查看: 121|回复: 0

[Reverse] xuenixiang_2019_re_Reverse3

[复制链接]
发表于 2020-4-24 00:58:16 | 显示全部楼层 |阅读模式

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
我们打开这个图片,得到如上提示,继续查看属性无任何提示。

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
我们binwalk以下看看

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
可以看到也并没有什么其他多余的文件,ZLIb以及LZMA一般可以忽视。
但是根据我的经验对于损坏的某些隐藏文件是无法binwalk出来的,于是我们用010edit打开它,查找png文件尾。

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
发现了并没有结束,5D5A9000这个明显是4D5A9000,被更改了exe文件头

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
但是我们同样在尾部发现了AE426082,出题人为了迷惑我们在混合文件的尾部又添加上了png文件的文件尾,让我们以为这只是一张图片,没有任何其他的文件。
我们利用010edit手工提取出来exe

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
可以发现这个应该是属于VB程序,我们只要猜对6次数据就可以获得flag,但是我们如果算一下概率是66次方,基本可以放弃。利用VBdecomplier进行反编译。

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
以上就是反编译出来的数据,对于我来讲基本看不懂啊,算了似乎可以利用Cheatengine

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
我们不断再次扫描,最后得到4个内存地址,把他们都改成6

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3

xuenixiang_2019_re_Reverse3
最后一步一步弹出了flag,得到flag{Y0uAreGoo5}

温馨提示:
1.如果您喜欢这篇帖子,请给作者点赞评分,点赞会增加帖子的热度,评分会给作者加学币。(评分不会扣掉您的积分,系统每天都会重置您的评分额度)。
2.回复帖子不仅是对作者的最好奖励,还可以获得学币奖励,请尊重作者的劳动成果,拒绝做伸手党!
3.发广告、灌水回复等违规行为一经发现直接禁言,如果本帖内容涉嫌违规,请点击论坛底部的举报反馈按钮,也可以在【投诉建议】板块发帖举报。
论坛交流群:672619046
快速回复 返回顶部 返回列表