babyre程序替换了dex，新的dex可以在手机数据目录/data/user/0/com.me.crackme下找到easyrekey是伪随机，动调拿出来即可懒得改代码了，脚本的v值我是手动替换拼起来结果的。#include <stdio.h> #include <stdint.h> /* take 64 bits of data in v[0] and v[1] and 128 bits of key[0] - key[3] */ void encipher(unsigned int num_rounds, uint32_t v[2],...

Win API逆向 反调试， Python字节码 ，OLLVM rc4 换表base64贪玩ctfTlsCallback_0有个Isdebuggerpresent反调试 直接nop就行这边messagebox有个小技巧，把中文显示出来，选这个直接显示中文 非常的方便通过中文定位到关键代码发现有个加密 往下翻可以看到可疑加密函数 进入后可以发现频繁调用sbox进行加密操作 并且有两个sbox 猜测为aes 实际动调后发现256字节的两个sbox回到前面先把account解出来acc = [0x04, 0x1F, 0x1F, 0x1E, 0x43, 0x4B, 0x43, 0x45, ...

前言长城杯决赛的逆向题目 感觉还是有点意思的 这种读TracerPid的反调试和BUG()内核异常跳转以前没见过 比赛的时候疯狂搜索 也没个解决办法，后来是自己试着调试调试把这个反调试过掉了 然后大概摸清楚了题目的运行逻辑。总的来说这题还是很有趣的。直接看题吧easy_re首先我们拿到题目，进来是start函数，这边可以看到main，init点进去init可以发现加载了三个函数，依次点进去看第一个是一些奇怪的操作，但是可以看到一个函数，这个是检测反调试的第二个是一个TracerPid反调试加BUG（）异常第三个不知道是啥玩意，感觉没啥用经过动态调试，f8断点可以发现程序是先执行init ...

re1直接关键词捕捉Tea 那就是tea加密吧点进tea那个函数里面稍微美化下，可以发现其实是魔改过的xxtea，跑12轮，分了8组。那就直接开逆改一下现成的脚本#include<stdio.h> #include"defs.h" #include <stdint.h> unsigned int enc_2[8] = { 0x10BD3B47, 0x6155E0F9, 0x6AF7EBC5, 0x8D23435F, 0x1A091605, 0xD43D40EF, 0xB4B16A67, 0x6B3578A9 }; unsigned...

babynim这题比初赛的简单多了我是没想到的...就是符号表也有，复现了初赛的LOADER之后这题没有难度属于是。ida打开，动态调试到主要逻辑，简单分析，这里验证flag格式分析可以知道star开头的函数进行了乘法，第一个，第二个参数是input与密文1，也就是一串反着的flag(浪费了我的时间。。。，然后第三个参数是结果。eq函数进行了比较，可以把最终的密文提取出来，在hello44里面这里eqeq函数就是对大数进行比较提取数据出来写个python脚本除一下即可得到flagprint(0x1566336316561EDB086701C71C71C7) print(chr(0xa7)...

deeprev这题非常新颖，直接在elf里面的LOAD段写机器码，加载汇编并且跳转过去执行最开始其实是常规动调，注意到链接了so文件并且读取了so里面的secret到elf中，那么直接在elf中的secret上面下一个内存读写断点。（这边我给check也下了）然后运行，可以发现载入so库的时候就完成了加密，等到执行到main函数的时候check已经有值了。我自己是通过一直f7步入，ida提示eip跳转到非代码段，从而发现了LOAD段藏起来的机器码。仔细看一下ida的注释就可以发现这边复制了so的secret然后进一步动调加分析可以得到每一片段其实是这样的，每一行第二位是操作码，第一位是偏...

IDA for RE插件推荐这篇可能会持续更新起因是某开发巨佬群里说让我出个IDA插件合集，那就直接开搞，正好可以水一篇博客涨涨人气（那不多bb直接进入正题LazyIDA链接：https://github.com/P4nda0s/LazyIDA简化逆向流程这个插件个人已经用成习惯了，属于是没有这个插件就逆不下去了（开个玩笑。功能可以直接看图，这里简单介绍一下我个人最常用几个的功能Convert，直接把ida里面数据转换成python list或者c array，而且可以自己选择数据类型，在提取密文的时候就非常的方便。Fill with NOPs，字面意思，直接把选中的区域全部填充为0x9...

蓝帽杯初赛逆向LOADER复现分析首先一进来直接开幕雷击可以看到加载了一个程序在里面，点进unk可以发现MZ开头的数据，直接猜想里面有一个程序。当时第一反应是dump程序出来，但是发现dump出来的东西运行不了，于是直接放弃了。后来经过wjh大佬指点，可以直接动调。于是直接开调动调这个也可以讲一点，基本上程序进行输入输出的地方肯定是关键函数。这个题要找到关键函数的话，键盘上先多按f8，注意call哪个函数之后程序输出东西了，那么打个断点，然后重新开始程序再f9到这个地方f7进这个call，这样反复，肯定能快速找到主要函数。例如这边就找到main_0了，然后下面几个call其实点进去看一下...

前言自己第一次做出来关于rust这方面的逆向题目，真的是体会到了什么叫做 💩 上加 💩分析首先拿到题目，题干就说是rustvm，关键这个题还就三百分..现在逆向真是太难了。先定位到关键函数开始分析，上面的报错不用管，可以看到也是有一堆的东西这边进去看一下可以知道这几个是干嘛的，配合动调可以知道把输入的东西转成int。这边有些thread线程的东西，含义不明也没关系，不影响接下来的做题，想搞懂这些都是干嘛的还是得动调一步一步走着看，这段代码重复了八次，每次都把这边是一些输出的信息，这函数类似于printf，不用具体分析这一块先malloc然后配合动调可以知道把输入的东西都读进去v129了这...

周六忘了比赛，晚上快六点才拿到题目，看了下感觉能做，研究了下，最后还是可惜，比赛结束了拿到题目ida打开惯例看一下main再看看汇编基本上确定是ollvm了下面那一堆整齐的是真实块，上面通过分发器跳转才到达真实块执行代码。看到群里有大佬直接通过动调跳转找代码的，那确实是真功夫...脚本小子直接拿deflat.py还原了。建议放虚拟机里面，装GitHub页面推荐的angr版本脚本还原之后的样子这个时候f5已经可以看了PART1先看看第一部分的代码，前面到qmemcpy的代码是正常的分配内存和输入输出。后面进行了很长一堆的运算，其实都不用看，其实可以分析出来，前面都是静态的拿现有的进行操作，...