1. 题目背景与核心挑战解析
这道来自nssround#2的findxenny逆向工程(RE)题目，属于典型的SMC(Self-Modifying Code)与动态加密结合的题型。这类题目通常会通过运行时修改代码段、多层加密或动态解密等手段增加逆向分析难度。从题目名称"findxenny"可以推测，解题关键可能隐藏在某个名为"xenny"的字符串或函数中。
在CTF逆向工程领域，SMC技术常被用于：
- 对抗静态分析工具（如IDA Pro的F5反编译）
- 延迟关键代码的解密时机
- 制造动态调试与静态分析的差异
2. 初步静态分析技巧
2.1 文件类型识别
首先使用file命令检查文件类型：
bash复制file findxenny
若显示为ELF可执行文件，建议用checksec检查保护机制：
bash复制checksec --file=findxenny
2.2 字符串分析
使用strings查找可疑字符串：
bash复制strings findxenny | grep -i xenny
重点关注：
- 硬编码密钥
- 可疑函数名
- 加密算法特征字符串（如AES、RC4等）
2.3 IDA静态分析
加载文件后注意：
- 查看导入表是否存在可疑API（如VirtualProtect等内存操作函数）
- 定位main函数后，观察是否存在异常跳转或数据代码混合区域
- 检查.text段是否包含异常指令序列
提示：SMC题目中常见反模式是代码段中存在大量非对齐的指令或无效字节，这往往是加密后的代码
3. 动态调试关键技术
3.1 调试器配置
建议使用GDB配合pwndbg插件，关键配置：
bash复制gdb -q findxenny
gdb> set disassembly-flavor intel
gdb> b *main
3.2 关键断点设置
需要监控的重点位置：
- 内存权限修改点（如mprotect调用处）
- 异常循环结构（可能包含解密例程）
- 字符串比较函数（如strcmp）
示例断点命令：
bash复制gdb> catch syscall mprotect
gdb> b *0x400a23 # 假设这是可疑解密函数地址
3.3 内存转储技巧
当发现代码被修改后，应立即转储内存：
bash复制gdb> dump binary memory dumped_code.bin 0x400000 0x401000
使用radare2分析转储的代码：
bash复制r2 -AAA -d dumped_code.bin
4. SMC破解实战步骤
4.1 定位解密例程
通过以下特征识别解密代码：
- 异或循环结构
- 内存读写混合操作
- 指针算术运算
典型模式示例：
asm复制mov eax, [ebp+var_C]
mov edx, [ebp+var_8]
xor eax, edx
mov [ecx], al
inc ecx
4.2 动态解密方案
当静态分析受阻时，可采用：
- 修改EIP直接跳转到解密后区域
- 编写Python脚本模拟解密过程
- 使用Frida挂钩解密函数
示例Frida脚本：
javascript复制Interceptor.attach(ptr("0x400a23"), {
onEnter: function(args) {
console.log("Decrypting code at:", args[0]);
}
});
5. 解题思路与验证
5.1 关键线索挖掘
- 在内存中搜索"xenny"相关字符串
- 跟踪所有字符串比较操作
- 分析输入验证逻辑的汇编实现
5.2 验证方法
- 构造测试输入并观察程序行为
- 检查栈/堆中的中间结果
- 对比加密前后的内存差异
6. 高级技巧与优化
6.1 反反调试对策
若遇到ptrace检测：
asm复制xor eax, eax
mov al, 0x1a
xor ebx, ebx
int 0x80
可通过修改ZF标志位绕过：
bash复制gdb> set $eflags |= (1 << 6)
6.2 自动化分析脚本
使用angr框架进行符号执行：
python复制import angr
p = angr.Project('findxenny')
state = p.factory.entry_state()
simgr = p.factory.simulation_manager(state)
simgr.explore(find=0x400d20) # 假设这是成功分支
7. 经验总结与避坑指南
-
内存权限问题：在Linux下修改代码段需要先mprotect(PROT_READ|PROT_WRITE|PROT_EXEC)
-
时序敏感性：某些解密例程依赖特定时间戳，调试时可能需要修改系统时间
-
环境差异：动态解密可能依赖特定libc版本，建议使用Docker保持环境一致
-
常见错误：忽略重定位节(.rela.plt)中的函数调用，导致解密时机判断失误
实际比赛中遇到此类题目时，建议采用以下工作流：
- 快速静态分析定位可疑区域
- 动态调试捕获解密过程
- 编写脚本自动化关键步骤
- 交叉验证确保解的正确性