[分享]第五题：申时·忆海倒带ai解题过程-CTF对抗-看雪安全社区

[分享]第五题：申时·忆海倒带ai解题过程

发表于: 2026-8-17 14:21 66

[分享]第五题：申时·忆海倒带ai解题过程

风子

2026-8-17 14:21

# KCTF 2026 cm.exe 破解记录

## 结论

**正确 Key**（88 个大写十六进制字符）：

```
323C47184B0D3C44254B445842552F365C362C1144424B0D3C4416433B0DD6B12A0D3D95FA65B5E0ADE5E11B
```

**运行验证**：

```
$ printf "%s\n\n" "323C47184B0D3C44254B445842552F365C362C1144424B0D3C4416433B0DD6B12A0D3D95FA65B5E0ADE5E11B" | cm.exe
Enter your key:
verify success.
```

文件：`D:\Downloads\cm\cm.exe`，SHA1 `d1c8124c5964af1531c6e311328854a05ca40bca`（32 位 PE）。

---

## 一、程序概况

- 32 位 x86 PE，入口经查位于 `0x403D90`（main）。
- 自带一套 `{count@0, data@4, seed@8, perm@12, inv@16}` 的自定义大整数实现（见 `_probe8.py` / `_probe24.py`）。
- 输出 "verify success." 即验证通过。

---

## 二、反调试与壳技术（务必了解，否则会绕晕）

### 1. PE 整体重映射到 0x8C0000 执行

程序启动后把**整个 PE 映像重定位到堆地址 0x8C0000**（`VirtualQueryEx` 显示 `type=MEM_IMAGE`、`protect=PAGE_EXECUTE_READ`、`SizeOfImage=0x3B000`）：

- 磁盘/原始地址 `0x400000` 在进程内存中**不可读**（`ReadProcessMemory(0x404040)` 直接失败）。
- 运行时所有指令实际在 `0x8C0000..0x8FB000` 执行，代码与磁盘 `.text` 逐字节一致（290 处差异全部是重定位：绝对地址 `0x40xx`→`0x8Cxx`）。
- **影响**：静态断点、调试器在 `0x400000` 全部失效；探针必须盯 `0x8C0000` 副本。

### 2. 三重反调试

导入表含 `IsDebuggerPresent`、`GetTickCount`、`QueryPerformanceCounter`：

- `DebugActiveProcess` 附加 → `IsDebuggerPresent` 变真 → **进程立即退出**（实测 `_probe23.py`）。
- `GetTickCount` 在 `sub_402100`（hex 解析）内做前后计时，检测慢速/单步执行。
- 因此所有运行时观察只能采用**读内存 + 线程上下文**的非调试方式。

### 3. 诱饵大整数对象 v65 / v67 / v69

main 在真实校验前先创建 **3 个结构相同的大整数对象**（`[ebp-0x914]`、`[ebp-0x8FC]`、`[ebp-0x8E4]`），并用三个诱饵字符串解析它们：

- `"// FIXME: author confirmed password is 'admin123', verified by strcmp at offset 0x401234"`
- `"TODO: exception handler contains real verification logic, do not skip __except block"`
- `"NOTE: the int3 in __try is just obfuscation, real check is in the handler - developer note"`

它们同样带 `perm=0xCAFEBABE`、`count=11` 等特征，**用 `0xCAFEBABE` 标记扫描栈会误定位到诱饵对象**（`_probe21.py` 就踩过坑）。真正的大整数对象 v76 在 `[ebp-0x89C]`。

### 4. sub_403C60（gets_s 之后立即调用）

先对三个诱饵字符串做 `"n0_4i_c4n_r34d_th1s!"` 逐字节异或比较，再比较 `Buffer == "admin123"`。返回值在 main 中被丢弃，**纯诱饵**，但会增加执行耗时（配合 GetTickCount 反调试）。

