MoeCTF 2023 re-2

最新推荐文章于 2026-08-17 19:50:28 发布
原创 最新推荐文章于 2026-08-17 19:50:28 发布 · 1.2k 阅读 · 8 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
GEO检测

MoeCTF 2023 re-2

前言

MoeCTF 2023 re 第二篇

GUI

这道题是一道32位windows程序的题目
只需要找到加密函数和密文即可解密
在这里插入图片描述
在 Windows 编程里，窗口过程（Window Procedure）属于回调函数，它的作用是处理发送给窗口的各类消息。当用户与窗口交互（像点击按钮、关闭窗口等）或者系统有事件发生时，操作系统会把相应的消息发送给窗口，而窗口过程函数则会对这些消息进行处理。

WndClass.lpfnWndProc = sub_450CDF; 这行代码把 WndClass 结构体的 lpfnWndProc 成员设置为 sub_450CDF。这里的 sub_450CDF 应该是一个函数指针，它指向的函数就会作为窗口过程函数来处理窗口消息。

我们跟进去

__CheckForDebuggerJustMyCode(&unk_528026);
  if ( Msg > 0xF )//如果msg的值大于15
  {
    if ( Msg == 16 )//并且msg的值等于16
    {
      DestroyWindow(hWndParent);//调用 DestroyWindow 函数销毁父窗口 hWndParent
    }
    else
    {
      if ( Msg != 273 )//如果msg不等于273，则调用 DefWindowProcW 函数，将该消息交给默认的窗口过程处理
        return DefWindowProcW(hWndParent, Msg, wParam, lParam);
      if ( (unsigned __int16)wParam == 1 )//msg不等于16且等于273
      {
        DlgItem = GetDlgItem(hWndParent, 2);
        GetWindowTextW(DlgItem, String, 1024);
        sub_450C94(String);
        v13 = 0;
        sub_450A0A(v7, v8);//加密函数
        LOBYTE(v13) = 1;
        sub_450C94(a91);//a91是密文
        if ( (unsigned __int8)sub_4531AB(v7, v6) )
          MessageBoxW(hWndParent, Text, L"hint", 0);
        else
          MessageBoxW(hWndParent, L"Sorry, flag error.", L"hint", 0);//这里消息弹窗flag错误，说明加密函数在上方
        sub_4529B8(v6);
        LOBYTE(v13) = 0;
        sub_4529B8(v7);
        v13 = -1;
        sub_4529B8(v8);
      }
    }
  }
  else
  {
    switch ( Msg )
    {
      case 0xFu:
        hDC = BeginPaint(hWndParent, &Paint);
        hbr = CreateSolidBrush(0xFFFFFFu);
        FillRect(hDC, &Paint.rcPaint, hbr);
        DeleteObject(hbr);
        EndPaint(hWndParent, &Paint);
        break;
      case 1u:
        CreateWindowExW(0, L"STATIC", L"Please input flag:", 0x50000000u, 10, 10, 120, 20, hWndParent, 0, 0, 0);
        CreateWindowExW(0, L"EDIT", &word_4FE15C, 0x50800000u, 10, 40, 250, 30, hWndParent, (HMENU)2, 0, 0);
        CreateWindowExW(0, L"BUTTON", L"submit", 0x50000000u, 10, 80, 80, 30, hWndParent, (HMENU)1, 0, 0);
        break;
      case 2u:
        PostQuitMessage(0);
        break;
      default:
        return DefWindowProcW(hWndParent, Msg, wParam, lParam);
    }
  }
  return 0;
}

这段代码是一个 Windows 典型的窗口消息处理函数（回调函数）

sub_450A0A(v7, v8)是加密函数
sub_450C94(a91)中的a91是密文

在这里插入图片描述
跟进去这两个看看，加密函数是-5之后异或，那解密函数先异或再加5

在这里插入图片描述
再看a91
在这里插入图片描述
exp：

str1 = [0x0F, 0x3E, 0x30, 0x27, 0x13,
        0x01, 0x7D, 0x70, 0x70, 0x03,
        0x7D, 0x38, 0x0E, 0x7A, 0x23,
        0x7C, 0x0B, 0x1A, 0x3C, 0x7D,
        0x39, 0x7F, 0x3C, 0x4D, 0x4D,
        0x4D, 0x29]

for i in str1:
    tmp = (i ^ 0x51) + 5
    print(chr(tmp), end='')

UPX!

