攻防世界 Mine- IDA静调或x64dbg动调 两种方式

刷攻防世界的最后一道二星题，记录一下，大佬请飘过

---

 题目

---

分析过程

我很勇，我先双击看看这是什么

是一个扫雷游戏，第一下运气好没踩雷，发现无法继续输入了；如果运气不好，会输出“您踩雷啦！”

丢到PE里面

 无壳，64位

丢到IDA里面，shif+F12查看字符串，追踪可疑字符串，发现main函数

int __cdecl main(int argc, const char **argv, const char **envp)
{
  unsigned int v3; // eax
  std::ostream *v4; // rax
  __int64 v5; // rax
  _BYTE *v6; // rax
  std::istream *v7; // rax
  __int64 v8; // rax
  std::ostream *v9; // rax
  std::ostream *v10; // rax
  __int64 v11; // rax
  int v13; // [rsp+28h] [rbp-58h]
  int v14; // [rsp+2Ch] [rbp-54h]
  int v15; // [rsp+30h] [rbp-50h]
  int v16; // [rsp+34h] [rbp-4Ch]
  int v17; // [rsp+38h] [rbp-48h]
  int v18; // [rsp+3Ch] [rbp-44h]
  int v19; // [rsp+40h] [rbp-40h]
  int i1; // [rsp+44h] [rbp-3Ch]
  int nn; // [rsp+48h] [rbp-38h]
  int mm; // [rsp+4Ch] [rbp-34h]
  int ll; // [rsp+50h] [rbp-30h]
  int i2; // [rsp+54h] [rbp-2Ch]
  int kk; // [rsp+58h] [rbp-28h]
  int jj; // [rsp+5Ch] [rbp-24h]
  int ii; // [rsp+60h] [rbp-20h]
  int n; // [rsp+64h] [rbp-1Ch]
  int m; // [rsp+68h] [rbp-18h]
  int l; // [rsp+6Ch] [rbp-14h]
  int k; // [rsp+70h] [rbp-10h]
  int v32; // [rsp+74h] [rbp-Ch]
  int j; // [rsp+78h] [rbp-8h]
  int i; // [rsp+7Ch] [rbp-4h]

  _main();
  memset(grid, 0, 0x190ui64);
  memset(randMark, 0, 0x9C40ui64);
  memset(vis, 0, sizeof(vis));
  for ( i = 0; i <= 9; ++i )                    // 第一个循环-------------------------------------------------------------------------------
  {
    for ( j = 0; j <= 9; ++j )
      showUs[100 * i + j] = 42;
  }
  v3 = time(0i64);
  srand(v3);
  v32 = 0;
  do
  {
    v19 = rand() % 10;                          // 随机一个0~9
    v18 = rand() % 10;
    if ( randMark[100 * v19 + v18] != 1 )
    {
      randMark[100 * v19 + v18] = 1;            // v32不到mine_sum，就一直循环
                                                // 我怀疑这里是布雷
                                                // mine_sum是雷的数量
      ++v32;
    }
  }
  while ( v32 != mine_sum );
  res = 0;
  for ( k = 0; k <= 9; ++k )                    // 第二个循环-------------------------------------------------------------------------------------------
  {
    for ( l = 0; l <= 9; ++l )
    {
      if ( randMark[100 * k + l] )
        grid[10 * k + l] = -1;
    }
  }
  for ( m = 0; m <= 9; ++m )                    // 第三个循环-----------------------------------------------------------------------------------------------------
  {
    for ( n = 0; n <= 9; ++n )
    {
      if ( grid[10 * m + n] != -1 )
      {
        for ( ii = 0; ii <= 7; ++ii )
        {
          v17 = *((_DWORD *)&dir + 2 * ii) + m;
          v16 = dword_475044[2 * ii] + n;
          if ( v17 >= 0 && v17 <= 9 && v16 >= 0 && v16 <= 9 && grid[10 * v17 + v16] == -1 )
            ++grid[10 * m + n];
        }
      }
    }
  }
  for ( jj = 0; jj <= 9; ++jj )                 // 第四个循环--------------------------------------------------------------------------------------------------------
  {
    for ( kk = 0; kk <= 9; ++kk )
    {
      v4 = (std::ostream *)std::operator<<<std::char_traits<char>>(
                             refptr__ZSt4cout,
                             (unsigned int)showUs[100 * jj + kk]);
      std::operator<<<std::char_traits<char>>(v4, " ");
    }
    std::ostream::operator<<(refptr__ZSt4cout, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
  }
LABEL_42:
  v5 = std::operator<<<std::char_traits<char>>(refptr__ZSt4cout, asc_48B002);// 请输入要翻开的位置的坐标
  std::ostream::operator<<(v5, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
  while ( 100 - mine_sum != res )               // res是没有雷的地方
  {
    v7 = (std::istream *)std::istream::operator>>(refptr__ZSt3cin);
    std::istream::operator>>(v7);
    if ( grid[10 * v14 + v13] == -1 )           // 第一个if---检查是否踩雷
    {
      v8 = std::operator<<<std::char_traits<char>>(refptr__ZSt4cout, asc_48B01D);// 您中雷啦
      std::ostream::operator<<(v8, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
      goto LABEL_69;                            // pause
    }
    if ( !vis[100 * v14 + v13] && grid[10 * v14 + v13] > 0 )// 第二个if---
    {
      ++res;
      vis[100 * v14 + v13] = 1;
      showUs[100 * v14 + v13] = LOBYTE(grid[10 * v14 + v13]) + 48;
      system("cls");
      for ( ll = 0; ll <= 9; ++ll )
      {
        for ( mm = 0; mm <= 9; ++mm )
        {
          v9 = (std::ostream *)std::operator<<<std::char_traits<char>>(
                                 refptr__ZSt4cout,
                                 (unsigned int)showUs[100 * ll + mm]);
          std::operator<<<std::char_traits<char>>(v9, " ");
        }
        std::ostream::operator<<(refptr__ZSt4cout, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
      }
      goto LABEL_42;
    }
    if ( !vis[100 * v14 + v13] && !grid[10 * v14 + v13] )// 第三个if---
    {
      bfs(v14, v13);
      system("cls");
      for ( nn = 0; nn <= 9; ++nn )
      {
        for ( i1 = 0; i1 <= 9; ++i1 )
        {
          v10 = (std::ostream *)std::operator<<<std::char_traits<char>>(
                                  refptr__ZSt4cout,
                                  (unsigned int)showUs[100 * nn + i1]);
          std::operator<<<std::char_traits<char>>(v10, " ");
        }
        std::ostream::operator<<(refptr__ZSt4cout, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
      }
      v11 = std::operator<<<std::char_traits<char>>(refptr__ZSt4cout, asc_48B002);// 请输入要翻开的位置的坐标
      std::ostream::operator<<(v11, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
    }
  }                                             // while结束的地方
  v15 = std::string::length((std::string *)&ans);
  for ( i2 = 0; i2 < v15; ++i2 )
  {
    v6 = (_BYTE *)std::string::operator[](&ans, i2);
    std::operator<<<std::char_traits<char>>(refptr__ZSt4cout, (unsigned int)(char)((v15 - i2) ^ *v6));// 异或操作！！！！注意！！！！
  }
  std::ostream::operator<<(refptr__ZSt4cout, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
LABEL_69:
  system("pause");
  return 0;
}

