攻防世界--maze

测试文件下载：https://adworld.xctf.org.cn/media/task/attachments/fa4c78d25eea4081864918803996e615

1.准备

获得信息

1. 64位文件

2.IDA打开

选择main函数，反编译为C代码。

 __int64 __fastcall main(__int64 a1, char **a2, char **a3)
 {
   const char *v3; // rsi
   signed __int64 v4; // rbx
   signed int v5; // eax
   char v6; // bp
   char v7; // al
   const char *v8; // rdi
   __int64 v10; // [rsp+0h] [rbp-28h]

   v10 = 0LL;
   puts("Input flag:");
   scanf("%s", &s1, 0LL);
   if ( strlen(&s1) !=  || (v3 = "nctf{", strncmp(&s1, "nctf{", 5uLL)) || *(&byte_6010BF + ) !=  )
   {
 LABEL_22:
     puts("Wrong flag!");
     exit(-);
   }
   v4 = 5LL;
   if ( strlen(&s1) -  >  )
   {
     while (  )
     {
       v5 = *(&s1 + v4);
       v6 = ;
       if ( v5 >  )
       {
         v5 = (unsigned __int8)v5;
         if ( (unsigned __int8)v5 ==  )
         {
           v7 = sub_400650((char *)&v10 + , v3);
           goto LABEL_14;
         }
         if ( v5 ==  )
         {
           v7 = sub_400660((char *)&v10 + , v3);
           goto LABEL_14;
         }
       }
       else
       {
         v5 = (unsigned __int8)v5;
         if ( (unsigned __int8)v5 ==  )
         {
           v7 = sub_400670(&v10, v3);
           goto LABEL_14;
         }
         if ( v5 ==  )
         {
           v7 = sub_400680(&v10, v3);
 LABEL_14:
           v6 = v7;
           goto LABEL_15;
         }
       }
 LABEL_15:
       v3 = (const char *)HIDWORD(v10);
       if ( !(unsigned __int8)sub_400690(asc_601060, HIDWORD(v10), (unsigned int)v10) )
         goto LABEL_22;
       if ( ++v4 >= strlen(&s1) -  )
       {
         if ( v6 )
           break;
 LABEL_20:
         v8 = "Wrong flag!";
         goto LABEL_21;
       }
     }
   }
   if ( asc_601060[ * (signed int)v10 + SHIDWORD(v10)] !=  )
     goto LABEL_20;
   v8 = "Congratulations!";
 LABEL_21:
   puts(v8);
   return 0LL;
 }

打开字符串的视图，我们可以看到

.data: asc_601060      db '  *******   *  **** * ****  * ***  *#  *** *** ***     *********',

2.1 代码分析

 __int64 __fastcall main(__int64 a1, char **a2, char **a3)
 {
   signed __int64 v4; // rbx
   signed int v5; // eax
   char v6; // bp
   char v7; // al
   const char *v8; // rdi
   __int64 v10; // [rsp+0h] [rbp-28h]

   v10 = 0LL;
   puts("Input flag:");
   scanf("%s", &s1, 0LL);

   if ( strlen(&s1) !=  || strncmp(&s1, "nctf{", 5uLL) || *(&byte_6010BF + ) !=  )    //len(s1) = 24, s1开头为'nctf',
   {
 LABEL_22:
     puts("Wrong flag!");
     exit(-);
   }
 v4 = 5LL;                                                                        //flag总长24，已知5个长度，v4表示输入的表示方向的字符数。
   if ( strlen(&s1) -  >  )
   {
     while (  )
     {
       v5 = *(&s1 + v4);                                                            //v5 = s1[5]
       v6 = ;
       if ( v5 > 'N' )//v5 > 'N'
       {
         v5 = (unsigned __int8)v5;
         if ( (unsigned __int8)v5 == 'O' )                                                //1. 当v5 == 'O'的情况，表示左移
         {
           v7 = sub_400650((char *)&v10 + , v3);                                        //v10--，表示位置的列数-1，v7判断是否越界(越界返回：FALSE, 未越界返回:TRUE)
           goto LABEL_14;
         }
         if ( v5 == 'o' )                                                                //2. 当v5 == 'o‘的情况，表示右移
         {
           v7 = sub_400660((char *)&v10 + , v3);                                        //v10++，表示位置的列数+1,
           goto LABEL_14;
         }
       }

