安装angr，部署angr-ctf项目。
先安装angr：

angr用project调用来加载二进制文件

其他的操作可以通过题目来学习

相关接口可参考下面的文章,本文的学习还是从angr-ctf这个项目中去学习。
b27K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6^5P5W2)9J5k6h3q4D9K9i4W2#2L8W2)9J5k6h3y4G2L8g2)9J5c8X3&6W2N6%4y4Q4x3V1j5$3y4K6p5K6i4K6t1K6N6r3!0U0i4K6u0V1x3e0b7`.

本文前面的几个会介绍的比较详细，后面的因为会技术有重复，所以简略的贴了一下脚本，所以只是angr的入门技术的讲解，深入学习需要在更多的实际程序中去跑。

项目的可执行文件再dist文件夹中，每个程序的目的都是让程序输出good job

可以看到逻辑就是一个输入，然后之后验证的过程。

现在需要用angr来进行分析。

load_options = {'auto_load_libs': False}: 是要求他不要载入其他的依赖文件，可以降低复杂性跟时间。
main_opts = {'base_addr': 0x804850}: 设置 entrypoint，也可以不加

然后设置：

下面需要让angt开始搜索路径

完整脚本：

找到了“JXWVXRKX”

输出的日志中angr.storage.memory*_mixins.default_*filler*_mixin* 这是在说遇到了一个没有初始值的寄存器或地址，angr会在稍后自动创建一个未约束的符号变量来填充，警告提到了三个提示：

暂时这些可以无视，这个00程序的目的就是让我们了解angr的基本调用，以及find参数去寻找指定的地址。

程序用Ida静态分析的时候会发现：

太长了，不能直接查看流程图。这也意味着如果我们直接按照00程序那样去find，会有超级多的路径，另外分析发现有个函数avoid_me被调用了过多次，并注意到这个函数只有一个作用，就是让should_succeed为0，所以这里要使用另一个参数avoid来避开设计这个函数的路径分支。

这样就跑出来了。

02程序跟前两个逻辑基本一致，这里是让我们去动态选择需要的state，也就是用strings参数去找正确和错误的字符串，不再直接输入地址。

程序读取一个输入，然后分别做了三个复杂的变换，之后判定满足条件就能输出。angr 对 scanf 的复杂输入处理的不是很好，但是发现输入之后的三个参数被放在了三个寄存器里面。程序从这三个寄存器中再取值到三个变量里，然后进行三次复杂变换。我们可以直接控制寄存器的值，跳过用户的输入，这样更方便angr去分析。

输入值先被写入栈，然后被变换，最后与常量比较。要找到正确输入，必须让angr追踪这两个栈位置上的符号值。注意之类与03的区别，这里是scnaf把数据读取到栈里面，03是把数据读取到寄存器里，上一道题我们直接跳过了输入函数，因此eax，ebx，edx依次压入栈，所以我们直接修改寄存器的值就行，但是04需要我们去手动布置栈。从ida里面看，一个是[ebp-Ch]，一个是[ebp-10h]。我们将符号执行的位置放在0x8048697开始,gdb看一下scanf之后的时候的栈，此时栈中以及被压入了2个4字节的数据,所以想要符号化栈中的这两个数据,我们先要将栈抬高,也就是esp-8,让esp指向目标变量区域的"顶部",然后再将两个符号化的栈值压入栈.

这个与4类似，但是这里是要用指定地址去设置参数，刚刚的04的脚本里面注释掉的那几行就是指定地址传参的形式。

注意这里scanf的是%8s，8字符，一个字符8字节，所以长度是64

前面是栈的符号化，现在是内存的符号化，scanf的两个参数是动态分配地址的，所以之前的方法并不能直接利用了，但是我们可以指定一个地址作为堆地址，堆地址存储在 bss 段的一个地址中，所以给 bss 段的变量一个自定义地址，往自定义地址里写输入位向量。

也就是说选择两个未使用的内存地址作为"伪造"的堆地址，将 buffer0 和 buffer1 中的指针值改为我们的伪造地址，将符号化输入直接存储到伪造地址中，让程序认为输入数据已经在 malloc 分配的内存中。

