NSSCTF-wordy

原创于 2026-08-24 18:07:32 发布 · 174 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

在这里插入图片描述
下载，die查壳，IDA打开
上方红字提示，很明显有花指令，双击main函数

在这里插入图片描述

一、这道题的核心考点

题目标签带「花指令」，这就是本题的核心难点。
花指令是一种代码混淆手段：程序作者在正常代码中插入了一些 CPU 永远不会执行的垃圾字节。程序运行时完全不受影响，但 IDA 自动反汇编时会把这些垃圾字节也解析成指令，导致后续所有指令地址错位，伪代码生成失败、逻辑错乱。

你现在看到的 start 函数是系统启动代码，和题目逻辑无关，我们先进入主函数。

二、第一步：跳转到主函数

在当前伪代码第 11 行：

_libc_start_main(main, v4, &retaddr, init, fini, a3, &v5);

双击蓝色的 main，IDA 会自动跳转到主函数的汇编代码处。

跳转后你大概率会看到：汇编指令逻辑混乱、按 F5 无法生成正常伪代码，这就是花指令造成的正常现象。

三、花指令去除操作（IDA 标准流程）

核心原理

这道题的花指令是最经典的「双跳转跳过垃圾字节」写法：
用 jz + jnz 两个连续的条件跳转，无论零标志位是什么，都会跳转到同一个地址，中间夹着垃圾字节。IDA 解析时会把这个垃圾字节当成指令开头，导致后续所有指令全部错位。

操作步骤

在 IDA View-A 汇编窗口里，找到花指令的位置（通常是主函数开头不远处，出现无意义指令、地址错乱的位置）。
把光标定位到垃圾字节的地址，按键盘 U 键（Undefine），取消这段错误的指令定义，让它变回原始数据字节。
把光标移动到跳转目标的正确地址（也就是垃圾字节之后的真实指令开头），按 C 键，让 IDA 重新把这里解析成汇编代码。
所有花指令都清理完成后，按 F5，就能生成正常可读的伪代码。

可以看到

正常编译器生成的汇编代码，所有跳转指令的目标地址，一定是某一条指令的起始地址，指令边界是严格对齐的。
但你截图里 0x1144 处的指令是：

jmp short near ptr loc_1144+1

这条 jmp 指令本身从 0x1144 开始，长度 2 字节，正常下一条指令应该从 0x1146 开始；
但它的跳转目标是 0x1144 + 1 = 0x1145，也就是跳转到了自身指令的第二个字节。

这种 “跳进指令中间” 的写法，完全不符合正常编译逻辑，只有人为故意加的混淆代码才会这么写，是花指令的典型特征。

二、后续代码完全失效，全是原始数据

main 是程序的主函数，正常情况下应该全是可执行的汇编指令。但在这条 jmp 之后，IDA 显示的全是 dw 0xxxxh 格式的原始字数据，没有任何正常的指令逻辑。

这说明：IDA 默认的解析起点（0x1146）是错的，反汇编完全错位了，这正是花指令想要达到的效果 —— 让静态分析工具无法正确识别代码。

所以按g，输入1145，定位到0x1145，在这里插入图片描述
按键盘 U 键（Undefine），取消这段错误的指令定义，让它变回原始数据字节,

再按 C 键，让 IDA 重新把这里解析成汇编代码。

在这里插入图片描述
发现还有0EBh
说明是批量花指令
这道 wordy 是经典的批量花指令题，不是只有开头 1 个跳转混淆，而是整个 main 函数里每隔几字节就插一个 EB FF（jmp short $+1）的花指令。你手动修复了开头一处，后面还有大量花指令继续让反汇编错位，所以看起来还是乱的。

手动一个个修效率极低，正确做法是用 IDA Python 脚本批量去除所有花指令，一步到位。

正确修复步骤

步骤 1：打开 IDA 脚本命令窗口

在 IDA 顶部菜单栏：
File → Script command

快捷键：Shift + F2

步骤 2：粘贴批量去花脚本

语言选择 Python，把下面的脚本完整复制进去：

# 利用idapython脚本解决重复工作
startaddr = 0x1135
endaddr = 0x3100

for i in range(startaddr,endaddr):
    if get_wide_byte(i) == 0xEB:
        if get_wide_byte(i+1) == 0xFF:
            patch_byte(i,0x90)
            print("[+] Addr {} is patched".format(hex(i)))