一道ACM博弈题，交互比较麻烦 第一关：巴什博弈 两人取石子，总共n个，每次拿 1 - m 个，问先手胜还是负，胜的话输出每一步策略  第二关：威佐夫博弈 两人取石子，总共两堆，可以从两堆里拿相同的数目，也可以从一堆中拿任意多个，问先手胜还是负，胜的话输出每一步策略 先上代码吧 import math ''' for k in xrange(1,10): a = int(k * (sq5 + 1) / 2) b = a + k print k,a,b 1 1 2 2 3 5 3 4 7 4 6 10 5 8 13 6 9 15 7 11 18 8 12 20 9 14 23 ''' def w...

GetModuleBaseName：获取文件进程完整路径 EnumProcesses：检索进程中的每一个进程标识符。带三个参数，DWORD 类型的数组指针 lpidProcess；该数组的大小尺寸 cb；以及一个指向 DWORD 的指针 pBytesRrturned，它接收返回数据的长度。DWORD 数组用于保存当前运行的进程 IDs。pBytesRrturned 返回数组所用的内存大小  这里就需要根据main中的分析，以及函数调用规则来判断40312C的值了，eax是GetProcAddress的返回值，GetProcAddress是一个计算机函数，功能是检索指定的动态链接库(DLL)中的...

调用关系：main -> 401300 -> FindResource，LoadResource，401190 其中401190：有个xor解密！  Resource Hacker保存，再用winhex修改数据  得到如下字符串：  得到URL后，调用函数4011C9 4010B1：   典型的BASE64格式，点开byte_4050E8，发现是标准的BASE64  这个v8要怎么理解不太知道 于是运行起来  和main中的这个是一样的   这个代码的课后问题都很玄学，回答不来，除了找到了恶意代码的URL，啥也没 问题5：标准的BASE64是对上面截图的v8进行处理，用来创建GET...

main -> 1851 -> 1070，181F，1000 碰到了好多不认识的WINAPI函数 GetSystemMetrics：该函数只有一个参数，称之为「索引」，这个索引有75个ID，通过设置不同的标识符就可以获取系统分辨率、显示区域的宽度和高度、滚动条的宽度和高度等。    来自MSDN~~~获取屏幕的宽度和高度 GetDesktopWindow：该函数返回桌面窗口的句柄。桌面窗口覆盖整个屏幕。桌面窗口是一个要在其上绘制所有的图标和其他窗口的区域。 GetDC：该函数检索一指定窗口的客户区域或整个屏幕的显示设备上下文环境的句柄，以后可以在GDI函数中使用该句柄来在设备上下文...

这个题的加密算法第一眼看上去很复杂，试试从字符串找特征   猜测：更换后的BASE64加密，与URL进行交互  main -> 401AC2 -> WSASocket（TCP连接） -> 连接成功调用4015B7，否则return 1（报错）   BOOL CreatePipe(PHANDLE hReadPipe, // 指向读句柄的指针   PHANDLE hWritePipe, // 指向写句柄的指针   LPSECURITY_ATTRIBUTES lpPipeAttributes, // 指向安全属性的指针   DWORD nSize // 管道大小  );   Get...

在CTF的Crypto和Re中，经常会出现ASCII码形式的hex字符串的flag值，比如说： flag{H3ll0} 给出的值是这样的： 666c61677b48336c6c307d 很方便看出来：两个两个一组，前一个一般是3，4，6开头较多 py有个模块可以很方便解决这个转化问题，记录一下  import binascii s = 'flag{H3ll0}' print s.encode("hex") print binascii.hexlify(s) print binascii.b2a_hex(s) print hex(ord('a')) b = s.encode(...

一：WinSock API WSAStartup，getaddrinfo，socket，connect，send，recv，WSAGetLastError  二：WinINet API InternetOpen：初始化一个应用程序，以使用 WinINet 函数 InternetConnect：建立 Internet 的连接，成功返回非0。如果返回0。要InternetCloseHandle释放这个句柄 InternetOpenURL：通过一个完整的FTP、HTTP的URL打开资源 InternetReadFile，InternetWriteFile HTTPOpenRequest：一旦和服务器...

