前言：目前的许多 CTF 二进制竞赛中出现了许多单字节加密验证题，例如 NCTF-ezVM、TPCTF-Poly 等。这些单字节验证程序中，很多都是虚拟机（VM）类型的。VM 程序通常有一个指令分发器，在分发指令时需要一个类似于 EIP（指令指针寄存器）的累加器来确保指令正确执行。而在单字节验证的过程中，如果出现一个字节不匹配的情况，程序会立即退出。这里存在一个相关关系：当当前字节验证正确时，EIP 会向下移动，累加器也会相应增加。因此，我们使用 Frida 在指令分发器处插入代码，在程序退出时检查累加器的变化，以此判断当前位是否验证成功。同理，若程序不是 VM 类型，则我们只需要在判断位数的累加器处插入代码，即可。

通过单字节验证，验证时间随验证字节长度呈线性增长，这远远优于传统爆破方法的指数增长。结合之前的描述，这种优化源于对虚拟机程序的特定操作方式，利用 EIP 的变化关系，在单字节验证过程中进行精准的判断和优化。

IDA（Interactive Disassembler）是一款强大的反汇编软件，用于逆向工程和漏洞分析。它允许用户将机器码转换成可读的汇编代码，以便更好地理解程序的运行方式和结构。IDA 提供了丰富的功能，包括自动分析、图形化表示程序的控制流、数据流和函数调用关系，以及交互式地修改和调试程序。它广泛应用于软件逆向工程、漏洞分析、恶意代码分析等领域，是安全研究人员和逆向工程师的首选工具之一。IDA 的界面和功能使得用户可以深入分析程序，了解其内部结构和运行机制，有助于发现漏洞、理解程序逻辑以及编写补丁。

Frida 是一个强大的动态分析工具，可用于在运行时修改和监视应用程序。它提供了跨平台的框架，可以对多种操作系统、架构和应用程序类型进行操作。Frida 允许你通过 JavaScript 或 Python 等脚本语言来编写脚本，然后将这些脚本注入到目标应用程序中，从而实现对目标应用程序的监视、跟踪和修改。

这段代码实现了一个简单的单字节比较程序，与之前介绍的虚拟机指令分发不同，这里只是进行了简单的单字节比较。但与之前相似的地方在于存在一个类似累加器的概念，我们可以通过观察这个累加器的变化来判断当前字节是否正确。

将程序使用 MinGW GCC 9.2.0 32-bit Debug 并且关闭基地址随机化编译，我们得到 test1.exe。并使用 IDA 分析。

图（1）

图（2）

从图（1）中可以确定 i++ 指令的地址是 0x4014AB，而根据图（2）判断错误时进入 puts 函数的第一条地址是 0x401489。因此，我们需要 hook 的地址是这两个记录的地址。在 i++ 处，我们要植入的代码是使我们的插桩数加一，在 puts 处，我们要植入的代码是回显我们的插桩数。

该代码检测了内存中是否存在 test1.exe 程序，并且获取了 test1.exe 的基地址，通过偏移量确定了之前测定的 0x4014AB 与 0x401489。

运行 test1.exe 程序，并且执行如下命令

图（3）

图（4）

如果程序执行成功，你将会得到类似图（3）的界面。当我们输入'a'，你会看到类似图（4）的回显。我们已知程序正确验证为 'flag{12321213}'，所以再输入'f'来查看回显。

输入 'f' 后，你会看到类似以下信息：

message: {'type': 'send', 'payload': 1} data: None

然后输入 'fl' 后，你会看到类似以下信息：

message: {'type': 'send', 'payload': 2} data: None

显然，正确字节越多，得到的 number 数字也随之增加。因此，这个 number 可作为我们判断当前字节是否正确的侧信道。

程序名称 easyChallenge.exe，使用 IDA 查看该程序可以得到如下所示的伪代码

easyChllenge.exe Main 函数伪代码：

根据分析，发现 v2 存放指令集，v4 存放 EIP（指令指针寄存器）的值。程序利用 v2 中的指令集对输入进行处理，并逐字节验证。验证失败时，程序立即退出，不再继续执行。这显示了程序在验证中的严谨性，一旦发现验证失败就停止后续步骤。

