1.基本信息探查：

1.EXEinfo：

64位，无壳，ELF文件

2.运行一下：

2.IDA分析：

1.主函数分析：

函数的逻辑很清晰，v6接受输入，但却是随缘进入if判断因为它的进入条件是随机生成的而随机的种子是系统时间，假设进入了if里面，会将输入作为参数调用一个函数(看名字是base64编码)，但是编码完后就直接输出，也不进行判断，奇奇怪怪的，这里看一下下方提示：

• 对不起，我想它还没有准备好....

• 我从程序中得到一个奇怪的字符串，它不同于标准的base64:

• “d2G0ZjLwHjS7DmOzZAY0X2lzX3CoZV9zdNOydO9vZl9yZXZlcnGlfD==”
• 发生肾么事了？？

先去在线网站将这个base64编码的字串解密看一下：

发现解码失败，根据上面的提示它说这个字符串不同于标准的base64，这里猜测base64_encode()这个函数可能不是正常的base64，应该魔改了。

2.base64_encode()函数分析：

这个函数就是这个程序的base64编码函数，先去看一下它的码表有没有问题：

可以看到码表没什么问题，那就看一下，base64的编码过程有没有问题了。

这里贴一下base64加密的原理：(以“ABC”为例)：

• 首先将需要编码的字符串以3个字节为一组，放入一个24位缓冲区缺少的用0补齐，先来的字节占高位
• 然后将缓冲区的数据以每6bit为一组，共分成四组
• 将这四组数据高位补零，补齐一个字节，4组共32bit
• 之后将四个字节的数据与base64编码对照表一一对应
• 若原长度不是3的倍数且剩下1个输入数据，则在编码结果后加2个“=”;若剩下2个输入数据，则在编码结果后加1个“=”

修饰后的伪代码：

怎么说呢，这个代码不能说十分正常，只能说是一点毛病没有，到这里我就卡壳了，去百度后发现，这个程序还是换了码表但是它是在运行时动态更换的所以我们在看码表的数据时看不出什么毛病。我们点击码表看他的交叉引用：

可以看到除了base64_encode()，O_OLookAtYou()也调用了码表，这时候确实有点无语这个函数名这么奇怪做题时一点没发现，先到O_OLookAtYou()函数那去看看，因为main函数是没有调用这个函数的，那这个函数是如何做到修改码表的呢？，还是看它的交叉引用：

可以看到函数其实是在init，也就是初始化函数里被调用，我们知道函数的最开始并不是从main开始，start才是函数的真正入口点，这个知识点可以去看程序员的自我修养那本书，对这些东西分析得很透彻。init和start一样都是编译器加进去的，init函数主要负责设置包、初始化变量或其他要在程序运行前优先完成的引导工作。

这里选择直接动调看码表改完后是个啥样：

这里随便下个断点，没啥影响：

直接双击查看码表：

TSRQPONMLKJIHGFEDCBAUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/

上面这一串就是修改后的码表，然后利用新表解base64就行：

wctf2020{Base64_is_the_start_of_reverse}

提交时记得是flag包裹

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课