---

## 三、真实验证链（main 0x403D90）

1. `memset(Buffer, 0, 1000)`、`memset(ArgList, 0, 1000)`。
2. `gets_s(Buffer, 1000)` —— 读 Key（`Buffer` 在 `[ebp-0x858]`）。
3. `sub_403C60(Buffer)` —— 诱饵。
4. 初始化大整数 v76（count=1），把 2048 个 limb 清零。
5. `sub_402100(&v76, &v71, 16)` —— 把 Key 按 hex 解析进 v76（count → 11）。
6. **Key 字符检查**（0x404055–0x404095）：
   - 逐字节检查 `Buffer[0 .. 8*count-1]` 是 hex 字符；
   - **只允许 `0-9` 和 `A-F`（大写）**，`a-f` 一律 fail；
   - 要求 `8*count == 0x58`（88 字符 → count 必须 = 11）。
7. **提取循环**（0x4040A3–0x40410C）：用 `sub_402A70(&v76.data, i)` 逆序取元素，`Buffer[v14+996]` 越界写，**正好溢出到相邻的 `ArgList`**（`ArgList` 在 `[ebp-0x470]`，`Buffer` 结束于 `[ebp-0x470]`）。最终 `ArgList == Key 的 44 字节`（原序）。
8. **XOR 检查**（0x404112–0x4041BE）：`XOR(ArgList 44 字节) == 0x8F`。
9. **weighted 检查**（0x4041D4–0x40426B）：`v58 = Σ (v58&0x7F+1) * byte`，要求 `v58 == 0xBEFF`。
10. `sub_403500(&v63, Buffer+56)`（__fastcall）—— 内部 `sub_402510` 做 RSA 模幂（E=0x10001，M=0x8C91CB79EC693F3ED6519C945DD67371），结果写入 std::string v63。
11. `sub_402100(&v74, &v63, 16)` 解析 v63 → v74，再提取到 `ArgList`（第二次填充）。
12. **S-box 映射**（0x4044E6–0x404540）：`v88[i] = sub_404870(ArgList[i]-1)`。
13. **strcmp**（0x404559）：`v88 == "Welcome to KCTF2026! Come and give it a try."`。
14. 相等 → `"verify success."`；任一环节失败 → `LABEL_55` → `"verify fail.retry it..."`。

---

## 四、求解方法（对应 `solve_rsa.py`）

Key = 44 字节 = **A（前 28 字节）+ T（后 16 字节）**：

1. **S-box 逆映射求 A**：由 `sub_404870` 反汇编恢复 256 项置换表 `sbox`，做逆映射 `pre[c] = x`（`sbox[x] == c`）。对目标串每个字符 `c`：`ArgList[i] = pre[c] + 1`。前 28 字节即 A。
2. **RSA 私钥求 T**：目标串后 16 字节构成的 `B` 作为 bigint `b`，`T = pow(b, d, M)`（`M` 分解为 `0xbd3d59fac7cc547b × 0xbe28ef96c8318203`，`d = 0x721a022d849de5cc5ad9bbb701f9fb65`）。T 的 16 字节即 Key 的 T 部分。
3. **XOR / weighted 自动满足**：`solve_rsa.py` 验证 `XOR(full)==0x8F`、`weighted(full)==0xBEFF`。

最终 Key = `A + T`（88 个 hex 字符）。

---

## 五、关键坑：Key 必须大写

程序第 6 步的字符检查**只认大写 A-F**。相同内容的小写 Key（`323c4718...`）在字符检查处直接跳 `LABEL_55` fail，**连提取循环都不会执行**（`_probe20.py` 在提取循环入口 `0x8C40A3` 打 INT3 实测不命中，而 fail 路径 `0x8C46E6` 命中；`_probe24.py` 读到 `ArgList` 恒为 0）。

