write by y1w3n(2024.05)

Reverse Engineering

WinAntiDbg0x100

題目說明

hint: Hints will be displayed to the Debug console. Good luck!

• 執行下來發現他叫我using a debugger

slove

• 進到IDA中看看哪裡會輸出flag
• 發現這裡是判斷會不會輸出flag的地方
  
• 在jz short loc_C6161B設中斷點
• 使用Debugger功能執行
• 會發現直接執行後輸出:
  
• 也就是說沒嘗試bypass不會跳到輸出flag的地方
• 回去看看上面跳轉的條件
  
  • call ds:IsDebuggerPresent: 偵測有沒有debugger存在，沒有的話就return 0
  • test eax, eax: 概念和AND eax,eax差不多，不一樣的是test不會改變eax。現在我們有使用debugger所以值不為0
    
  • jz: 如果為0則跳轉到輸出flag的地方
• 把eax值改成0
  
• 成功跳轉，得到答案
  

Answer

picoCTF{d3bug_f0r_th3_Win_0x100_cc0ff664}

WinAntiDbg0x200

題目說明

hints: Hints will be displayed to the Debug console. Good luck!

• 使用管理員權限執行
  
• 跟前一題一樣要用debugger

slove

• 一開始有先判斷是否為管理員權限執行
  
• 先看看哪裡的執行步驟會前往不輸出flag的路線
  
  • test edx, edx：測試 edx 是否為零
  • jnz short loc_F11832：如果結果為非零，則跳轉到loc_F11832
  • loc_F11832: 輸出### Oops! The debugger was detected. Try to bypass
  • 現在edx為1，1!=0，會前往loc_F11832輸出錯誤
    
• 修改其值，成功前往下一步
  
• 繼續往下看發現還有檢查是否在Debugger執行
  
  • call ds:IsDebuggerPresent: 回傳值0（如果沒有Debugger）或 1（如果有Debugger）
  • 現在eax值為1
  • jz short loc_F11847: 如果為0則跳轉到輸出flag的地方
• 跟前一題一樣，修改eax暫存器值
  
• 得到答案
  

Answer

picoCTF{0x200_debug_f0r_Win_c6db2768}

文章目錄