-
-
[原创]CTF2017第五题分析
-
发表于:
2017-6-11 21:51
6971
-
这题对自己也是挑战，因为它用到了驱动。
驱动之前了解过，就是在内核编程，里面比较复杂，而且容不得错误，所以一直没深入，仅限于了解。
这次用到了硬着头皮上吧
工具：vmware, od, ida, lordpe, winhex, masm
在虚拟机内，用OD加载，不能下断点了，有反调试，根据题目描述，应该是用到驱动了，是不熟的领域。因为程序只有一个文件，猜想是动态释放，就想把这个驱动摘出来。
因为程序没加壳，用winhex打开，搜索MZ文件头，能找待释放的文件。但一开始走弯路了，从MZ头整个到文件尾都复制下来，大于应有的文件，是不能运行的。后来下断点CreateFileA，可以拦到建立vmxdrv.sys的过程，得到正确的结果。
用IDA分析这个文件
这里是清debug端口的，nop掉
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
