   虚 拟 机 ,   首 先 在   W i n d o w s   虚 拟 机 中 运 行   I D A   提 供 的   w i n 6 4 _ r e m o t e 6 4 . e x e ,   获 取 虚 拟 机 的   i p   地 址   ( 我 的 为   1 9 2 . 1 6 8 . 5 6 . 1 0 2 ) ,   然 后   w i n 6 4 _ r e m o t e 6 4   就 会 监 听   2 3 9 4 6   端 口 等 待 连 接 .   在   I D A   中   按 下   F 9 , 选 择 调 试 器 ,   如 下
然 后 依 次   D e b u g g e r / P r o c e s s   O p t i o n s   打 开 如 下 界 面 ,   并 设 置 正 确 的 路 径 ,   设 置 的 路 径 都 是 远 程 主 机 上 的 路 径 .   如 下 所 示 由 于 0 x 4 0 2 5 B 4   位 于   m a i n   函 数 中 ,   我 们 可 以 在   m a i n   函 数 开 头 ( 0 x 4 0 2 5 6 3 ) 和   0 x 4 0 2 5 B 4   处 设 置 断 点 ,   然 后 就 可 以 按 下   F 9   运 行 程 序 了 .   我 们 发 现 ,   在   m a i n   函 数 开 头 处 断 下 来 时 ,   程 序 已 经 输 出 了   “ f l a g   o n l y   a p p e a r s   a t   a   s p e c i f i c   t i m e   … ”   这 一 句 话 ,   说 明 在   m a i n
函 数 执 行 之 前 有 其 他 操 作 ,   并 且 操 作 应 该 是 解 密 字 符 串 并 打 印 .   那 我 们 怎 么 找 到 底 是 哪 里 打 印 呢 ?   借 助   t r a c e   功 能 . 我 们 用 交 叉 引 用 可 以 知 道   s u b _ 4 0 1 1 B 0 ( )   调 用 了   m a i n .   所 以 我 们 在   0 x 4 0 1 1 B 0   处 下 断 点 ,   保 持   m a i n   处 的 断 点 ,   然 后 依 次 选 择   D e b u g g e r / T r a c i n g / F u n c t i o n   T r a c i n g .   F 9   运 行 程 序 后 ,   程 序 中 断 在   m a i n   函 数 处 ,   我 们   D e b u g g e r / T r a c i n g / T r a c e W i n d o w   打 开   T r a c e   窗 口 ,   内 容 如 下 于 是 我 们 就 知 道 ,   在   0 x 4 0 2 2 1 8   +   0 x 2 B   处 调 用 了 打 印 函 数 ,   往 上 看 ,   我 们 可 以 知 道 是   s u b _ 4 0 2 3 5 7   调 用 了   0 x 4 0 2 2 1 8   函 数 . 我 们 可 以 以 这 个 为 线 索 ,   看 看 代 码 . s u b _ 4 0 2 2 1 8 ( )   如 下 所 示 对 一 个 字 符 串 先 解 密 ,   打 印 ,   然 后 再 加 密 .   这 里 打 印 的 就 是   “ f l a g   o n l y   a p p e a r s   … ” .   然 后 去 看 一 下   s u b _ 4 0 2 3 5 7 ( )   函 数 .   这 个 函 数 如 下 .
