devbox
从前慢现在也慢
这个屌丝很懒，什么也没留下！
关注作者
热门标签
热门文章
当前位置:   article > 正文

【RE】去OLLVM的平坦化_ollvm控制流平坦化

作者：从前慢现在也慢 | 2024-08-21 11:12:53

赞

踩

ollvm控制流平坦化

目录

OLLVM

控制流平坦化

平坦化程序特征

去平坦化方法

法一：D810去平坦化插件使用方法

法二：使用基于angr的脚本deflat.py去除控制流平坦化

例题--[SUCTF2019]hardcpp​编辑

法一：D810插件去混淆

法二：deflat.py去OLLVM平坦化

本文主要针对x86架构下Obfuscator-LLVM的控制流平坦化

OLLVM

llvm是一个底层虚拟机，OLLVM（Obfuscator-LLVM）是瑞士西北应用科技大学安全实验室于2010年6月份发起的一个项目，这个项目的目标是提供一个LLVM编译套件的开源分支，能够通过代码混淆和防篡改，增加对逆向工程的难度，提供更高的软件安全性。目前，OLLVM已经支持LLVM-4.0.1版本;所使用的编译器是clang。

llvm保护的大概方法是：程序主要使用一个主分发器来控制程序基本块的执行流程进而模糊每个模块之间的联系。

控制流平坦化

控制流平坦化(control flow flattening)的基本思想主要是通过一个主分发器来控制程序基本块的执行流程，例如下图是正常的执行流程

添加控制流平坦化

build/bin/clang check_passwd.c -o check_passwd_flat -mllvm -fla

经过控制流平坦化后的执行流程就如下图

这样可以模糊基本块之间的前后关系，增加程序分析的难度，同时这个流程也很像VM的执行流程

平坦化程序特征

  1. 函数的开始地址为序言的地址
  2. 序言的后继为主分发器
  3. 后继为主分发器的块为预处理器
  4. 后继为预处理器的块为真实块
  5. 无后继的块为retn块
  6. 剩下的为无用块

去平坦化方法

法一：D810去平坦化插件使用方法

D-810是一个基于IDA Microcode实现的可拓展的ida去混淆插件，尤其是在CTF中碰到控制流平坦化时可以使用默认的脚本F5一键去平坦化。

1）安装

GitHub - zhkl0228/d810: D-810 is an IDA Pro plugin which can be used to deobfuscate code at decompilation time by modifying IDA Pro microcode.

把文件夹和.py复制到IDA目录的plugin下即可

（另外建议安装Z3以便能够使用 D-810 的几个功能

pip install z3-solver

2）使用

启动IDA

在Edit->plugins-D-810 或 快捷键CTRL+shift+D 启动D810

在Current file loaded中可以选择要载入的去混淆规则，如去平坦化

1：选中你需要的反混淆规则，我是反ollvm所以选ollvm的

2：start  点击后右边会变成绿色loaded

3：回到需要反混淆的函数，F5大法好

（此处Decompiling需要等一会

同理，点击stop关闭去混淆

（如果安装完出现这种问题

参考

ida插件-d810安装和使用 - 0P1N

https://github.com/igogo-x86/HexRaysPyTools/issues/48

重新安装sip.pyd即可

法二：使用基于angr的脚本deflat.py去除控制流平坦化

安装

1) 首先安装angr库

Windows + R 输入cmd

pip install angr

2) 脚本github地址deflat: use angr to deobfuscation

把am_graph.py 与deflat.py放在同一目录下

所在目录下打开cmd命令行输入

  1.  python + deflat.py + 文件名 + 起始地址(基本就是main函数的地址)
  2.  #python deflat.py hardCpp 0x4007E0

关键之处在于寻找程序的 address

注意到“函数的开始地址为序言的地址”，因此我们需要在序言中找函数起始位置

期间可能会出现大量类似警告：

没事，只要最后是这样就好：

得到一个已成功去平坦化的recovered新文件，用这个文件继续分析

参考

反混淆器：D810的安装和使用 #ollvm去平坦化 #D-810 - 『逆向资源区』 - 吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

OLLVM 与去平坦化 & [RoarCTF2019] polyre 详细WP - 『脱壳破解区』 - 吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

