IDA e语言逆向初探-以一道CTF题为例

题目附件可以留言找我拿

IDA易语言反编译插件E-Decompiler - 吾爱破解 - 52pojie.cn

e语言逆向，安装这个插件然后运行IDA分析

image-20251101154058677

转到可疑函数

image-20251101154136310

url解码后是HXB{YAO-YAO-QIE-KE-NAO}

假的

还发现

image-20251101154221060

这几个串

交叉引用过去

image-20251101154246460

有点像校验了

sub_404196应该是加密函数

有点像rc系列的加密，不知道是不是Rc4，可以猜测它为流加密的算法

image-20251101154334665

如果是流加密的算法最好的解密方式就是再跑一边，看看动调能不能出

x32dbg打开，直接断点到这个大函数调试

调试可能有反调试，注意开下sharpod这个插件

image-20251101154451016

基于假设我们可以试试看直接把密文patch回去

可以看到我输入的123

image-20251101154543966

下面在ebp-4的地方是密文

image-20251101155142275

在内存中修改为下面那段，注意的是patch记得别把最后的00字节给删了

要修改的字节粘贴进去这个串

image-20251101171551338

image-20251101171626417

image-20251101171729638

一开始patch错了patch的第一个字符是88，后面也没保存结果所以是HXB{HAHA-HEHE-HEIHEI-HUOHUO-XIXI}

1
2
3
4
5
enc = "49,58,42,7B,48,41,48,41,2D,48,45,48,45,2D,48,45,49,48,45,49,2D,48,55,4F,48,55,4F,2D,58,49,58,49,7D,"

data = bytes(int(x, 16) for x in enc.strip(',').split(','))
print(data)
b'IXB{HAHA-HEHE-HEIHEI-HUOHUO-XIXI}'

走59XXX这个分支是

image-20251101161130858

根据判断，一个是打开资源管理器，另一个是搞一个yaoyaoqiekenao的fake password