KCTF 2023 第三题 wp - 98k

逆向体验极好，最后一步的猜谜体验极差。

GUI 程序先拖到 Resource Hacker 里看资源，提取出一个压缩包，最重要的部分就是其中的 dlg_main.xml ，即主界面布局：

没其他东西了， ida 启动。 WinMain (0x401FC0) 的部分初始化（主要是 simulation vftable 的偏移为 2a8 ，后面要用）：

上调试器，发现附加时就退出了；在调试器中运行，会触发异常 EXCEPTION_INVALID_HANDLE ，调用栈找到异常位置 0x4078C5 ， ida 的 F5 只有一句 CloseHandle((HANDLE)0x99999999); ，实际上用异常隐藏了信息：

如果触发异常就会导致程序退出。实际上程序正常执行的时候是不会触发这个异常的，在有调试器时调试器捕获到这个异常之后传递给应用程序处理就会导致程序退出，所以这是用于反调试的。

这个函数 (0x407880) 查找引用，来到函数 0x405F10 ：

创建了一个定时器队列，将四个函数添加进去（上面分析的是第一个函数），这四个都是反调试。中间两个是常用的 NtSetInformationThread 和 NtQueryInformationProcess 检测调试器，最后一个和第一个类似也是利用调试器存在时才会触发的异常进行反调试：

绕过反调试只要把 4 个 CreateTimerQueueTimer 前的 if 判断去掉就行， 0x406102 处的 jz loc_406192 改为 jmp loc_406192 ，这就可以愉快调试了。

最后还有一行设置定时器函数 0x406820 ，这个函数的作用是发送消息 (0x47C) 使界面上的图像闪烁，与调试无关。

sub_405F10 查找引用来到函数 sub_405C50 ，前面处理三个系统消息（接收到 WM_CLOSE 就会退出）：

后面处理自定义的消息：

实际上就是 0x47A 到 0x47E 的消息都会传给 sub_4061D0 处理，进入后即可看到提示的字符串：

为了保证逻辑连贯性，后面从按下按钮开始的过程开始分析，遇到哪种类型的自定义消息再分析其处理过程。

通过布局文件中按钮的名字字符串 check_va 可以定位到函数 sub_405AF0 ：

那么按下按钮后就会进入函数 sub_406490 。跟入查看。

输入长度为 32 才会进入后面的逻辑。

创建一个 vector<pair<WCHAR*, int>> 容器 (v47) ，进入循环，循环变量 v41 与提前随机生成的值 v7 不等时就会创建一个随机的字符串，但是又将字符串第一个值置为 0 ，之后再随机生成一个 int 值，将这两项压入 vector 中；当 v41 与 v7 相等时，vector 中压入输入的字符串和长度。关键在于 v7 的生成，循环轮数是随机产生的 v40 ，但是 v7 = rand() % v40 ，这样就保证 v7 < v40 一定成立，循环里一定有一轮会将输入放进去。

依次将 vector 中的元素取出，调用某个函数。看到 0x47A 自然想到是发送一个 0x47A 的消息，参数是 vector 中的元素。分析 0x47A 的处理逻辑 (0x4061D0) ：

如果传入的第一个参数 (WCHAR*) 为空或者第一个元素为 0 就会直接返回，所以之前随机生成的那些值没有任何用，只有输入会进入后面的处理逻辑。 sha256_digest 计算输入的 sha256 哈希值（字节的形式），之后进入函数 sub_406D20 使用公钥加密 (e = 17, n = 21906585121072429525136501263777504096756081865092042684099138287497672694873834291670997121471129570594152130723534201262878959784904251279658444106234669253576862136338490628016468594828131996514196656561676389378950188066235426847675556311224351660898776963053168935262766064574259854293773964700038348161447837302470663811641426752301151303723561636330562630171909979887875204514399203706102031815258959587171992732031141351891482029327218735402874813783992338509681802890209021222118623824887702576029614546957547984036089601600189689935707774369388278963379757463175497681264877157619309237813256488481685294697, PKCS1_OAEP) ，得到结果后依次调用 (*(_DWORD *)(this + 0x2A8) + 8) 和 (*(_DWORD *)(this + 0x2A8) + 12) ， 2a8 这个偏移就是上面一开始说过的 simulation vftable 的偏移，则依次调用其 vftable 中第 3 和第 4 个函数。第 3 个函数 (0x40CF10) ：

将加密结果与窗口 handle 保存在 simulation 对象中。

第 4 个函数 (0x40CF60) ：

将 sub_40CF80 添加到队列中执行。进入 sub_40CF80 ：

首先会调用 vftable 中第 1 个函数：

将固定的 8 个字符串压入到 simulation 对象的 vector<string> 中，再 15 轮循环随机交换 vector 中的两个值。

此函数执行结束后回到 sub_40CF80 ：

遍历该 vector 中的字符串，并作为密钥传入函数 sub_40DA90 对 code.dat 的数据解密，如果密钥正确解密成功就会将 v47 置为 1 同时循环结束。解密后的数据保存在 extracted 中。 vector 中都是预定义好的值，一定是有一个正确的密钥的，解密成功后进入后面的逻辑。