利用符号执行去除控制流平坦化 - 博客 - 腾讯安全应急响应中心

例题--[SUCTF2019]hardcpp

用ollvm混淆过的c++代码

开头给了一个类似哈希的东西，先不管。

ollvm中应该开了运算混淆，流程平坦化和一些虚假分支，调试一下发现主要流程就在那一堆lamda那里。

法一：D810插件去混淆

在Edit->plugins-D-810 或 快捷键CTRL+shift+D 启动D810

在Current file loaded中可以选择要载入的去混淆规则，我们要去ollvm平坦化所以选第二个

回到需要反混淆的函数，按F5，此处Decompiling需要等一会

这样就已经可读了

  1. int __cdecl main(int argc, const char **argv, const char **envp)
  2. {
  3.   char v3; // al
  4.   char v4; // al
  5.   char v5; // al
  6.   char v6; // al
  7.   char v8[8]; // [rsp+A0h] [rbp-90h] BYREF
  8.   char v9[8]; // [rsp+A8h] [rbp-88h] BYREF
  9.   char v10[8]; // [rsp+B0h] [rbp-80h] BYREF
  10.   char v11[8]; // [rsp+B8h] [rbp-78h] BYREF
  11.   char v12[8]; // [rsp+C0h] [rbp-70h] BYREF
  12.   char v13[7]; // [rsp+C8h] [rbp-68h] BYREF
  13.   char v14; // [rsp+CFh] [rbp-61h]
  14.   int i; // [rsp+D0h] [rbp-60h]
  15.   int v16; // [rsp+D4h] [rbp-5Ch]
  16.   int v17; // [rsp+D8h] [rbp-58h]
  17.   int v18; // [rsp+DCh] [rbp-54h]
  18.   char s; // [rsp+E0h] [rbp-50h] BYREF
  19.   char v20[23]; // [rsp+E1h] [rbp-4Fh] BYREF
  20.   char v21[8]; // [rsp+F8h] [rbp-38h] BYREF
  21.   char v22[8]; // [rsp+100h] [rbp-30h] BYREF
  22.   char v23[8]; // [rsp+108h] [rbp-28h] BYREF
  23.   char v24[4]; // [rsp+110h] [rbp-20h] BYREF
  24.   int v25; // [rsp+114h] [rbp-1Ch]
  25.   const char **v26; // [rsp+118h] [rbp-18h]
  26.   int v27; // [rsp+120h] [rbp-10h]
  27.   int v28; // [rsp+124h] [rbp-Ch]
  28.   int v29; // [rsp+128h] [rbp-8h]
  29.   bool v30; // [rsp+12Eh] [rbp-2h]
  30.  
  31.   v28 = 0;
  32.   v27 = argc;
  33.   v26 = argv;
  34.   v25 = time(0LL);
  35.   puts("func(?)=\\"01abfc750a0c942167651c40d088531d\\"?");
  36.   s = getchar();
  37.   fgets(v20, 21, stdin);
  38.   v18 = time(0LL);
  39.   v17 = v18 - v25;
  40.   v29 = v18 - v25;
  41.   if ( v18 - v25 > 0 )
  42.   {
  43.     puts("Let the silent second hand take the place of my doubt...");
  44.     exit(0);
  45.   }
  46.   v16 = strlen(&s);
  47.   v30 = v16 != 21;
  48.   if ( v16 != 21 )
  49.     exit(0);
  50.   for ( i = 1; i < 21; ++i )
  51.   {
  52.     v14 = v17 ^ v20[i - 1];
  53.     v13[0] = main::$_0::operator()(v23, (unsigned int)v14);
  54.     v12[0] = main::$_1::operator()(v21, (unsigned int)*(&s + v17 + i - 1));
  55.     v3 = main::$_1::operator() const(char)::{lambda(int)#1}::operator()(v12, 7LL);
  56.     v14 = main::$_0::operator() const(char)::{lambda(char)#1}::operator()(v13, (unsigned int)v3);
  57.     v11[0] = main::$_2::operator()(v24, (unsigned int)v14);
  58.     v10[0] = main::$_2::operator()(v24, (unsigned int)*(&s + v17 + i - 1));
  59.     v4 = main::$_2::operator() const(char)::{lambda(char)#1}::operator()(v10, 18LL);
  60.     v9[0] = main::$_3::operator()(v22, (unsigned int)v4);
  61.     v5 = main::$_3::operator() const(char)::{lambda(char)#1}::operator()(v9, 3LL);
  62.     v8[0] = main::$_0::operator()(v23, (unsigned int)v5);
  63.     v6 = main::$_0::operator() const(char)::{lambda(char)#1}::operator()(v8, 2LL);
  64.     v14 = main::$_2::operator() const(char)::{lambda(char)#1}::operator()(v11, (unsigned int)v6);
  65.     if ( enc[i - 1] != v14 )
  66.       exit(0);
  67.   }
  68.   puts("You win");
  69.   return 0;
  70. }
法二：deflat.py去OLLVM平坦化

