攻防世界 debug

题目

---

分析过程

丢到PE里面

 一开始，我看到下面的脱壳提示，以为是我没见过的壳，下载了相关工具脱壳——发现脱了后又出现没见过的脱壳提示，根据提示脱壳弄出来的东西怪怪的

卡题，查了资料

学到一个新知识点：这是一个.NET文件，不脱壳也是可以的，不能用IDA

关于.NET的工具，我下了几个体验了一下同时询问了群里的大佬，在这里提供两个：ILSpy和dnSpy

工具下载：爱盘里面都有  爱盘 - 最新的在线破解工具包 (52pojie.cn)

个人比较喜欢ILSpy的代码

可以看出函数名字都是乱码，总体上不影响阅读与理解

我看大佬的wp，发现佬直接拿原文件调试，将dnSpy（辅助）与ILSpy（主体）结合分析解出flag

但是，我在瞎倒腾脱壳过程中意外发现了一件事

根据PE的脱壳提示，使用de4bot，再丢进ILSpy里面，函数名字竟然出现了

 这里了解到了一点：de4dot是一个很强的.Net程序脱壳，反混淆工具，可以利用de4dot解密被混淆的.NET代码

更多：[入门级]de4dot参数详解 - 『脱壳破解区』 - 吾爱破解 - LCG - LSG |安卓破解|病毒分析|www.52pojie.cn

乱码的函数名字应该是混淆的结果，利用工具反混淆后就恢复了

 

先看看main函数

private static void Main(string[] args)
{
    string string_ = null;//初始化一个字符串string_
    string value = $"{DateTime.Now.Hour + 1}";//获取当前时间的小时部分加1，得到的结果转换成字符串并赋给value
    string string_2 = "CreateByTenshine";//string_2里面放了字符串 CreateByTenshine
    smethod_2(string_2, Convert.ToInt32(value), ref string_);//发生了函数调用，Convert.ToInt32(value)是将value字符串转换成整数
    string text = Console.ReadLine();//获得用户的输入，储存在text
    if (text == string_)
    {
        Console.WriteLine("u got it!");
        Console.ReadKey(intercept: true);
    }
    else
    {
        Console.Write("wrong");
    }
    Console.ReadKey(intercept: true);
}

调用了以下函数

private static void smethod_2(string string_0, int int_0, ref string string_1)
{
    int num = 0;
    if (0 < string_0.Length)
    {
        do
        {
            char c = string_0[num];
            int num2 = 1;
            do
            {
                //发生函数调用，将c的整数值和num2作为参数传递给它，然后将返回值转换为字符并赋给c
                c = Convert.ToChar(smethod_0(Convert.ToInt32(c), num2));//注意这里，下标是从1遍历到14，不是15，不懂的可以简单写一个程序实验一下
                num2++;
            } while (num2 < 15);
            string_1 += c;
            num++;
        } while (num < string_0.Length);
    }
    string_1 = smethod_1(string_1);//函数调用
}

调用了下面函数，以及下下一个函数

//string_1 = smethod_1(string_1)
private static string smethod_1(string string_0)
{
    byte[] bytes = Encoding.ASCII.GetBytes(string_0);//将输入的字符串变为ASCII编码的字节数组，储存在bytes
    return "flag{" + BitConverter.ToString(new MD5CryptoServiceProvider().ComputeHash(bytes)).Replace("-", "") + "}";
    //创建一个新的MD5CryptoServiceProvider实例
    //调用ComputeHash方法来计算给定字节数组bytes的MD5哈希值，赋值给MD5CryptoServiceProvider
    //BitConverter.ToString(...):将计算得到的MD5转换为一个由十六进制字符组成的字符串，每个字节用两个字符表示，并且字节之间没有分隔符
    // .Replace("-", ""): 将生成的十六进制字符串中的所有连字符"-"替换为空字符串""
}

//smethod_0(Convert.ToInt32(c), num2)
private static int smethod_0(int int_0, int int_1)
{
    return (new int[30]//根据上面下标是1~14，而数组里面有30个，记得去掉不需要的
        {
            2, 3, 5, 7, 11, 13, 17, 19, 23, 29,
                31, 37, 41, 43, 47, 53, 59, 61, 67, 71,
                73, 79, 83, 89, 97, 101, 103, 107, 109, 113
        })[int_1] ^ int_0;//将输入异或
}

---

解密脚本

在这里我犯了一个错误，真是被自己蠢笑了

给你们看看我第一次写的错误代码

import hashlib

str2 = "CreateByTenshine"
str1 = [3, 5, 7, 11, 13, 17, 19, 23, 29, 31, 37, 41, 43, 47]  # 1~14
flag = ""

for i in str2:
    for j in str1:
        c = chr(j ^ ord(i))
    flag += c

flag = hashlib.md5(flag.encode()).hexdigest()
print(flag)

##d539a7cd4194bebe05e544521c9c2405

在第9行，c只会包含每次外部循环迭代中最后一个异或操作的结果，每循环一次c都会刷新

我们再看看反汇编代码：c = Convert.ToChar(smethod_0(Convert.ToInt32(c), num2))——c就是str2

是拿str2的元素作为参数进行函数调用，再赋值回去

修改后的正确代码：

import hashlib

str2 = "CreateByTenshine"
str1 = [3, 5, 7, 11, 13, 17, 19, 23, 29, 31, 37, 41, 43, 47]  # 1~14
flag = ""

for i in str2:
    for j in str1:
        i = chr(j ^ ord(i))##这里由c变为i
    flag += i

flag = hashlib.md5(flag.encode()).hexdigest()
print(flag)

---

flag

flag{967dddfbcd32c1f53527c221d9e40a0}