pwnable.kr-flag

题目描述: Papa brought me a packed present! let’s open it. Download : http://pwnable.kr/bin/flag This is reversing task. all you need is binary 下载下来之后file一下: ➜ Desktop file flag flag: ELF 64-bit LSB executable, x86-64, version 1 (GNU/Linux), statically linked, stripped 64位的ELF,直接拖到IDA里面看看,发现只有三个函数,而且并不能正常打开,目测是加壳了。于是在里面瞎翻,发现了upx的关键字,果断upx -d flag把壳脱了。重新拖进IDA,发现代码很简单: malloc申请了一个100LL的地址,然后把flag复制进去了,直接查看flag的值,发现直接出现flag了: UPX…? sounds like a delivery service 🙂

大神的脱壳笔记【转】

转自乐乐大神的空间:http://user.qzone.qq.com/179519167/blog/1264251355 一.脱壳基础知识要点 1.PUSHAD :(压栈) 代表程序的入口点 2.POPAD  :(出栈) 代表程序的出口点,与PUSHAD想对应.看到这个,就说明快到OEP了. 3.OEP:程序的入口点,软件加壳就是隐藏OEP.而我们脱壳就是为了找OEP. 二.脱壳调试过程中辨认快到OEP的简单方法 下面二个条件是快到OEP的共同现象: 若出现下面情况时,说明OEP就要到了: 1. OD跟踪过程中如果发现: popad popfd 或 popad 2.同时,紧接着,有retn ,jmp等其它跳转指令,发生跨段跳跃时. 说明OEP马上到了. 三.脱壳必需牢记的要领 1.单步往前走,不要让程序向上走,遇到向上跳时,在下一句按F4,运行到所选. 2.刚载入程序,在附近就call时,我们按F7跟进去. 3.若跟踪时,运行某个call程序就运行时,这个call也用F7进入. 4.在跟踪时,出现比如 jmp XXXXXX 或者 JE XXXXXX 或者有RETN同时发生大跨段跳转时,说明很快就到OEP了. 四.常用脱壳方法总结 —————— 方法一:单步跟踪法 —————— 介绍:这是最通用的方法,对于未知壳,基本都用这种方法,这种方法过程比较麻烦,要一步一步的跟踪分析,要有一定的耐心. 1.用OD载入,选”不分析代码” 2.单步向下跟踪按F8,实现向下的跳.不让程序往回跳. 3.遇到程序往回跳的(包括循环),我们在下一句代码处按F4(或者右健单击代码,选择断点——>运行到所选) 4.如果刚载入程序,在附近就有一个CALL的,我们就F7跟进去,不然程序很容易运行. 5.在跟踪的时候,如果运行到某个CALL程序就运行的,就在这个CALL中F7进入. 6.一般遇到很大的跳转(跨段跳),比如 jmp XXXXXX 或 JE XXXXXX 或有RETN的一般很快就会到程序的OEP。 —————– 方法二:ESP定律法 —————– 介绍: 这种方法可以脱大部的压缩壳和少数加密壳,操作起来比较简单,脱壳速度也相对比较快. 1.开始就点F8向下走,注意观察OD右上角的寄存器中ESP有没突现(变成红色) 2.在命令行下:dd XXXXXXXX(指在当前代码中的ESP地址,或者hrXXXXXXXX),按回车! 3.选中下断的地址,断点—>硬件访问—>WORD断点。 4.按一下F9运行程序,直接来到了跳转处,按下F8向下走,就到达程序OEP。 —————– 方法三:内存镜像法 —————– 介绍:也是一种比较好用的脱壳方法,大部分的压缩壳和加密壳用内存镜像法能快速脱掉.非常实用. 1.用OD打开,设置选项——调试选项——异常,忽略所有异常(也就是把里面的忽略全部√上),然后CTRL+F2重载下程序! 2.按ALT+M,打开内存镜象,找到程序的第一个.rsrc.按F2下断点,然后按SHIFT+F9运行到断点. 3.接着再按ALT+M,打开内存镜象,找到程序的第一个.rsrc.上面的.CODE,按F2下断点!然后按SHIFT+F9,直接到达程序OEP! —————- 方法四:一步到OEP —————- 介绍:这是一种巧方法,脱壳速度最快,前提是要知道这个壳的特征,利用这种壳的共性快速找到程序的OEP.这种方法只用于少数壳. 1.开始按Ctrl+F,输入:popad,然后按下F2下断,按F9运行到此处. 2.很快来到大跳转,按F8向下走,来到OEP. ———————- 方法五:最后一次异常法: ———————- […]