网鼎杯第三场Writeup

2018-09-03 17,089

SimpleSMC

这里的0x400aa6函数点过去一看就可以发现它是乱的字节无法执行，根据题目SMC（Self-Modifying Code）可以猜到这个函数就是被修改的目标了

查看它的交叉引用可以发现有两个函数有调用sub_400c48关键代码如下

是一个函数字节码异或的固定调用，直接写个IDC脚本解就行查看这个函数的交叉引用是在init_array中，所以是在调用之前调用的sub_400bac

根据key进行逐字节异或，这里的key从调用方可以看出是Input的一部分，所以要猜key

根据密码学常识，单表替换即key仅有一个字节的时候通常是根据词频统计来解决的，在机器码中一般00较多而本题是类似于维吉尼亚的多表替换，循环长度为7，如果当函数字节足够长的话也是可以用上述方式解决的--将整个密文分成7段，每段内独立进行词频统计。尝试了一下，本题由于密文不够大，因此统计规律应用的不是很顺畅，仅能解出密钥的最后一个字节e

既然词频统计不好使的话，就得从一些固定字节来思考了这个题目里key不是input的开头，因此没有固定的内容但对于一个被加密的函数而言，如果非手写汇编的话，通常会以push rbp;mov rbp, rsp开头，通过这几个字节进行异或可以得到一个全可见字符的串

于是根据这个key也可以写出一个解密脚本：

要注意的一点是，这两个异或顺序是不可变的--因为它们判断结束的标志是加密前的0xC3，而先异或0x41e1b0时是不会产生0xc3的中间字节的，但是如果先异或key，会产生0xC3的中间字节，导致第二次异或时被截断当然如果将解密循环改为固定长度就可以规避这个BUG

解密得到

其中a1是input，sub_4009AE很明显对它进行处理，然后sub_400360进行校验

那么我们首先看一下check方法emmmm有点乱，我觉得不太对劲，退回去看一眼这是plt段的跳转，也就是说这是一个静态链接的库函数

再根据它的另一个函数来想，很明显就是strcmp啦

那么只需要专心看sub_4009AE是怎么变换的了点进去看注意这里有花指令，按D将它们调成数据后，将脏字节E8改成90（NOP）即可

然后即可F5了
这里是一个63x5的迭代内层计算同样有花指令，同样清除以后即可反编译

外层计算由于不影响参数，因此只是重复计算另一方面，由于内层计算全部都是异或，因此偶数次计算会使得数组还原。我觉得是出题人的失误23333不过影响也不大就是了

内层计算的逆运算比较简单，逆序异或即可

l_like_pack

IDA加载一看啥都没有，再根据题目名显然是个壳windows下脱壳相对而言麻烦一些，ExeInfoPe查壳啊、各种壳的针对性操作啊啥的Linux下一方面系统开源随便魔改，另一方面有一个/proc/pid/mem的文件可以直接读取进程的内存，使得dump极为容易

本题放到系统下跑起来后发现如果输入会回显“NO”，而不输入的话大概三秒就会自动结束这显然是alarm函数的功劳

如果仅是alarm函数的话，其实可以比拼一下手速，毕竟三秒钟还算在人类的反应速度内，另一方面也可以通过sh脚本来执行dump试了一下cat /proc/pid/mem会报错，在这里有官方的说明，提供了三种方法

获取maps，根据模块地址来读取程序的内存
open mem以后attach目标进程使其暂停，然后即可读
gcore pid

尝试了一下，其中第一种方法可以直接使用--因为只是读取mem文件通过这个脚本

操作方法如下：后台起一个进程可以快速获得pid然后通过上面的脚本来dump

而第二、第三种方法由于依赖ptrace，对于使用ptrace(TRACE_ME)的进程就会报错本题中的程序就有使用这个方法来反调试

对于trace_me，有两种方法可以绕过：

直接用调试器启动子进程，断在ptrace之前然后跳过它的执行

不过这种方法会被alarm中断掉，当然也很好绕过，只需要同样跳过alarm的执行就好缺点有两个，1是浪费时间，2是静态链接很难识别，本题是使用动态链接，相对还算好找
通过LD_PRELOAD来覆盖函数

LD_PRELOAD可以指定加载库，此时如果库中有与其他动态链接库同名的函数将会覆盖，使得原函数失效

这里讲一下后者的操作方法：

将上述代码编译成sogcc --shared fake.c -o fake.so然后通过LD_PRELOAD加载LD_PRELOAD=./fake.so ./re此时即可发现alarm失效

然后通过ps或其他方法查到pid后，用gcore pid即可dump

然后通过字符串搜索即可找到main函数一个数组乱序比对，直接dump即可得到flag

a = [11, 8, 7, 7, 8, 12, 3, 2, 16, 6, 13, 5, 7, 16, 4, 1, 0, 15, 16, 8, 3, 6, 14, 16, 0, 8, 6, 9, 12, 14, 13, 11, 15, 7, 11,14]

for i in range(36):
    print(chr(Dword(a[i]*4+0x60f0e0)+45)),