刚忙完考试来更新一下。R4ndom这道题也属于一个动态调试题，挺有意思的。这道题涉及了不少知识点。首先是_init_array两个函数，一个是反调试，另外一个是一个初始化种子（上篇博客有提及_init_array，不过那一个是静态分析），然后密文该怎么去取（本文采用调试取）、逆怎么逆（本文采用爆破逆）
此外要注意一下这是ELF文件，是linux下的随机数种子，要在Linux下跑，不能在windows下跑
本篇博客和SMC都属于动态调试，感兴趣的也可以看下SMC那篇博客
详细解析（不感兴趣的可以直接跳到解题步骤）
首先在IDA中打开，ctrl + f 搜索下 flag，然后Tab
我们先看下主要逻辑（下面的图，是我对一些比较明显的函数重命名之后的图）
首先找到输入的位置，我把它重命名为input，input之后赋到了v3,那v3就是我们临时存放的数据（这里我重命名为tmp），得到了rand_num。再进行表里面一系列的变换，从表里找（双击Table就会发现里面有数据），找出来的值放到input里面。一轮轮加密之后，和密文（这里我重命名为enc)比较，如果相等就得到正确的flag了。
也就是说当我们得知tmp和rand_num的值，通过(16 * ((unsigned __int8)(tmp + rand_num % 255) >> 4) + 15) & (unsigned __int8)(tmp + rand_num % 255)，计算出来的索引值，在Table相应的下标，就是input的值了
那现在除了flag ，我们唯一不知道的就是rand_num，这个时候我们就要找rand_num的值了（这也是这道题的核心考法）
rand_num=rand() 一般出现rand，我们就要找一个叫srand的东西，这是因为rand() 生成的不是真正的随机数，而是基于一个确定性算法计算出来的数值序列。未设置种子时，rand() 默认以种子 1 初始化，导致每次运行结果固定。srand(seed) 的作用是设置随机数生成器的初始种子 seed，直接影响 rand() 的输出序列。所以当种子固定，srand和rand就是固定的。
种子（Seed）：算法的初始值称为种子。相同的种子会生成相同的随机数序列。
| 场景 | 未调用 srand() | 调用 srand(seed) |
|---|---|---|
| 随机数特性 | 完全固定（默认种子 1） | 由 seed 决定序列，seed 不同则序列不同 |
| 安全风险 | 严重（完全可预测） | 取决于 seed 的随机性 |
| 逆向难度 | 极低（直接复现序列） | 取决于能否获取 seed |
我们在左边找到_srand
之后在; void srand(unsigned int seed)这行代码中点击srand()之后按X键回车一下，看出题人在哪里引用了srand，就会发现出题人b函数中引用了srand，并丢进去了0x5377654Eu的数值。
那b函数又是哪里执行的，我们点击b之后按X之后回车，这里我们点击第二个
这是因为，在逆向分析中，第一行可以帮我们找 b(void) 被谁调用、怎么调用；第二行的话是帮我们理解程序启动时自动执行的初始化函数（在上一篇博客中我们就强调了_init_array的重要性了）
这里再简单说一下，对于ELF文件来说，在main函数执行之前，首先会执行_init_array
在这里面我们可以看到frame_dummy，这个是系统函数我们就不用管了，然后运行 _Z1av 这个函数，我们点进去看一下，会发现这里进行了一个调试检测，看这段代码可以发现如果直接调试的话会发现直接退出。如果想要调试的话，直接在jz、jnz的时候下一个断点。
给大家调试一下看看，大家要调试的话，记得在linux开启linux_server64，这个东西在IDA的dbgsrv中
先在这里下一个断点，运行
我们会发现它在这里停下来了，马上就要退出了，因为你会看到call _exit上面的箭头在闪烁
我们要把控制流放到右边，点击 jz 右键，点击
在jz中间加一个n，使得变成jnz,回车，再运行
就会成功的绕过这个反调试，再运行，就会来到我们运行的下一个断点了（我下一个断掉设在了主函数上）
主函数上的enc我们会发现取出来很麻烦，出题人也不会这样写的（经过编译器什么的可能就会变成这个样子）。这个时候，我们调试到enc结束的位置（上一个图展示的是，我在v8处下了个断点，调试到v8就会停下来），再点击enc,就会发现可以直接的把整个数据取出来了
选中整个数据，快捷键 shift + e ，就可以获取enc的数据了（有些点击 shift + e 没有反应的，可以在 option 中 shortcut 进行设置）
上面获取数据的方法是因为运行完之后，这些数据全都赋值到enc这个临时变量内存里面，而运行完之后就可以直接去内存里去取。（这也是很常用的一个小技巧）
解题步骤（上面有详细的解析这里只说最简单的流程）
1.找到主函数
2.找到随机数种子（怎么找的，上面有写），这里需要注意两点：第一点是相同的种子在 Linux 和 Windows 下生成的伪随机数是不一样的，所以要在Linux下运行；第二点是种子在反汇编界面显示的是0x5377654Eu，但是到汇编页面会发现实际上是7261745377654Eh