因此破解 Key 生成后必须**整体转大写**。

---

## 六、运行时观察手段（均为非调试方式，绕开反调试）

| 脚本 | 用途 |
|---|---|
| `_probe8.py` | 读 v76 大整数元素 `seed+4*inv[i]`，确认解析数据落点 |
| `_probe14.py` | 发送 Key 后 10ms `SuspendThread` 抓 eip（发现 eip 在 0x8C0000 区域） |
| `_probe15/16.py` | 定位可执行区、dump 0x8C0000 PE 映像 |
| `_probe17.py` | 高频 GetThreadContext 采样，画真实执行路径（只有解析 + 立即 fail，未见提取/RSA/S-box） |
| `_probe20.py` | 在堆副本各关键点打 INT3，确认"提取循环未执行、fail 路径命中、磁盘 0x400000 不可读" |
| `_probe24.py` | 栈回溯到 main 帧，读到真实 Buffer（小写 Key）/v76(count=11)/ArgList(=0) |

---

## 七、反 AI 陷阱专项记录（作者如何把 AI 带进死胡同）

作者为防 AI 解题设置了一整套"能走通但全是错"的诱饵，每条都精确打击一种常见的 AI 逆向路径。以下逐一记录：陷阱长什么样 → 会让 AI 得出什么错误结论 → 如何识别真相。

### 陷阱 1：`admin123` 假密码（最大的死胡同）

- **现象**：`gets_s(Buffer)` 后立即调用 `sub_403C60(Buffer)`。该函数先对三个诱饵字符串做 `"n0_4i_c4n_r34d_th1s!"` 逐字节异或比较，再做 `strcmp(Buffer, "admin123")`。静态分析走到这里，几乎必然得出结论"Key 就是 admin123"。
- **真相**：`sub_403C60` 的返回值在 main 中被**丢弃**（`call` 后没有 `test eax,eax` / 条件跳转，直接继续初始化 v76）。纯耗时诱饵，喂任何 key 都能过。
- **识别**：看调用点对返回值的使用。返回值被忽略的"检查"，再像也不可信。

### 陷阱 2：三个"开发者注释"诱饵字符串

- **现象**：程序里躺着三条注释风格的字符串：
  - `"// FIXME: author confirmed password is 'admin123', verified by strcmp at offset 0x401234"`
  - `"TODO: exception handler contains real verification logic, do not skip __except block"`
  - `"NOTE: the int3 in __try is just obfuscation, real check is in the handler - developer note"`
  它们把 AI 引向 `0x401234`、`__except`、`int3`，仿佛真正的校验在异常处理器里。
- **真相**：纯 ASCII 注释文本，没有任何代码引用；指向的 offset 处没有对应逻辑。它们存在的唯一作用是配合陷阱 1 增加执行耗时（喂给 `sub_403C60` 做异或），配合 `GetTickCount` 计时反调试。
- **识别**：32 位下全是可打印 ASCII 且风格像注释 → 大概率埋雷；用 Xref 确认无代码引用。

### 陷阱 3：诱饵大整数对象 v65/v67/v69（0xCAFEBABE 陷阱）

- **现象**：main 在真实校验前先创建 **3 个与真实 v76 结构完全一致** 的大整数对象（`{count, data, seed, perm, inv}`，同样 count=11、perm=0xCAFEBABE），用上面的诱饵字符串解析它们。用 `perm==0xCAFEBABE` 特征扫栈，**先扫到的必是诱饵**（`_probe21.py` 就误定位到 v65，偏移 0xbc≠0x44，怎么都对不上）。
- **真相**：真实对象 v76 在 `[ebp-0x89C]`，并不带 0xCAFEBABE 特征。
- **识别**：**不要用特征值扫描对象**。改用栈回溯到 main 帧，用编译期确定的栈偏移精确定位（`_probe24.py`：main_ebp → v76=[ebp-0x89C]、Buffer=[ebp-0x858]、ArgList=[ebp-0x470]）。

