无壳,拖进 ida 看一下(下图为已经分析过的)
大概看一下整体的逻辑就是,从 data 文件中读入数据存入 Str,后续对 v7 数组调用 v11 处的三个 func 进行一系列操作后,再调用 get_key 函数计算 flag,调用此函数的条件为 v8 为 0。接下来就具体分析一下吧。
首先是三个 func,看看他们都干了啥
- func0
很明显就是交接换两个数
- func1
没什么好说的,就是返回 abs(a1[a2] + a1[a3]) - abs(a1[a3]) - abs(a1[a2]) + 2 的值
- func2
返回 abs(a1[a3]) - abs(a1[a3] + a1[a2]) + abs(a1[a2]) + 2 的值,依旧对两个数进行一系列绝对值操作,容易看出此函数返回值必定大于等于 2
接下来就是获取 flag 前的操作,直接跳过非重点部分分析一下重点,即下图部分
i 从 0 开始,计数器 cntt 从 1 开始,while 循环中内容共执行三次,三次依次调用 func0,func1,func2,三个函数对 v7[v9],v7[v10] 进行操作,返回值依次填入 v7[1],v7[2],v7[3]。详细情况见上图注释。
最终对执行 get_key 函数起决定作用的是 v8 的值,v8 初始值为 3,但是并没有明显的对 v8 数值起到影响的操作,观察一下循环中对于 v7 数组的操作,第三次操作对 v7[3] 进行了赋值,但是 v7[3] 并没有出现在定义中,观察数据地址(见下图),简单处理分析后发现 v7[3] 即是 v8
但是问题来了,func2 的返回值根据之前的分析恒大于等于2,不可能取到符合条件的 0,不知道咋办了嘻嘻,搜了一下 wp 醍醐灌顶 orz
func2 的返回值虽不可以取到 0,但是 func1 的返回值是可以取 0 的,所以可以利用第一次循环中的 func0 函数将 func1 与 func2 进行一次对换,使最终赋值 v7[3] 即 v8 的为 func2 的返回值即 0。
结合先前分析的数据地址(上图),func1 即 v11[1] 可以表示为 v7[7],func2 即 v11[2] 可以表示为 v7[8],所以第一次 while 循环中,v9 应当为 7, v10 应当为 8,这样就可以实现两个函数的交换了。
这样,while 循环中执行过程如下:
1、 i = 0, cntt = 1, v9 = 7, v10 = 8, v7[1] = swap(v7[7], v7[8]) = 1
2、 i = 1, cntt = 2, v9 = 1, v10 = 2, v7[2] = abs(v7[1]) + abs(v7[2]) - abs(v7[1] + v7[2]) + 2 = 1 + 2 - (1 + 2) + 2 = 2
3、 i = 2, cntt = 3, v9 = 2, v10 = 3, v7[3] = abs(v7[2] + v7[3]) - abs(v7[2]) - abs(v7[3]) + 2 = abs(2 + v7[3]) - 2 - abs(v7[3]) + 2= 0,所以 v7[3] 即 v8 初始取 -1 就可以使终值 = 0
因此,构造的 data 文件中,需要赋初值的有 v8 = -1,v9 = 7,v10 = 8
具体该如何构造呢,看到输入部分
读取 data 文件中内容后存入了 Str,结合之前分析的数据地址
Str 占 20 个字节,后续每个数据占 4 字节
db 定义字节类型变量,一个字节数据占 1 个字节单元
dw 定义字类型变量,一个字数据占 2 个字节单元
dd 定义双字类型变量,一个双字数据占 4 个字节单元
计算得到 v8 起始位置为 32 字节处,占 4 个字节,-1 可以表示为 FF FF FF FF,v9、v10以此类推,winhex 创造以下文件并赋值
移到文件夹中运行程序,得到 flag{8cda1bdb68a72a392a3968a71bdb8cda}
标签:BUUCTF,字节,v10,Dig,a1,abs,way,v7,v8 From: https://www.cnblogs.com/Moomin/p/17990843