在deflat.py同一目录下打开cmd命令行输入

python deflat.py hardCpp 0x4007E0

期间可能会出现大量类似警告：

没事，只要最后是这样就好：

得到

此时控制流

还有部分去平坦化操作

首先排除上面这两个循环有用

看到这一坨函数，其实就是c++里面的奇奇怪怪的东西（好像叫lambda表达式），来看看他们到底是干嘛的，

在对各函数分析的过程中发现在0x401310、0x4014E0和0x4016C0依然有平坦化，

类似这样

再跑脚本去一下

这样重复三次

  1. python deflat.py hardCpp_recovered 0x401310
  2.  
  3. python deflat.py hardCpp_recovered_recovered 0x4016C0
  4.  
  5. python deflat.py hardCpp_recovered_recovered_recovered 0x4014E0

静态查看，发现其实是对输入的每一个字符执行了一系列lambda函数，输入的长度为21个字符

  1. int __cdecl main(int argc, const char **argv, const char **envp)
  2. {
  3.   char v3; // al
  4.   char v4; // al
  5.   char v5; // al
  6.   char v6; // al
  7.   char v8; // al
  8.   char v9; // al
  9.   char v10; // al
  10.   char v11; // al
  11.   char v12[8]; // [rsp+A0h] [rbp-90h] BYREF
  12.   char v13[8]; // [rsp+A8h] [rbp-88h] BYREF
  13.   char v14[8]; // [rsp+B0h] [rbp-80h] BYREF
  14.   char v15[8]; // [rsp+B8h] [rbp-78h] BYREF
  15.   char v16[8]; // [rsp+C0h] [rbp-70h] BYREF
  16.   char v17[7]; // [rsp+C8h] [rbp-68h] BYREF
  17.   char v18; // [rsp+CFh] [rbp-61h]
  18.   int v19; // [rsp+D0h] [rbp-60h]
  19.   int v20; // [rsp+D4h] [rbp-5Ch]
  20.   int v21; // [rsp+D8h] [rbp-58h]
  21.   int v22; // [rsp+DCh] [rbp-54h]
  22.   char s; // [rsp+E0h] [rbp-50h] BYREF
  23.   char v24[23]; // [rsp+E1h] [rbp-4Fh] BYREF
  24.   char v25[8]; // [rsp+F8h] [rbp-38h] BYREF
  25.   char v26[8]; // [rsp+100h] [rbp-30h] BYREF
  26.   char v27[8]; // [rsp+108h] [rbp-28h] BYREF
  27.   char v28[4]; // [rsp+110h] [rbp-20h] BYREF
  28.   int v29; // [rsp+114h] [rbp-1Ch]
  29.   const char **v30; // [rsp+118h] [rbp-18h]
  30.   int v31; // [rsp+120h] [rbp-10h]
  31.   int v32; // [rsp+124h] [rbp-Ch]
  32.   int v33; // [rsp+128h] [rbp-8h]
  33.   bool v34; // [rsp+12Eh] [rbp-2h]
  34.  
  35.   v32 = 0;
  36.   v31 = argc;
  37.   v30 = argv;
  38.   v29 = time(0LL);
  39.   puts("func(?)=\\"01abfc750a0c942167651c40d088531d\\"?");
  40.   s = getchar();
  41.   fgets(v24, 21, stdin);
  42.   v22 = time(0LL);
  43.   v21 = v22 - v29;
  44.   v33 = v22 - v29;
  45.   if ( y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0 )
  46.     goto LABEL_13;
  47.   while ( 1 )
  48.   {
  49.     v20 = strlen(&s);
  50.     v34 = v20 != 21;
  51.     if ( y < 10 || ((((_BYTE)x - 1) * (_BYTE)x) & 1) == 0 )
  52.       break;
  53. LABEL_13:
  54.     v20 = strlen(&s);
  55.   }
  56.   while ( 1 )
  57.   {
  58.     v19 = 1;
  59.     if ( y < 10 || ((((_BYTE)x - 1) * (_BYTE)x) & 1) == 0 )
  60.       break;
  61.     v19 = 1;
  62.   }
  63.   while ( v19 < 21 )
  64.   {
  65.     if ( y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0 )
  66.     {
  67.       v18 = v21 ^ v24[v19 - 1];
