[RCTF2019]DontEatMe

0x00 去反调试

EXE文件，IDA反编译：

通过srand固定时间戳生成伪随机数，然后在调用rand之前，有一段反调试：

拿到Ntdll的模块句柄，从句柄中查找ZwSetInformationThread的地址，然后调用这个函数去检查当前线程是否处于Debug模式下：

关于ZwSetInformationThread的类型：

线程信息类型为枚举类型：

该程序中载入的参数就是ThreadHideFromDebugger，此时如果检测到处理Debugger模式就会将该线程强制分离出调试器，该函数与IsDebuggerPresent类似都是用于反调试的

载入调试模式后在该call之后程序会因为Debug退出，为了不影响程序后续的正常运行，这里过反调试尽量不要有大的修改，该函数的功能根据的ThreadInformaitonClass这个参数，将该参数的值设为ThreadHideFromDebugger时便是处于反调试状态，那么过反调试只需要将ThreadHideFromDebugger 改成 ThreadBasicInformation即可，体现在汇编指令上就是将push 0x11改成push 0x00:

ps: 这里发现如果有其他的修改，可能会导致堆栈存在问题，影响后面strlen的结果，所以在Patch时以最小字节修改为最佳方式，针对该反调试的修改只修改了一个字节，即压入的参数值，对整体的程序无影响，也不影响堆栈的平衡

在前面的动态分析中可以发现call esi指向的是NtSetInformationThread的地址而不是ZwSetInformationThread的地址，这里再深入了解一下Zw和Nt函数的区别，首先关于这两个前缀的函数在Ring3和Ring0都是有的，在Ring3中由ntdll.dll导出，可以发现两个函数指向同一个函数地址，从这里可以得到在Ring3情况下两个函数没有区别：

在用户态下，Zw和Nt函数的EntryPoint相同，可以理解为是同一个函数，而我们通过x32dbg或者OllyDBG实际上都是用户态的调试，所以在调试中显示的调用的这两个函数实际上就是同一个函数，两种函数在内核态的系统调用下才会存在区别，具体参考文章https://www.cnblogs.com/seamanj/p/3181151.html，本文不再展开

回到该题，main函数拢共200+行代码，中间一部份都是些数据处理，猜测可能存在算法，FindCrypt查看，发现存在BlowFish算法：

0x01 BLOWFISH

blowfish加密算法是一种对称的分组加密算法，对Plaintext进行分组，每组长度为64bit，而该加密的密钥为变长密钥，32bit-448bit都可以当作密钥进行加解密处理

密钥可以定义为Key数组，该数组的长度为[1, 14]

存在两个数组pBox和sBox，pBox为18个32位子密钥组成，sBox为4*256个32位子密钥组成，一般情况下，是用Π的小数点的16进制：

BlowFish加密过程：

1. 传入明文和密钥K，密钥K的长度为32bit-448bit，密钥K数组的单位为32bit，所以得到K = [K1, K2, ... , Kn]，其中1≤n≤14
2. 初始化子密钥，子密钥分为1个pBox和4个sBox，pBox的长度为18，sBox的长度为256，一般情况下，该子密钥的初始化为Π的16进制
3. 子密钥预处理pBox：这里密钥数组K的长度最大只有14，所以存在轮换使用密钥的情况，假设密钥数组K的长度为14，首先是pBox与密钥数组K进行异或：
   • pBox[0] ^ K[0]
   • pBox[1] ^ K[1]
   • ...
   • pBox[13] ^ K[13]
   • pBox[14] ^ K[0]
4. pBox变换：产生一个64bit全0的数据，然后调用BlowFish的主加密函数进行加密，得到一个64bit的数据替换pBox的数据，总共进行9轮，得到一个新的pBox
5. sBox变换：此时沿用pBox中产生的leftpart和rightpart，再次通过BlowFish进行主加密函数进行加密，每次将处理后的leftpart和rightpart进行替换，替换得到新的sBox
6. Plaintext加密：首先是对明文进行填充，若不足8个字节则填充至8个字节，填充为8的整数倍，然后分为前4字节与后4字节传入主加密函数进行加密，在主加密函数中进行加密得到最终的密文

主加密函数，总共为8轮加密，每轮都会从pBox中拿取64bit的数据分成2*32bit异或给leftpart和rightpart，然后再分别异或从sBox中查表得到的值：

BlowFish 解密：

根据Paul Kocher的源码，可以发现在循环处理中是逆序进行处理，逆序异或pBox，从pBox[17] - pBox[2]，对leftpart进行异或，出循环后对rightpart异或pBox[1]，leftpart异或pBox[0]，整体流程跟加密一样，只是pBox的顺序不同：

