测试文件下载：https://adworld.xctf.org.cn/media/task/attachments/fa4c78d25eea4081864918803996e615
1.准备
获得信息
- 64位文件
2.IDA打开
选择main函数，反编译为C代码。
__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{
const char *v3; // rsi
signed __int64 v4; // rbx
signed int v5; // eax
char v6; // bp
char v7; // al
const char *v8; // rdi
__int64 v10; // [rsp+0h] [rbp-28h] v10 = 0LL;
puts("Input flag:");
scanf("%s", &s1, 0LL);
if ( strlen(&s1) != || (v3 = "nctf{", strncmp(&s1, "nctf{", 5uLL)) || *(&byte_6010BF + ) != )
{
LABEL_22:
puts("Wrong flag!");
exit(-);
}
v4 = 5LL;
if ( strlen(&s1) - > )
{
while ( )
{
v5 = *(&s1 + v4);
v6 = ;
if ( v5 > )
{
v5 = (unsigned __int8)v5;
if ( (unsigned __int8)v5 == )
{
v7 = sub_400650((char *)&v10 + , v3);
goto LABEL_14;
}
if ( v5 == )
{
v7 = sub_400660((char *)&v10 + , v3);
goto LABEL_14;
}
}
else
{
v5 = (unsigned __int8)v5;
if ( (unsigned __int8)v5 == )
{
v7 = sub_400670(&v10, v3);
goto LABEL_14;
}
if ( v5 == )
{
v7 = sub_400680(&v10, v3);
LABEL_14:
v6 = v7;
goto LABEL_15;
}
}
LABEL_15:
v3 = (const char *)HIDWORD(v10);
if ( !(unsigned __int8)sub_400690(asc_601060, HIDWORD(v10), (unsigned int)v10) )
goto LABEL_22;
if ( ++v4 >= strlen(&s1) - )
{
if ( v6 )
break;
LABEL_20:
v8 = "Wrong flag!";
goto LABEL_21;
}
}
}
if ( asc_601060[ * (signed int)v10 + SHIDWORD(v10)] != )
goto LABEL_20;
v8 = "Congratulations!";
LABEL_21:
puts(v8);
return 0LL;
}
打开字符串的视图，我们可以看到
.data: asc_601060 db ' ******* * **** * **** * *** *# *** *** *** *********',
2.1 代码分析
__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{
signed __int64 v4; // rbx
signed int v5; // eax
char v6; // bp
char v7; // al
const char *v8; // rdi
__int64 v10; // [rsp+0h] [rbp-28h] v10 = 0LL;
puts("Input flag:");
scanf("%s", &s1, 0LL); if ( strlen(&s1) != || strncmp(&s1, "nctf{", 5uLL) || *(&byte_6010BF + ) != ) //len(s1) = 24, s1开头为'nctf',
{
LABEL_22:
puts("Wrong flag!");
exit(-);
}
v4 = 5LL; //flag总长24，已知5个长度，v4表示输入的表示方向的字符数。
if ( strlen(&s1) - > )
{
while ( )
{
v5 = *(&s1 + v4); //v5 = s1[5]
v6 = ;
if ( v5 > 'N' )//v5 > 'N'
{
v5 = (unsigned __int8)v5;
if ( (unsigned __int8)v5 == 'O' ) //1. 当v5 == 'O'的情况，表示左移
{
v7 = sub_400650((char *)&v10 + , v3); //v10--，表示位置的列数-1，v7判断是否越界(越界返回：FALSE, 未越界返回:TRUE)
goto LABEL_14;
}
if ( v5 == 'o' ) //2. 当v5 == 'o‘的情况，表示右移
{
v7 = sub_400660((char *)&v10 + , v3); //v10++，表示位置的列数+1,
goto LABEL_14;
}
} else//v5 < 'N'
{
v5 = (unsigned __int8)v5;
if ( (unsigned __int8)v5 == '.') //3. v5 == '.'的情况, 表示上移
{
v7 = sub_400670(&v10, v3); //v10--，表示位置的行数-1,
goto LABEL_14;
}
if ( v5 == '' ) //4. v5=='0'的情况，表示下移
{
v7 = sub_400680(&v10, v3); //v10++, 表示位置的行数+1
LABEL_14:
v6 = v7; //赋值给v6,下面判断走迷宫时，是否越界
goto LABEL_15;
}
} LABEL_15:
if ( !(unsigned __int8)sub_400690((__int64)asc_601060, SHIDWORD(v10), v10) )//判断该位置的字符是' '， '#'或者'*'中的哪种，如果是'*'则，返回再次寻路
goto LABEL_22;
if ( ++v4 >= strlen(&s1) - ) //因为最后以'}'结尾，所以strlen(s1) - 1。我们需要找到中间18个字符
{
if ( v6 )//判断是否越界(未越界退出循环)
break;
LABEL_20:
v8 = "Wrong flag!";
goto LABEL_21;
}
}
}
if ( asc_601060[ * (signed int)v10 + SHIDWORD(v10)] != )//判断是否到达'#'处，没有到达，继续返回循环，进行移动
goto LABEL_20;
v8 = "Congratulations!";
LABEL_21:
puts(v8);
return 0LL;
}
通过代码分析，能够判断出那一串字符实际上就是一个迷宫，通过'.', '0', 'O', 'o'来控制移动，V10实际上就是一个二维数组，一维表示X轴，二维表示Y轴。
2.2 方向判断
在汇编代码中
.text:00000000004006B7 mov dword ptr [rsp+28h+var_28+],
.text:00000000004006BF mov dword ptr [rsp+28h+var_28],
我们能够知道，v9高位表示x轴，v9低位表示y轴，
通过函数
__int64 __fastcall sub_400690(__int64 a1, int a2, int a3)
{
__int64 result; // rax result = *(unsigned __int8 *)(a1 + a2 + 8LL * a3);//a1是迷宫，a2是列，a3是行。通过行列计算迷宫对应位置的字符
LOBYTE(result) = (_DWORD)result == || (_DWORD)result == ;//如果是' '或者'#‘返回TRUE，是'*’返回FALSE
return result;
}
sub_400690函数中是a2+a3*8,即a3表示行，a2表示列。返回到调用函数处，即v10高位表示列，低位表示行。那么就可以判断出'O','o'表示左右，'.','0'表示上下
2.3 迷宫表示
通过a2+a3*8我们也能了解到这个迷宫有8行，总共64个字符，也就是8x8的迷宫，表示出来就是。
******
***
******
*****
**#*
******
***
********
2.4 解迷宫
起点(1,1)，只能走0，要走到‘#’,找到路径右下右右下下左下下下右右右右上上左左
写出脚本
str = "右下右右下下左下下下右右右右上上左左"
str = str.replace('上', '.')
str = str.replace('下', '')
str = str.replace('左', 'O')
str = str.replace('右', 'o') str = 'nctf{' + str + '}' print(str)