[GFCTF 2021]wordy的write up

开启靶场，下载附件，解压之后得到：

---

打开wordy文件发现是一堆乱码：

---

但是前面是个ELF头，很显着的二进制文件：

放到kali中跑一下看看什么情况：

呃呃，权限不敷，看来照旧得逆向哈

---

用Exeinfo PE查一下，发现无壳：

---

用IDA打开
shift+F12：

发现没有关键词flag

---

那就随便点一个，往下拉拉到main函数的地方，发现有花指令：

可以看到标红的这段有一段代码

这是一种常见的花指令
什么是花指令？
一句话概括就是构造一个恒成立条件跳转，并在中心塞一段七零八落的数据

---

打开Script command

1. startaddr=0x1135
2. endaddr=0x3100
3. for i in range(startaddr,endaddr):
4.     if get_wide_byte(i)==0xEB:
5.         if get_wide_byte(i+1)==0xFF:
6.             patch_byte(i,0x90)

复制代码

这段脚本会遍历从startaddr到endaddr范围内的字节，查抄是否有连续的0xEB 0xFF字节序列，并将其替换为0x90。90也就是nop的机器码，以达到去除花指令的目的

---

运行之后，页面发生变革，仔细观察可以看到竖着的GFCTF{这种显着的flag格式：

成功得到flag：
GFCTF{u_are2wordy}
改成NSSCTF的格式：
NSSCTF{u_are2wordy}

---

总结一下思路：
用IDA打开之后，页面如下：

---

shift+F12进入Strings标签：

随便点一个就行，由于都找不到关键词flag和main

---

本题的花指令就在main函数内，导致其无法被IDA辨认，也就无法从函数窗口搜刮

---

此时须要使用【内存数据搜刮法】，在IDA中使用菜单栏的搜刮项，选择文本，再文本中输入main

注意，main会在程序的多处被使用，以是直接搜刮“下一个文本（CTRL+T）”功能，找到main函数为止比力好点

不过这种情况只实用于“main函数在被花时仍能被IDA辨认到”的情况
另有一种方法，对于简单的程序而言，由于知道存在花指令（或者猜测存在花指令），以是直接将光标移动IDA上端彩色导航栏的棕红色部分，有肯定几率可以看到被花指令祸殃的函数

---

反面就是上脚本扫除花指令了：

---

另类解法：
Ctrl T关键词查找“{”符号：

一样得到flag：
{u_are2wordy}

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。