0x02 BlowFish初始化

关于BLOWFISH的定位，发现在sub_401090中进行调用，但是该函数调用时并未传入flag相关的内容，所以猜测该函数应该不是对flag进行加密，通过前面了解到的BLOWFISH的特性，该函数应该是对pbox和sbox进行预处理

在预处理之前，发现存在srand和rand函数，但是该srand指定了时间戳，所以此时应该是伪随机数，将rand生成的数低8位存放到byte_4057A8中，通过测试可以发现，每次生成的数是相同的，顺序也是相同的：

只取低8位，所以最终得到：a1 18 2c 3a 23 5f 33 cd

pBox的地址-this指针的地址：

在循环前发现对刚刚srand生成的值进行了覆盖，得到00 0F 1A 01 35 3A 3B 20：

循环为18次，pBox进行异或，说明该位置就是对pBox的预处理，那么key就是覆盖后的值：

异或得到：

进入401000，pBox异或之后的值与eax继续异或：

根据动态调试可以发现v3最开始指向的就是pBox的首地址，往下对pBox查表之后进行异或：

C实现的blowfish算法在searchTable查表是通过sBox查表的，根据内存分布，可以发现pBox和sBox是连续的，该题中反编译的结果是从pBox开始查，但其偏移已经添加了0x12，所以跟从sBox查表的结果相同：

通过对比源码可以发现sub_401000就是BlowFish下的轮函数，回到sub_401090，可以判断该函数就是blowFishInit：

0x03 BlowFish解密

往下取flag，先&7，根据规律可以发现&7就是判断字符串的长度是否被8整除，如果不被整除则在后面格式化输入时进行填充，往下格式化字符串输入，转成16进制，根据这个可以知道输入的flag范围0-9A-Fa-f

在进入第一个do-while之前会将指针指向第三个字节，然后可以看到第一个do-while循环中，取了8个字节分为上下两组进行或运算和移位运算，得到pre_dword和suf_dword，v13[1] | ((*v13 | ((*(v13 - 1) | (*(v13 - 2) << 8)) << 8)) << 8)可以发现其实就是以dword形式输出：例如0x12,0x34, 0x56,0x78 -> 0x12345678，回到BLOWFISH，注意他的plain是以64位为一组，每组中又将64位拆分成上32位和下32位，第二个do-while循环中可以看到pre_dword异或v14之后给到suf_dword，而suf_dword进行几步异或之后给到pre_dword ，可以猜测该部分应该是BLOWFISH的加密或者解密：

变量较多，直接动态调试：

第一次循环异或的是pBox[17]，循环16次并且倒序异或pBox，最后再异或pBox[0]和pBox[1]，确定该部分应该是blowfish的解密：

0x04 解迷宫

首先是对v27-v30进行了字节序的调转：

通过do-while对byte_405018 - byte_40503A进行了异或处理

对异或之后的结果进行移位运算和或运算，得到一个只有0和1的大矩阵：

根据switch-case以及前面得到的矩阵得到这部分就是解迷宫了，起点line=10, row=5，终点line=4, row=9

动态调试根据eax*4+AC53A8可以发现这里取值时是先将row和line相加，初始化时line为160，而row为5，d往右走，所以得到160+5+1 = 0xA6，然后再乘4，找值，所以可以发现如果是左右走的话应该是每步加减4，而上下走每步应该是加减64：

根据生成的矩阵可以发现只在低byte有值，高3个byte都是0，所以可以把多余的0去掉方便找到路线：

得到：

根据起点和终点，并且步数不能超过16步，得到：ddddwwwaaawwwddd

代入加密算法：

得到：db824ef8605c5235b4bbacfa2ff8e087

校验：

0x05 总结以及参考文章

题目难度不高，整体流程也很简单：输入的flag的作为密文，通过blowfish算法解密得到的一串明文为迷宫的路线，涉及到的内容:

• ZwSetInformationThread反调试技术
• BlowFish算法在C语言下实现方式
• 迷宫Puzzle

blowfish各版本源码：https://www.schneier.com/academic/blowfish/download/

参考文章：

[1] Blowfish Cipher 浅析： https://bbs.pediy.com/thread-256209.htm

[2] BlowFish加解密原理与代码实现： https://www.cnblogs.com/iBinary/p/14883752.html#tid-AwA6xn

[3] windows常用的反调试技术-静态反调试技术：https://bbs.pediy.com/thread-249572.htm

[4] blowfish加密算法(c实现)： https://blog.csdn.net/qq_40890756/article/details/89256847

[5] Zw函数与Nt函数的分别与联系：https://www.cnblogs.com/seamanj/p/3181151.html

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课