因此，我们选择在 switch 语句处进行 hook 代码的插入，以便在运行到该点时对插装数进行 +1 操作。随后，我们继续在 puts 函数的地址处进行插桩数验证。这些插桩的位置如图（5）和（6）所示。

图（5）

图（6）

Hook 代码：

同样我们运行 easyChallenge.exe 后执行如下命令。

输入简单的 'a' 后，得到回显：

[Local::easyChallenge.exe ]-> message: {'type': 'send', 'payload': 0} data: None

我们观察到程序并没有经过我们插桩的点。这是因为我们的输入不足 32 位，导致程序没有进入虚拟机的分发器。

输入 '12345678911234567891123456789112' 继续查看回显：

[Local::easyChallenge.exe ]-> Process terminated

[Local::easyChallenge.exe ]->

输入 '12345678911234567891123456789112' 后，程序终止并没有返回 number 数字的回显。这可能是因为程序在返回 number 数字之前就被终止了，导致我们无法看到完整的回显信息。这种情况表明程序运行时间不足以完成整个流程，需要使用其他方法来延长程序的运行时间。观察程序发现程序中出现了 puts 函数，那么我们可以劫持 puts 函数循环输出，来增加程序 IO 时间从而等待 number 数回传。

操作如下：

这段代码则是调用了程序中原本存在的 puts 函数，当我们放在发送 number 操作之后，程序则会等待我们回传 number。

执行操作后再重复输入 '12345678911234567891123456789112' ，就可以得到如下回显了：

[Local::easyChallenge.exe ]-> message: {'type': 'send', 'payload': 197} data: None

重复皂搓输入'f2345678911234567891123456789112'，得到回显：

[Local::easyChallenge.exe ]-> message: {'type': 'send', 'payload': 203} data: None

发现当第一位输入正确时，插桩数则增大。

程序调用以及 hook 函数：

这段代码实现了一个名为 brute 的函数，函数接受一个参数 F。函数解读如下：

这段代码的目的是通过 Frida 脚本监控进程的执行，在进程执行过程中，当收到特定类型的消息时（例如 'send'），将其中的 'payload' 提取出来作为结果返回。

调用该函数传入我们的输入，我们则可以根据函数返回的 result，来分析输入是否正确了。

爆破主体代码：

这段代码是一个循环，尝试逐字节破解一个 flag。让我们逐步解读：

count = 0： 初始化一个计数器，用于追踪已经尝试的字节位置。

new_number = brute(flag)： 调用 brute() 函数并将结果保存在 new_number 中。

number = new_number： 将 new_number 赋值给 number。

while count < flaglen:： 开始一个循环，条件是 count 小于 flaglen，即 flag 的长度。

number = brute(flag)： 再次调用 brute() 函数，更新 number 的值。

如果 number 大于 new_number：

如果 number 不大于 new_number：

最后输出解码后的 flag 字符串。

这段代码在不断尝试对一个密文进行破解，通过比较不同位置的字符对应的数字（是一个侧信道攻击中的某种特定指标）来判断解密进展，逐字节地逼近正确的结果。

最终我们获得完整 Exploit：

程序运行结果如图（7）所示：

图（7）

平均每位耗时 2.7s，32 位程序总耗时 78s

程序 Main 函数伪代码：

本程序也属于 VM 类型，相较于上一程序，本程序分析起来更加复杂，验证逻辑更为繁琐，因此我们也可以考虑道使用之前提出的侧信道解法来爆破本程序的正确输入。我们 hook 的点位仍然是指令分发器的位置以及 putchar 位置，分别为图（8）和（9）：

图（8）

图（9）

HOOK 脚本如下：

由于本题在 hook 程序之后导致程序退出异常缓慢，因此在程序中可以找到 exit 函数的地址，通过调用 exit 函数来让程序退出。并且，发现最后一位如果争取的 eip 运行次数会减少。那么我们更改 exp 为检测到 number 变化即为正确字符。

运行效果如图（10）：

图（10）

Main 程序伪代码：

本程序加密逻辑十分繁琐以及复杂，但是依旧满足单字节加密验证

运行结果如图（11）

图（11）

[培训]Windows内核深度攻防：从Hook技术到Rootkit实战！