一、 背景

这一题很有迷惑性，设置了很多陷阱，看似正常的逻辑其实是假象。里面用到了Webassembly逆向，我也是第一次遇到这种，之前没有触过wasm汇编语言，看到代码也是无从下手，也是一边学习一边算法逆向。

二、 代码分析

java层分析

从代码可以看出满足native int check_key(String str) 为真时候，则验证通过，同时也调用了sayHello()，调用的具体作用还看不出来。

so层分析

从导出函数列表中，找到我们的目标函数：

Java_com_example_assemgogogo_gogogoJNI_sayHello

这段代码的意思就是返回字符串：http://127.0.0.1:8000

Java_com_example_assemgogogo_gogogoJNI_check_key

主要步骤如下：

通过 JNI 调用 Java 中的方法（通过函数指针调用），返回结果存储在 result 变量中。
如果调用成功，进入密钥检查的逻辑。
使用 srand(0x32u) 设置随机数生成器的种子。
在循环中，生成随机数 v8，然后根据一些条件检查当前密钥字节是否符合预期。
如果所有密钥字节都通过检查，返回 0；否则，关闭套接字并返回 1。
v8是一个随机数，if ( *(_BYTE *)(v6 + v7) != (v8 - (v9 & 0xFFFFFF80) != (unsigned __int8)aD584a68d4e213d[v7]) )
结果肯定是不相等的，那么通过分析返回值永远都是0，那么不成立，这个函数岂不是无解？

三、hook验证

既然通过代码分析，我们知道他们调用了_check_key、sayHello这个2个函数，那么我们就hook他们，验证下。

通过结果可以看出，只调用了sayHello函数并没有调用check_key函数，结合之前的分析可以得出，此处并非是真正的位置，check_key函数又在哪调用的呢？
再来看java层代码中：
((WebView) findViewById(R.id.text1View)).loadUrl(this.u);
((WebView) findViewById(R.id.text1View)).getSettings().setJavaScriptEnabled(true);
this.u = ：http://127.0.0.1:8000 setJavaScriptEnabled 启用了JavaScript。接着分析：
在so文件JNI_OnLoad中调用了inti_proc函数：

使用一个循环，将一系列向量进行初始化，涉及到按位异或操作。
使用一系列操作配置了套接字相关的参数，包括套接字类型、协议等。
通过 getaddrinfo 获取了本地主机（IP地址为0）在端口8000上的地址信息，并将结果存储在 v19 中。
在获取的地址信息上循环，尝试创建套接字并设置一些选项。
套接字创建和配置成功，创建了多个线程。
返回值 nullsub_

mm0 是关键 我们hook之

得到一串代码，可以看出他是一个html页面，看来交互就是和他进行了。我们在弄出完整的html页面看看：

四、WebAssembly基本概念

WebAssembly（简称为Wasm）是一种面向Web的二进制指令格式。它是一种可移植、高性能的虚拟机，旨在在Web浏览器中执行底层代码，以提供接近本地代码执行速度的性能。以下是关于WebAssembly的基本概念：

二进制指令格式：

WebAssembly使用紧凑的二进制格式，可以更高效地传输和解码，同时减小加载时间。这使得WebAssembly成为Web平台上的一个通用执行格式。
独立于编程语言：

WebAssembly并不依赖于特定的编程语言，而是设计为与多种语言兼容。它可以被用作JavaScript之外的语言的目标，使得开发者可以使用各种语言编写Web应用的核心功能。
执行环境：

WebAssembly代码在浏览器中执行，但它不直接在JavaScript引擎上运行。相反，WebAssembly有自己的虚拟机，与浏览器的JavaScript引擎分开。这使得WebAssembly能够获得与本地代码相媲美的性能。
跨平台：

WebAssembly是一个跨平台的技术，可以在不同体系结构和操作系统上运行。这使得开发者可以编写一次代码，并在各种设备和环境中部署，而无需修改。
安全性：

WebAssembly被设计为在Web环境中运行，同时具有强大的安全性。它在一个受控的沙箱中运行，防止对计算机系统的恶意访问。此外，WebAssembly模块可以通过浏览器的同源策略限制来提高安全性。
JavaScript和WebAssembly的互操作性：

WebAssembly与JavaScript有良好的互操作性。JavaScript可以调用WebAssembly的函数，而WebAssembly也可以调用JavaScript的函数，使得两者可以共同工作。
使用场景：

WebAssembly广泛应用于需要高性能的Web应用程序，例如图形、游戏、模拟器、数据处理等。它允许开发者在Web上执行密集型计算任务，而不会损失性能。
工具链支持：

WebAssembly有完整的工具链，包括编译器和调试器，使得开发者能够方便地将其集成到现有的开发工作流程中。

五、处理 处理wasm文件

从github下载工具，对文件进行反编译 https://github.com/WebAssembly/wabt

此时代码看上去是又多又长，分析起来比较吃力。gcc编译web.c获得中间文件web.o

将web.o拖到IDA中分析。
w2c_check_key()就是核心代码了

w2c_o内部逻辑都是一样的。

函数签名：
函数名为 w2c_o。
返回一个64位整数 __int64。
使用 __fastcall 调用约定，表明一些参数可能会通过寄存器传递。
接受四个无符号整数参数 a1、a2、a3、a4。
局部变量和参数：
使用了一系列整数变量，如 v4、v5、v6、...、v28。
v26、v17、v16、v15、v23、v21 等变量在后续的运算中被使用。
内存操作：
使用 i32_load8_u 和 i32_load8_s 从内存中加载8位整数。
使用 i32_store8 将8位整数写入内存。
逻辑运算和条件判断：
对变量进行递增、逻辑与、逻辑或等操作，生成一系列的逻辑条件。
根据条件判断执行不同的逻辑分支。
循环：
使用 do-while 循环，在循环体内执行一系列的操作。
返回值：
最终返回一个64位整数 v18。
调用 wasm_rt_trap 函数：
在代码开头，使用 wasm_rt_call_stack_depth 变量判断调用深度，如果超过一定深度，就会调用 wasm_rt_trap 函数，并传递参数7。
数据处理和异或运算：
对参数进行一系列复杂的逻辑运算，包括位异或运算，与运算，或运算等。
条件判断：
根据条件的不同执行不同的逻辑分支。
最后的返回：
根据条件计算得到的最终结果 v18 作为函数的返回值。
w2c_xxx() 是一个32元方程组

对相应位进行异或

[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。