初步分析

windows32位程序.
readme.txt里提到”本题实例涉及到一些外壳用到的技术”, 开始以为有个简单的压缩壳.
调试器载入, 观察EntryPoint代码, 看出使用VS高版本编译器, 无壳.
定位到main函数, 发现main函数后面的代码不太顺眼, 疑似SMC .

观察0x00401470函数, 看出是对后面的代码xor 1进行解密.

动态调试

0x00401261处下断点, 运行程序, 随意输入flag回车.

断下后, 可见后面的代码已被解密出来.
取消断点(别忘了), dump下来.

掏出ida, 跳转main函数F5.

观察可得, flag总共12位字符, 以“flag{”开头, 以”}”结束.
flag经sub_401050处理后, 为"ZmxhZ3trYW54dWV9"则验证通过.

观察众多信息可看出sub_401050是标准的base64编码算法.

1	`flag{kanxue}`

dalao们真的太快了

最后于 2021-5-10 15:23 被KuCha128编辑，原因：

收藏・0

点赞・0

打赏