  68.       v17[0] = main::$_0::operator()(v27, (unsigned int)v18);
  69.       v16[0] = main::$_1::operator()(v25, (unsigned int)*(&s + v21 + v19 - 1));
  70.       v8 = main::$_1::operator() const(char)::{lambda(int)#1}::operator()(v16, 7LL);
  71.       v18 = main::$_0::operator() const(char)::{lambda(char)#1}::operator()(v17, (unsigned int)v8);
  72.       v15[0] = main::$_2::operator()(v28, (unsigned int)v18);
  73.       v14[0] = main::$_2::operator()(v28, (unsigned int)*(&s + v21 + v19 - 1));
  74.       v9 = main::$_2::operator() const(char)::{lambda(char)#1}::operator()(v14, 18LL);
  75.       v13[0] = main::$_3::operator()(v26, (unsigned int)v9);
  76.       v10 = main::$_3::operator() const(char)::{lambda(char)#1}::operator()(v13, 3LL);
  77.       v12[0] = main::$_0::operator()(v27, (unsigned int)v10);
  78.       v11 = main::$_0::operator() const(char)::{lambda(char)#1}::operator()(v12, 2LL);
  79.       v18 = main::$_2::operator() const(char)::{lambda(char)#1}::operator()(v15, (unsigned int)v11);
  80.     }
  81.     do
  82.     {
  83.       v18 = v21 ^ v24[v19 - 1];
  84.       v17[0] = main::$_0::operator()(v27, (unsigned int)v18);
  85.       v16[0] = main::$_1::operator()(v25, (unsigned int)*(&s + v21 + v19 - 1));
  86.       v3 = main::$_1::operator() const(char)::{lambda(int)#1}::operator()(v16, 7LL);
  87.       v18 = main::$_0::operator() const(char)::{lambda(char)#1}::operator()(v17, (unsigned int)v3);
  88.       v15[0] = main::$_2::operator()(v28, (unsigned int)v18);
  89.       v14[0] = main::$_2::operator()(v28, (unsigned int)*(&s + v21 + v19 - 1));
  90.       v4 = main::$_2::operator() const(char)::{lambda(char)#1}::operator()(v14, 18LL);
  91.       v13[0] = main::$_3::operator()(v26, (unsigned int)v4);
  92.       v5 = main::$_3::operator() const(char)::{lambda(char)#1}::operator()(v13, 3LL);
  93.       v12[0] = main::$_0::operator()(v27, (unsigned int)v5);
  94.       v6 = main::$_0::operator() const(char)::{lambda(char)#1}::operator()(v12, 2LL);
  95.       v18 = main::$_2::operator() const(char)::{lambda(char)#1}::operator()(v15, (unsigned int)v6);
  96.     }
  97.     while ( enc[v19 - 1] != v18 );
  98.     while ( y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0 )
  99.       ;
  100.     ++v19;
  101.   }
  102.   if ( y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0 )
  103.     goto LABEL_16;
  104.   while ( 1 )
  105.   {
  106.     puts("You win");
  107.     if ( y < 10 || ((((_BYTE)x - 1) * (_BYTE)x) & 1) == 0 )
  108.       break;
  109. LABEL_16:
  110.     puts("You win");
  111.   }
  112.   return 0;
  113. }

cpp的lambda这种是可以直接双击查看其具体实现的，逐个进去分析每个lambda的含义：

char __fastcall main::$_0::operator()

char __fastcall main::$_1::operator()

