-
-
湖湘杯CTF大赛reverse(逆向)题分享
-
发表于: 2017-1-3 22:22
-
如题，本人大一学生，前段时间参加湖湘杯CTF大赛在复赛中遇到了一道有趣的逆向题目，不过最终没能做出来。已在52某论坛发帖但至今无解，希望求看雪大神前来讨论。
难点分析：
1.此crackme为win32 console控制台程序（控制台程序的窗口是系统创建的，所以OD载入会自动弹出一个窗口，此时程序并没有跑飞），所以断点的设置比较困难。
2.此程序是用python语言编写，再把python脚本文件打包成EXE。程序运行后实际上是运行的python虚拟机，然后将解压的python字节码在虚拟机上运行，所以直接跑OD不能定位到关键代码(仅个人观点，不一定正确）
3.此题的目的是获取flag，而flag在哪，如何得到falg主办方没有任何提示，也就是说爆破破解后不一定会出现flag。
提示：
1.最后的flag一般是以flag{......}的形式出现（仅供参考）
2.本程序需要安装VS2015支持库才能正常运行，所以最好在实体机或者win7 32位环境下破解。
本人的思路：
1.直接逆向，不过没能解决代码定位问题。2.解包逆向pyc二进制文件，但是貌似没有得到有用的信息。(应该是正解，但是没能成功，仅供参考)
原题截图：
附件在最后：
login.rar
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
感激不尽
|
|
|
首先程序是双进程，要开一个OD，让程序跑起来，再开一个OD，附加另一个进程。
 附加完成后，也让程序跑起来，这里要注意附加OD中，login程序的线程状态，必须是Active才能继续调试，为什么要说这个，因为我在调试的过程中，经常是挂起的状态，而且不能在OD中恢复线程。  接下来在输入用户名，回车，密码之后下内存断点，断点的位置为python35的第二个区段。然后在login中回车，程序会断下来。  断下来后在OD右下角能看到如下信息，里面有我随便输入的用户名和密码，并得知代码接下来会返回到73CB3D94。  返回后就能来的代码关键位置了，如下图，能看到很多关键信息  下图红框框中就是flag的算法  因为是比赛，不是破解软件，我只需要得到flag即可，所以一些无关紧要的跳转就不要管了让程序跳转到下面的位置，分析算法即可。  能用这种方法得到flag，我觉得也是运气，如果程序更复杂一点，或者没有一些醒目的字符串，就很难了。整个过程并不复杂，但是由于这并不是常规的exe程序，而是python打包的，所以以前常见的断点就不管用了。比赛时经过几个小时的调试，才找到算法位置，还好算法不复杂  。大概过程就是这样，希望能帮到你。
|
|
|
|
|
|
|
|
|
从输入的提示得到提示的字符串，然后整个内存搜索，你会发现，下个读断点，它只出现在python35这个模块里面，然后看地址你就知道落在哪个内存段。之后就是下断点了。
PS:这个EXE用的是pyinstall打包成的一个EXE。不过我解压完发现提取出来的main.py有问题，无法解析，估计是把头去掉或者是用改过的pyinstall来打包的。 
|
|
|
十分感谢大神的帮助，感激不尽
。但是有一个地方有问题要指出来：这个程序是console类型的程序，并不是双进程。console的进程应该是系统给它创建的，负责输入和输出，而原进程将输入的数据进行处理，然后通过console窗口输出结果。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
我当时就把它当成双进程调试的，而且确确实实有两个进程，需要调试的是第二个进程。
|
|
|
版主好
|
|
|
|
|
|
|
|
|
|
|
|
实在感谢各位大佬的帮助，这几个月学了不少知识，再回过头来看其实并不是特别的难，只是当时基础太差
|
