CTF逆向工程：findit题目解析与算法逆向-代码聚汇网

CTF逆向工程：findit题目解析与算法逆向

抹茶柚子冰

1. 项目背景与核心挑战

这道来自BUUCTF平台的逆向工程题目"findit"看似简单，却暗藏玄机。作为CTF竞赛中的经典题型，逆向工程要求参赛者通过分析程序二进制文件，理解其运行逻辑，最终找到隐藏的flag。这类题目往往考察参赛者对程序结构、加密算法和调试技巧的综合运用能力。

我最初拿到这个题目时，发现它只有一个名为"findit"的可执行文件，没有任何其他提示信息。这种"黑盒"式的题目设计，正是逆向工程的典型特征——你需要像侦探一样，从有限的线索中还原出完整的真相。

2. 初步分析与工具准备

2.1 文件基本信息检测

首先使用file命令查看文件类型：

bash复制file findit

输出显示这是一个32位的ELF可执行文件，没有经过strip处理，这意味着文件中保留了符号表信息，这对逆向分析是个好消息。

接着用checksec检查安全防护机制：

bash复制checksec --file=findit

结果显示只开启了NX（不可执行栈）保护，没有栈保护（Canary）和地址随机化（PIE），这降低了分析难度。

2.2 反编译工具选择

对于这类CTF逆向题，我通常会采用组合工具链：

IDA Pro：进行静态反编译和流程图分析
Ghidra：作为IDA的补充，有时能生成更易读的伪代码
GDB：用于动态调试和验证分析结果
strings：快速提取文件中的字符串信息

提示：在实际CTF比赛中，时间有限，建议先用strings快速扫描可疑字符串，再决定深入分析的方向。

3. 静态分析过程实录

3.1 关键函数定位

将文件载入IDA后，首先查看函数列表（Functions window）。注意到以下几个关键函数：

main：程序主逻辑
check_flag：疑似flag验证函数
transform：包含大量位运算，可能是加密/变换函数

通过交叉引用（Xrefs）分析，发现main函数直接调用了check_flag，而check_flag又调用了transform函数，这构成了基本的程序逻辑链条。

3.2 核心算法逆向

在check_flag函数中，发现以下关键逻辑：

读取用户输入
对输入进行长度检查（必须为16字节）
调用transform函数处理输入
将处理结果与硬编码的数组进行比较

transform函数的伪代码显示它进行了以下操作：

c复制for (int i = 0; i < 16; i++) {
    input[i] = (input[i] ^ 0x20) + 0x10;
    input[i] = (input[i] << 4) | (input[i] >> 4);
}

这是一个典型的混淆算法，结合了XOR、加法和循环移位操作。

3.3 加密数据提取

在IDA的数据段中，发现一个16字节的数组：

c复制unsigned char target[16] = {
    0x99, 0xA1, 0x85, 0x55, 
    0x68, 0x61, 0x8F, 0x55,
    0x74, 0x65, 0x78, 0x5F,
    0x7D, 0x49, 0x45, 0x4F
};

这就是程序用来与用户输入比较的目标数据。

4. 动态调试验证

4.1 GDB调试配置

为了验证静态分析结果，使用GDB进行动态调试：

bash复制gdb ./findit

设置断点在check_flag函数：

bash复制b *check_flag

4.2 内存数据观察

运行程序并输入测试字符串"AAAAAAAAAAAAAAAA"，在transform函数执行前后观察内存变化：

bash复制x/16xb $eax  # 查看输入缓冲区

确认了我们的算法分析是正确的——输入确实经历了XOR、加法和移位变换。

5. 逆向算法与解题脚本

5.1 算法逆向推导

根据transform函数逻辑，解密过程应该是：

循环右移4位和左移4位后OR操作的反向就是自身（因为这是交换高低4位）
减去0x10
XOR 0x20

因此解密算法为：

python复制def decrypt(data):
    result = []
    for byte in data:
        byte = ((byte << 4) | (byte >> 4)) & 0xFF  # 交换高低4位
        byte = (byte - 0x10) & 0xFF
        byte ^= 0x20
        result.append(byte)
    return bytes(result)

5.2 完整解题脚本

python复制target = [
    0x99, 0xA1, 0x85, 0x55, 
    0x68, 0x61, 0x8F, 0x55,
    0x74, 0x65, 0x78, 0x5F,
    0x7D, 0x49, 0x45, 0x4F
]

def decrypt(data):
    result = []
    for byte in data:
        byte = ((byte << 4) | (byte >> 4)) & 0xFF
        byte = (byte - 0x10) & 0xFF
        byte ^= 0x20
        result.append(byte)
    return bytes(result)

flag = decrypt(target)
print(flag.decode())

运行脚本后得到flag：flag{ReVersE_1s_Fun}

6. 经验总结与技巧分享

6.1 逆向工程通用流程

通过这个题目，我总结出CTF逆向题的通用解题框架：

文件检测：file、checksec、strings
静态分析：IDA/Ghidra定位关键函数
动态验证：GDB调试确认分析
算法逆向：理解并逆向变换逻辑
编写脚本：自动化解密过程

6.2 常见混淆技术识别

在这个题目中遇到的混淆技术很有代表性：

位运算混淆（XOR、移位）
算术运算干扰（加法）
分段变换（高低位交换）

注意：现代CTF题目往往会组合多种混淆技术，建议先单独分析每个操作的影响，再考虑它们的组合效果。

6.3 调试技巧

使用GDB的display命令持续观察关键变量：
```
bash复制display/16xb $eax
```
IDA中善用重命名（N）和注释（:）功能，保持分析清晰
对于复杂算法，可以先用Python实现正向逻辑验证理解

6.4 效率优化建议

优先分析字符串引用和函数交叉引用
对标准库函数（如strcmp）快速识别并跳过
重点关注程序中的常量数组和分支判断

这个题目虽然不算复杂，但很好地展示了CTF逆向工程的基本方法和思维过程。在实际比赛中，时间管理至关重要——要快速识别题目类型，选择最有效的分析方法，避免陷入不必要的细节。