_int64 __fastcall main::$_1::operator() const(char)::{lambda(int)#1}::operator()

__int64 __fastcall main::$_0::operator() const(char)::{lambda(char)#1}::operator()

  1. __int64 __fastcall main::$_0::operator() const(char)::{lambda(char)#1}::operator()(__int64 a1, char a2)
  2. {
  3.   _QWORD v3[3]; // [rsp+0h] [rbp-40h]
  4.   __int64 v4; // [rsp+18h] [rbp-28h]
  5.   char v5; // [rsp+23h] [rbp-1Dh]
  6.   int v6; // [rsp+24h] [rbp-1Ch]
  7.   bool v7; // [rsp+2Ah] [rbp-16h]
  8.   bool v8; // [rsp+2Bh] [rbp-15h]
  9.   unsigned int v9; // [rsp+2Ch] [rbp-14h]
  10.  
  11.   v7 = ((((_BYTE)x_5 - 1) * (_BYTE)x_5) & 1) == 0;
  12.   v8 = y_6 < 10;
  13.   v6 = 1023500310;
  14.   v5 = a2;
  15.   if ( y_6 >= 10 && !v7 )
  16.     goto LABEL_4;
  17.   while ( 1 )
  18.   {
  19.     v3[0] = v4;
  20.     LOBYTE(v3[-2]) = v5;
  21.     v9 = SLOBYTE(v3[-2]) + *(char *)v3[0];      // 相加
  22.     if ( y_6 < 10 || ((((_BYTE)x_5 - 1) * (_BYTE)x_5) & 1) == 0 )
  23.       break;
  24. LABEL_4:
  25.     v3[0] = v4;
  26.     LOBYTE(v3[-2]) = v5;
  27.   }
  28.   return v9;
  29. }

char __fastcall main::$_2::operator()

LOBYTE是一个宏，用于从一个整数或字符中提取最低有效字节（即最低8位）。它的作用是获取给定值的最低8位字节，并将其作为一个单独的字节值返回。

返回 (a1 & 0xff00) + (a2 & 0x00ff)

• 看出v_result = 高位(v_a1) 低位(v_a2)

  1. char __fastcall main::$_2::operator()(__int64 a1, char a2)
  2. {
  3.   _QWORD v3[4]; // [rsp+0h] [rbp-50h]
  4.   __int64 v4; // [rsp+20h] [rbp-30h]
  5.   char v5; // [rsp+2Fh] [rbp-21h]
  6.   int v6; // [rsp+30h] [rbp-20h]
  7.   bool v7; // [rsp+35h] [rbp-1Bh]
  8.   bool v8; // [rsp+36h] [rbp-1Ah]
  9.   char v9; // [rsp+37h] [rbp-19h]
  10.  
  11.   v7 = ((((_BYTE)x_11 - 1) * (_BYTE)x_11) & 1) == 0;
  12.   v8 = y_12 < 10;
  13.   v6 = -1990873412;
  14.   v5 = a2;
  15.   if ( y_12 >= 10 && !v7 )
  16.     goto LABEL_4;
  17.   while ( 1 )
  18.   {
  19.     v3[0] = v4;
  20.     LOBYTE(v3[-2]) = v5;
  21.     LOBYTE(v3[0]) = v3[-2];
  22.     v9 = v3[0];
  23.     if ( y_12 < 10 || ((((_BYTE)x_11 - 1) * (_BYTE)x_11) & 1) == 0 )
  24.       break;
  25. LABEL_4:
  26.     v3[0] = v4;
  27.     LOBYTE(v3[-2]) = v5;
  28.     LOBYTE(v3[0]) = v3[-2];
  29.   }
  30.   return v9;
  31. }

__int64 __fastcall main::$_2::operator() const(char)::{lambda(char)#1}::operator()

char __fastcall main::$_3::operator()