一堆循环与if，粗略看看，147行之前都没发现什么表明游戏通关的字符串或者跳转函数

一直到147行，突然出现一个ans，上来直接就是将它的长度赋给v15,做题有点经验的小伙伴应该会发现，一般能够单开一行赋长度的参数，很有可能是关键之一

特别是下面还有一个异或操作，简直就是重点怀疑对象

---

动态调试（X64dbg）

输出ans紧接着的是一个循环，我们看看地址与汇编

 x64dbg的基址与IDA是一样的，不用改了——需要改地址的可以看看我之前的博客攻防世界 gametime 使用IDA pro+OD动调 - demo41 - 博客园 (cnblogs.com)

 既然不用改地址，我们直接记下jmz的地址 0000000000401ED2 ，在x64dbg中跳转到

 将jnz改成jz,运行直到出现字符串

输出结果： 7ii3VecVgof3r6ssiP2g7E3HqwqhM 

直接拿去提交了，出错了，那应该是加密了

我试了很多，一直试不出来，还以为自己错了

后面看了wp，我解题没错，这是一个标准base58

大部分base58解密网站的字符序都是BTC-base58序列，顺序为123456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz

标准base58的解密序列是123456789abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ

这里提供一个解密网站：Base58编码/解码 - 一个工具箱 - 好用的在线工具都在这里！ (atoolbox.net)

---

静态调试（IDA+py脚本）

我之前查看字符串的时候，还有追踪asc_48B002和asc_48B01D的时候，都发现一个特别可疑的字符串

 追进去看看

int __fastcall __static_initialization_and_destruction_0(int a1, int a2)
{
  int result; // eax
  char v3[17]; // [rsp+2Fh] [rbp-51h] BYREF

  if ( a1 == 1 && a2 == 0xFFFF )
  {
    std::ios_base::Init::Init((std::ios_base::Init *)&std::__ioinit);
    atexit(_tcf_0);
    std::allocator<char>::allocator(v3);
    std::string::string(&ans, "*ur)O}t@r{u!c&|}d\\9m>M4NtsrjL", v3);// 放进去吗？
    std::allocator<char>::~allocator(v3);
    result = atexit(_tcf_1);
  }
  return result;
}

竟然和ans联系在一起了，花指令我没查具体意思，七分逆向三分猜，我感觉就是把字符串放进ans里面，反正异或操作不难，脚本很容易写，试试再说

py脚本

ans="*ur)O}t@r{u!c&|}d\\9m>M4NtsrjL"
v15=len(ans)
str=""

for i in range(len(ans)):
    str+=chr((v15-i)^ord(ans[i]))

print(str)

输出结果： 7ii3VecVgof3r6ssiP2g7E3HqwqhM 

直接拿去提交了，出错了，那应该是加密了

我试了很多，一直试不出来，还以为自己错了

后面看了wp，我解题没错，这是一个标准base58

大部分base58解密网站的字符序都是BTC-base58序列，顺序为123456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz

标准base58的解密序列是123456789abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ

这里提供一个解密网站：Base58编码/解码 - 一个工具箱 - 好用的在线工具都在这里！ (atoolbox.net)

---

flag

flag{h4pp4-M1n3-G4m3}