刷攻防世界的最后一道二星题，记录一下，大佬请飘过
题目
分析过程
我很勇，我先双击看看这是什么
是一个扫雷游戏，第一下运气好没踩雷，发现无法继续输入了；如果运气不好，会输出"您踩雷啦！"
丢到PE里面
无壳，64位
丢到IDA里面，shif+F12查看字符串，追踪可疑字符串，发现main函数
1 int __cdecl main(int argc, const char **argv, const char **envp)
2 {
3 unsigned int v3; // eax
4 std::ostream *v4; // rax
5 __int64 v5; // rax
6 _BYTE *v6; // rax
7 std::istream *v7; // rax
8 __int64 v8; // rax
9 std::ostream *v9; // rax
10 std::ostream *v10; // rax
11 __int64 v11; // rax
12 int v13; // [rsp+28h] [rbp-58h]
13 int v14; // [rsp+2Ch] [rbp-54h]
14 int v15; // [rsp+30h] [rbp-50h]
15 int v16; // [rsp+34h] [rbp-4Ch]
16 int v17; // [rsp+38h] [rbp-48h]
17 int v18; // [rsp+3Ch] [rbp-44h]
18 int v19; // [rsp+40h] [rbp-40h]
19 int i1; // [rsp+44h] [rbp-3Ch]
20 int nn; // [rsp+48h] [rbp-38h]
21 int mm; // [rsp+4Ch] [rbp-34h]
22 int ll; // [rsp+50h] [rbp-30h]
23 int i2; // [rsp+54h] [rbp-2Ch]
24 int kk; // [rsp+58h] [rbp-28h]
25 int jj; // [rsp+5Ch] [rbp-24h]
26 int ii; // [rsp+60h] [rbp-20h]
27 int n; // [rsp+64h] [rbp-1Ch]
28 int m; // [rsp+68h] [rbp-18h]
29 int l; // [rsp+6Ch] [rbp-14h]
30 int k; // [rsp+70h] [rbp-10h]
31 int v32; // [rsp+74h] [rbp-Ch]
32 int j; // [rsp+78h] [rbp-8h]
33 int i; // [rsp+7Ch] [rbp-4h]
34
35 _main();
36 memset(grid, 0, 0x190ui64);
37 memset(randMark, 0, 0x9C40ui64);
38 memset(vis, 0, sizeof(vis));
39 for ( i = 0; i <= 9; ++i ) // 第一个循环-------------------------------------------------------------------------------
40 {
41 for ( j = 0; j <= 9; ++j )
42 showUs[100 * i + j] = 42;
43 }
44 v3 = time(0i64);
45 srand(v3);
46 v32 = 0;
47 do
48 {
49 v19 = rand() % 10; // 随机一个0~9
50 v18 = rand() % 10;
51 if ( randMark[100 * v19 + v18] != 1 )
52 {
53 randMark[100 * v19 + v18] = 1; // v32不到mine_sum，就一直循环
54 // 我怀疑这里是布雷
55 // mine_sum是雷的数量
56 ++v32;
57 }
58 }
59 while ( v32 != mine_sum );
60 res = 0;
61 for ( k = 0; k <= 9; ++k ) // 第二个循环-------------------------------------------------------------------------------------------
62 {
63 for ( l = 0; l <= 9; ++l )
64 {
65 if ( randMark[100 * k + l] )
66 grid[10 * k + l] = -1;
67 }
68 }
69 for ( m = 0; m <= 9; ++m ) // 第三个循环-----------------------------------------------------------------------------------------------------
70 {
71 for ( n = 0; n <= 9; ++n )
72 {
73 if ( grid[10 * m + n] != -1 )
74 {
75 for ( ii = 0; ii <= 7; ++ii )
76 {
77 v17 = *((_DWORD *)&dir + 2 * ii) + m;
78 v16 = dword_475044[2 * ii] + n;
79 if ( v17 >= 0 && v17 <= 9 && v16 >= 0 && v16 <= 9 && grid[10 * v17 + v16] == -1 )
80 ++grid[10 * m + n];
81 }
82 }
83 }
84 }
85 for ( jj = 0; jj <= 9; ++jj ) // 第四个循环--------------------------------------------------------------------------------------------------------
86 {
87 for ( kk = 0; kk <= 9; ++kk )
88 {
89 v4 = (std::ostream *)std::operator<<<std::char_traits<char>>(
90 refptr__ZSt4cout,
91 (unsigned int)showUs[100 * jj + kk]);
92 std::operator<<<std::char_traits<char>>(v4, " ");
93 }
94 std::ostream::operator<<(refptr__ZSt4cout, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
95 }
96 LABEL_42:
97 v5 = std::operator<<<std::char_traits<char>>(refptr__ZSt4cout, asc_48B002);// 请输入要翻开的位置的坐标
98 std::ostream::operator<<(v5, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
99 while ( 100 - mine_sum != res ) // res是没有雷的地方
100 {
101 v7 = (std::istream *)std::istream::operator>>(refptr__ZSt3cin);
102 std::istream::operator>>(v7);
103 if ( grid[10 * v14 + v13] == -1 ) // 第一个if---检查是否踩雷
104 {
105 v8 = std::operator<<<std::char_traits<char>>(refptr__ZSt4cout, asc_48B01D);// 您中雷啦
106 std::ostream::operator<<(v8, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
107 goto LABEL_69; // pause
