由一道题想到的REV做法

https://qsnctf.com/challenges#babyUPX-328
0x00: 先吐槽下这道题。
1. 依赖MinGW环境，查了半天用了一个MinGW装的MSYS环境
2. 只要输入flag的前缀就能过
比如，

1. $ babyUPX.exe
   
2. SICTF
   
3. Congratulations!

复制代码

所以，我们可以一位一位试（我现在还不清楚算法细节）
0x01: 脱壳
upx -d会提示文件损坏，因为UPX！标识被隐去，如图

把_改为U即可使用upx -d正常脱壳
0x02：简单逆向
直接跳到main

有个跳转好奇怪诶，字符串长度为0直接过？
看个伪码

1. extern unsigned int g_405200[4];
   
2. extern unsigned int g_408020;
   
3. 
   
4. int sub_401594(unsigned int v5, unsigned int a0)
   
5. {
   
6.     char v0;  // [bp-0x29]
   
7.     void* v1;  // [bp-0x28]
   
8.     unsigned int v2;  // [bp-0x24]
   
9.     unsigned int v3;  // [bp-0x18]
   
10.     void* v4;  // [bp-0x14]
    
11. 
    
12.     sub_401c60();
    
13.     gets(&g_408020);
    
14.     v3 = strlen(&g_408020);
    
15.     for (v4 = 0; v4 < v3; v4 += 1)
    
16.     {
    
17.         v1 = v4;
    
18.         v2 = v1 >> 31;
    
19.         v0 = *((char *)(v4 + &g_408020));
    
20.         if (!sub_401504(sub_401564(sub_401410(v0, v0 >> 31, *((int *)(0x4 * v4 + (char *)&g_405200[0])), *((int *)(0x4 * v4 + (char *)&g_405200[0])) >> 31), v0 >> 31, v1, v2), v0 >> 31, v4, v4 >> 31) && !v0 >> 31)
    
21.         {
    
22.             printf("Worry!");
    
23.             exit(0); /* do not return */
    
24.         }
    
25.     }
    
26.     printf("Congratulations!");
    
27.     return 0;
    
28. }
    

复制代码

很明显了 逐字节比较，且没有比较字符串长度之类的，这导致了bug2
所以，我们有如下代码

1. import os,time,subprocess
   
2. flag='SICTF{ ' # 保留空格占位
   
3. alpha='1234567890-=~!@#$%^*_+qwertyuiopQWERTYUIOPasdfghjklASDFGHJKL:zxcvbnm,./ZXCVBNM?'
   
4. while 1:
   
5.     for i in alpha:
   
6.         _flag=list(flag) # 转为list修改最后一位
   
7.         _flag[-1]=i
   
8.         flag=''.join(_flag)
   
9.         print('\r'+flag, end='') # 打印正在破解的flag（多酷啊）
   
10.         with open('tmp.sh','w+') as f:  # 最开始的版本有bug，现在似乎没必要了
    
11.             f.write(" echo "+flag+" | babyUPX.exe")
    
12.         f=os.popen("sh tmp.sh")
    
13.         time.sleep(0.001) #给点反应时间
    
14.         ret=f.read()
    
15.         if 'Cong' in ret:
    
16.             break # 这一字节破解成功
    
17.         f.close()
    
18.     flag=flag+' ' # 保留空格占位

复制代码

0x03：结语
以后遇到类似的逐字节比较的题但又没有bug，能不能通过一些patch逐字节爆破呢？