首先恭喜0x401 Team首次在CTF比赛中夺得第一名，顺便和学弟AK了逆向，战队能取得今天的成绩离不开队员的努力。但是不得不承认另一个原因是，很多强队的火力都被隔壁RCTF吸引了，我们还需要继续努力：

自从上次强网杯unicorn那题以来我就一直对unicorn很感兴趣，但平时又没有用unicorn解决实际问题的场景，这次羊城杯总算碰到了，借此机会学习一下unicorn。OddCode这题有大量花指令和垃圾跳转，手动分析几乎不可能，如果使用unicorn模拟执行会方便很多。

比赛时一直爆肝到凌晨5点才把这题弄出来（被屑出题人的大小写坑了3个小时），本文的解法是我赛后优化之后的解法。

首先这是一个32位的可执行文件：

没有main函数，程序直接从start函数开始执行，首先是一段校验输入格式的代码：

一个很奇怪的远跳转，一开始在IDA看了半天没明白是什么意思，用WinDbg调试后才发现IDA的反汇编有问题：

实际上是一个远跳转到33:2E5310这个地址，远跳转有一个隐形的操作，他会将代码段寄存器CS设置为跳转到的这个段对应的段选择子，这里执行完了远跳转之后，CS的值被置为0x33：

这里涉及一个我之前折腾自制操作系统时接触到的一个知识点——在Windows中，程序可以通过修改代码段寄存器切换32位模式和64位模式，当CS为0x33时，CPU按64位模式执行指令，当CS为0x23,时，CPU按32位模式执行指令。执行完这个远跳转后，程序跳转到2E5310这个地址（也就是下一条指令），CPU切换到64位模式执行，所以接下来的代码都要按64位模式解析。

这个技术的一个典型应用是在恶意代码领域，参考：天堂之门（Heaven’s Gate）技术的详细分析

切换到64位模式后，执行sub_2E1010函数：

接下来一段代码的作用是将CS的值改回0x23，切回32位模式：

最后根据sub_2E1010函数的返回值判断输入是否正确，所以本题的关键是sub_2E1010函数：

先到回到这个部分，远跳转前的两个lea语句相当于是传递参数，把input存入esi，把key存入edi：

key是一个16字节的数组，推测之后加密或者校验输入的时候会用上：

从sub_2E1010函数开始的代码要用64位模式查看：


从这里开始有大量的垃圾代码和花指令，手动分析了半天都没找到关键代码，于是我决定用unicorn写一个模拟调试器帮我找到关键代码。

最开始看到用unicorn实现调试器的思路是在这篇文章：汇编与反汇编神器Unicorn。里面用到的调试器代码貌似出自无名侠：

我们也来写个简单的调试器来模拟64位代码的执行，并且实现一个tracer，用来跟踪代码块执行的轨迹：

unicorn可以hook代码块执行，但是会被花指令干扰，所以这里通过hook指令执行，再判断当前的地址是否与上次执行的地址+上一条指令的长度是否相等来判断是否发生了代码块跳转：

模拟执行的过程中会莫名其妙报错，所以直接加了一个try，最后打印出来的轨迹如下：

这么多代码块一个个去手动分析不太现实，于是再加一个hook来hook输入和key的访问操作，来帮助我们找到了访问了输入和key的指令所在的代码块，加上：

输出：

通过内存访问hook我们得到了几个很重要的信息：

第三、四个特点是一个伏笔，之后我们会利用这个性质对flag进行爆破。

接下来看到访问了输入的几段代码，这些代码的作用是将第一个字节读入到al，第二个字节读入到bl：



...
从这里开始，顺着我们之前打印出的轨迹往后再分析一会还能发现这样的代码：


说明程序确实是将16进制两字节的输入转换成了对应的16进制数。
再来看到访问了key的代码块：

我们再修改一下trace函数，通过capstone反汇编引擎找到执行到的cmp指令和test指令的地址：

输出：

可以看到在读取key之后执行的cmp指令只有一个，位于2E38E7这个地址，代码如下，大致可以确定是flag加密后比较的代码，比对成功的话不会执行jnz跳转：

所以我们可以通过记录程序第几次执行到了2E38EF这个地址，来判断比较成功比对了几个字节，通过这种方法来爆破flag。

再改一下trace函数：

爆破flag的函数get_flag：

这里选择的字符集为b'1234567890abcdefABCDEF'，包括了小写的字母，比赛的时候我是根据traces手动分析加密流程，被大小写坑了几个小时。爆破结果如下：

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课