  1. char __fastcall main::$_3::operator()(__int64 a1, char a2)
  2. {
  3.   _QWORD v3[4]; // [rsp+0h] [rbp-50h]
  4.   __int64 v4; // [rsp+20h] [rbp-30h]
  5.   char v5; // [rsp+2Fh] [rbp-21h]
  6.   int v6; // [rsp+30h] [rbp-20h]
  7.   bool v7; // [rsp+35h] [rbp-1Bh]
  8.   bool v8; // [rsp+36h] [rbp-1Ah]
  9.   char v9; // [rsp+37h] [rbp-19h]
  10.  
  11.   v7 = ((((_BYTE)x_15 - 1) * (_BYTE)x_15) & 1) == 0;
  12.   v8 = y_16 < 10;
  13.   v6 = -538471561;
  14.   v5 = a2;
  15.   if ( y_16 >= 10 && !v7 )
  16.     goto LABEL_4;
  17.   while ( 1 )
  18.   {
  19.     v3[0] = v4;
  20.     LOBYTE(v3[-2]) = v5;
  21.     LOBYTE(v3[0]) = v3[-2];
  22.     v9 = v3[0];
  23.     if ( y_16 < 10 || ((((_BYTE)x_15 - 1) * (_BYTE)x_15) & 1) == 0 )
  24.       break;
  25. LABEL_4:
  26.     v3[0] = v4;
  27.     LOBYTE(v3[-2]) = v5;
  28.     LOBYTE(v3[0]) = v3[-2];
  29.   }
  30.   return v9;
  31. }