在这里插入图片描述
64位加壳程序
在这里插入图片描述
砸壳
在这里插入图片描述
函数逻辑很简单，str[j]异或0x67 如果等于byte_140196000[j]，那就是对的，所以跟进去byte_140196000[j]
在这里插入图片描述
这里把8，W，‘8’，‘5’这些转换为对应的ascii码值再换成16进制即可，注意8和‘8’是不一样的，8是0x08，‘8’是8转换为ascii码值之后对应的16进制

3 dup(‘F’) 这个的意思是有三个‘F’，那就是三个0x46

exp：

str1 = [ 0x0A, 0x08, 0x02, 0x04, 0x13, 0x01, 0x1C, 0x57, 0x0F, 0x38,
  0x1E, 0x57, 0x12, 0x38, 0x2C, 0x09, 0x57, 0x10, 0x38, 0x2F,
  0x57, 0x10, 0x38, 0x13, 0x08, 0x38, 0x35, 0x02, 0x11, 0x54,
  0x15, 0x14, 0x02, 0x38, 0x32, 0x37, 0x3F, 0x46, 0x46, 0x46,
  0x1A]

for i in str1:
    tmp = i ^ 0x67
    print(chr(tmp), end='')

ezandroid

apk逆向，而且还是个典型的迷宫游戏
找到MainActivity函数进去

在 Android 逆向分析中，理解 JNI 也是非常关键的，因为很多 Android 应用会使用 JNI 来隐藏关键逻辑和数据
在这里插入图片描述

在这里插入图片描述
flag长度是23

把apk文件变成zip文件进去找到so文件里面的JNI_Onload，用ida打开

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述
有迷宫但是不知道迷宫怎么构建

在这里插入图片描述
找到sub_E80这个函数，看到了wasd，且sw上下是15，就是说上下移动下标会加减15（到下一行的同一位置），那就是列数是15，行数是120/15 = 9

迷宫：

@********
.********
…#…*
.********.***
.…*
.***.********
…*******

这里我直接用python脚本跑出结果
在这里插入图片描述

@是起点，下标=行号15+列号=15+3=18
#是终点=行号15＋列号=3*15+8=53

exp：

from collections import deque

# 定义迷宫
maze = [
    "***************",
    "***@***********",
    "***.***********",
    "*...****#..****",
    "*.********.****",
    "*.****.....****",
    "*.****.********",
    "*......********",
    "***************"
]

# 定义方向和对应的字符
directions = [(-1, 0, 'w'), (1, 0, 's'), (0, -1, 'a'), (0, 1, 'd')]

# 获取迷宫的行数和列数
rows = len(maze)
cols = len(maze[0])

# 找到起始位置 @ 和目标位置 #
start_row, start_col = None, None
target_row, target_col = None, None
for i in range(rows):
    for j in range(cols):
        if maze[i][j] == '@':
            start_row = i
            start_col = j
        elif maze[i][j] == '#':
            target_row = i
            target_col = j

# 计算 # 的下标
target_index = target_row * cols + target_col
print(f"# 的下标是: {target_index}")

# 初始化队列和访问标记
queue = deque([(start_row, start_col, "", [start_row * cols + start_col])])
visited = [[False] * cols for _ in range(rows)]
visited[start_row][start_col] = True

while queue:
    current_row, current_col, path, index_list = queue.popleft()

    # 如果到达目标位置，输出路径和下标变化
    if current_row == target_row and current_col == target_col:
        print("找到路径:", path)
        print("下标变化:", index_list)
        break

    # 尝试四个方向的移动
    for dr, dc, dir_char in directions:
        new_row = current_row + dr
        new_col = current_col + dc
        new_index = new_row * cols + new_col

        # 检查新位置是否合法且未访问过
        if 0 <= new_row < rows and 0 <= new_col < cols and maze[new_row][new_col] != '*' and not visited[new_row][new_col]:
            visited[new_row][new_col] = True
            new_path = path + dir_char
            new_index_list = index_list + [new_index]
            queue.append((new_row, new_col, new_path, new_index_list))
else:
    print("未找到路径。")

