badblock writeup

题目地址：https://www.bugku.com/ctfexercise-competition-163.html

main函数打开发现是C++写的，充斥大量无用代码
于是转头执行，发现接收输入后回弹err...
搜索字符串发现有三处引用
分别是两个anti_debug和一个puts_wrong
anti_debug分别通过ptrace和getpid()的方法，不必多说，调试的时候直接绕过即可

puts_wrong则是在一个vtable中，很明显是一个类的成员函数
于是根据vt指针找到sub_5607AA5F4DD0
做了一些初始化以后、包括对input和data的赋值
调用了这个函数

1. return (*((unsigned int (__fastcall **)(Class *))obj->this + 13))(obj) == 1;

复制代码

this+13即vt[12]，点进去看一下即可发现是main_loop

循环处理code，显然是个VM
此处一共有2个类，根据代码逐步复原结构即可然后处理VM的各个handler

1. .data.rel.ro:00005607AA7F7A10 vt              dq offset plus          ; DATA XREF: Imp+16↑o
   
2. .data.rel.ro:00005607AA7F7A18                 dq offset sub
   
3. .data.rel.ro:00005607AA7F7A20                 dq offset cmp
   
4. .data.rel.ro:00005607AA7F7A28                 dq offset jmp_2
   
5. .data.rel.ro:00005607AA7F7A30                 dq offset mov
   
6. .data.rel.ro:00005607AA7F7A38                 dq offset save_ip
   
7. .data.rel.ro:00005607AA7F7A40                 dq offset load_ip
   
8. .data.rel.ro:00005607AA7F7A48                 dq offset load_short
   
9. .data.rel.ro:00005607AA7F7A50                 dq offset wrong
   
10. .data.rel.ro:00005607AA7F7A58                 dq offset load_input
    
11. .data.rel.ro:00005607AA7F7A60                 dq offset load_data
    
12. .data.rel.ro:00005607AA7F7A68                 dq offset xor
    
13. .data.rel.ro:00005607AA7F7A70                 dq offset get_final_flag
    
14. .data.rel.ro:00005607AA7F7A78                 dq offset main_loop

复制代码

跑一下log可以发现是将输入和一个数异或后与另一个数比较的算法，dump出来发现不可见，于是回头调试发现在接受输入后的几行指令后的sub_5607AA5F4D50中对输入进行了一个前后字符异或的处理

我对模拟器进行了Patch功能-即输入不对时也会继续向后执行，和Dump功能的添加–计算并保存flag

1. code = [8, 0, 20, 8, 1, 0, 8, 2, 1, 8, 7, 9, 8, 8, 0, 8, 9, 0, 1, 9, 8, 1, 8, 2, 3, 7, 8, 516, 65532, 0, 5, 3, 9, 3, 1, 0, 260, 10, 0, 5, 4, 1, 1, 4, 3, 1, 4, 4, 10, 5, 1, 12, 5, 4, 11, 6, 1, 1, 1, 2, 3, 6, 5, 260, 65525, 0, 516, 1, 0, 255, 0, 0, 9, 0, 0, 255, 0, 0, 0, 0, ]
   
2. # data = [46, 0, 38, 0, 45, 0, 41, 0, 77,0,103, 0, 5, 0, 68, 0, 26, 0, 14,0,127, 0, 127, 0, 125, 0, 101, 0, 119,0,36, 0, 26, 0, 93, 0, 51, 0, 81, 0]
   
3. mem = [0 for i in range(50)]
   
4. input = [0 for i in range(50)]
   
5. dump = ""
   
6. n = 0
   
7. flag = 0
   
8. while (n < 100):
   
9.     # patch check
   
10.     if (n == 21):
    
11.         flag = 1
    
12.         # print("Patched:%d"%flag)
    
13.     c = code[3 * n] & 0xff
    
14.     f = code[3 * n] >> 8
    
15.     h1 = code[3 * n + 1]
    
16.     h2 = code[3 * n + 2]
    
17.     if (f != 0 and f != flag):
    
18.         n += 1
    
19.         print("pass")
    
20.         continue
    
21.     if (False):
    
22.         pass
    
23.     elif (c == 1):
    
24.         mem[h1] += mem[h2]
    
25.     elif (c == 2):
    
26.         mem[h1] -= mem[h2]
    
27.     elif (c == 3):
    
28.         # dump flag
    
29.         if (n == 20):
    
30.             dump += chr(mem[4] ^ mem[6])
    
31. 
    
32.         print("cmp:%d-%d" % (mem[h1], mem[h2]), end='\t')
    
33.         if (mem[h1] != mem[h2]):
    
34.             flag = 2
    
35.         else:
    
36.             flag = 1
    
37.         print(flag)
    
38.     elif (c == 4):
    
39.         n += h1
    
40.         n &= 0xff
    
41.         print("jmp")
    
42.     elif (c == 5):
    
43.         mem[h1] = mem[h2]
    
44.     elif (c == 6):
    
45.         mem[h1] = n
    
46.     elif (c == 7):
    
47.         n = mem[h1]
    
48.     elif (c == 8):
    
49.         mem[h1] = h2
    
50.     elif (c == 9):
    
51.         print("failed")
    
52.         break
    
53.     elif (c == 10):
    
54.         print("Load input[%d] to %d" % (mem[h2], h1))
    
55.         mem[h1] = input[mem[h2]]
    
56.     elif (c == 11):
    
57.         mem[h1] = data[mem[h2] * 2]
    
58.     elif (c == 12):
    
59.         mem[h1] ^= mem[h2]
    
60.     elif (c == 255):
    
61.         pass
    
62.     else:
    
63.         print("Error:%d" % c)
    
64.         break
    
65.     print("[%d]: %d-%d-%d" % (n, c, h1, h2), end=' ')
    
66.     print(mem)
    
67.     n += 1
    
68. print(dump)
    
69. input = [(ord(i)) for i in dump]
    
70. for i in range(4):
    
71.     for j in range(len(input) - 2, -1, -1):
    
72.         input[j + 1] ^= input[j]
    
73. print(input)
    
74. print("".join([chr(i) for i in input]))
    
75. 
    

复制代码

最后flag

flag{Y0u_ar3_S0co0L}