IDA 7.0
Stud_PE
x64dbg
010editor

这道题的程序是使用vs2017社区版生成的debug版的32位控制台应用程序。首先拿到这道题后我还是像第一题一样修改PE文件头来关闭重定位功能，具体方法我在第一题的writeup中有写。

当第一次把程序载入IDA后，我发现有很多API没有解析出来，这里我是通过设置IDA中的签名模块（具体我不知道该怎么叫）来识别在初始化中没有识别出来的函数。首先使用快捷键shift+F5，然后右键选择“Apply new signature...”。在IDA7.0中有一个签名模块叫做vc32ucrt（我虚拟机中的IDA6.8没有这个签名，可能是7.0中新加入的签名模块），倒入这个签名后IDA很快有识别出来2258个函数。然后我们我们就可以继续分析这个程序了。

运行一次程序，然后在IDA中搜索命令行搜索出来的字符串"Please Input:"。然后定位到程序获取输入的位置F5查看伪C代码。然后根据每个函数的功能以及调用的参数格式猜测具体调用了哪个函数，这个就是靠的编程经验以及逆向经验了。

从上述代码中我们可以看出来程序首先获取命令行输入然后判断输入的字符串长度是否在10到30之间。然后判断字符串中的第八位字符是否为'A'。然后在xor_key中对输入内容进行进一步转换。

这段代码的主要逻辑就是程序首先将输入的字符串的第八位字符变换为'#'，然后将每一位字符与0x1F进行异或。在这之后xor_key正常返回到main中之后程序就正常退出了。到了这里我就很费解，验证输入的代码怎么看不到？这到底是什么操作。到了这一步我卡了很久，甚至一度以为这道题的flag是靠脑洞猜的。。。

在想了很久后实在没有什么思路后我就睡觉去了，第二天睡醒以后突然脑中灵光一闪。程序在获取到输入后为什么要做一次字符串拷贝，在main函数中并没有调用malloc之类的函数，那么main函数中的Dst的空间是从哪里来的呢。在这一切背后究竟有着怎样的真相。在调试过程中可以看出Dst的位置并不是栈上的局部变量，那么一定在程序的什么位置有调用malloc。在大胆假设后，我在IDA中寻找Dst这个变量还在哪里调用过，然后我找到了如下两段代码。

看到这里后我hin是兴奋，终于看到验证的位置了。strcmp的两个参数分别是a1和Dst，这里Dst应该就是经过异或处理后的我们输入的key了。那么a1是什么呢？在IDA中不停的回溯后找到了这段函数。

到了这里我们将已知的东西进行整合，拼凑出这个程序的代码逻辑了。程序在获取输入内容后，首先判断字符串的长度是否大于10并且小于30，判断字符串第8位字符是否为大写字母A。然后将我们输入的字符串的第8位变换位'#'，再将每一个字符与0x1F异或。最后将这个字符串和"invalid argument"与0x1c异或后的结果进行比较。

到了这里我们就可以进行逆向运算算出正确的结果，这里我利用了010editor的异或功能进行计算的。

在分析结束后我尝试了还原这个程序的源代码，大体上实现了和原题相同的逻辑结构，具体代码如下所示：

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)