__int64 __fastcall main::$_3::operator() const(char)::{lambda(char)#1}::operator()

综上所述，程序的流程化简为

  1. int __cdecl main(int argc, const char **argv, const char **envp)
  2. {
  3.   char v3; // al
  4.   char v4; // al
  5.   char v5; // al
  6.   char v6; // al
  7.   char v8; // al
  8.   char v9; // al
  9.   char v10; // al
  10.   char v11; // al
  11.   char v12[8]; // [rsp+A0h] [rbp-90h] BYREF
  12.   char v13[8]; // [rsp+A8h] [rbp-88h] BYREF
  13.   char v14[8]; // [rsp+B0h] [rbp-80h] BYREF
  14.   char v15[8]; // [rsp+B8h] [rbp-78h] BYREF
  15.   char v16[8]; // [rsp+C0h] [rbp-70h] BYREF
  16.   char v17[7]; // [rsp+C8h] [rbp-68h] BYREF
  17.   char v18; // [rsp+CFh] [rbp-61h]
  18.   int v_pos; // [rsp+D0h] [rbp-60h]
  19.   int v20; // [rsp+D4h] [rbp-5Ch]
  20.   int v_equal_0; // [rsp+D8h] [rbp-58h]
  21.   int v22; // [rsp+DCh] [rbp-54h]
  22.   char v_input_chr; // [rsp+E0h] [rbp-50h] BYREF
  23.   char v_input[23]; // [rsp+E1h] [rbp-4Fh] BYREF
  24.   char v25[8]; // [rsp+F8h] [rbp-38h] BYREF
  25.   char v26[8]; // [rsp+100h] [rbp-30h] BYREF
  26.   char v27[8]; // [rsp+108h] [rbp-28h] BYREF
  27.   char v28[4]; // [rsp+110h] [rbp-20h] BYREF
  28.   int v29; // [rsp+114h] [rbp-1Ch]
  29.   const char **v30; // [rsp+118h] [rbp-18h]
  30.   int v31; // [rsp+120h] [rbp-10h]
  31.   int v32; // [rsp+124h] [rbp-Ch]
  32.   int v33; // [rsp+128h] [rbp-8h]
  33.   bool v34; // [rsp+12Eh] [rbp-2h]
  34.  
  35.   v32 = 0;
  36.   v31 = argc;
  37.   v30 = argv;
  38.   v29 = time(0LL);
  39.   puts("func(?)=\\"01abfc750a0c942167651c40d088531d\\"?");
  40.   v_input_chr = getchar();
  41.   fgets(v_input, 21, stdin);
  42.   v22 = time(0LL);
  43.   v_equal_0 = v22 - v29;
  44.   v33 = v22 - v29;
  45.   if ( y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0 )
  46.     goto LABEL_13;
  47.   while ( 1 )
  48.   {
  49.     v20 = strlen(&v_input_chr);
  50.     v34 = v20 != 21;
  51.     if ( y < 10 || ((((_BYTE)x - 1) * (_BYTE)x) & 1) == 0 )
  52.       break;
  53. LABEL_13:
  54.     v20 = strlen(&v_input_chr);
  55.   }
  56.   while ( 1 )
  57.   {
  58.     v_pos = 1;
  59.     if ( y < 10 || ((((_BYTE)x - 1) * (_BYTE)x) & 1) == 0 )
  60.       break;
  61.     v_pos = 1;
  62.   }
  63.   while ( v_pos < 21 )
  64.   {
  65.     if ( y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0 )
  66.     {
  67.       v18 = v_equal_0 ^ v_input[v_pos - 1];     // v_input[i-1]
  68.       v17[0] = f_a2((__int64)v27, v18);         //  v_input[i]
  69.       v16[0] = f_a2_same((__int64)v25, *(&v_input_chr + v_equal_0 + v_pos - 1));// v_input[i-1]
  70.       v8 = f_a1_mod_a2(v16, 7);                 // v_input[i-1] % 7
  71.       v18 = f_a1_add_a2(v17, (unsigned int)v8); // v_input[i] + v_input[i-1] % 7
  72.       v15[0] = f_byte_merge((__int64)v28, v18); //  v_input[i] + v_input[i-1] % 7
  73.       v14[0] = f_byte_merge((__int64)v28, *(&v_input_chr + v_equal_0 + v_pos - 1));// v_input[i-1]
  74.       v9 = f_a1_xor_a2(v14, 18);                // v_input[i-1] ^ 18
  75.       v13[0] = f_byte_merge_same(v26, (unsigned int)v9);// v_prev_xor_18
  76.       v10 = f_a1_multi_a2(v13, 3LL);            // v_prev_xor_18_mutil_3
  77.       v12[0] = f_a2((__int64)v27, v10);         // (v_prev ^ 18) * 3 
  78.       v11 = f_a1_add_a2(v12, 2LL);              // (v_prev ^ 18) * 3 + 2
  79.       v18 = f_a1_xor_a2(v15, v11);              // (v_input[i] + v_input[i-1] % 7) ^ ((v_prev ^ 18) * 3 + 2)
  80.     }
  81.     do
  82.     {
  83.       v18 = v_equal_0 ^ v_input[v_pos - 1];
  84.       v17[0] = f_a2((__int64)v27, v18);
  85.       v16[0] = f_a2_same((__int64)v25, *(&v_input_chr + v_equal_0 + v_pos - 1));
  86.       v3 = f_a1_mod_a2(v16, 7);
  87.       v18 = f_a1_add_a2(v17, (unsigned int)v3);
  88.       v15[0] = f_byte_merge((__int64)v28, v18);
  89.       v14[0] = f_byte_merge((__int64)v28, *(&v_input_chr + v_equal_0 + v_pos - 1));
  90.       v4 = f_a1_xor_a2(v14, 18);
  91.       v13[0] = f_byte_merge_same(v26, (unsigned int)v4);
  92.       v5 = f_a1_multi_a2(v13, 3LL);
  93.       v12[0] = f_a2((__int64)v27, v5);
  94.       v6 = f_a1_add_a2(v12, 2LL);
  95.       v18 = f_a1_xor_a2(v15, v6);
  96.     }
  97.     while ( enc[v_pos - 1] != v18 );            // 判断enc[v_pos-1] == (v_input[i] + v_input[i-1] % 7) ^ ((v_prev ^ 18) * 3 + 2)
  98.                                                 // }
  99.     while ( y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0 )
  100.       ;
  101.     ++v_pos;
  102.   }
  103.   if ( y >= 10 && ((((_BYTE)x - 1) * (_BYTE)x) & 1) != 0 )
  104.     goto LABEL_16;
  105.   while ( 1 )
  106.   {
  107.     puts("You win");
  108.     if ( y < 10 || ((((_BYTE)x - 1) * (_BYTE)x) & 1) == 0 )
  109.       break;
  110. LABEL_16:
  111.     puts("You win");
  112.   }
  113.   return 0;
  114. }

