D^3CTF2024逆向Writeup

ezjunk

花指令，直接NOP掉，反编译main函数

加密部分是xxtea，观察调用时传入的参数，a2是sum，来自loc_4015C3+2，a3是delta，来自loc_401A1C，a4是key,来自off_404350 + 400

delta在main里面，刚好是patch掉的部分，需要记录patch前的数据，sum在另一个函数里面，先去掉花指令

找到sum所在的地方，这部分在main运行前执行，LoadLibraryA没用，可以忽略，IsDebuggerPresent检测调试器，根据是否被调试设置key，patch掉反调试，记录patch前的sum值

写xxtea解密

 复制代码 隐藏代码
#!/usr/bin/env python

flag = [0x5406CBB1, 0xA4A41EA2, 0x34489AC5, 0x53D68797, 0xB8E0C06F, 0x259F2DB, 0x52E38D82, 0x595D5E1D]

k2 = 0xE8017300
k3 = 0xFF58F981
key = [0x5454, 0x4602, 0x4477, 0x5E5E, 0x33, 0x43, 0x54, 0x46]

for i in range(0, 7, 2):
    v6 = flag[i+1]
    v7 = flag[i]
    a2 = k2
    for _ in range(32)
        a2 = a2 + 0x100000000 - k3
        a2 &= 0xFFFFFFFF
    for _ in range(32):
        a2 += k3
        a2 &= 0xFFFFFFFF
        v6 = v6 + 0x100000000 - (((v7 + ((v7 << 5) ^ (v7 >> 6))) ^ (key[(a2>>11)&3]+a2) ^ 0x33) & 0xFFFFFFFF)
        v6 &= 0xFFFFFFFF
        v7 = v7 + 0x100000000 - (((v6 + ((v6 << 4) ^ (v6 >> 5))) ^ (key[a2&3]+a2) ^ 0x44) & 0xFFFFFFFF)
        v7 &= 0xFFFFFFFF
    flag[i+1] = v6
    flag[i] = v7
    print(hex(v7), hex(v6))

for f in flag:
    print(f.to_bytes(4, "little").decode(), end='')
# fakeflag{Is_there_anywhere_else}

跑出来发现是假flagfakeflag{Is_there_anywhere_else}，main里面是假校验，

分析发现注册了一个退出时调用的函数sub_4016BC，NOP去混淆反编译