强网杯初赛的这道 re 挺有意思的，做了快 20h 出了。

11

ptrace 父子进程调试，父进程追踪子进程 int 3 指令的位置，替换成相应的操作，因为开始的赋值操作导致数据结构不好看，可以考虑 dump + nop 初始化的方式。

每次 int 3 触发之后，会执行一个结构体中的函数，结构体如下定义。

经过遍历结构体，去重得到一共只会执行以下几个函数。

分析父进程的操作

根据还原的伪代码逻辑也可以看出：

第一步，断 fork，dump 结构体内容，保存为 .h 文件

第一步可以验证前面两个猜想，一个是找 func 函数，去重，用一个 set 做就行，另一个是当 func return 3 的时候，输出 rchild，观察函数。第一步不给代码了，第二步运行一下：

运行可以发现，输出地址均为 plt 表中的地址。

后续我还做了一张 dot 表，可以直观地感受节点之间的控制关系。

用输出的结果转为 dot 图。

最后得到下面的图

是的最开始拿到这张图，我也没招了，总不能真一个个看吧，随后我写了一个分析 vm 指令流的脚本，并用广搜去解析它们之前基本块的关系。

在 case 2 的处理中，我输出了下一步的块，虽然可能会有点错误，但是不影响指令分析。

把这些块解引用之后，可以输出结构体，然后编写 idapy 脚本去取指令分块重构，以 int 3 为间隔，每次扫描该块的 RIP 字段，取出该地址往下的所有指令，直到遇到 int 3 停止，这里根据 func 去处理函数：

jumptable 来源于上一个脚本向标准错误流打印的数据（方便重定向）。

运行脚本之后得到原指令流，事实上可以根据广搜结果将明显访问不到的块去掉。

如图右边这一块，但是事实上只有 80 个块你也不可能拉条儿去硬找，基本都是用 search。

汇编好的选手可以直接秒了，像我这种汇编不好的选手只能求助 AI 了，通过求助 AI 大致摸清楚了前面的执行流程。

而比较关键的是对于两个 256 字节的数组进行的初始化，仅仅简单对一个 32 字节硬编码数组做了一个异或运算。

这下看懂了，这就是 AES 的 SBOX 数组，随后的循环明显是轮密钥加，之后我写了 dump 脚本去 dump 轮密钥，并用程序去进行了验证。

dump 的轮密钥和 AES 的key对应上了，而且 key 可以用随机数种子去验证，分段发给 AI 汇编代码，AI 后面可以分析出又使用了 srand(rand()) 。动调也可以验证，因为发现整个块里面就调用了两次 srand，第二次 srand 前驱调用了一个 rand() 函数。

如果实在不放心，可以在 0x400b79 地址被引用的代码下硬件断点去观察

也就是这里的 0x606b58。

这样刚好可以在 case 3 call srand 之前断住。

这里的 rchild=0x400870 就是 srand 的地址，本次continue过去就会执行srand，那么这里关心的值当然就是上一个块 rand 的返回值，直接找 regs 结构体的 RAX 。

这里找到了它的返回值 1343350356，刚好是可以对应上的（可以自己 srand(0x10000)，然后输出第 17 个 rand 值验证）。

后面的异或操作都是问 AI 的，最后比较的 target 就是祝贺找到正确的 flag 那句话。

通过输入 24 个 a，观察 AI 拿的加密数组，基本可以确定异或之前的值就是输入进行 AES 之后的值，这里我直接用 /proc/pid/mem 去 dump 指定区域的内存。

通过dump结果比对

发现就是普普通通的 AES ECB/Nopadding。

那么流程就清晰了：

提取目标比对的字节，异或硬编码数组和随机数数组之后输出，最后 AES 解密即可。

最后的 AES 解密得到 flag。

也分享一下我的 AI 聊天记录

2e9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0K9r3q4@1k6%4m8@1i4K6u0W2j5$3!0E0i4K6u0r3M7$3S2S2M7X3g2Q4x3V1j5$3z5r3j5@1k6X3t1J5x3q4)9J5k6o6R3#2x3X3y4Q4x3X3b7^5x3o6l9J5i4K6u0V1j5e0y4W2k6g2)9J5k6o6y4X3j5e0V1^5x3h3j5^5z5o6V1J5y4b7`.`.

在群友的帮助下，我大概知道正确的恢复流程了，应该给 case 4 建立 rchild 的 call，再建立lchild的jmp，而 case 2 直接 ret 就行，但是即使恢复正确的流程 ida 也是无法正确恢复指令流，所以差别不大。

这题属于签到的水平，只不过就是静态链接的题目，对于静态链接的题目，lumina 直接秒了，我搭建了一个私人服务器，里面放了一些常用的库代码。

关于 lumina：789K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0S2Q4x3X3f1I4y4e0y4Q4x3X3f1%4x3g2)9J5k6e0t1@1y4#2)9K6b7e0R3H3x3o6m8Q4x3V1k6D9N6h3#2A6L8X3q4Q4x3V1k6A6L8X3k6G2i4K6u0W2K9s2c8E0L8l9`.`.

恢复符号之后约等于裸奔，然后全选，复制，粘贴，发给 AI，秒了。。。

383K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6U0K9r3q4@1k6%4m8@1i4K6u0W2j5$3!0E0i4K6u0r3M7$3S2S2M7X3g2Q4x3V1j5$3z5r3j5#2z5h3y4X3k6q4)9J5k6r3t1$3x3e0m8Q4x3X3b7^5x3o6l9J5i4K6u0V1z5h3k6X3k6W2)9J5k6o6b7H3y4K6f1@1z5o6R3@1x3r3j5@1y4H3`.`.

总共就问了两句话，用时 1 分钟。

CTF 真好玩，上周末单休，这周的强网杯直接把周末干碎了，从 11 点到 6 点（第二天凌晨），已经是一个活人微死的状态了，tradre 这题 80 解，我 CN 的逆向水平真好。

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！