网络安全 CTF 二进制

【CTF】一些简单的逆向题

村口曹师傅发表于2025-07-11 17:01:27 浏览274 评论0

抢沙发发表评论

# 【CTF】一些简单的逆向题

- 题目介绍

![](/zb_users/upload/2025/07/202507140905587186041.png)

一共只有三题，我们从简单到难来看

## 第一题 DisassembleMe.exe

这是一题签到题，先来运行一下
```
Microsoft Windows [版本 6.1.7601]
版权所有 (c) 2009 Microsoft Corporation。保留所有权利。

C:\Users\test\Desktop\22>DisassembleMe.exe
Welcome to DASCTF.
Please find the flag.
```

拖入IDA ,按一下F5即可拿到flag

![](/zb_users/upload/2025/07/202507140908573407290.png)

## 第二题 DebugMe.exe

执行发现，题目意图很明显

```
Microsoft Windows [版本 6.1.7601]
版权所有 (c) 2009 Microsoft Corporation。保留所有权利。

C:\Users\test\Desktop\22>DebugMe.exe
Welcome to DASCTF.
Debug me and you'll get the flag
```

然后我们就直接拖入ida
发现flag标识在这里

![](/zb_users/upload/2025/07/202507140910121248476.png)

函数跟进去

![](/zb_users/upload/2025/07/202507140911437413609.png)

按正常思路直接debug下断点到这里就可以了，但我们反其道而行之

先分析一下解密函数
- 从主函数开始，获取基地址，找到PE头指针，然后读取“PE\0\0”值并存储。
- 这个值0x4550被传递给sub_401000。
- 进入sub_401000后，循环遍历常量数组v4，每次迭代计算char[i] = v4[i] / a1，并用v4[i] % (255 * char)更新a1，最终生成22个字符并返回字符串。
- 在sprintf中，字符串被插入到“DASCTF{%s}”模板中。

根据这个函数复写一个解密函数

```
a1 = 0x4550
v4 = [1153360,1007240,2704000,2471560,2165525,845500,642135,
      2272725,500175,1097250,882000,2772000,2310000,1425000,
      1675800,524160,2048280,1295325,798000,1360800,1099980,1198920]
out = []
for x in v4:
    ch = x // a1
    out.append(chr(ch))
    a1 = x % (255 * ch)
flag_body = ''.join(out)
sprintf(Buffer, "DASCTF{%s}", flag_body);
```

执行即可输出flag了
```
DASCTF{Ahha_You_Find_The_Flag}
```

## 第三题 K1llorSave.exe

执行发现卡住在这里

```
Microsoft Windows [版本 6.1.7601]
版权所有 (c) 2009 Microsoft Corporation。保留所有权利。

C:\Users\test\Desktop\22>K1llorSave.exe
Mathematics is a beautiful and powerful tool that helps us understand and naviga
te the world around us.

Lets check if it still works in the planet

Checking...

```

然后拖入ida里查看发现被sleep了100秒难怪会卡，等一会之后发现输出了，但没有flag

![](/zb_users/upload/2025/07/202507140912424441389.png)

我们继续看，这边有两个分支，稍微看看这个伪C
- argv 指向命令行参数数组；*argv 就是 argv[0]，即程序自身的路径字符串。
- 循环逐字节读取，直到遇到 '\0' 结束符。
- 因为先把 v4 设为 -1，再 ++v4，所以循环结束时 v4 就是字符串长度。
- 如果字符串非空（现实里几乎必然），v4 ≥ 0。
- 只有在极端情况 argv[0] 指向空串 "" 时，循环一次都不进
- 于是就有了两条分支
 - 正常执行路径（argv[0] 非空） ➜ 调用 sub_1400011E0
 - 永远几乎进不到的分支（argv[0] 为空） ➜ 调用 sub_1400011B0

![](/zb_users/upload/2025/07/202507140912556990416.png)

其实通过汇编可以就可以看出，几乎只会执行sub_1400011E0

![](/zb_users/upload/2025/07/202507140913299214309.png)

关键是sub_1400011E0，我们进去看看，一眼头大。

![](/zb_users/upload/2025/07/202507140913414554382.png)

我打算直接改汇编二进制文件，吧条件给删掉，直接调用这个函数，主要吧sleep和前面的条件给nop掉就可以了nop的时候记得吧全部的字节都nop，以免出现图中的db内容，会导致程序异常

![](/zb_users/upload/2025/07/202507140914063345881.png)

![](/zb_users/upload/2025/07/202507140914222832318.png)

最后完成改成这样，在nop中新增一个call  sub_1400011B0

![](/zb_users/upload/2025/07/202507140914367918535.png)

最后写入到文件，执行即可获取flag
![](/zb_users/upload/2025/07/202507140914457352612.png)

![](/zb_users/upload/2025/07/202507140914543159812.png)