网络安全 CTF

【CTF】logmein算法逆向（有坑）

村口曹师傅发表于2024-05-29 11:36:50 浏览1183 评论0

# logmein算法逆向（有坑）
[TOC]

看到题目的描述，很符合现在的状态（就立马抄手做了）
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/05/202405291137421684021.png)
## 直入正题

文件在winhex打开看貌似是一个linux执行的程序。
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/05/202405291140001349813.png)
那么我们去试一下看看：尝试之后发现程序让你输入一个Enter your guess:，应该是flag之类的东西，然后随便输入后提示Incorrect password!。
```
[root@localhost ~]# chmod +x a7554d316da840d3a381e4e8348201e9
[root@localhost ~]# ./a7554d316da840d3a381e4e8348201e9
Welcome to the RC3 secure password guesser.
To continue, you must enter the correct password.
Enter your guess: what?
Incorrect password!
[root@localhost ~]#
```
于是拖入IDA里康康是怎么样的逻辑，稍微看了一下main函数最下面有个jmp     loc_400707又跳回去了，sub_4007C0函数就是我们输入错误的一个提示
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/05/202405291149049323667.png).
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/05/202405291150469772436.png)

硬啃汇编有点吃力，这时候献祭出F5大法
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/07/202407021608181730968.png)
## 关键的变量
大抵看一下流程，我们收集一些关键的变量和函数
- `v8` 一个字符串，初始化为 ":\"AL_RT^L*.?+6/46"。
- `v7`存储的是一个长整数 28537194573619560LL，但是没有用？
- `v6` 一个整数，初始化为 7。
- `s` 存储用户输入的字符串。
- `sub_4007C0()` 当密码校验失败时调用的函数。
- `sub_4007F0()` 当密码校验成功时调用的函数。

## 分析一下程序流程
现在看着舒服多了，我们现在分析一下程序流程
程序首先要求用户输入一个密码，然后检查输入的长度是否至少与 v8 一样长。接着，程序对输入的每个字符进行校验，首先for中使用循环变量 i，：

#### 条件一：
`if ( i >= strlen(v8) )`
循环索引 i 是否已经等于或超过了字符串 v8 的长度。如果 i 达到或超过 v8 的长度，那么进一步访问 v8[i] 将会越界，程序将调用 sub_4007C0()，就是直接失败了。
#### 条件二：
`if ( s[i] != (char)(v8[i % v6 - 8] ^ v8[i]) )`

这块是重点，我们吧表达式拆开来看看

`s[i]`是用户输入，他在和(char)(v8[i % v6 - 8] ^ v8[i])做比较

`i % v6 - 8` 主要是用作 v8 的索引，其中 i % v6 表示 i 除以 v6（即7）的余数，再减去8。这个结果再去做索引（这里有问题，如果i过小的化就变成负数了索引不允许负数）。

`v8[i % v6 - 8] ^ v8[i]` 然后我们再看看整体，这个部分执行一个异或 (XOR) 操作，它将 v8 数组中的两个元素进行异或操作，一个是根据 i % v6 - 8 计算的索引，另一个是 i 直接索引的。

基于这个判断，我们模仿者写一下，并且归并掉越界问题：
``` C
#include <stdio.h>
#include <string.h>

int main() {
    char v8[] = ":\"AL_RT^L*.?+6/46";  // 初始化的加密字符串
    int v6 = 7;                        // 用作模数的值
    int length = strlen(v8);           // 获取v8的长度
    char password[100];                // 存储生成的密码

// 遍历v8字符串的每个字符
    for (int i = 0; i < length; i++) {
        // 因为v8中字符与自身异或结果为0，所以这里需要一些修正，通常这里的原始算法可能有误，我们这样来猜测密码：
        int index = (i % v6) - 8;       // 计算索引，注意原始逻辑可能有问题，这里假设逻辑正确
        if (index < 0) {
            index += length;            // 修正负索引，避免越界
        }
        password[i] = v8[i] ^ v8[index];  // 应用异或操作生成密码，对应上面我们分析的判断
    }
    password[length] = '\0';  // 确保字符串以null字符结束

printf("给我出: %s\n", password);
    return 0;
}
```
结果发现输出了这个玩意，看上去就不太对
```
╰─○ gcc -o fuckctf fuckCTF.c
╰─○ ./fuckctf               
给我出: 
                  ~gi}`tb
```
我们就不添油加醋了，直接吧它的条件放进来试试看
```
#include <stdio.h>
#include <string.h>

int main() {
    char v8[] = ":\"AL_RT^L*.?+6/46";
    int v6 = 7;
    char s[32];
    
    for (int i = 0; i < strlen(v8); ++i) {
        s[i] = v8[i] ^ v8[(i % v6 - 8) % strlen(v8)];  // 确保索引有效
    }
    s[strlen(v8)] = '\0';
    printf("给我出: %s\n", s);
    return 0;
}
```
看山去正常了，提交一下试试（接下去就是坑点了）
```
╰─○ gcc -o fuckctf fuckCTF.c
╰─○ ./fuckctf               
给我出: jzpfbps
```
## 自暴自弃时间
居然还是有问题？
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/07/202407021656206288683.png)
这时候我没办法了，纠结了蛮久，去看了一下别人的文章，下面是链接
https://www.cnblogs.com/nmlwh/p/13415178.html
前面都是差不多的，但是我一眼就发现，为什么他的F5会用到v7啊？导致我分析的条件二完全不一样了：
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/07/202407021701343686790.png)
而且还有一些其他的不一样的地方，比如v7的数值，但后来我想想看，它那个前面没有0x,是进制不一样导致的：
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/07/202407021703394898015.png)
我这时有点怀疑是不是我的ida我配置错了，于是只能基于那位大佬的逆向的结果继续改正我们的C代码。
这里要注意一点，如果我们用的是gcc，那么不能直接用它那个代码，需要使用 int64_t 替换 __int64。

![](https://www.caozhexxgweb.cn/zb_users/upload/2024/07/202407021709171403799.png)
改正后代码如下：
``` C
#include <stdio.h>
#include <string.h>
#include <stdint.h>  // 包含此头文件以使用 int64_t

#define BYTE unsigned char

int64_t v7 = 0x65626D61726168LL;  // 使用 int64_t 替换 __int64，
int v6 = 7;
char v8[18] = ":\"AL_RT^L*.?+6/46";
char s[36];

int main() {
    // 计算密码
    for (int i = 0; i < strlen(v8); i++) {
        s[i] = (char)(*((BYTE *)&v7 + i % v6) ^ v8[i]);
    }
    s[strlen(v8)] = '\0'; // 确保字符串正确结束
    printf("给我出: %s\n", s);
    return 0;
}

```
现在看上去正常多了，我们提交一下试试看
```
╰─○ gcc -o fuckctf fuckCTF.c
╰─○ ./fuckctf
给我出: RC3-2016-XORISGUD
```
啊，正确了呢，但是我怎么一点都不高兴呢，唉，不知道为什么，反汇编的代码就是不一样，导致解题很难受，如果有知道的大佬们可以答疑的话就好了。
![](https://www.caozhexxgweb.cn/zb_users/upload/2024/07/202407021712513095637.png)