前言
llvm混淆，第一次接触到，没找到可以直接反混淆的工具，但看了相关知识后，发现有效代码依旧是原有的那一小部分，所以可以直接看有意义的部分代码，有时间好好了解下吧
代码分析
v8是我们输入的，只有check1和check3用到了
sudoku的中文意思是数独所以我们可以判断出其它函数是在对它进行一些初始化的操作可以看到在check3内部有一个对数组比较的地方，可以得到原有的9*9数组
#include"stdio.h"
int main(){
int ida_chars[] =
{
0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x05, 0x00,
0x00, 0x00, 0x03, 0x00, 0x00, 0x00, 0x02, 0x00, 0x00, 0x00,
0x07, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x08, 0x00, 0x00, 0x00, 0x08, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x09, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x05, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x02, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x07, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x01, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x05, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x03, 0x00, 0x00, 0x00, 0x04, 0x00,
0x00, 0x00, 0x09, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x03, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x01, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x07, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x09, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x06, 0x00, 0x00, 0x00,
0x07, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x03, 0x00,
0x00, 0x00, 0x02, 0x00, 0x00, 0x00, 0x09, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x04, 0x00, 0x00, 0x00, 0x08, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x06, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x05, 0x00,
0x00, 0x00, 0x04, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x08, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x09, 0x00,
0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x04, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x01, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x03, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x02, 0x00, 0x00, 0x00, 0x01, 0x00, 0x00, 0x00,
0x00, 0x00, 0x00, 0x00, 0x03, 0x00, 0x00, 0x00, 0x00, 0x00,
0x00, 0x00, 0x07, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00, 0x00,
0x04, 0x00, 0x00, 0x00
};
for(int i=0;i<324;i+=4){
//for(int j=0;j<9;j++){
printf("%d ",ida_chars[i]);
//i+=4;
// }
if((i+4)%36==0&&i!=0)
putchar('\n');
}
return 0;
}打印出来可以手解也可以在线网站
加密
在check1中可以看到对我们的输入进行了加密，加密分为三个阶段
- 第一次分析错了，是对输入的每两位进行交换不只是后一部分
- 然后前半部分和后半部分交换
- 最后进行一个运算
wp
route =b"4693641762894685722843556137219876255986"
list =len(route)*[0]
#list =""
for i in range(len(route)):
list[i]=int(route[i]) +20
#list[i] ^=0xc
list[i]=list[i] & 0xf3 | ~list[i] & 0xc
#arr =list[len(route)/2:] +list[:len(route)/2]
str =len(list)
arr =str*[0]
for i in range(str//2):
arr[i] =list[str//2 +i]
arr[str//2 +i] =list[i]
temp =0
for j in range(0,len(arr),2):
temp =arr[j+1]
arr[j+1] =arr[j]
arr[j] =temp
for k in range(str):
print(chr(arr[k]),end="")
#print(bytes(arr))
KDEEIFGKIJ@AFGEJAEF@FDKADFGIJFA@FDE@JG@J
