main函数：

首先调用sub_40EF90进行check：

搜了一下官方文档，发现ProcessDebugPort就是用来检测程序是否处于调试状态的:

这里crack很简单，动态调试单步来到这个位置，这里是压入三个参数的，一般就是main函数的入口了：

call完EF90之后会有个关键跳，这里jmp实现的话就直接退出程序了，直接nop掉jmp即可：

Patch完之后重新载入x64dbg，此时就可以正常调试了：

当然了这个调试状态检测我们是可以绕过的，因为是在检测调试之后再执行真正的代码，所以可以先直接运行程序，然后用附加程序，这时候程序已经运行到输入flag的位置了，附加时已经过了检测函数，所以也可以正常进行调试：

往下来到sub_401FE0，发现有个EASYRE::vftable虚函数表，然后往下对内存进行赋值，总共20个字节，往下还有个内存复制，也是20个字节：

字符串定位到sub_40F150，传入的flag通过sub_4024B0进行校验，条件成立才能输出Congratulations:

sub_4024B0，虚函数调用的特征：

根据虚表简化得到：

将字符串Ncg复制到v8然后将v8的值逐个异或0x10:

得到一个正则表达式：^swpuctf\\{\\w{4}\\-\\w{4}\\-\\w{4}\\-\\w{4}\\-\\w{4}\\}为flag的格式

那么可以得到第一个函数就是校验flag的格式，dbg中输入：swpuctf{1234-5678-9012-3456-7890}，此时跳转已经不实现：

先看到最后一个函数，需要让if成立，使得result=1，才能最终输出Congratulations

this[52]在sub_401FE0中进行了赋值，需要注意i从0开始经过40次循环，回到sub_401FE0的初始化，发现还存在一个字符串：03\"3 0 203\" $，说明还存在一个需要比较的结果：

来到关键的处理函数：

同样查表：

v10 = this[2] + 5 * a2 + 8;，a2作为下标，通过-分割开取值，此时外层循环中i为0，所以传入的a2也是0，在x64dbg中存储为ecx，所以此时v10指向的就是flag的第一部分1234：

do-while循环中，明显可以看出是针对单字符进行处理的，v2作为索引，每次取一个字符放到v4中，v3作为循环次数，每循环一次减一：

这里只写了rcl dl,1

x64dbg调试的时候，可以发现rcl下面存在一个jb指令，这个指令受CF位的影响，当CF为1时跳转指令成立，这里跟dl的值有关，当dl产生进位时CF置1，跳转成立，出循环：

经测试可以发现当0x31左移3次时产生进位，所以此时ebx值为3，那么ebx中记录的就是左移的位数：

同理，往下对0x31进行右移，当产生进位时CF置1，跳出循环，ebx记录右移次数减一的值：

这一部分在IDA反编译的不太一样，按照动态调试中体现的汇编更容易理解：

4次循环之后得到，分别对应0x31 0x32 0x33 0x34，左边的为左移到进位的次数；右边为右移次数减一，这么理解比较奇怪，我觉得可以理解为从右边0的个数：

如：0x31，二进制为 0011 0001，所以此时右边0的个数为0

​ 0x32，二进制为 0011 0010，所以此时右边0的个数为1

​ 0x34，二进制为 0011 0100，所以此时右边0的个数为2

第二个循环：

根据第一个循环简化，最终生成三个值，处理每个字符的结果是独立进行计算的，跟位置和前后字符无关，互不影响：

这里IDA反编译的res2应该是少了一个移位运算，第一步

运行之后得到:

往下走到最后一个处理的函数sub_4028A0，存在while循环，这里while循环的条件为sub_402E00传入v2之后的结果，大致理解为flag的结束，说明while循环针对flag进行遍历的，每个while循环对单个字符进行处理，跟之前的处理一样，不受位置和前后字符值的影响：

在while中存在一个for循环，该循环分为上下两部分，前四次循环会对v15和v15+i+20进行运算处理，后四次循环只对v15进行处理,这里sub_402DC0指向处理后的字符以及sub_402730处理后的结果：

执行sub_402DC0后返回0xDC41D8:

根据0xDC41D8指向的内存，可以简化该循环：

可以发现v15 + i + 20是直接赋值，而这里i注意是跟循环有关，那么每个for循环会生成4个值，而v15注意到DWORD指针，每个for循环也是生成一个DWORD类型的数据，可以判断出while循环应该是进行5次，每次对一部分flag进行处理，最终会得到一个长度为40的结果，调用sub_402A00进行比较

第一个循环解决之后得到两个值，顺带发现了最终对比的数据就是前面初始化值的数据

第一个循环：

第二次循环结束，发现第一部分是会受其他循环影响的，而第二部分是不受其他循环影响的：

当i>=4时，是直接取res1：

和res2进行运算：

最终的比较：

分析到这里，整个程序流程基本上就都了解了：

第一部分check_1左移进位位数，check_0计算右边0的个数，然后generate计算sub_402730后面的结果，并将三个结果作为list返回：

第二部分就是通过03\"3 0 203\" $进行字符串排除，这里可以判断flag的范围应该是A-Za-z0-9，通过前面的分析知道每个字符运算的结果互相独立，但是这里可能存在重复的情况，所以先用set去重，然后对set中每个元素作为key，创建一个字典，如果check的结果为key则加入该key的value中，最后返回结果：

第三部分，test_1作为for循环中前四部分的计算，这里需要注意v14要代入并返回，经过8次运算后，将结果或成一个DWORD值，与first_part对应的DWORD进行对比，如果相等则返回此时循环的4个字符，这里是可以得到唯一值的，最终拼接得到flag：

flag：

提交BUUCTF：

完整exp：

优化：

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课