随笔分类 - BUU
摘要：#查壳 用的是脱壳工具 UPX Shell 它通过命令行调用upx主程序，支持EXE、COM、DLL、SYS、OCX等多种文件格式的压缩 下载地址：http://ct.ghpym.com/dir/7369060-37024569-ee3032 #找关键函数 搜索字符串，查交叉引用处，就能找到 有一个
阅读全文
摘要：#查壳 UPX壳 工具脱壳 脱完壳扔IDA里分析 这一题很明显 #分析 int __cdecl main(int argc, const char **argv, const char **envp) { char v4; // [esp+12h] [ebp-2Eh] char v5; // [es
阅读全文
摘要：#查壳 #运行程序 它提示说cpu num是8 这个信息是有用的 #搜索字符串 也就这一块了。 flag{where_is_my_true_flag?}肯定是假的了。 这一块就是提示cpu数值的。我们交叉引用看看。 然后我们就能找到解题的关键函数了。 __int64 sub_140013580()
阅读全文
摘要：##查壳 ##IDA分析 ###搜索字符串 一搜就看到一串奇怪的字符串 它肯定有问题 我们尝试拿去解密 有点像base64但它又没有==做字符串尾巴 这个是base58，尝试解一下就出来了。 还有一种思路是，我们运行程序之后，提示我们输入开机密码。输入错误会提示密码错误。我们依旧搜索字符串。到密码错
阅读全文
摘要：#分析 __int64 __fastcall main(__int64 a1, char **a2, char **a3) { char v4; // [rsp+0h] [rbp-4A0h] char v5; // [rsp+10h] [rbp-490h] char v6; // [rsp+20h]
阅读全文
摘要：#查壳 #查字符串 可以很明显看到 Ctrl+x交叉引用 #分析 有两个占位符 要填两个字符进去 BOOL __stdcall DialogFunc(HWND hWnd, UINT a2, WPARAM a3, LPARAM a4) { CHAR String; // [esp+0h] [ebp-6
阅读全文
摘要：#搜索关键字符串 Shift+F12 双击进去 Ctrl+x 交叉引用的地方 F5分析 signed __int64 sub_4009C6() { __int64 v0; // rax signed __int64 result; // rax unsigned __int64 v2; // rax
阅读全文
摘要：#初步探索 .pyc文件 通过在线 反编译后 print 'Welcome to Re World!' print 'Your input1 is your flag~' l = len(input1) for i in range(l): num = ((input1[i] + i) % 128
阅读全文
摘要：打开来是一个apk 根据题目提示 我们要找的flag是一个邮箱 #jeb分析 用jeb打开 我们搜索关键字 【mail】 仔细找找会发现 关键函数是 我们可以发现C2里存了MAILUSER、MAILPASS、MAILFROME c2里的这些用户信息明显是要经过base64加密的 用户信息里面都是空的
阅读全文
摘要：一、查壳 UPX壳 二、脱壳 可以直接构造命令脱壳 （你没安装【UPX】是不能直接upx -d 的哈） 也可以使用工具 三、IDA分析 1 int main_0() 2 { 3 HANDLE v1; // [esp+D0h] [ebp-14h] //HANDLE等价于void* 4 HANDLE h
阅读全文
摘要：一、二进制文件 二、IDA分析 1 // local variable allocation has failed, the output may be wrong! 2 int __cdecl main(int argc, const char **argv, const char **envp)
阅读全文
摘要：一、 apk文件 用jeb分析 二、JEB分析 反编译 脚本如下： #include <stdio.h> #include <string.h> int main(void) { int v9 = 2; int v11 = 31; char v5[] = "dd2940c04462b4dd7c450
阅读全文
摘要：一、知识点 常见汇编指令 详情参考 IDA强制转换汇编 二、查壳 三、IDA分析 摸不着头脑，换OD试试也摸不着头脑 按照提示这是一个 由8086汇编写成的程序 直接看看汇编代码试试 View--opensubview--disassembly 发现可疑字符串 应该是对这个字符串做了加密处理 看一下
阅读全文
摘要：一、查壳 二、IDA分析 1 int __cdecl main_0() 2 { 3 DWORD v0; // eax 4 DWORD v1; // eax 5 CHAR String; // [esp+4Ch] [ebp-310h] 6 int v4; // [esp+150h] [ebp-20Ch
阅读全文
摘要：一、 打开文件。可以看到下面两个文件，结合题目rsa。可知，pub.key里是rsa的公钥，flag.enc里面的是密文。 RSA加密解密的内容大概如下 公钥n = p * q，其中p和q是两个大素数 e是随机选择的数，作为公钥 d是跟e有关的一个数，满足条件式：ed=1（mod phi（n）） p
阅读全文
摘要：一、 apk文件用jeb打开 反编译 二、jeb分析 1 package com.example.findit; 2 3 import android.os.Bundle; 4 import android.support.v7.app.ActionBarActivity; 5 import and
阅读全文
摘要：一、 .class文件用jd-gui打开 二、分析 1 import java.io.PrintStream; 2 import java.util.ArrayList; 3 import java.util.Scanner; 4 5 public class Reverse 6 { 7 publi
阅读全文
摘要：一、查壳 64位文件 二、IDA分析 int __cdecl __noreturn main(int argc, const char **argv, const char **envp) { int v3; // eax char v4; // [rsp+Fh] [rbp-1h] while (
阅读全文
摘要：一、查壳 二、IDA分析 1 int __stdcall WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nShowCmd) 2 { 3 DialogBoxParamA(hInstance, (LP
阅读全文
摘要：养成扔PE的习惯 用IDA打开 1 int __cdecl main(int argc, const char **argv, const char **envp) 2 { 3 char v3; // [esp+17h] [ebp-35h] 4 int v4; // [esp+30h] [ebp-1
阅读全文
浙公网安备 33010602011771号