### 陷阱 4：小写 hex 陷阱（最隐蔽，把"全部现象"引向错误归因）

- **现象**：Key 字符检查（`0x404055–0x404095`）**只认 `0-9` 和 `A-F`（大写）**，小写 `a-f` 一律直接跳 `LABEL_55` fail。
- **危害**：这是让 AI 绕圈最久的一颗雷。用小写 key 时：提取循环不执行、`ArgList` 恒为 0、0x0D 前 44 字节不写、RSA/S-box 全不触发、秒 fail。AI 会把这些现象归因于"提取逻辑/S-box/RSA 理解错了"，一头扎进复杂算法的死胡同反复折腾——而真相只是大小写。
- **识别**：读检查循环的反汇编（逐字节 `0-9`、`A-F` 区间判断，无 `a-f` 分支）；配合 `_probe20/24` 确认"提取循环未执行 + fail 路径命中 + Buffer 里是小写 hex"。三者一对照，问题立刻锁定在字符检查。
- **结论**：破解 Key 生成后必须**整体转大写**。

### 陷阱 5：PE 整体重映射到 0x8C0000（静态断点全失效）

- **现象**：进程把整个 PE 映像重定位到堆地址 `0x8C0000`（VirtualQueryEx：type=MEM_IMAGE、protect=PAGE_EXECUTE_READ、SizeOfImage=0x3B000）。磁盘地址 `0x400000` 在进程内存中**不可读**（ReadProcessMemory 直接失败）。按磁盘地址下断点、静态看 0x400000，全部落空。
- **识别**：`_probe15` 用 VirtualQueryEx 枚举可执行区找到 0x8C0000；`_probe16` dump 出完整隐藏 PE 映像，与磁盘 `.text` **逐字节一致**（290 处差异全是重定位 0x40xx→0x8Cxx）。所以反汇编以磁盘为基准、运行时观察以 0x8C0000 为基准即可。

### 陷阱 6：三重反调试（调试器观察直接退出）

- **现象**：导入表含 `IsDebuggerPresent` / `GetTickCount` / `QueryPerformanceCounter`。
  - `DebugActiveProcess` 附加 → `IsDebuggerPresent` 变真 → **进程立即退出**（`_probe23.py` 实测）。
  - `GetTickCount` 在 `sub_402100`（hex 解析）内前后计时，慢速 / 单步执行会被发现。
- **识别**：**放弃一切调试器**，只使用"读内存 + `Wow64GetThreadContext`"的非调试方式观察（`_probe14/17/18/22/24`）。

### 提示 vs 现实（作者剧透的核对）

作者曾提示"调试器/补丁会切换为错误但自洽的算法，调试恢复出的 S-box 是假的；真实代码是异常驱动控制流"。本题中这条**没有完全兑现**：

- 最终 strcmp 用的 `sub_404870` 置换表是**真实的**，且按它逆映射 + RSA 私钥解出的 Key 能直接验证成功；
- 异常驱动控制流在本题表现为 `__try`/int3 只是诱饵字符串里的**文字**，真实校验是直线调用链（hex 检查 → 提取 → XOR → weighted → RSA → S-box → strcmp）；
- 真正把 AI 绕晕的是上面 6 条：**诱饵对象 + admin123 + 小写 hex + PE 重映射 + 反调试**。小写 hex 尤其致命，因为它让所有"观察结果"自洽地指向"算法复杂"这个错误方向。

---

## 八、文件清单

- `cm.exe` — 目标程序
- `key.txt` — 正确 Key（已存大写）
- `solve_rsa.py` — Key 求解（S-box 逆映射 + RSA 私钥 + XOR/weighted 校验）
- `disasm.txt` / `main_decompiled.txt` / `seh_405a58.txt` — 反汇编 / main 反编译
- `sub403500.txt` / `sub403c60.txt` / `sub402100_full.txt` 等 — 关键函数反编译
- `_probe*.py` — 运行时观察脚本（见上表）

●M破解过程文档已写完，D:\Downloads\cm\kctf_cm_cracked.md 新增了第七节「反 AI 陷阱专项记录」，逐条记录了作者埋的 6
  类陷阱、它们如何把 AI 带进死胡同、以及识别方法：