108 }
109 if ( !vis[100 * v14 + v13] && grid[10 * v14 + v13] > 0 )// 第二个if---
110 {
111 ++res;
112 vis[100 * v14 + v13] = 1;
113 showUs[100 * v14 + v13] = LOBYTE(grid[10 * v14 + v13]) + 48;
114 system("cls");
115 for ( ll = 0; ll <= 9; ++ll )
116 {
117 for ( mm = 0; mm <= 9; ++mm )
118 {
119 v9 = (std::ostream *)std::operator<<<std::char_traits<char>>(
120 refptr__ZSt4cout,
121 (unsigned int)showUs[100 * ll + mm]);
122 std::operator<<<std::char_traits<char>>(v9, " ");
123 }
124 std::ostream::operator<<(refptr__ZSt4cout, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
125 }
126 goto LABEL_42;
127 }
128 if ( !vis[100 * v14 + v13] && !grid[10 * v14 + v13] )// 第三个if---
129 {
130 bfs(v14, v13);
131 system("cls");
132 for ( nn = 0; nn <= 9; ++nn )
133 {
134 for ( i1 = 0; i1 <= 9; ++i1 )
135 {
136 v10 = (std::ostream *)std::operator<<<std::char_traits<char>>(
137 refptr__ZSt4cout,
138 (unsigned int)showUs[100 * nn + i1]);
139 std::operator<<<std::char_traits<char>>(v10, " ");
140 }
141 std::ostream::operator<<(refptr__ZSt4cout, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
142 }
143 v11 = std::operator<<<std::char_traits<char>>(refptr__ZSt4cout, asc_48B002);// 请输入要翻开的位置的坐标
144 std::ostream::operator<<(v11, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
145 }
146 } // while结束的地方
147 v15 = std::string::length((std::string *)&ans);
148 for ( i2 = 0; i2 < v15; ++i2 )
149 {
150 v6 = (_BYTE *)std::string::operator[](&ans, i2);
151 std::operator<<<std::char_traits<char>>(refptr__ZSt4cout, (unsigned int)(char)((v15 - i2) ^ *v6));// 异或操作！！！！注意！！！！
152 }
153 std::ostream::operator<<(refptr__ZSt4cout, refptr__ZSt4endlIcSt11char_traitsIcEERSt13basic_ostreamIT_T0_ES6_);
154 LABEL_69:
155 system("pause");
156 return 0;
157 }一堆循环与if，粗略看看，147行之前都没发现什么表明游戏通关的字符串或者跳转函数
一直到147行，突然出现一个ans，上来直接就是将它的长度赋给v15,做题有点经验的小伙伴应该会发现，一般能够单开一行赋长度的参数，很有可能是关键之一
特别是下面还有一个异或操作，简直就是重点怀疑对象
动态调试（X64dbg）
输出ans紧接着的是一个循环，我们看看地址与汇编
x64dbg的基址与IDA是一样的，不用改了------需要改地址的可以看看我之前的博客攻防世界 gametime 使用IDA pro+OD动调 - demo41 - 博客园 (cnblogs.com)
既然不用改地址，我们直接记下jmz的地址 0000000000401ED2 ，在x64dbg中跳转到
将jnz改成jz,运行直到出现字符串
输出结果： 7ii3VecVgof3r6ssiP2g7E3HqwqhM
直接拿去提交了，出错了，那应该是加密了
我试了很多，一直试不出来，还以为自己错了
后面看了wp，我解题没错，这是一个标准base58
大部分base58解密网站的字符序都是BTC-base58序列，顺序为123456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz
标准base58的解密序列是123456789abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ
这里提供一个解密网站：Base58编码/解码 - 一个工具箱 - 好用的在线工具都在这里！ (atoolbox.net)
静态调试（IDA+py脚本）
我之前查看字符串的时候，还有追踪asc_48B002和asc_48B01D的时候，都发现一个特别可疑的字符串
追进去看看
1 int __fastcall __static_initialization_and_destruction_0(int a1, int a2)
2 {
3 int result; // eax
4 char v3[17]; // [rsp+2Fh] [rbp-51h] BYREF
5
6 if ( a1 == 1 && a2 == 0xFFFF )
7 {
8 std::ios_base::Init::Init((std::ios_base::Init *)&std::__ioinit);
9 atexit(_tcf_0);
10 std::allocator<char>::allocator(v3);
11 std::string::string(&ans, "*ur)O}t@r{u!c&|}d\\9m>M4NtsrjL", v3);// 放进去吗？
12 std::allocator<char>::~allocator(v3);
13 result = atexit(_tcf_1);
14 }
15 return result;
16 }竟然和ans联系在一起了，花指令我没查具体意思，七分逆向三分猜，我感觉就是把字符串放进ans里面，反正异或操作不难，脚本很容易写，试试再说
py脚本
1 ans="*ur)O}t@r{u!c&|}d\\9m>M4NtsrjL"
2 v15=len(ans)
3 str=""
4
5 for i in range(len(ans)):
6 str+=chr((v15-i)^ord(ans[i]))
7
8 print(str)输出结果： 7ii3VecVgof3r6ssiP2g7E3HqwqhM
直接拿去提交了，出错了，那应该是加密了
我试了很多，一直试不出来，还以为自己错了
后面看了wp，我解题没错，这是一个标准base58
大部分base58解密网站的字符序都是BTC-base58序列，顺序为123456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz
标准base58的解密序列是123456789abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ
这里提供一个解密网站：Base58编码/解码 - 一个工具箱 - 好用的在线工具都在这里！ (atoolbox.net)
flag
flag{h4pp4-M1n3-G4m3}