如 果   d w o r d _ 4 0 9 9 D 0 [ 0 ]   为   f a l s e ,   则 调 用   s u b _ 4 0 2 2 1 8 ( ) ,   说 明 失 败 .   因 此 d w o r d _ 4 0 9 9 D 0 [ 0 ]   应 为   t r u e .   d w o r d _ 4 0 9 9 D 0 [ 0 ] 的 值 应 该 是 在 其 上 的   s u b _ 4 0 2 2 6 8 ( )   中 设 置 的 .   我 们 来 查 看 这 个 函 数 .   我 把 这 个 函 数 重 命 名 为   c h e c k _ t i m e .   进 入 该 函 数 看 一 下 ,   将 一 些 变 量 ,   函 数 的 名 字 ,   类 型 等 重 命 名 一 下 ,   得 到 如 下 上 述 代 码 里 面 ,   i s t i m e o k   变 量   i d a   将 其 识 别 为   i n t 6 4   类 型 的 ,   然 后 传 入   c h e c k _ s e c r e t   函 数 时 为   ( i n t 6 4 ) & c h e c k _ s e c r e t , ( i n t 6 4 ) & c h e c k _ s e c r e t + 4 ,   从 这 一 点 我 们 可 以 看 出 这 个 变 量 可 能 是 一 个 长 度 为   2   的   D W O R D   类 型 数 组 .   于 是 将 其 重 定 义 为   D W O R D   i s t i m e o k [ 2 ]   即 可 .   c h e c k _ s e c r e t   的 参 数 个 数 也 不 对 ,   默 认 的   I D A   给 出 了 四 个 参 数 ,   最 后 一 个 参 数 没 用 到 , 查 看 汇 编 代 码 , 发 现   c h e c k _ s e c r e t   的 参 数 实 际 上 为   3   个 ( r c x ,   r d x ,   r 8 ) ,   所 以 将 其 参 数 类 型 重 定 义 为   _ D W O R D   _ _ f a s t c a l l c h e c k _ s e c r e t ( B Y T E   s e c r e t ,   D W O R D   a 2 ,   D W O R D   a 3 ) .   经 过 这 样 稍 微 整 理 之 后 ,   代 码 看 起 来 清 晰 了 许 多 . 逻 辑 大 概 是 这 样 的 :   程 序 运 行 时 ,   先 计 算 运 行 的 时 间 ,   看 时 间 戳 是 否 位 于   ( 0 x 5 A F F E 7 8 F , 0 x 5 B 0 2 8 A 8 F ] .   如 果 时 间 戳 范 围 正 确 ,   则 根 据 时 间 戳 生 成 一 个 种 子 ,   把   s e c r e t   数 组 和   r a n d ( )   随 机 数 进 行 运 算 并 保 存 .   然 后 传 入   c h e c k _ s e c r e t   进 行 检 查 .
c h e c k _ s e c r e t   函 数 计 算 完 成 后 ,   会 对   i s t i m e o k   进 行 设 置 ,   如 果 计 算 结 果   i s t i m e o k [ 1 ]   的 值 为   1 7 9 2   说 明 正 确 , d w o r d _ 4 0 9 9 D 0 [ 0 ]   应 该 会 被 赋 予 一 个 非 零 值 ( 因 为 在   e l s e   分 支 中   d w o r d _ 4 0 9 9 D 0 [ 0 ]   被 赋 予 了 一 个   0   值 ) . 注 意 一 下   s r a n d   函 数 ,   传 入 一 个 一 定 的 初 始 值 ,   r a n d ( )   函 数 生 成 的 随 机 数 将 是 一 个 固 定 的 序 列 .   但 是 要 注 意 的 是 ,   这 个 固 定 序 列 在 不 同 平 台 下 ,   生 成 的 伪 随 机 序 列 是 不 一 致 的 ,   在   W i n d o w s   平 台 下 ,   该 函 数 在 同 一 初 始 种 子 的 情 况 下 ,   生 成 相 同 的 随 机 序 列 .   这 就 要 求 我 们 爆 破 时 间 戳 的 时 候 ,   程 序 应 该 在   W i n d o w s   下 跑 . 如 果 我 们 得 到 了 正 确 的 时 间 戳 ,   那 么   c h e c k _ s e c r e t   执 行 后 ,   i s t i m e o k [ 1 ]   的 值 应 该 是   1 7 9 2 .   所 以 暴 力 破 解 前 ,   需 要 弄 清 楚 c h e c k _ s e c r e t   的 功 能 .   这 是 本 题 目 的 第 一 个 障 碍 . 第 一 阶 段 第 一 阶 段 :   寻 找 正 确 的 时 间 戳 寻 找 正 确 的 时 间 戳 进 入   c h e c k _ s e c r e t ,   其 代 码 如 下 这 样 子 看 ,   让 人 看 的 很 迷 茫 ,   v 4   是 干 什 么 的 ,   以 及   v a r s 0   是 干 什 么 的 ,   感 觉 变 量 都 是 直 接 空 降 ,   一 脸 懵 逼 .   这 个 时 候 就 是 该 看 汇 编 代 码 的 时 候 了 .
