攻防世界--maze

测试文件下载：https://adworld.xctf.org.cn/media/task/attachments/fa4c78d25eea4081864918803996e615

1.准备

获得信息

1. 64位文件

2.IDA打开

选择main函数，反编译为C代码。

__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{
  const char *v3; // rsi
  signed __int64 v4; // rbx
  signed int v5; // eax
  char v6; // bp
  char v7; // al
  const char *v8; // rdi
  __int64 v10; // [rsp+0h] [rbp-28h]

  v10 = 0LL;
  puts("Input flag:");
  scanf("%s", &s1, 0LL);
  if ( strlen(&s1) != 24 || (v3 = "nctf{", strncmp(&s1, "nctf{", 5uLL)) || *(&byte_6010BF + 24) != 125 )
  {
LABEL_22:
    puts("Wrong flag!");
    exit(-1);
  }
  v4 = 5LL;
  if ( strlen(&s1) - 1 > 5 )
  {
    while ( 1 )
    {
      v5 = *(&s1 + v4);
      v6 = 0;
      if ( v5 > 78 )
      {
        v5 = (unsigned __int8)v5;
        if ( (unsigned __int8)v5 == 79 )
        {
          v7 = sub_400650((char *)&v10 + 4, v3);
          goto LABEL_14;
        }
        if ( v5 == 111 )
        {
          v7 = sub_400660((char *)&v10 + 4, v3);
          goto LABEL_14;
        }
      }
      else
      {
        v5 = (unsigned __int8)v5;
        if ( (unsigned __int8)v5 == 46 )
        {
          v7 = sub_400670(&v10, v3);
          goto LABEL_14;
        }
        if ( v5 == 48 )
        {
          v7 = sub_400680(&v10, v3);
LABEL_14:
          v6 = v7;
          goto LABEL_15;
        }
      }
LABEL_15:
      v3 = (const char *)HIDWORD(v10);
      if ( !(unsigned __int8)sub_400690(asc_601060, HIDWORD(v10), (unsigned int)v10) )
        goto LABEL_22;
      if ( ++v4 >= strlen(&s1) - 1 )
      {
        if ( v6 )
          break;
LABEL_20:
        v8 = "Wrong flag!";
        goto LABEL_21;
      }
    }
  }
  if ( asc_601060[8 * (signed int)v10 + SHIDWORD(v10)] != 35 )
    goto LABEL_20;
  v8 = "Congratulations!";
LABEL_21:
  puts(v8);
  return 0LL;
}

打开字符串的视图，我们可以看到

.data:0000000000601060 asc_601060      db '  *******   *  **** * ****  * ***  *#  *** *** ***     *********',0

2.1 代码分析

__int64 __fastcall main(__int64 a1, char **a2, char **a3)
{
  signed __int64 v4; // rbx
  signed int v5; // eax
  char v6; // bp
  char v7; // al
  const char *v8; // rdi
  __int64 v10; // [rsp+0h] [rbp-28h]

  v10 = 0LL;
  puts("Input flag:");
  scanf("%s", &s1, 0LL);
  
  
  if ( strlen(&s1) != 24 || strncmp(&s1, "nctf{", 5uLL) || *(&byte_6010BF + 24) != 125 )    //len(s1) = 24, s1开头为'nctf', 
  {
LABEL_22:
    puts("Wrong flag!");
    exit(-1);
  }
v4 = 5LL;                                                                        //flag总长24，已知5个长度，v4表示输入的表示方向的字符数。
  if ( strlen(&s1) - 1 > 5 )
  {
    while ( 1 )
    {
      v5 = *(&s1 + v4);                                                            //v5 = s1[5]
      v6 = 0;
      if ( v5 > 'N' )//v5 > 'N'
      {
        v5 = (unsigned __int8)v5;
        if ( (unsigned __int8)v5 == 'O' )                                                //1. 当v5 == 'O'的情况，表示左移
        {
          v7 = sub_400650((char *)&v10 + 4, v3);                                        //v10--，表示位置的列数-1，v7判断是否越界(越界返回：FALSE, 未越界返回:TRUE)
          goto LABEL_14;
        }
        if ( v5 == 'o' )                                                                //2. 当v5 == 'o‘的情况，表示右移
        {
          v7 = sub_400660((char *)&v10 + 4, v3);                                        //v10++，表示位置的列数+1,
          goto LABEL_14;
        }
      }
      
