BUUCTF[BJDCTF2020]JustRE超详细

buuctf逆向题[BJDCTF2020]JustRE解题思路

1.ida32位打开，直接看main函数 int __stdcall WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nShowCmd) { int result; // eax@1 HACCEL v5; // esi@2 struct tagMSG Msg; // [sp+8h] [bp-1Ch]@2 LoadStringA(hInstance, 0x67u, WindowName,

光标在目标位置时，ctrl+x查看交叉使用列表，可以跳转到所在汇编的位置。2.shift+f12查看字符串。发现有flag格式的。

下载文件 查壳 没有壳 放入 id32。发现有一个和flag格式差不多的。

后缀.class文件用到java反编译软件打开文件如下图很容易理解的程序，就是输入一个flag经过加密方式处理后如果等于已知密钥那么flag正确密钥已知，那么按照加密方式写脚本反推flag就可以了：java中运算符优先级加法+大于位运算^脚本如下最终得到flag{This_is_the_flag_!

BUUCTF - [BJDCTF2020]JustRE 1 十分简单的逆向题目，但是涉及到WindowsAPI的使用，可以作为这类题目的入门 1. 正向观察程序，发现一个突破点 2. 拖入逆向工具进行分析 32位程序，无壳 3. 拖入IDA分析 观察后发现，程序是WindowsAPI的使用，跳过前期初始化，找咱们感兴趣的点，查看字符串 跟进分析 点击19999次后显示flag（倒是也没骗人hh） 把sprintf里面的format带入进去得到flag：BJD{1999902069a45792d2

[BJDCTF2020]JustRE 打开附件，是个可执行文件，运行一下 getflag是骗人的，点了100次啥也没有。 查壳，32bit，无壳 用32bitIDA打开，看到有一串比较像flag的字符，跟进一下 输出Format，看一下Format的值 Format是 您已经点了%d次，那 dword_4099F0应该就是点击的次数 下一个if是 dword_4099F0==19999 时符合条件，结合上面就可以判断大概是鼠标点击20000次会输出flag 这里是把19999和0写入 BJ

命令，函数声明为 int sprintf(char *string, char *format [,argument,...]);，主要功能是把格式化的数据写入某个字符串中，即发送格式化输出到 string 所指向的字符串。sprintf指的是。

同时博主也比较推荐x64dbg 这个也是不错的，功能强大且免费的开源调试软件，比IDA-Pro更加直观的界面，丰富的调试功能，博主就是使用的x64dbg，当然看自己的需求。ok，这里也是涉及到了动态调试，对于一些初接触的人来说，又又又到了知识空白区了。我们直接shift + F12查询关键字符串，很显然没有直接出现flag相关的字符串，但是我们可以看到一个类似flag形式的字符串，我们可以跟进一下看看。根据，软件的help 里面，提示我们BJD很重要，可以猜测一下，上面BJD{}里得到的应该就是flag。

sprintf将格式化后的字符串输出到String中。shift + F12搜索字符串。一路跟踪到汇编窗口，然后F5。发现类似flag的字符串。最终String的值为。

放到ida，shift+F12可以直接看到有个类似flag的字符串，可以跳转过去。这里我们先不跳转，进入main（）的各个函数看一下。本题学到一堆c++的系统库函数。

[BJDCTF2020]JustRE 附件 步骤： 例行查壳儿，无壳儿，32位程序 32位ida载入，main函数没看懂，shift+f12检索了一下程序里的字符串，发现了一个类似于flag的字符串 双击跟进，找到关键函数 可以看到14行，输出了aBjdDD2069a4579，19999，0，aBjdDD2069a4579是BJD{%d%d2069a45792d233ac}，19999和0填入到里面的%d位置，得到flag BJD{1999902069a45792d233ac} ...

用IDA打开，然后搜索包含main的函数 找了一段时间，不知道从哪里下手。所以继续去搜索一下flag字符串 然后再搜索一下花括号{} 去找一下，它是怎么被使用的 所以可以看出来关键函数是：DialogFunc BOOL __stdcall DialogFunc(HWND hWnd, UINT a2, WPARAM a3, LPARAM a4) { CHAR String; // [esp+0h] [ebp-64h] if ( a2 != 272 ) { if ( a2 != 2

7.发现19999，和0，而sprintf为输出函数，所以刚好对应前面的控制符。则flag为flag{1999902069a45792d233ac}5.拉ida，发现了很明显的字符串。1.下载文件，发现是exe文件。3.发现了有些像之前做过的点击。4.用ce发现找不到数值。

且后面有两个数字19999和0，在C语言中我们知道，输出数字用%d来表示。这里我们同样运用一下，那么最终的结果为1999902069a45792d233ac，把BJD换成flag即可。第三步 按shift+f12进入strings窗口，找到一串可疑的字符串，如图所示，并双击。第二步 按tab键转换成伪代码，并没有什么发现。该题目为32位，无壳。第四步 点击此处继续跟进。