CTFShow的RE题（二）

news2024/9/23 3:16:31

逆向5

附件无后缀，查一下是zip，解压得到一个exe一个dll文件。
在这里插入图片描述
往下继续看

但也根进去看看

发现是在加载的dll文件
还有一个返回时调用的函数

发现是打印函数
根据以往的经验应该是要跳转到这里，动调一下。
发现exe链接了dll，再看一下dll，发现有Aspack壳，不知道有没有工具（）

在这里插入图片描述
试一下，应该就是flag

所以前面第一个函数给各个变量赋值就i是障眼法，不要害怕，不会就先往后看。

红包题武穆遗书

在这里插入图片描述
估计前面三个函数里有反调试吧，继续看
第一个就是反调试函数

第二个：调用链接库函数
在这里插入图片描述
第三个：有问题

总体：

应该就是看Src了：

但不知道了，
对呀，可以直接调试出来、
Src与input比较，Src肯定是已知的，试试
1.直接 nop debugger 函数
不行，还是会直接退出
2.修改 EIP 跳过函数
也是不行，跳过去了，f8继续执行时退出了
3. X32dbg 有隐藏调试器功能
但是不能开地址随机化，不然不好找
成功
在这里插入图片描述
4，最笨方法也是最可靠的：跳进函数，每次跳转时改寄存器

红包六

Jar逆向？不就是一个压缩包吗？这能算逆向？ “压缩包”算是半个hint

可以修改后缀为 zip ，解压缩得到 java 文件

在这里插入图片描述
应该就是一个 base64 和 DES 加密

在这里插入图片描述
不对，也有提示前面：
//hint: flag not here
那就只能返回去看看最初的 jar 文件了
丢进 010，

说前两个是解压出来了，第三个就是未解压的了
查了一下正常是一个 zip 压缩包一个 PK… 50 4B 03 04
但有一个 zip 是两个，估计最多就是两个吧
ctf-wiki-zip学习
我想可以先手动分成两个zip文件
在这里插入图片描述
不行好像，
只能试试网上那个脚本了

# -*- coding: gb2312 -*-
import zlib
inflator = zlib.decompressobj(-zlib.MAX_WBITS)
f=open("D:\ctf附件2\EzJar.jar",'rb')
f.seek(659)
a=f.read(3248)
f.close()
x = inflator.decompress(a)
f=open('EzJar.class','wb')
f.write(x)
f.close()