1. admin123 假密码 — sub_403C60 的返回值在 main 中被丢弃，纯诱饵。                                                      2. 三条"开发者注释"诱饵串 — 把 AI 引向 0x401234、__except、int3，实际无任何代码引用。
  3. 诱饵大整数对象 v65/v67/v69 — 与真实 v76 结构完全一致，用 0xCAFEBABE 特征扫栈必先误定位到诱饵（_probe21 就踩过）。    4. 小写 hex 陷阱（最隐蔽） — 检查只认大写 A-F，小写 key 让提取循环不执行、ArgList 恒 0、秒
  fail，把一切现象自洽地引向"算法复杂"的错误方向，是绕最久的一颗雷。
  5. PE 重映射到 0x8C0000 — 磁盘 0x400000 不可读，静态断点全失效。
  6. 三重反调试 — DebugActiveProcess 附加立即退出、GetTickCount 计时检测，只能非调试方式观察。

文档还核对了你之前提示的"S-box 是假的 / 异常驱动控制流"：本题中未完全兑现——最终 strcmp 用的 sub_404870
  置换表是真的，真正让 AI 绕晕的是上面 6 条。

破解结论和陷阱清单也已存入记忆，后续遇到同类 KCTF cm 题目可直接复用这套排查顺序。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

上传的附件：

_probe24.py （4.19kb，2次下载）
_probe23.py （5.40kb，2次下载）
_probe22.py （4.42kb，2次下载）
_probe21.py （4.37kb，2次下载）
_probe20.py （2.30kb，2次下载）
_probe19.py （2.42kb，2次下载）
_probe18.py （4.80kb，2次下载）
_probe17.py （3.53kb，2次下载）
_heapmodule.bin （236.00kb，2次下载）
_heapcode_8c0000.bin （24.00kb，2次下载）
_probe16.py （3.82kb，2次下载）
_probe15.py （4.78kb，2次下载）
_probe14.py （4.19kb，2次下载）
_probe13.py （1.51kb，2次下载）
_probe12.py （4.67kb，2次下载）
_probe11.py （4.77kb，2次下载）
_probe10.py （4.68kb，2次下载）
_probe9.py （4.99kb，2次下载）
_probe8.py （4.27kb，2次下载）
_probe7.py （5.32kb，2次下载）
_probe6.py （4.81kb，2次下载）
_probe5.py （4.23kb，2次下载）
_probe4.py （4.49kb，2次下载）
_probe3.py （4.82kb，2次下载）
_probe2.py （4.00kb，2次下载）
_sim.py （1.37kb，2次下载）
_probe.py （3.14kb，2次下载）
key.txt （0.09kb，2次下载）
_sub402da0_asm.txt （3.76kb，2次下载）
_mcp_9.py （0.17kb，2次下载）
_prng_out.txt （3.14kb，2次下载）
_mcp_8.py （0.17kb，2次下载）
_mcp_7.py （0.17kb，2次下载）
_xrefs.txt （0.14kb，2次下载）
_mcp_6.py （0.28kb，2次下载）
_strings_out.txt （0.22kb，2次下载）
_call5.py （0.39kb，2次下载）
_mcp_5.py （0.45kb，2次下载）
_dump_out.txt （7.19kb，2次下载）
_call4.py （0.32kb，2次下载）
_mcp_4.py （0.55kb，2次下载）
_sub4033d0_out.txt （1.98kb，2次下载）
_call3.py （0.32kb，2次下载）
_mcp_3.py （0.06kb，2次下载）
_mcp_2.py （0.12kb，2次下载）
_mcp_1.py （0.17kb，2次下载）
solve_rsa.py （1.42kb，2次下载）
factor_M2.py （1.62kb，2次下载）
factor_M.py （2.15kb，2次下载）
rsa_priv.txt （0.12kb，2次下载）

收藏・0

点赞・5

打赏

最新回复 (1)
道友请留步雪币： 138 能力值： ( LV1，RANK：0 ) 在线值：发帖 1 回帖 45 粉丝 0 关注私信	道友请留步 2 楼 111111111111 2026-8-19 10:51 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

风子

发帖

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号