【CTF】Rust逆向，BeingDebugged，异或取表算法逆向 内存取证 2023上海市赛初赛
上海市赛初赛两个简单题拿了三血，还摸了两题Misc，最开始比赛没沉下心还是浪费了一些时间，感觉应该能更好的。近期来打的比较爽的一次比赛。两题逆向都0解，后面也没深究了...感觉不如MiscReverseexEXE这边一个beingdebugged反调试，noplpAddress里面一个rc4sub_401535是base64，所以就是RC4+base64，直接cyberchef解密就行encrytor大致流程：获取固定的DateTime 16574669，然后获取当前时间，并转换成10进制的Dword数组，获取分钟和秒钟相乘，将获得的数转换为字符串，然后经过SHA256加密，得到的值作为...
【Reverse】Angr_ctf项目学习
Angr学习上次面山石的时候，对面的师傅让我跟随这个angr_ctf的项目来学一学，那来试试看配置安装Angr首先得先装上Angr吧，先根据Angr官方文档上面的指引：https://docs.angr.io/introductory-errata/install*nix系列的系统均可以这样安装sudo apt-get install python3-dev libffi-dev build-essential virtualenvwrapper
mkvirtualenv --python=$(which python3) angr && pip install angr...
【Reverse】2023腾讯游戏安全决赛WriteUp （未完成）
题解报告脱壳首先，程序加了一个VMP3.0.0-VMP3.5.0的壳，要对程序进行脱壳，我选用的是断点在CreateToolhelp32Snapshot这个api的后几位，程序到达这里之后再对vmp0段下内存执行断点。再次f9即可到达oep。程序执行流分析1程序oep被虚拟化保护了，因此想要静态分析依然很困难，可以通过x64dbg的dump工具dump出来，可以看到一些敏感字符，由于程序被虚拟化保护了，我们只能通过这些数据的地址来定位函数地址。首先对下方的error信息进行信息收集，可以很快的发现这个错误出自远程线程注入的代码中。那么其实可以知道程序中其实是带有一个远程线程注入的功能的。...
【逆向学习】Windows平台下的DLL注入
DLL注入通过DLL注入可以对其他进程进行hook/热补丁/修复BUG，同时也是渗透其他进程的有效方法。DLL被加载到进程后会自动运行DIIMain()函数，用户可以把想执行的代码放到DIIMain()函数，每当加载DLL时，添加的代码就会自然而然得到执行。利用该特性可修复程序Bug，或向程序添加新功能。本篇博客将使用Inline Hook和DLL注入技术实现控制程序执行流DLL注入流程使用MS编译dll动态链接库后，可以通过一些常见的方式进行DLL的注入：创建远程线程（CreateRemoteThread() API）使用注册表（AppInit_DLLs值）消息勾取（SetWindow...
【逆向学习】Inline Hook学习
inline hook主要思想：1、构造跳转指令。2、在内存中找到欲HOOK函数地址，并保存欲HOOK位置处的原本字节。3、将构造的跳转指令写入需HOOK的位置处。4、当被HOOK位置被执行时会转到我们的流程执行。5、如果要执行原来的流程，那么恢复HOOK，也就是还原被修改的字节。 6、执行函数原来的流程。hook方式这部分其实参考了网上很多文章，自己感觉这些文章光写文字还是缺少一些对比，所以自己思考然后patch出来一些代码，自己理解与展示的更方便1、call跳转后修改系统函数众所周知，ms的库函数是从一条MOV EDI, EDI指令开始的，这是因为在运行时，如果需要一个填充字节...
【逆向学习】TLS_Callback TLS回调函数学习以及出题思路
TLS_CallbackTLS_Callback（Thread-local storage，线程本地存储）是WindowsAPI下的一个回调函数，它会在程序进程开始，结束以及线程开始，结束的时候调用。MSDN地址TLS在逆向中TLS_Callback在逆向中有一个特点： 先于main函数执行/在main结束后执行。因此也经常被用作反调试，或者是藏匿变量修改，以防止动态和静态分析。代码实现参考此处#include <stdio.h>
#include <Windows.h>
#ifdef _WIN64
#pragma comment (linker, "...
【CTF】2023铁人三项赛第一赛区 初赛 逆向方向WP
ReverseHelloWorld看图片注释写的很明白，直接分析程序逻辑就行，题目先生成了个随机数，然后给了个字母表，题目要求输出HelloWorld，观察到最后cout是输出这个output的内容，output也是程序开始random随机出来的内容观察到程序对output进行了修改，分析可以分析出来每轮循环读入2字节的数据，提取第一个字节的高4bit和低4bit，这里直接方便看改成了hibyte和lowbyte（自己能理解是什么就行）高位作为下面进入各个分支的条件，低位作为控制output的下标。每轮的第二个字节只在赋值区域被用到，作为字符表的索引。构造输入即可print('0'+ch...