SMC

SMC 是一种代码混淆技术，代码在运行时会修改自身以达到隐藏真实逻辑的目的
在这里插入图片描述
在这里插入图片描述

for 循环从 0 到 121，共循环 122 次。
*((_BYTE *)&loc_4014D0 + i) ^= 0x66u;：对从 loc_4014D0 地址开始的每个字节进行异或操作，异或密钥为 0x66。(_BYTE *)&loc_4014D0 + i 表示当前要处理的字节的地址，通过解引用操作符 * 对该地址的字节进行异或运算。

写个idapython patch一下

addr = 0x4014D0  
for i in range(122):
    b = get_bytes(addr + i, 1)
    idc.patch_byte(addr + i, ord(b) ^ 0x66)
print('ok')

这是解密之前的样子
在这里插入图片描述

执行命令
在这里插入图片描述
回到解密之后
在这里插入图片描述
选中这些标红的区域，先按c转化为代码，然后再摁按P生成函数，最后再摁F5反编译
在这里插入图片描述
找到密文
在这里插入图片描述
异或即可出答案

junk_code

这里考察了花指令（就是多余指令）

进入main函数，发现有两个判断函数
在这里插入图片描述
点进去查看发现反编译失败
在这里插入图片描述
点击0x4605D0回到汇编，发现有多余指令
在这里插入图片描述
选中(点击一下即可)00460612摁U再选中0E8h点击NOP进行填充
在这里插入图片描述
再回到0x4605D0，选中（点击一下即可），摁p生成函数
在这里插入图片描述
摁f5反编译即可进去看到正确函数，大致内容就是flag值ascii码减去5等于aHj表里面的值
在这里插入图片描述
在这里插入图片描述
点进去查看即可知道aHj表
在这里插入图片描述
另一半flag也是一样的，摁p生成函数f5反编译
在这里插入图片描述
这里是个异或
在这里插入图片描述
在这里插入图片描述
两段合在一起即可得出flag
在这里插入图片描述