1   处 使 用   m e m s e t   对   D s t   进 行 置 零 操 作 ,   注 意   D s t   的 偏 移 是   - 0 C 1 0 h ,   e m u d s t   的 偏 移 地 址 是   0 .   2   处 获 取 到   s e c r e t [ i ] ,   3   处 计 算 了 一 个 偏 移 值 ,   每 次 循 环 向 前 移 动   1 2   字 节 ,   所 以 是   1 2   *   i d x ,   i d x   表 示 当 前 索 引 值 .   4   处 是 重 点 ,   由 于   e m u d s t   偏 移 为 0 ,   减 去   0 C 1 0   后 ,   正 好 指 向   D s t ,   然 后 前 移   i d x ,   相 当 于   D s t [ i ] .   所 以 我 们 明 白 ,   实 际 上 ,   e m u d s t   和   D s t   是 同 一 个 东 西 .   而 且 我 们 看 到 循 环 中 每 次 前 移   1 2   字 节 ,   分 为 三 次 赋 值 ,   所 以   D s t   的 类 型   为   D W O R D ,   大 小 为   0 x c 0 0 /   4   =   7 6 8 .   在 反 编 译 窗 口 中 对   D s t   类 型 重 定 义 为   D W O R D   D s t [ 7 6 8 ] ,   发 现 反 编 译 代 码 变 成 如 下 所 示 让 人 不 知 所 措 的 v 6 ,   v 7   已 经 消 失 不 见 了 ,   代 码 逻 辑 也 清 晰 可 见 .   对 于   v 4   我 们 可 以 视 而 不 见 ,   我 们 只 需 要 知 道   m e m s t   是 对   D s t   置 零 ,   然 后 循 环 中 ,   从   D s t   开 始 ,   每 次 处 理 三 个 元 素 ,   然 后 交 给   s u b _ 4 0 2 6 D 0   处 理 ,   当 所 有 循 环 完 成 后 ,   检 查   D s t   的 最 后 两 个 元 素 . 于 是 ,   现 在 的 问 题 变 成 分 析   s u b _ 4 0 2 6 D 0   的 逻 辑 .   如 下
这 个 代 码 其 实 没 什 么 可 说 的 ,   一 大 堆 操 作 逻 辑 ,   其 中 的   g e t _ d s t _ b l o c k   用 于 获 取 当 前 循 环   的 三 个 元 素 ,   即 对 于 循 环   i d x , 返 回   D s t   +   i d x   *   3 .   我 们 爆 破 的 时 候 ,   直 接 使 用 这 些 代 码   ,   做 一 些 微 调 即 可 使 用 .   复 制 代 码 的 时 候 记 得 加 上 启 用   I D A   的 强 制 类 型 转 换 ,   移 除 不 必 要 的 函 数 调 用 约 定 ,   比 如   f a s t c a l l ,   修 正 一 些   C   编 译 器 无 法 识 别 的 写 法 ,   如   0 i 6 4 .   参 考 代 码 如 下

点 击 阅 读 原 文 更 方 便 查 看 代 码 I D A   在 强 制 类 型 转 换 的 时 候 ,   自 己 定 义 了 一 些 宏 指 令 ,   这 些 宏 指 令 具 体 意 思 可 以 在 【 阅 读 原 文 】 查 看 . 使 用   i 6 8 6 - w 6 4 - m i n g w 3 2 - g c c   s o l v e . c   - o   s o l v e . e x e   交 叉 编 译 生 成   e x e ,   扔 到 虚 拟 机 里 面 ,   得 出 结 果 为   E P O C H   = 0 x 5 b 0 0 e 3 9 8   d e c r y p t k e y   =   0 x 3 2 2 c e 7 a 4 . 感 觉 走 了 很 远 的 路 ,   该 回 头 啦 .   回 到 我 们 的   c h e c k _ t i m e   中 .   我 们 找 到 了 正 确 的 时 间 戳 ,   并 附 带 得 到 了 一 个 神 秘 数 值 d e c r y p t k e y   =   0 x 3 2 2 c e 7 a 4 . 现 在 ,   为 了 后 续 工 作 省 点 心 ,   我 们 对 程 序 打 个 补 丁 .   寄 出 我 们 的   k e y p a t c h   插 件 .   我 们 打 算 跳 过   i f   判 断 时 间 戳 是 否 合 法 并 将   s r a n d   的 参 数 修 改 为 我 们 爆 破 出 来 的 时 间 戳 .   看 一 下 汇 编 代 码 修 改 如 下 光 标 定 位 到 要 打 补 丁 的 地 方 ,   使 用   c t r l - a l t - k   打 开   k e y p a t c h ,   进 行 相 关 操 作 即 可 .   打 完 补 丁 后 ,   我 们 需 要 将 补 丁 应 用 到 原 有 的 二 进 制 文 件 上 ,   怎 么 搞 呢 ?   在   I D A   中 依 次 :   E d i t / P a t c h   P r o g r a m / A p p l y   p a t c h s   t o   i n p u t   f i l e   … ,   如 下 在   c h e c k _ t i m e   处 下 断 点 ,   动 态 调 试 ,   c h e c k _ t i m e   执 行 完 后 ,   我 们 继 续 探 索 ,   等 待 我 们 的 将 是 另 外 一 个 挑 战 . 第 二 阶 段 第 二 阶 段 :   R C 4   算 法 算 法
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理