调用 vftable 第 2 个函数，函数内是对之前公钥加密的数据进行私钥解密 (p = 151800295406637185657660953042405417749139697216607628859251336122477567504850721334078661322707043309259975387744155240851465173871868351073728222215736007577965117010898265208250803040509461853998999375852253779832620625838189650944263095658219155634441735163044037983313290619292144767471775089263495418251, q = 144311874113221289713261361370020383289362372276623337764783487115704894762475782336636918040619744269077401891962484775555733509180237070031790604589232999322942408727672541034852132898576665814175107105064246348891716440001483229535995859746199351835116402561390819328452677427755066159440587651365835961947) ，解密成功后保存在 decrypted 中（得到的是原始输入的 sha256 哈希字节值）。

后面的逻辑稍微整理一下：

使用 unicorn 执行 arm 指令， code.dat 中解密出的数据是 要执行的 arm 指令放在 0x43000 ，输入的 sha256 十六进制哈希值放在 0x4033 ， 执行成功后会将 0x14390 处的 32 字节读出并发送消息 0x47E ，之后再发送消息 0x47B 。其中任何一个地方有问题都会发送消息 0x47D (MessageBoxW(*(HWND *)(this + 28), L"验证失败!", L"提示", 0);) 。

0x47E 的处理 (0x4061D0) ：

将传入的参数指向的 32 个字节复制到偏移 0x274 处。

0x47B 的处理：

并不是直接提示成功，而是对偏移 28C 这里的值做判断，不为 0 才会提示成功，否则会发出 0x47D 消息提示失败。结合 0x47E 的处理，上面 uc_mem_read 得到的数据第 0x18 字节必须为 1 ，即 unicorn 执行结束时 0x143a8 必须为 1 。

最后只剩下 unicorn 执行 arm 代码这部分了。将解密后的代码 dump 出来，拖入 ida 以 arm 形式反编译：

中间就能看到 MEMORY[0x143A8] = 1 的赋值，不过 F5 不太准，需要看下汇编，实际上是将 12 个十六进制串压入到栈上，依次和 0x4033 处放的输入的 sha256 哈希值十六进制串比较，遇到相同的才会进入中间的循环将当前的串和 6749dae311865d64db83d5ae75bac3c9e36b3aa6f24caba655d9682f7f071023 比较，相同则会将两个值设为 1 。

所以最后只有一个问题，就是已知 sha256 为 6749dae311865d64db83d5ae75bac3c9e36b3aa6f24caba655d9682f7f071023 求长度为 32 的原始输入。但是这个是完全没法求的，不可逆。到这里就卡住了。

本来这些很早就分析完了，但是破解 sha256 本身就不太现实（几个在线网站搜了下都没有），这东西又不是花钱就能解决的。。。所以一度怀疑是不是逆向还有什么看漏了的。。。做了一晚上无用功。。。晚上睡觉都梦到找到了隐藏的逻辑。。。

第二天醒来又看了下 arm 指令里那些 16 进制串，其中一个是输入的 sha256 ，网站上搜不到对应的明文。尝试性的搜了下第一个串 e0bc614e4fd035a488619799853b075143deea596c477b8dc077e309c0fe42e9 ，竟然找到了！ ，解出来的明文是 6b86b273ff34fce19d6b804eff5a3f5747ada4eaa22f1d49c01e52ddb7875b4b ，正好是第二个串。所以这些串是有关联的，尝试了一下发现 6749dae311865d64db83d5ae75bac3c9e36b3aa6f24caba655d9682f7f071023 对应的明文就是它下面的串的前 32 字节 ea96b41c1f9365c2c9e6342f5faaeab2 ，运行程序验证成功。

到这里感觉很无语。如果是卡在逆向过程或者设计算法求解那我没话说，难度大做不出来那是自己菜。但是偏偏最后卡在这猜谜，跟逆向完全没有关系，还浪费我好多时间。我相信很多师傅都卡在这里，都猜不到，就纯拖时间。最后这部分猜 sha256 的设计就不合理，这是逆向题目而不是猜谜题目，这里就没有合理的引导提示这些 sha256 是有关系的，谁做逆向的时候还会去关心那些跟主逻辑无关的东西啊，这要是合理的话之后出题不就可以照样猜 sha256 ，明文也在程序里有体现但是是一个跟主逻辑完全无关的函数，只要执行这个函数就能拿到明文输入；甚至我可以啥都不给，明文的每个字符都可以在二进制程序里找到那为什么不能从 sha256 恢复明文？

或者可能有人说第二种解法，就是花钱，可能是某 md5 网站查 hash 某些条目需要花钱购买，也可能是查不到就可以花钱用破这一个 hash 。先说后一种情况，只要查不到就基本不可能暴破出来的。 sha256 要是那么容易破区块链早就不安全了，就现在的服务器配置暴 16 字节（ 32 个十六进制数）都能暴到地球毁灭了。再前一种情况，现实是我试过的网站都查不到，假设某网站能查到，那怎么保证每个做到这一步的师傅都能找到这个网站？这一步就跟能力无关了，在线网站一个一个去抽奖这合理吗？好，再假设每个师傅都能查到这个网站，但是这个 hash 要给钱，那我不就专门可以做一个 hash 破解网站就收录这题的输入但是要花钱，这不就可以来圈钱了？

做完戾气有点大。我觉得谁卡在这一步卡很久，最后不管做没做出来戾气都会很大。不过也该说一下，逆向部分设计的是比较好的，有很多东西。如果把题目改成没有求 sha256 而是直接将原始输入加密、解密、传入 unicorn 判断，就能直接解，这样题目就会好很多。