       else//v5 < 'N'
       {
         v5 = (unsigned __int8)v5;
         if ( (unsigned __int8)v5 == '.')                                                //3. v5 == '.'的情况, 表示上移
         {
           v7 = sub_400670(&v10, v3);                                                //v10--，表示位置的行数-1,
           goto LABEL_14;
         }
         if ( v5 == '' )                                                                //4. v5=='0'的情况，表示下移
         {
           v7 = sub_400680(&v10, v3);                                                //v10++, 表示位置的行数+1
 LABEL_14:
           v6 = v7;                                                                    //赋值给v6,下面判断走迷宫时，是否越界
           goto LABEL_15;
         }
       }

 LABEL_15:
       if ( !(unsigned __int8)sub_400690((__int64)asc_601060, SHIDWORD(v10), v10) )//判断该位置的字符是' '， '#'或者'*'中的哪种，如果是'*'则，返回再次寻路
         goto LABEL_22;
       if ( ++v4 >= strlen(&s1) -  )                                                    //因为最后以'}'结尾，所以strlen(s1) - 1。我们需要找到中间18个字符
       {
         if ( v6 )//判断是否越界(未越界退出循环)
           break;
 LABEL_20:
         v8 = "Wrong flag!";
         goto LABEL_21;
       }
     }
   }
   if ( asc_601060[ * (signed int)v10 + SHIDWORD(v10)] !=  )//判断是否到达'#'处，没有到达，继续返回循环，进行移动
     goto LABEL_20;
   v8 = "Congratulations!";
 LABEL_21:
   puts(v8);
   return 0LL;
 }

通过代码分析，能够判断出那一串字符实际上就是一个迷宫，通过'.', '0', 'O', 'o'来控制移动，V10实际上就是一个二维数组，一维表示X轴，二维表示Y轴。

2.2 方向判断

在汇编代码中

.text:00000000004006B7                 mov     dword ptr [rsp+28h+var_28+],
.text:00000000004006BF                 mov     dword ptr [rsp+28h+var_28], 

我们能够知道，v9高位表示x轴，v9低位表示y轴，

通过函数

__int64 __fastcall sub_400690(__int64 a1, int a2, int a3)
{
  __int64 result; // rax

  result = *(unsigned __int8 *)(a1 + a2 + 8LL * a3);//a1是迷宫，a2是列，a3是行。通过行列计算迷宫对应位置的字符
  LOBYTE(result) = (_DWORD)result ==  || (_DWORD)result == ;//如果是' '或者'#‘返回TRUE，是'*’返回FALSE
  return result;
}

sub_400690函数中是a2+a3*8,即a3表示行，a2表示列。返回到调用函数处，即v10高位表示列，低位表示行。那么就可以判断出'O','o'表示左右，'.','0'表示上下

2.3 迷宫表示

通过a2+a3*8我们也能了解到这个迷宫有8行，总共64个字符，也就是8x8的迷宫，表示出来就是。

******
***
******
*****
**#*
******
***
********

2.4 解迷宫

起点(1,1)，只能走0，要走到‘#’,找到路径右下右右下下左下下下右右右右上上左左

写出脚本

str = "右下右右下下左下下下右右右右上上左左"
str = str.replace('上', '.')
str = str.replace('下', '')
str = str.replace('左', 'O')
str = str.replace('右', 'o')

str = 'nctf{' + str + '}'

print(str)

3.get flag！

nctf{oo0oo00O000oooo..OO}