标签
#网络安全 #安全
MoeCTF2023_Re
m0_75094067的博客
10-14 693
MoeCTF2023_Re
MoeCTF2023_Pwn
m0_75094067的博客
10-14 454
MoeCTF2023_Pwn
re--[HDCTF 2023]double_code&[MoeCTF 2022]fake_key&[HNCTF 2022 WEEK3]Try2debugPlusPlus
2401_86886131的博客
04-24 1771
alloc:%p 的日志输出在这里的作用是记录某个内存分配操作的结果。它可能是为了调试、日志记录或安全检查的目的。具体来说，它记录了 sub_1400110FA 函数分配的内存地址。所以我们跟进sub_14001F000函数。之后一直f8等到程序打印出新的key值。把exit nop掉，不然会退出。V5与 0x23 进行异或操作。这是delta值，写代码。Shift+e导出数据。
【MoeCTF_2023_re_1 】
2301_78931332的博客
03-07 1179
MoeCTF_2023_re_1
MoeCTF_2023新生赛 Reverse题解WP【详解】-（学习记录）‘‘
Sciurdae的博客
10-21 2473
MoeCTF是我学习Re以来接触的第一个比赛!举办的很nice！（づ￣3￣）づ╭❤～明年看看有没有时间，akakak要ak一次才完整a！Github仓库题目下载还差几题，有空补上，还需努力。
MOECTF-RE方向的一些wp
Eddie_Murphy-blogs
08-25 452
哥们刚学ctf，看了看大家都说WEB和MISC上手更快，但是其他题我实在做不走了，于是去RE看了看，虽然做的不多，但还是觉得挺有趣的。
【moeCTF题解-0x01】Reverse
框架科工：Framecraft
10-09 2130
title: 【moeCTF题解-0x01】Reverse categories: CTF moeCTF tags: CTF 【moeCTF题解-0x01】Reverse 一个全新的领域 【moeCTF题解】总目录如下： 【moeCTF题解-0x00】序 （包括Sign in） 【moeCTF题解-0x01】Reverse （包括Android、IoT） 【moeCTF题解-0x02】Pwn 【moeCTF题解-0x03】Algorithm 【moeCTF题解.
[MoeCTF 2023]——Web方向详细Write up、Re、Misc、Crypto部分Writeup
Leaf_initial的博客
10-19 2916
将url地址复制然后打开即可得到flag。
re笔记（moectf2023 ezandroid
sonetto_14的博客
11-21 537
开始时拿到题不知道如何下手，用jadx-gui打开，搜"flag"等也没有搜出来，就想到了用模拟。打开可以看到如上界面，随意输入一段数字会报错，根据报错的内容，搜索该字符串。定位到关键语句这样的声明表示 check 方法是一个本地方法，它通过与非 Java 语言（如 C 或 C++）编写的代码进行互操作。在上是文件，在上是文件于是我就通过jadx找.so文件把lib文件解压出来，把x86文件夹中的文件放到ida中进行逆向分析。
moectf2023学习笔记
Fab1an的博客
08-15 2540
也可以在这里改cookie的值。
RE_调试专项训练
2302_79135465的博客
05-16 328
再把这个值记下即可。尝试两次发现一样，所以是伪随机，直接从被比较的文本减去这个值即可。rand（）那跟了一下，只有9次好像，不知道哪里出问题，应该是29个数。卡那里了，先不 patch 试试，动调时候再改。但我理解的是只有那种有随机数种子才是伪随机。程序中出现不确定的数字怎么办呢？)，然后再写脚本，判断每个值偏移了多少。眼见不一定为真，就像你看到的密钥。可以通过先输入一段已知字符(如。可能是因为取模和默认种子数。字符串窗口寻找，就是v3。
re第四周学习任务（完成内容）
bunsk1的博客
11-20 238
/注本文只进行花指令操作。
RE_Python专题
2302_79135465的博客
05-20 1049
if(len(s)!='N'):exit(0)")exit(0)")# 也可以通过爆破flag='N'看看能不能用pwntools爆破，但那是对可执行文件的爆破。
[ISCTF2023] Crypto/PWN/Reverse
weixin_52640415的博客
11-29 4112
卡迈尔数表
NSSCTF reverse题目解析（详细版）持续更新
ZJPC007的博客
11-24 6878
附件是一个.py文件原代码的含义是将list[]数组进行操作得到一个key利用key和flag进行异或操作，得到16进制的result所以可以得到大致的逆向代码框架重点就是对以下语句进行逆向该语句的含义是keyhex()[2:]zfill(2)因此的到逆向语句这里要注意的就是16进制和字符间的转换int（string，16）的功能就是将16进制转为10进制因此得到完整的脚本。
NSSCTF web刷题记录4
rev1ve的博客
11-06 739
大体流程就是先获取所有的GET和POST请求，然后一次性发送，观察是否存在可利用的shell，如果成功再先判断所有的GET里是否存在，然后判断POST里是否存在shell，通过flag参数值判断为哪个方式，最后输出可利用的shell文件。分析一下，main函数首先检测参数是否小于2，然后创建了一个http.FileServer，并传入fs.CreateFileServFS()函数的返回值作为参数，能够访问文件。我们输入1，1看看，发现有hint是随机数，并且我们修改code的值，随机数固定不变。
Reverse入门[不断记录]
Aiwin的博客
02-18 4307
CTF Reverse入门笔记，不断记录。
revere学习总结(9)-花指令
2403_87862296的博客
11-26 1479
打开题目之后有这两个东西;和一般的re题目不太一样,是真的没有头绪,所以就去看题解了发现是rsa加密,所以就找公钥,看下面的文件像publickey,上面的像明文,所以就分析rsa加密用记事本模式打开pub.key知道是公钥,找到了N和e之后找q和p两个质数,因为网站只能处理十进制的数字,所以把N转成10进制数可知q=p=之后找python代码代数即可。
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
热门推荐
weixin_59086772的博客
10-18 1万+
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
屏幕防拍照系统 屏幕防拍摄系统 2026政企终端安全排名
最新发布
yuyutest168的博客
08-17 220
综合五款产品全方位实测对比，市面多数防护系统普遍存在识别精度不足、防护维度单一、无人员权限管控、无文件加密、溯源能力薄弱等问题，仅能满足普通办公基础防护需求，无法达到政企涉密场景的安全标准。羽翼电脑屏幕防拍摄系统 V3.0 依托高精度AI防拍监测、活体人脸识别专机专用、全维度设备漏洞封堵、精细化分层管控、独家文件加密防护的核心优势，搭建起风险预判+实时防护+权限管控+文件加密+溯源追责的全维度安全防护闭环，是2026年落地屏幕防拍照系统屏幕防拍摄系统标准化部署的最优解决方案。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值