      else//v5 < 'N'
      {
        v5 = (unsigned __int8)v5;
        if ( (unsigned __int8)v5 == '.')                                                //3. v5 == '.'的情况, 表示上移
        {
          v7 = sub_400670(&v10, v3);                                                //v10--，表示位置的行数-1,
          goto LABEL_14;
        }
        if ( v5 == '0' )                                                                //4. v5=='0'的情况，表示下移
        {
          v7 = sub_400680(&v10, v3);                                                //v10++, 表示位置的行数+1
LABEL_14:
          v6 = v7;                                                                    //赋值给v6,下面判断走迷宫时，是否越界
          goto LABEL_15;
        }
      }
      
      
LABEL_15:
      if ( !(unsigned __int8)sub_400690((__int64)asc_601060, SHIDWORD(v10), v10) )//判断该位置的字符是' '， '#'或者'*'中的哪种，如果是'*'则，返回再次寻路
        goto LABEL_22;
      if ( ++v4 >= strlen(&s1) - 1 )                                                    //因为最后以'}'结尾，所以strlen(s1) - 1。我们需要找到中间18个字符
      {
        if ( v6 )//判断是否越界(未越界退出循环)
          break;
LABEL_20:
        v8 = "Wrong flag!";
        goto LABEL_21;
      }
    }
  }
  if ( asc_601060[8 * (signed int)v10 + SHIDWORD(v10)] != 35 )//判断是否到达'#'处，没有到达，继续返回循环，进行移动
    goto LABEL_20;
  v8 = "Congratulations!";
LABEL_21:
  puts(v8);
  return 0LL;
}

通过代码分析，能够判断出那一串字符实际上就是一个迷宫，通过'.', '0', 'O', 'o'来控制移动，V10实际上就是一个二维数组，一维表示X轴，二维表示Y轴。

2.2 方向判断

在汇编代码中

.text:00000000004006B7                 mov     dword ptr [rsp+28h+var_28+4], 0
.text:00000000004006BF                 mov     dword ptr [rsp+28h+var_28], 0

我们能够知道，v9高位表示x轴，v9低位表示y轴，

通过函数

__int64 __fastcall sub_400690(__int64 a1, int a2, int a3)
{
  __int64 result; // rax

  result = *(unsigned __int8 *)(a1 + a2 + 8LL * a3);//a1是迷宫，a2是列，a3是行。通过行列计算迷宫对应位置的字符
  LOBYTE(result) = (_DWORD)result == 32 || (_DWORD)result == 35;//如果是' '或者'#‘返回TRUE，是'*’返回FALSE
  return result;
}

sub_400690函数中是a2+a3*8,即a3表示行，a2表示列。返回到调用函数处，即v10高位表示列，低位表示行。那么就可以判断出'O','o'表示左右，'.','0'表示上下

2.3 迷宫表示

通过a2+a3*8我们也能了解到这个迷宫有8行，总共64个字符，也就是8x8的迷宫，表示出来就是。

00******
*000*00*
***0*0**
**00*0**
*00*#00*
**0***0*
**00000*
********

2.4 解迷宫

起点(1,1)，只能走0，要走到‘#’,找到路径右下右右下下左下下下右右右右上上左左

写出脚本

str = "右下右右下下左下下下右右右右上上左左"
str = str.replace('上', '.')
str = str.replace('下', '0')
str = str.replace('左', 'O')
str = str.replace('右', 'o')

str = 'nctf{' + str + '}'

print(str)

3.get flag！

nctf{oo0oo00O000oooo..OO}