金盾信安2024_RE

joyboy原创2024年12月2日大约 3 分钟

金盾信安2024_RE

这俩题目都记录一下操作。

babyre

直接动调，理清逻辑，就是先用前半段经过一个函数生成v21， v20就是转成十六进制。发现有内存保护。

第一个address函数断在内存保护清零。然后修复address函数。

修复完后发现。发现对v20异或了。

loc_5A11A0可能是函数，但是双击进去，编译不了伪代码，我就修改eip指针跳过反调试，在最后一个内存保护函数那里下断点，因为他是加密完后，把函数全部弄成0。所以下断点不让他清除。运行到最后一个内存保护后，才可以进去修复函数。

修复好后，发现是一个tea加密。

int __cdecl sub_5A11A0(unsigned int *a1, _DWORD *a2)
{
  int result; // eax
  unsigned int i; // [esp+14h] [ebp-10h]
  int v4; // [esp+18h] [ebp-Ch]
  unsigned int v5; // [esp+1Ch] [ebp-8h]
  unsigned int v6; // [esp+20h] [ebp-4h]

  v6 = *a1;
  v5 = a1[1];
  v4 = 0;
  for ( i = 0; i < 0x20; ++i )
  {
    v4 -= 0x61C88647;
    v6 += (a2[1] + (v5 >> 5)) ^ (v4 + v5) ^ (*a2 + 16 * v5);
    v5 += (a2[3] + (v6 >> 5)) ^ (v4 + v6) ^ (a2[2] + 16 * v6);
  }
  *a1 = v6;
  result = 4;
  a1[1] = v5;
  return result;
}