目录
[2019红帽杯]childRE
修饰函数名和函数签名是什么？
对于变换部分的具体分析：
[2019红帽杯]childRE
下载附件，查壳，无壳
在IDA中打开，定位主函数
int __cdecl main(int argc, const char **argv, const char **envp)
{
__int64 len; // rax
_QWORD *v4; // rax
const CHAR *v5; // r11
__int64 v6; // r10
int v7; // r9d
const CHAR *v8; // r10
__int64 v9; // rcx
__int64 *v10; // rax
unsigned int i; // ecx
__int64 j; // r9
__int128 input[2]; // [rsp+20h] [rbp-38h] BYREF
memset(input, 0, sizeof(input));
scanf("%s");
len = -1i64;
do
++len;
while ( *(input + len) );
if ( len != 31 ) // 输入长度判断
{
while ( 1 )
Sleep(1000u);
}
v4 = sub_7FF6EDF11280(input);
v5 = name; // 待转换的函数名
if ( v4 )
{
sub_7FF6EDF115C0(v4[1]); // 变换
sub_7FF6EDF115C0(*(v6 + 16));
v7 = chr;
v5[chr] = *v8;
chr = v7 + 1; // i=i+1
}
UnDecorateSymbolName(v5, outputString, 0x100u, 0);// 将修饰后的函数名称转换为函数签名，0是转换符号，表示全转换
v9 = -1i64; // v5=name=修饰后的函数名称
do
++v9;
while ( outputString[v9] );
if ( v9 == 62 )
{
i = 0;
j = 0i64;
do
{
if ( a1234567890Qwer[outputString[j] % 23] != a46200860044218[j] )// 确定outputString%23的余数
_exit(i);
if ( a1234567890Qwer[outputString[j] / 23] != a55565653255552[j] )// 确定outputString/23的商
_exit(i * i);
++i;
++j;
}
while ( i < 62 );
printf("flag{MD5(your input)}\n");
return 0;
}
else
{
v10 = sub_7FF6EDF118A0(std::cout);
std::ostream::operator<<(v10, sub_7FF6EDF11A60);
return -1;
}
}
这一部分是分配内存，输入字符串后再对字符串进行长度判断，要求长度为31
这一部分是对输入字符串的变换，后面具体说明
这一部分中UnDecorateSymbolName（）函数是将修饰后的函数名转换为函数签名，v5（也就是name）是修饰后的函数名称 ，outputString是转换成的函数签名，0x100u代表长度，0表示全转换
修饰函数名和函数签名是什么？
20世纪70年代以前，一个函数经过编译器编译后，存储在目标文件内的符号与函数名相同。比如定义一个函数func1，在目标函数中的符号名称也为func1。
但是随着汇编编写库的丰富，定义的函数很有可能与库中的函数名冲突。为了解决这一问题，编译器在将源代码编译成目标文件时，会将函数和变量的名字进行修饰，形成符号名，也就是符号修饰/名字修饰（Decorated Name）函数的名字修饰（Decorated Name）就是编译器在编译期间创建的一个字符串，用来指明函数的定义或原型。目的是方便编译过程中，链接器等中间过程识别不同的函数，尤其是在引入重载后，识别函数不能只看函数名，要结合参数、返回值类型来识别。函数签名包含了一个函数的信息，包括函数名、参数类型、所在类、名称空间及其他信息。
比如：
函数int func(int x)的函数签名为：int func(int)
每个函数签名对应一个修饰后的名字。
具体怎么修饰：可以参考这几篇文章：
(156条消息) c, c++函数名编译符号修饰符说明_IT超人的博客-CSDN博客
(156条消息) 关于去除PE文件中函数修饰的做法_undecoratesymbolname_clever101的博客-CSDN博客
(156条消息) VS编译器C/C++函数编译后的名字修饰_android编译后函数名_大雄_RE的博客-CSDN博客先有个印象，知道这里有个修饰函数名转函数签名， 往后看，了解程序大致作用后再来了解这部分
这部分就是根据outputString的值做的判断了，第一个if语句可以推断出outputString%23的值，第二个if判断可以推出outputstring/23的值。两者联系可以推出整个outputString的值，上脚本
#include<string.h>
#include<stdlib.h>
int main(){
char a[]="(_@4620!08!6_0*0442!@186%%0@3=66!!974*3234=&0^3&1@=&0908!6_0*&";
char b[]="55565653255552225565565555243466334653663544426565555525555222";
char c[]="1234567890-=!@#$%^&*()_+qwertyuiop[]QWERTYUIOP{}asdfghjkl;ASDFGHJKL:ZXCVBNM<>?zxcvbnm,.";
int data[100];int cnt,tent;
int i,j;
for(i=0;i<62;i++){
for(j=0;j<100;j++){
if(c[j]==a[i])
cnt=j;
if(c[j]==b[i])
tent=j;
}
printf("%c",tent*23+cnt);
}
return 0;
}解得：private: char * __thiscall R0Pxx::My_Aut0_PWN(unsigned char *)
不难看出是个函数签名（其实当时看了半天....)好了，现在我们知道了函数签名outputString字符串的值，结合程序的整体思路：将输入的字符串经过变换后，再传给UnDecorateSymbolName（）函数做修饰变换，最后得到outputString；现在我们需要知道函数签名对应的修饰函数，v5即name的值。根据上面推荐的文章进行转换：
name=?My_Aut0_PWN
name=?My_Aut0_PWN@R0Pxx
name=?My_Aut0_PWN@R0Pxx@@AAE
函数的返回值是chaar*类型即PAD
函数的参数是unsigned char*类型即PAE
name=?My_Aut0_PWN@R0Pxx@@AAEPADPAE
name=?My_Aut0_PWN@R0Pxx@@AAEPADPAE@Z
现在，得到了修饰函数的值，再往前推，看这部分怎样进行加密的
动态调试
尽量输入有顺序的31位数，方便观察怎样变换的，F7进入函数查看具体变换，得到如下顺序
对应下标变换就是
15，7，17，18，8，3，19，20，9，21，22，10，4，1，23，24，11，25，26，12，5，27，28，13，29，30，14，6，2，0
逆向解出输入的值
#include<stdio.h>
#include<string.h>
int main(){
char a[]="?My_Aut0_PWN@R0Pxx@@AAEPADPAE@Z";
int b[31]={15,16,7,17,18,8,3,19,20,9,21,22,10,4,1,23,24,11,25,26,12,5,27,28,13,29,30,14,6,2,0};
int i,j,cnt=0;
char c[31];
for(i=0;i<strlen(a);i++){
c[b[cnt]]=a[i];
cnt++;
}
for(i=0;i<strlen(a);i++)
printf("%c",c[i]);
return 0;
}得到值：Z0@tRAEyuP@xAAA?M_A0_WNPx@@EPDP 再进行MD5加密就可以得到flag啦
对于变换部分的具体分析：
这个部分应该是二叉树，
是进行了建树操作
这部分是后序遍历，即变换操作 ，这样得到最后的序列
