虚拟机保护逆向入门-网盾网络安全培训学校

到更为简单的一种方法是通过IDA反编译结果（https://expend20.github.io/2018/05/24/RCTF-simple-vm.html），稍微改改之后，重新编译，然后就可以进行源码级调试。这里的修改基本不用动IDA的反编译结果，就是需要加些IDA的宏定义，在每个case后面都使用printf输出当前指针位置，就可以自动的分析出程序的执行流，十分方便。

从赛后复盘的角度是可以慢慢调试虚拟机的，搞清每个字节码的意义，然后

完整的理解虚拟机解释执行过程。不过随着虚拟机的复杂，这种方法将会非常费时，应该学习一些自动化的处理方法。

RCTF 2018 magic

又是今年RCTF的一个Re题，题目也出很好，我感觉还挺难的，赛后看了一

些其他师傅的WP，感觉收获很多。这里前面爆破time的第一次检查不再赘述（吾爱有个师傅的处理方法很不错https://www.52pojie.cn/thread-742361-1-1.html），只说说第二个对输入的检查。当第一次对时间检查通过之后，程序执行流来到了函数sub_4023B1位置：

scanf之后，对输入进行加密，加密后的数据作为虚拟机输入。这个地方是利用setjmp/longjmp实现的一个虚拟机，虚拟机opcode位于

0x405340处。地址409040是虚拟机用于数据处理的区域，我们可以将之定义为dword型数组。该虚拟机值得主要的是这个地方，调试的过程中需要注意一下，这里是通过异常处理完成了一个Handler：

异常处理在这个signal回调函数中：

对于虚拟机的逆向，往往都是通过首先逆出来各个Handler，然后结合opcode

搞清楚程序算法，在目前这个阶段，这个算法一般不会很难。如果算法很难，opcode很长，这种情况题目就算题出的很难的。接下来给出opcode的解释：

“””

con[1] = cmp

con[2] = input

AB 03 00 mov con[3],0

AB 04 1A mov con[4],0x1A

AB 00 66 mov con[0],0x66

AA 05 02 mov con[5],con[2] #input

A9 53 con[5] += con[3]

A0 05 mov con[5],*(byte)con[5]

AB 06 CC mov con[6],0xCC

A9 56 con[5] += con[6]

AB 06 FF mov con[6],0xFF

AC 56 con[5] &= con[6]

AE 50 con[5] ^= con[0]

AD 00 not con[0]

AA 06 05 mov con[6],con[5]

AA 05 01 mov con[5],con[1]

A9 53 con[5] += con[3]

A0 05 mov con[5],*(byte)con[5]

AF 56 00 if con[5]==con[6]

算法总结：

key = 0x66

((input[i] + 0xCC ) &0xFF) ^key == cmp[i]

~key

“””

直接爆破就可以得到需要输入值：

“””

comp ="89C1EC50973A5759E4E6E442CBD90822AE9D7C07808F1B4504E8"

comp = [ord(i) for i incomp.decode("hex")]

print comp

'''

key = 0x66

((input[i] + 0xCC ) &0xFF) ^key == cmp[i]

~key

'''

key = 0x66

f = []

for i in range(len(comp)):

for j in range(256):

if ((j + 0xCC) &0xFF ) ^ key == comp[i]:

f.append(j)

key = (~key) & 0xFF

print f

“””

值得注意的是，这个只是vm_run的输入值，需要利用程序中的解密算法解

密后得到输入值，这个可以在vm_run成功后，在地址0x040249D下断点，在内存将要解密的值进行替换，最后解密后如下所示：

这个只是其中一部分的flag，将之输入后会得到一个图案，图案为rctf{h:

拼接之后即为flag。

（注：本文属于合天原创投稿奖励，未经允许，禁止转载！）

行业新闻

虚拟机保护逆向入门

虚拟机保护逆向入门