• 综上，题意为迭代判断 enc[v_pos-1] == (v_input[i] + v_input[i-1] % 7) ^ ((v_prev ^ 18) * 3 + 2)

  1. unsigned char enc[] =
  2. {
  3.   0xF3, 0x2E, 0x18, 0x36, 0xE1, 0x4C, 0x22, 0xD1, 0xF9, 0x8C, 
  4.   0x40, 0x76, 0xF4, 0x0E, 0x00, 0x05, 0xA3, 0x90, 0x0E, 0xA5
  5. };

再次观察代码

猜测是md5，将其拖入到MD5在线加密/解密/破解—MD5在线的md5解密中，得到其值为md5('#') 则v_input[0] = ‘#’

EXP

  1. v_enc = 'F32E1836E14C22D1F98C4076F40E0005A3900EA5'
  2. v_enc = bytearray.fromhex(v_enc)
  3.  
  4. # puts("func(?)="01abfc750a0c942167651c40d088531d"?");// md5('#')
  5. v_input_chr = ord('#')
  6. v_input = [v_input_chr]
  7.  
  8. # 原式： (v_input[i] + v_input[i-1] % 7) ^ ((v_input[i-1] ^ 18) * 3 + 2) == v_enc[i-1]
  9. # 两边同时异或((v_input[i-1] ^ 18) * 3 + 2)，
  10. # 		化简为：(v_input[i] + v_input[i-1] % 7) = v_enc[i-1] ^ ((v_input[i-1] ^ 18) * 3 + 2)
  11. # 将左边移到右边，化简为：v_input[i]  = (v_enc[i-1] ^ ((v_input[i-1] ^ 18) * 3 + 2))   - v_input[i-1] % 7
  12. for i in range(1, 21):
  13.     v = ((v_input[i-1] ^ 18) * 3 + 2)
  14.     v_input_i = (v_enc[i-1] ^ v) - (v_input[i-1] % 7)
  15.     v_input_i &= 0xff  # 可打印的字符串范围必然在 0xff 以内，此处防溢出
  16.     v_input.append(v_input_i)
  17. flag = [chr(x) for x in v_input]
  18. print(''.join(flag))

#flag{mY-CurR1ed_Fns}

另一种写法exp

  1. enc=[0xf3,0x2e,0x18,0x36,0xe1,0x4c,0x22,0xd1,0xf9,0x8c,0x40,0x76,0xf4,0xe,0x0,0x5,0xa3,0x90,0xe,0xa5]
  2. flag='#'
  3. for i in range(0,20):
  4. 	flag+=chr(((enc[i]^((ord(flag[-1])^18)*3+2))-(ord(flag[-1])%7)) &0xff)
  5. print(flag)

flag[-1]是指变量flag中的最后一个字符。

如果看不出是MD5，也可以爆破出第一位

只需要爆破下标为0的字符，即可求出flag

  1. enc = [  0xF3, 0x2E, 0x18, 0x36, 0xE1, 0x4C, 0x22, 0xD1, 0xF9, 0x8C,
  2.   0x40, 0x76, 0xF4, 0x0E, 0x00, 0x05, 0xA3, 0x90, 0x0E, 0xA5]
  3.  
  4. for j in range(256):
  5.     a = [j]
  6.     for i in range(0,20):
  7.         a.append(((enc[i] ^ ((a[i]^18)*3+2))-(a[i]%7))&0xff)
  8.     s = "".join(map(chr,a))
  9.     if "flag" in s:
  10.         print(s)
  11.

通过尝试不同的密钥值来解密加密列表 enc，并检查解密后的结果是否包含 "flag" 字符串。如果找到了包含 "flag" 的解密结果，将其打印出来

SUCTF 2019 Writeup — De1ta - 先知社区 (aliyun.com)

[羊城杯 2020]login [SUCTF2019]hardcpp-CSDN博客

[SUCTF2019]hardcpp-CSDN博客

去OLLVM平坦化([SUCTF2019]hardCPP) - Pinguw's Blog

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/从前慢现在也慢/article/detail/1011534
推荐阅读
相关标签

Copyright © 2003-2013 www.wpsshop.cn 版权所有，并保留所有权利。

  

闽ICP备14008679号