这是因为IDA的伪代码是算法搞出来的，有时候并不能准确的反汇编，只有汇编和机器码是最真实的，所以大家要养成看汇编的习惯。
破解脚本（要在linux下运行）
#include <stdio.h>
#include <string.h>
#include <stdlib.h>
__uint8_t Table[256] = { 0x63, 0x7C, 0x77, 0x7B, 0xF2, 0x6B, 0x6F, 0xC5, 0x30, 0x01, 0x67, 0x2B, 0xFE, 0xD7, 0xAB, 0x76,
0xCA, 0x82, 0xC9, 0x7D, 0xFA, 0x59, 0x47, 0xF0, 0xAD, 0xD4, 0xA2, 0xAF, 0x9C, 0xA4, 0x72, 0xC0,
0xB7, 0xFD, 0x93, 0x26, 0x36, 0x3F, 0xF7, 0xCC, 0x34, 0xA5, 0xE5, 0xF1, 0x71, 0xD8, 0x31, 0x15,
0x04, 0xC7, 0x23, 0xC3, 0x18, 0x96, 0x05, 0x9A, 0x07, 0x12, 0x80, 0xE2, 0xEB, 0x27, 0xB2, 0x75,
0x09, 0x83, 0x2C, 0x1A, 0x1B, 0x6E, 0x5A, 0xA0, 0x52, 0x3B, 0xD6, 0xB3, 0x29, 0xE3, 0x2F, 0x84,
0x53, 0xD1, 0x00, 0xED, 0x20, 0xFC, 0xB1, 0x5B, 0x6A, 0xCB, 0xBE, 0x39, 0x4A, 0x4C, 0x58, 0xCF,
0xD0, 0xEF, 0xAA, 0xFB, 0x43, 0x4D, 0x33, 0x85, 0x45, 0xF9, 0x02, 0x7F, 0x50, 0x3C, 0x9F, 0xA8,
0x51, 0xA3, 0x40, 0x8F, 0x92, 0x9D, 0x38, 0xF5, 0xBC, 0xB6, 0xDA, 0x21, 0x10, 0xFF, 0xF3, 0xD2,
0xCD, 0x0C, 0x13, 0xEC, 0x5F, 0x97, 0x44, 0x17, 0xC4, 0xA7, 0x7E, 0x3D, 0x64, 0x5D, 0x19, 0x73,
0x60, 0x81, 0x4F, 0xDC, 0x22, 0x2A, 0x90, 0x88, 0x46, 0xEE, 0xB8, 0x14, 0xDE, 0x5E, 0x0B, 0xDB,
0xE0, 0x32, 0x3A, 0x0A, 0x49, 0x06, 0x24, 0x5C, 0xC2, 0xD3, 0xAC, 0x62, 0x91, 0x95, 0xE4, 0x79,
0xE7, 0xC8, 0x37, 0x6D, 0x8D, 0xD5, 0x4E, 0xA9, 0x6C, 0x56, 0xF4, 0xEA, 0x65, 0x7A, 0xAE, 0x08,
0xBA, 0x78, 0x25, 0x2E, 0x1C, 0xA6, 0xB4, 0xC6, 0xE8, 0xDD, 0x74, 0x1F, 0x4B, 0xBD, 0x8B, 0x8A,
0x70, 0x3E, 0xB5, 0x66, 0x48, 0x03, 0xF6, 0x0E, 0x61, 0x35, 0x57, 0xB9, 0x86, 0xC1, 0x1D, 0x9E,
0xE1, 0xF8, 0x98, 0x11, 0x69, 0xD9, 0x8E, 0x94, 0x9B, 0x1E, 0x87, 0xE9, 0xCE, 0x55, 0x28, 0xDF,
0x8C, 0xA1, 0x89, 0x0D, 0xBF, 0xE6, 0x42, 0x68, 0x41, 0x99, 0x2D, 0x0F, 0xB0, 0x54, 0xBB, 0x16
};
int main(){
srand(1400333646);
__uint8_t enc[42] = { 0xEE, 0xE6, 0xD7, 0xB2, 0x8A, 0xAB, 0x13, 0x35, 0x02, 0x7B, 0xC9, 0xB9, 0x9C, 0xBA, 0xED, 0x2E,
0xBD, 0x4F, 0xFA, 0xEE, 0xC8, 0xF8, 0xE4, 0x16, 0x82, 0x63, 0x3B, 0x98, 0xF4, 0x14, 0x30, 0x38,
0x07, 0x36, 0x84, 0x3D, 0x0C, 0x36, 0x32, 0xEA, 0x55, 0xA6};
for (int i = 0; i < 42; ++i){
for (int j = 0; j < 256; ++j){
if (Table[j] == enc[i]){
printf("%c", (j - rand() % 255));
}
}
}
return 0;
}
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
