文章分析的是修复多解的版本。
程序有反调试（检测Context，NtQueryInformationProcess等），有壳，反调试可以用sharpod插件绕过，直接在GetSystemTimeAsFileTime下断运行，回溯到OEP，再手动修IAT，脱壳即可。脱壳以后直接拉IDA分析。

程序大致流程为：将serial从hex字符串解码，username加密生成usernamekey，usernamekey的一部分添加到三个字符串的尾部
（一共三轮加密，分别使用"这杀软好多呀，好像是个VM","这机器里文件修改时间分布广","伊娃找到了理想植物"），再加密生成constkey。再把usernamekey,serial,constkey作为vm虚拟机的参数，执行虚拟机解密流程。text跟flagresult进行异或，最后比较text和flagresult是否与预设结果相同。

usernamekey，constkey跟username有关，不过我们只要求出"KCTF"的序列号就行。
抓取"KCTF"相关的usernamekey和constkey，人肉004016EC处的虚拟机即可。

0040E3D6 为vmdispatcher，edi为vmenv，跟踪handler，观察vmenv的变化，就能分析出vm的大致流程了。有些handler有反调试，所以脱壳了也要开着sharpod。
004016EC的解密流程转写成python大致如下：

text和flagresult均为虚拟机输出，可以在后面的流程找到真正的结果
修改程序流程,在00401705 下断点，输入KCTF和官方提供的真码,停下后，0045B270替换为正确的text（"我是个任务管理器","找包含关键词的文件","赶紧带回去给船长"），末尾的一个"00"要改成"80"，步过00401712，在0045A230就能看到flagresult了。

拿到这三轮解密的flagresult，再异或对应轮数的text（超过text下标的则忽略这步），得到异或前的text，再异或对应位置的usernamekey，得到m。
结合"KCTF"的usernamekey和constkey，可以列出下面的方程。

其中i表示当前位置,r表示轮数,xi=serial[3i]，yi=serial[3i+1],zi=serial[3i+2]
当i=0,r=0时，方程为：
(x0 + y0 0x835904E1 + z0 0x835904E1**2) mod 0xFFFFFFFB == 0x1CC4FA98
写代码列出三轮的方程组，python代码如下，测试testdecrypt的代码也包含在里面了。

输出的方程改改，丢给wolfram

解得
x0 == 3897419559 && x1 == 2639151649 && x10 == 747450740 &&
x11 == 3755748297 && x12 == 3783566491 && x2 == 3857401126 &&
x3 == 3148293113 && x4 == 1161676053 && x5 == 294910625 &&
x6 == 3168909379 && x7 == 968557934 && x8 == 3468820332 &&
x9 == 1153076640 && y0 == 3032949311 && y1 == 576574626 &&
y10 == 3917136834 && y11 == 1380686977 && y12 == 580039895 &&
y2 == 2649115658 && y3 == 2274249549 && y4 == 2067799403 &&
y5 == 1127930440 && y6 == 2625592633 && y7 == 438417707 &&
y8 == 544012481 && y9 == 3964154936 && z0 == 3301487439 &&
z1 == 1788208676 && z10 == 38241232 && z11 == 3020912882 &&
z12 == 2589519627 && z2 == 2664762180 && z3 == 3632534115 &&
z4 == 1526001984 && z5 == 341456266 && z6 == 204576894 &&
z7 == 2380412302 && z8 == 2085013649 && z9 == 2683983027
整理得到flag
E84DE727B4C7223FC4C8B34F9D4E4221225DD4A26A95E624E5EB45269DE64C0A9ED50B44BBA723F9878E4B4DD8841263453DC5157B401D6B5AF4F1401193FAA1433ADA48145A358ABCE1B8439C7F5D390C31987E39BB056E1A21B92B8DE2358ECEC1FF6C206CF8C17C46C89144BA8DA0EC4834389FFA54B32C8D3174E97AC3C2024783D0DFDC2BC9524B9C81B40F78F2E184A49B2292B4D79A58EF0B
附件是脱壳的程序，方便分析。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！