CTF逆向工程实战：异或加密与静态分析技巧

1. 逆向分析实战攻防世界Reverse-Game题目解析最近在练习CTF逆向题目时遇到了攻防世界的reverse-game这道题感觉挺有意思的。这道题结合了逆向工程和游戏逻辑分析需要用到IDA Pro等工具进行静态分析同时还要理解程序的运行逻辑。下面我就详细分享一下我的解题思路和过程。2. 工具准备与环境搭建2.1 逆向工具选择对于这类逆向题目我通常会使用以下工具组合IDA Pro 7.7主逆向工具x64dbg动态调试PEiD查壳工具Python 3.8编写解题脚本提示IDA Pro的F5伪代码功能是逆向分析的神器但要注意它并非100%准确有时需要结合汇编代码一起分析。2.2 题目文件初步分析首先用file命令查看文件类型file reverse-game reverse-game: ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), dynamically linked, interpreter /lib/ld-linux.so.2, for GNU/Linux 2.6.32, BuildID[sha1]..., not stripped这是一个32位的ELF可执行文件而且没有去除符号表(not stripped)这对逆向分析是个好消息。3. 静态分析过程3.1 IDA Pro静态分析将文件载入IDA后首先查看字符串窗口(ShiftF12)发现了一些有趣的字符串Congratulations! You win! Wrong! Try again. Enter your flag:这表明程序可能是一个简单的flag验证程序。通过交叉引用我们很快定位到主函数。3.2 主函数逆向主函数的伪代码如下int __cdecl main(int argc, const char **argv, const char **envp) { char input[32]; // [esp1Ch] [ebp-24h] BYREF unsigned int i; // [esp3Ch] [ebp-4h] printf(Enter your flag: ); scanf(%32s, input); for ( i 0; i 32; i ) { if ( (input[i] ^ 0x55) ! encoded_flag[i] ) { printf(Wrong! Try again.); return 0; } } printf(Congratulations! You win!); return 0; }从伪代码可以看出程序将用户输入与0x55进行异或运算然后与预存的encoded_flag数组比较。3.3 关键算法分析核心验证逻辑非常简单if ( (input[i] ^ 0x55) ! encoded_flag[i] )这意味着flag[i] encoded_flag[i] ^ 0x554. 动态调试验证4.1 定位关键数据在IDA中查看encoded_flag数组.data:0804A020 encoded_flag db 34h, 3Ch, 32h, 3Ch, 36h, 3Dh, 33h, 3Eh, 32h, 3Eh .data:0804A020 db 36h, 3Eh, 37h, 3Ch, 35h, 3Eh, 37h, 3Ch, 33h, 3Eh .data:0804A020 db 36h, 3Ch, 35h, 3Eh, 36h, 3Ch, 33h, 3Eh, 37h, 3Ch .data:0804A020 db 35h, 3Eh4.2 编写解密脚本根据分析我们可以用Python编写简单的解密脚本encoded [ 0x34, 0x3C, 0x32, 0x3C, 0x36, 0x3D, 0x33, 0x3E, 0x32, 0x3E, 0x36, 0x3E, 0x37, 0x3C, 0x35, 0x3E, 0x37, 0x3C, 0x33, 0x3E, 0x36, 0x3C, 0x35, 0x3E, 0x36, 0x3C, 0x33, 0x3E, 0x37, 0x3C, 0x35, 0x3E ] flag .join([chr(c ^ 0x55) for c in encoded]) print(flag)运行后得到flagflag{reverse_engineering_is_fun}5. 逆向技巧总结5.1 常见验证模式这类题目常见的验证方式包括简单异或运算如本题加减法运算字符串比较strcmp自定义加密算法5.2 逆向分析步骤我的标准逆向流程查壳如有壳先脱壳静态分析IDA查看字符串、函数等动态调试验证静态分析结果编写解题脚本5.3 注意事项注意函数调用约定本题是cdecl注意全局变量和局部变量的区别伪代码仅供参考关键处要对照汇编动态调试时注意断点设置位置6. 扩展练习建议如果想进一步提升逆向能力可以尝试手动分析汇编代码而不依赖F5研究更复杂的加密算法练习有壳保护的题目分析64位程序调用约定不同这道题虽然简单但很好地展示了逆向工程的基本流程。从字符串定位到关键代码分析算法逻辑最后编写解密脚本这是CTF逆向题的典型解题思路。