BUUCTF—Reverse—[BJDCTF2020]JustRE（11）

buuctf逆向题[BJDCTF2020]JustRE解题思路

发现他的列表的最后有点像flag，那就跟进一下（双击），选中然后再ctrl+ x查看一下他的源码。首先用exeinfope.查一下有无壳，显示32位，无壳，那就在32的ida打开。查看的源码感觉没有什么用处，那就查看一下他的列表（shift+ F12）string:将括号后面的数字带入%d%d。首先打开看就这样，F5查看一下源码，上面就是他的源码，源码最主要的是。sprintf应该类似输出语句。在把BJD改为flag则为。

光标在目标位置时，ctrl+x查看交叉使用列表，可以跳转到所在汇编的位置。2.shift+f12查看字符串。发现有flag格式的。

下载文件 查壳 没有壳 放入 id32。发现有一个和flag格式差不多的。

大伙第一次看到*(_DWORD *)(a1+4*i)这些玩意刚开始应该有点懵，我问了下gpt这个_DWORD是int的意思，但是在代码直接把_DWORD替换成int会出现乱码，之后看了其他大佬的wp他们都提到了一个寻址公式，总结一下就是。大伙注意看注释的部分，[esp+8h]，[esp+Ch]这些的，这些都是他们的地址情况，然后再看看它们int地址的差值是4，例如v7和v8相差为(Ch-8h)=4，char地址差值是1，正好和他们数据类型所占的字节大小相等，画个图大家好理解。这不是base64加密码？

让edx寄存器，即存着数组的首地址，依次指向下一个字符在这途中al一直不为0，也即ZF标志位一直为0，则jnz指令会一直跳转到自己这里从而形成了循环，直到遇到0字节（即数组的最后一个截止符），因为此时al为0，ZF=1，此时jnz指令不会跳转则执行下一段汇编代码，结束循环以后，edx值为7（因为多了一个字符串结束符’\0’）所以写一个脚本跑一下，先大小写互换，然后用base64变表解密即可,所谓变表就是原本对于Base 64来说A就是对应的A，b就是对应的b，但通过变表以后，有一部分对应的内容不同了。

分析代码：将v7~v16进行变换后为[51, 67, 69, 72, 74, 74, 83, 90, 90, 97, 110]，得到String[0]=51+34='U'，String[1]=74='J'。v4是v18通过base64加密得来的，解密后v18=jMp，则String[5]=j，String[6]=M，String[7]=p。得到flag.enc和pub.key文件，根据标题提示，推测是RSA加密，使用RSA解密脚本破解pub.key文件得到公钥(n,e)。

Revserse逆向入门博客

[BJDCTF2020]JustRE 打开附件，是个可执行文件，运行一下 getflag是骗人的，点了100次啥也没有。 查壳，32bit，无壳 用32bitIDA打开，看到有一串比较像flag的字符，跟进一下 输出Format，看一下Format的值 Format是 您已经点了%d次，那 dword_4099F0应该就是点击的次数 下一个if是 dword_4099F0==19999 时符合条件，结合上面就可以判断大概是鼠标点击20000次会输出flag 这里是把19999和0写入 BJ

sprintf将格式化后的字符串输出到String中。shift + F12搜索字符串。一路跟踪到汇编窗口，然后F5。发现类似flag的字符串。最终String的值为。

命令，函数声明为 int sprintf(char *string, char *format [,argument,...]);，主要功能是把格式化的数据写入某个字符串中，即发送格式化输出到 string 所指向的字符串。sprintf指的是。

同时博主也比较推荐x64dbg 这个也是不错的，功能强大且免费的开源调试软件，比IDA-Pro更加直观的界面，丰富的调试功能，博主就是使用的x64dbg，当然看自己的需求。ok，这里也是涉及到了动态调试，对于一些初接触的人来说，又又又到了知识空白区了。我们直接shift + F12查询关键字符串，很显然没有直接出现flag相关的字符串，但是我们可以看到一个类似flag形式的字符串，我们可以跟进一下看看。根据，软件的help 里面，提示我们BJD很重要，可以猜测一下，上面BJD{}里得到的应该就是flag。

放到ida，shift+F12可以直接看到有个类似flag的字符串，可以跳转过去。这里我们先不跳转，进入main（）的各个函数看一下。本题学到一堆c++的系统库函数。

1.ida32位打开，直接看main函数 int __stdcall WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nShowCmd) { int result; // eax@1 HACCEL v5; // esi@2 struct tagMSG Msg; // [sp+8h] [bp-1Ch]@2 LoadStringA(hInstance, 0x67u, WindowName,

[BJDCTF2020]JustRE 附件 步骤： 例行查壳儿，无壳儿，32位程序 32位ida载入，main函数没看懂，shift+f12检索了一下程序里的字符串，发现了一个类似于flag的字符串 双击跟进，找到关键函数 可以看到14行，输出了aBjdDD2069a4579，19999，0，aBjdDD2069a4579是BJD{%d%d2069a45792d233ac}，19999和0填入到里面的%d位置，得到flag BJD{1999902069a45792d233ac} ...

且后面有两个数字19999和0，在C语言中我们知道，输出数字用%d来表示。这里我们同样运用一下，那么最终的结果为1999902069a45792d233ac，把BJD换成flag即可。第三步 按shift+f12进入strings窗口，找到一串可疑的字符串，如图所示，并双击。第二步 按tab键转换成伪代码，并没有什么发现。该题目为32位，无壳。第四步 点击此处继续跟进。

意思就是，这一行灰色的就是flag，为什么呢，sprintf函数和printf函数不同，printf函数是直接输出到屏幕，是给你呈现的，但是是sprintf是存到内存里，sprintf的用法是。为什么知道要填到%d里，因为%d是c语言中的一个起到占位符的作用，就是告诉函数，这个位置给我留着，之后会有整数填到里面。那么就对应到了后面的19999和0，放进去就行了。sprintf(目标缓冲区, 格式化字符串, 要填充的值1, 要填充的值2, ...)我们双击跟进，然后选中这段，按ctrl + x寻找交互。