这道题目可以好好看下官方WriteUp，其前半部分是Core Architecture Concepts——将题目中所用到的各种核心技术都进行了讲解，后半部分Challenge Walkthrough则是以题目作为前半部分技术的例子，对细节进行了阐述。这篇文章将侧重技术而并非解题。

笔者使用的VS版本如下：

进入main函数之前的函数调用栈如下：

上图所示的栈回溯并不完整，完整调用关系如下：

重点在于_initterm_e与_initterm两个函数(摘自How to explicitly call CRT startup functions)：

__xi_a，__xi_z，__xc_a与__xc_z含义如下(摘自How can I schedule some code to run after all '_atexit()' functions are completed)：

微软在其文档中给出这样一段代码：

笔者编译时配置属性如下：

禁用优化：

可以看到生成之后在__xc_a与__xc_z中间有一_dynamic_initializer_for__gi__指针：

题目中使用该技术进行VEH Hook，具体细节笔者会放到VEH Hooking一节中描述。关于该技术的利用，趋势科技在其博客中列出一表格如下：

文末会给出具体链接，感兴趣的读者可以进一步阅读。

VEH——Vectored Exception Handling，向量化异常处理。关于VEH与SEH知识讲解可以看VEH和SEH，这里不再赘述。

Vectored Exception Handling, Hooking Via Forced Exception这篇文章通过页的PAGE_GUARD属性触发VEH：

由于设置了pExceptionInfo->ContextRecord->EFlags |= 0x100，每执行一条指令就会重新回到LeoHandler。题目中__scrt_common_main_seh函数在调用_initterm时，会依次执行__xc_a与__xc_z之间每个函数：

我们先来看sub_402130与sub_402150两个函数：

sub_4054B0根据传递参数获取指定API地址，其具体过程暂不作展开。sub_402130通过给该函数传递值获取AddVectoredExceptionHandler地址，之后由sub_402150进行调用。跟进sub_406AD0查看其功能：

进入异常处理的一种情况：

sub_406AD0先是传递ContextRecord中ECX与EDX值给sub_4054B0获取API地址，之后将该地址写入ContextRecord—>EAX中，最后更改ContextRecord->Eip + 3处指令以及EIP值：

另一种触发异常类似于下面形式：

上文提到sub_4054B0函数会根据传递参数获取指定API地址，其接受两个参数——参数1用来指定DLL，参数2用来指定API。其获取DLL名称是通过搜索由sub_401100函数建立起来的映射，该函数首先会解密DLL名称：

字符串第一个字符解密算法不同于其他字符，之后会为每个DLL名称赋予一个Key值。最终建立起来的映射如下：

其计算导出函数名称Hash值算法如下：

官方WriteUp在这里给了一个计算Hash值的脚本：

通过题目中算法计算输入DLL中每个导出函数名称的Hash值并保存至C Header文件，之后于File—>Load File—>Parse C Header File选择C Header文件，便可在Local Types窗口看到对应DLL的枚举类型：

分析时遇到Hash值直接选择对应enum即可：

wmsuper师傅在Flare-ON 8th 之第九题evil一文中采用的方法是获取需要修改的地址，对应DLL的Key及Hash值，之后再去对应DLL导出表中寻找匹配函数进行输出，最后通过得到的输出结果修复原题目对应地址处指令。

笔者在处理时采用了一个折衷的方案，之前在复现Challenge 7时使用了一个IDA Plugin——Shellcode Hashes，虽然其覆盖算法很多，但对于题目中这种特定算法没有在脚本当中实现，笔者于make_sc_hash_db.py中添加了该算法：

之后生成数据库文件，使用插件时选择新生成数据库再应用对应算法即可：

关于该工具更多信息可阅读Using Precalculated String Hashes when Reverse Engineering Shellcode，make_sc_hash_db.py脚本对DLL目录中每个DLL的所有导出函数应用脚本内所有Hash算法计算Hash值写入到数据库文件中：

官方WriteUp上给出了一个Nop题目中Anti-Disassembly指令的脚本：

再配合上nop-hidder脚本：

如此一来，使用IDA进行静态分析便会轻松很多。

关于Windows调试原理可以参阅：

Anti-Debug：

sub_4023D0函数首先会PatchDbgBreakPoint与DbgUiRemoteBreakin两个函数：

通过Vmware使用的I/O端口0x5658进行检测：

如果是运行在Vmware中则直接退出：

之后的检测方法是来自Another VMWare Detection一文：

执行SELECT * FROM Win32_PnPEntity以检测是否位于VirtualBox中(下面代码出自al-khaser)：

IsDebuggerPresent：

之后依次是CheckRemoteDebuggerPresent，NtGlobalFlag，SeDebugPrivilege，HardwareBreakpoints及GetTickCount相关Anti-Debug，具体实现可以参阅al-khaser及Anti-Debug:Timing，这里不再一一赘述。可以通过ScyllaHide进行Anti-Anti-Debug。

题目会校验传递参数个数：

之后sub_403A70会调用sub_410EE0函数(根据官方WriteUp，这里应该是使用了PolyHook2)HookCryptImportKey：

解密字符串：

一共解密出4个字符串："L0ve", "s3cret", "5Ex", "g0d"。笔者在这里没能动调，而是根据IDA静态分析结果计算而来，由于卡在此处故查到Flare-On 8 – Task 9一文，阅读过后发现其使用方法和工具都极高效，便不再重写这些步骤，感兴趣的读者可以跟着这篇文章学习一下。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)