测试文件：https://static2.ichunqiu.com/icq/resources/fileupload//CTF/JCTF2014/re200
参考文章：https://blog.csdn.net/chenlycly/article/details/53378196
1.程序分析
检测时发现不是PE文件，但是打开16进制却发现了MZ标识，因此我们能够判断文件中存在错误。
1.1 第一处错误
通过观察，发现指向PE文件头的地址为E9，但是实际的地址却是E8。
1.2 第二处错误
将地址修改正确之后，在010Editor打开文件，导入EXE模板
可以看到，正确的PE文件标识应该是0x00004550，但是文件中是0x00FF4550,修改FF为00
将修改后的文件保存为EXE文件
2.IDA打开
定位到main函数
1 __int64 __cdecl main_0()
2 {
3 int v0; // eax
4 __int64 v1; // rax
5 int v2; // eax
6 int v3; // ST08_4
7 int v4; // eax
8 int v5; // eax
9 int v6; // eax
10 int v7; // eax
11 int v8; // eax
12 int v9; // eax
13 int v11; // [esp-10h] [ebp-170h]
14 int v12; // [esp-Ch] [ebp-16Ch]
15 char *v13; // [esp-8h] [ebp-168h]
16 int v14; // [esp-4h] [ebp-164h]
17 int *v15; // [esp+Ch] [ebp-154h]
18 int k; // [esp+D4h] [ebp-8Ch]
19 int j; // [esp+E0h] [ebp-80h]
20 int i; // [esp+ECh] [ebp-74h]
21 char v19; // [esp+FBh] [ebp-65h]
22 int v20; // [esp+104h] [ebp-5Ch]
23 int Dst; // [esp+108h] [ebp-58h]
24 int v22; // [esp+10Ch] [ebp-54h]
25 int v23; // [esp+110h] [ebp-50h]
26 int v24; // [esp+114h] [ebp-4Ch]
27 int v25; // [esp+118h] [ebp-48h]
28 char Str1; // [esp+14Ch] [ebp-14h]
29 int v27; // [esp+14Dh] [ebp-13h]
30 int v28; // [esp+151h] [ebp-Fh]
31 char v29; // [esp+155h] [ebp-Bh]
32
33 v0 = sub_411154(std::cout, "欢迎来到数字游戏 请输入9个数字");
34 std::basic_ostream<char,std::char_traits<char>>::operator<<(v0, std::endl);
35 Str1 = 0;
36 v27 = 0;
37 v28 = 0;
38 v29 = 0;
39 v20 = 0;
40 j_memset(&Dst, 0, 0x3Cu);
41 for ( i = 0; i < 9; ++i )
42 std::basic_istream<char,std::char_traits<char>>::operator>>(std::cin, &v20 + i);// v20中输入9个数字
43 if ( v22 * Dst * v20 / 11 != 106 ) // 需要满足条件1
44 goto LABEL_31;
45 if ( (Dst ^ v20) != v22 - 4 ) // 需要满足条件2
46 goto LABEL_31;
47 HIDWORD(v1) = (v22 + Dst + v20) % 100; // v1的计算表达式，反向推倒，需要满足条件3
48 if ( HIDWORD(v1) != 34 ) // v1 = 34
49 goto LABEL_31;
50 if ( v23 == 80 ) // v23=80
51 {
52 for ( j = 0; j < 3; ++j )
53 {
54 HIDWORD(v1) = (j + 1) % 3;
55 for ( *(&Str1 + j) = *((_BYTE *)&v20 + 4 * HIDWORD(v1)) + *(&v20 + j % 3); ; *(&Str1 + j) /= 2 )
56 {
57 while ( *(&Str1 + j) < 33 )
58 {
59 HIDWORD(v1) = j;
60 *(&Str1 + j) *= 2;
61 }
62 if ( *(&Str1 + j) <= 126 )
63 break;
64 v1 = *(&Str1 + j);
65 }
66 }
67 if ( v24 == 94 && v25 == 98 ) // v24=94,v25=98
68 {
69 for ( k = 3; k < 9; ++k )
70 {
71 for ( *(&Str1 + k) = *(&Str1 + (k + 1) % 3) + *(&Str1 + k % 3); ; *(&Str1 + k) /= 2 )
72 {
73 while ( *(&Str1 + k) < 33 )
74 *(&Str1 + k) *= 2;
75 if ( *(&Str1 + k) <= 126 )
76 break;
77 }
78 }
79 if ( !j_strcmp(&Str1, "*&8P^bP^b") )
80 {
81 v2 = sub_411154(std::cout, "success!");
82 std::basic_ostream<char,std::char_traits<char>>::operator<<(v2, std::endl);
83 v14 = std::endl; // 换行
84 v13 = "abc}";
85 v12 = v22;
86 v11 = Dst;
87 v3 = v20;
88 v15 = &v11;
89 v4 = sub_411154(std::cout, "jlflag{");
90 v5 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v4, v3);
91 v6 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v5, v11);
92 v7 = std::basic_ostream<char,std::char_traits<char>>::operator<<(v6, v12);
93 v8 = sub_411154(v7, v13);
94 std::basic_ostream<char,std::char_traits<char>>::operator<<(v8, v14);// 以上输出的组合为v4 v3 v11 v12 v13 v14
95 sub_4112D0(std::cin, &v19);
96 goto LABEL_32;
97 }
98 LABEL_31:
99 v9 = sub_411154(std::cout, "please try again!");
100 std::basic_ostream<char,std::char_traits<char>>::operator<<(v9, std::endl);
101 goto LABEL_32;
102 }
103 }
104 LABEL_32:
105 v14 = HIDWORD(v1);
106 v13 = 0;
107 return *(_QWORD *)&v13;
108 }
2.1 代码分析
通过第90~94行代码，我们知道正确的flag为组合[v4 v3 v11 v12 v13 v14]，其中v4="jlflag{"，v13="abc}"，v14=std::endl
因此我们只需要求出v3,v11,v12即可，通过第85~87行代码，我们知道v12 = v22;v11 = Dst;v3 = v20;
我们能够通过这三个变量满足的三个表示，求出三个数的值。
3.脚本获取
for v22 in range(100):
for dst in range(100):
for v20 in range(100):
if v22*dst*v20//11 == 106 and (v22 + dst + v20) % 100 == 34:
if (dst^v20) == v22 - 4:
if (v22 + dst + v20) % 100 == 34:
print("jlflag{%d%d%dabc}"%(v22, dst, v20), end='\n')
jlflag{61315abc}
jlflag{61513abc}
jlflag{13615abc}
jlflag{13156abc}
jlflag{15613abc}
jlflag{15136abc}
将这6组得到的flag一组一组试，就能得到正确flag。（记得去掉jl）
4.get flag!
flag{15613abc}