401000是典型的BASE64  4010BB：  发现这个函数就是调用了BASE64对字符串进行加密隐藏 4011A3：  然后根据v3的值是否为0：  根据msdn： Downloads data into the Internet cache and returns the file name of the cache location for retrieving the bits.HRESULT的返回有三种可能： <dl> <dt> E_FAIL </dt> <dd> The operation failed. </dd>...

提示：为了阻止恶意代码破坏系统，恶意代码已经被配置向一个硬编码的回环地址发送信令，但是可以认为其是一个硬编码的外部地址 LoadString：这个成员函数是在调用String Table里面定义的信息，也就是说，把String Table中的字符串读出来到对象里 CreateEvent：产生事件对象，如果调用成功，返回的是新生成的对象句柄，否则是NULL CreatePipe：创建匿名管道，第一个参数是hReadPipe，返回对管道读的句柄，第二个参数是hWritePipe，返回对管道写的句柄，第三个参数是lpPipeAttributes，是一个指向SECURITY_ATTRIBUTES结构体...

对抗反汇编，在很大程度上就是运用花指令技术，使得IDA的强大F5功能失效，在只能静态分析时让代码显得乱七八糟，没有头绪，将知识点总结如下  用IDA python对指令进行NOP替换 import idaapi idaapi.CompileLine('static n_key() {RunPythonStatement("nopIt()");}') AddHotkey("Alt-N","n-key") def notIt(): start = ScreenEA() end = NextHead(start) for ea in ran...

IDA大法中有这个功能：Options - Generals   就可以看到字节码了  根据书中介绍，这就是E8字节的花指令大法，总共用了4次，我们都patch一下保存  成功把红色的“错误”都去掉之后，来分析逻辑 代码中多次出现jnz short loc_40105E   所以很明显这里是字符串匹配失败的地方，提示为：   在OD里调试一发设置个参数跑一下就有了  在401017处取的是字符串第一个字符，与0x70作比较   在401027处，取第三个字符   所以最后的结果是“pdq”   在IDA里其实也是完全可以看出来的 C和D可以在IDA中对代码数据和指令进行切换    根据前面两个...

4102386：隐藏字符串的姿势之一：把字符串的赋值改成一个一个字符赋值  这样在strings中就看不到了 在main中，出现了一个红色调用：  在OD中明显可以看到：  在分析函数功能的时候看到了这个：  这个用patch E8字节的方法不太对，所以就选择单步调试下它的参数   s = "63Qpkjf.Qpofs" print len(s) for i in s: print chr(ord(i) - 1),    在IDA里需要patch的地方：  将E9改成90  将E8改成90  在OD中需要手动改几个跳转  gethostname：返回标准主机的主机名 之后就...

CreateToolHelp32Snapshot：可以通过获取进程信息为指定的进程、进程使用的堆[HEAP]、模块[MODULE]、线程建立一个快照。说到底，可以获取系统中正在运行的进程信息，线程信息等 Thread32First，Thread32Next：用来遍历每一个线程 Module32First，Module32Next： BOOL Module32First( HANDLE hSnapshot, LPMODULEENTRY32 lpme ); 获得进程的各个模块的信息（MSDN：Retrieves information about the first module associat...

感觉这个程序原来分析过一次，很相似  目的是得到一个长度为4的pw  IDA中逻辑非常清晰，在CreateThread中对数据byte_408030进行修改   然后v5作为判断标志  在这儿下断看数据就好~ （然后用OD下断看不到，结合本章知识点猜想是有反调试器的手段） 在函数TlsCallBack里发现了这个：   在字符串里找到了这个：如果改下字符串的话，是不是可能就绕过了调试器z  在winhex里修改下保存  FindWindow：该函数获得一个顶层窗体的句柄，该窗体的类名和窗体名与给定的字符串相匹配 在OD中调试发现了最重要的问题： main中是根本没有进去的~直接进去的是TlsC...