这个程序是考察文件系统符号化能力。程序从硬编码的文件名中读取密码，而非从标准输入获取。angr 默认不模拟真实文件系统，程序无法打开实际文件。需要将整个文件内容转换为符号变量。程序通过指针访问文件名，需确保地址解析正确。

构造虚拟文件对象，内容用符号变量填充。通过 state.fs.insert() 将虚拟文件挂载到指定路径。将 BSS 段的 file_str 指针指向我们控制的字符串地址。

08程序是约束条件的控制，必须要绕过 check_equals 的 2^16 路径爆炸。直接执行的话会路径爆炸，所以需要进行剪枝、聚焦到有效的解空间。

在创建符号变量的时候，主动添加约束条件，减少路径。（使用 state.solver.add() 主动限制变量范围）

09程序是让我们区写一个hook的函数。通过拦截并替换复杂函数，彻底避免路径爆炸。第一次比较在check函数中按位比较，路径爆炸发生在check函数中，在函数调用点直接替换整个函数逻辑，用一行代码完成判断和返回值设置，不产生任何分支。

第一步：让 scanf 真实执行（不 Hook）

关键洞察：无需手动 memory.store()，scanf 自己会完成输入符号化。

第二步：Hook check_equals 函数（消除循环）

为什么用 hook_symbol 而非 @hook(addr)？

第三步：在 Hook 内部读取 Buffer 并判断

此时 res 的值是什么？

res** 是 16 字节的符号表达式链**，基于 stdin 的符号变量。

第四步：探索到 Good Job 路径

执行流：

第五步：求解 stdin 内容

求解器内部逻辑：

完整的代码

这个题目要求找出两个无符号整数，使得它们经过scanf读入后，在内存中的字节表示能够匹配一个经过变换的8字节字符串。程序首先在栈上初始化一个字符串"SUQMKQFX"，然后对每个字符应用complex_function进行位置相关的凯撒移位变换。接着程序调用scanf尝试从标准输入读取两个无符号整数到buffer0和buffer1指向的内存位置。这里的关键点在于，scanf被调用时传入的是两个指向无符号整数的指针，而随后的strncmp实际上比较的是这些整数在内存中的字节表示，而非整数值本身。

为了破解这个题目，我们需要hook scanf函数，因为真实执行scanf会从标准输入读取具体值，这会导致符号执行无法探索所有可能。脚本中定义了一个SimProcedure类来替换scanf的行为。在run方法中，我们创建两个32位的符号变量arg1和arg2，它们代表我们要寻找的两个整数。然后我们将这两个符号变量存储到scanf的参数指针所指向的内存位置，并使用小端序存储，这符合scanf对无符号整数的处理惯例。同时，我们将这两个符号变量的引用保存在state.globals字典中，以便后续求解时能够访问它们。

通过这种方式，我们让程序继续执行时，strncmp会比较符号变量在内存中的字节表示与变换后的目标字符串。当符号变量的值不符合要求时，程序会走向输出"Try again."的分支，这条路径会被标记为avoid。只有当符号变量的字节表示完全匹配目标字符串时，程序才会输出"Good Job."，这条路径会被保留下来。探索完成后，我们从全局状态中取出保存的符号变量，使用求解器计算它们的具体值。求解器会找到满足所有约束条件的整数解，即第一个整数的内存表示等于变换后字符串的前4个字节，第二个整数的内存表示等于后4个字节。

程序包含大量条件分支导致路径爆炸。利用 angr 的 Veritesting 技术自动合并相似路径，无需手动 hook。

静态链接的二进制文件，所有库函数都在二进制内部。需要 hook 系统调用（如 strlen）以避免复杂实现。

程序加载共享库（.so），验证函数在库中。需要加载库并直接对库函数执行符号执行。

用格式化字符串漏洞任意读取内存。需要找到正确的偏移读取 secret 字符串。

利用栈溢出漏洞任意写入内存。需要覆盖返回地址跳转到 secret 函数。

利用任意跳转漏洞控制程序计数器。需要找到输入使程序跳转到 secret 函数。

传播安全知识、拓宽行业人脉——看雪讲师团队等你加入！