CTF逆向入门：迷宫题学习记录（持续更新）

（前言）

本文将不断更新以具体题目为载体，分析CTF逆向迷宫题的解题思路与方法。由于本人是新手，学识有限，若有错漏或不当之处，欢迎指出。

提示：以下是本篇文章正文内容，下面案例可供参考

一、逆向迷宫题概述

迷宫题当然是走迷宫最后得到flag啦！
主要步骤：
1.分析程序的主函数，找到迷宫
2分析程序，确定走迷宫的方法（上下左右…怎么走）
3写程序或手走迷宫，得到flag

二、具体题目分析

1. 2019华南师大CTF新生赛maze

题目地址：https://github.com/scnu-sloth/hsctf-2019-freshmen
在这里插入图片描述在hex-view里看到了迷宫，下一步是找走迷宫的规则和方法
点开check函数看到

bool __cdecl check(char *flag)
{
   
     
  char *v1; // eax
  int v2; // eax
  char *cur; // [esp+Ch] [ebp-4h]170个字符，其中有一个是空字符'0'

  cur = &maze[14];//这是一个含14*12的迷宫
  while ( *flag && *cur != '*' )//由此可见'*'是迷宫的墙
  {
   
     
    v1 = flag++;
    v2 = *v1;
    if ( v2 == 'd' )
    {
   
     
      ++cur;//d为向右走一步
    }
    else if ( v2 > 'd' )
    {
   
     
      if ( v2 == 's' )
      {
   
     
        cur += 13;//s为向右13步，在本二维数组中为向左下方一步或向右13步
      }
      else
      {
   
     
        if ( v2 != 'w' )
          return 0;
        cur -= 13;//w为向右上方一步或向左13步
      }
    }
    else
    {
   
     
      if ( v2 != 'a' )
        return 0;
      --cur;//a为向左一步
    }
  }
  return *cur == '#';//'#'是迷宫终点
}

由题意，这是个14*12的迷宫，@是起点，#是终点，flag走迷宫的路径
d:向前一步，a:向后一步，s:向前13步，w:向后13步
在这里插入图片描述由main函数可见，flag长度即走迷宫步数一共为24步
手画迷宫如下，X表示不可走，O表示可走
写代码生成迷宫

int main()
{
   
     
	char s[]="**************@************-************-***-**-*****--*****-*****-***#**-*****--**----******-*****-******-****--******---**-*******-*-----******-------*****************";
	int i,j;
	for(i=0;i<12;i++)
	{
   
     
		for(j=0;j<14;j++)
			{
   
     
				if(s[i*14+j]=='-')
				cout<<"0"<<' ';
				else if(s[i*14+j]=='*')
				cout<<"X"<<' ';
				else 
				cout<<s[i*14+j]<<' ';
			}
		cout<<endl;
	}
	return 0;
}

在这里插入图片描述
太菜了不会写程序走迷宫，只能手走 qvq.
flag{sssssdsssddsdddwwdwwaaaw}

2.2020华南师大CTF新生赛maze

题目地址https://github.com/scnu-sloth/hsctf-2020-freshmen

3.攻防世界新手区：NJUPT CTF 2017 maze

题目地址：https://adworld.xctf.org.cn/task/answer?type=reverse&number=4&grade=0&id=5084&page=1
拖进IDA发现迷宫所在
在这里插入图片描述

分析main函数

  int v9; // [rsp+0h] [rbp-28h] BYREF
  int v10[9]; // [rsp+4h] [rbp-24h] BYREF

  v10[0] = 0;
  v9 = 0;//迷宫从最左上角开始走
  puts("Input flag:");
  scanf("%s", &s1);
  if ( strlen(&s1) != 24 || strncmp(&s1, "nctf{", 5uLL) || *(&byte_6010BF + 24) != '}' )//如果是nctf{开头且长度为24就进入下一步
  {
   
     
LABEL_22://要盯紧它，判断什么情况下会失败
    puts("Wrong flag!");
    exit(-1);
  }
  v3 = 5LL;
  if ( strlen(&s1) - 1 > 5 )
  {
   
     
    while ( 1 )
    {
   
     
      v4 = *(&s1 + v3);
      v5 = 0;
      if ( v4 > 'N' )
      {
   
     
        if ( (unsigned __int8)v4 == 'O' )
        {
   
     
          v6 = sub_400650(v10);//这里对v10进行了操作
          goto LABEL_14;
        }
        if ( (unsigned __int8)v4 == 'o' )
        {
   
     
          v6 = sub_400660(v10);//这里对v10进行了操作
          goto LABEL_14;
        }
      }
      else
      {
   
     
        if ( (unsigned __int8)v4 == '.' )
        {
   
     
          v6 = sub_400670(&v9);//这里对&v9进行了操作
          goto LABEL_14;
        }
        if ( (unsigned __int8)v4 == '0' )
        {
   
     
          v6 = sub_400680(&v9);//这里对&v9进行了操作
LABEL_14:
          v5 = v6;
          goto LABEL_15;
        }
      }
LABEL_15:
      if ( !(unsigned __int8)sub_400690((__int64)asc_601060, v10[0], v9) )//这里要关注障碍检测，还有非常重要的东西
        goto LABEL_22;
      if ( ++v3 >= strlen(&s1) - 1 )
      {
   
     
        if ( v5 )
          break;
LABEL_20:
        v7 = "Wrong flag!";
        goto LABEL_21;
      }
    }
  }
  if ( asc_601060[8 * v9 + v10[0]] != '#' )//终点为#
    goto LABEL_20;
  v7 = "Congratulations!";
LABEL_21:
  puts(v7);
  return 0LL;
}

由伪代码可见，这是个8*8的迷宫，有四个判断条件，分别进入了四个函数。
‘O’,‘o’,‘0’,’.'这四个字符分别控制不同方向
O左，o右，0下，.上（稍后会说怎么判断）
四个方向函数如下

bool __fastcall sub_400650(_DWORD *a1)//O
{
   
     
  int v1; // eax

  v1 = (*a1)--;//向左一步
  return v1 > 0;//防止越界
}

bool __fastcall sub_400660(int *a1)//o
{
   
     
  int v1; // eax

  v1 = *a1 + 1;//向右一步
  *a1 = v1;
  return v1 < 8;
}

bool __fastcall sub_400670(_DWORD *a1)//.
{
   
     
  int v1; // eax

  v1 = (*a1)--;//向上一步
  return v1 > 0;
}

bool __fastcall sub_400680(int *a1)//0
{
   
     
  int v1; // eax

  v1 = *a1 + 1;
  *a1 = v1;//向下一步
  return v1 < 8;
}

可是怎么分辨v9和v10各自控制的是上下还是左右呢？
点开sub_400690函数，看到

__int64 __fastcall sub_400690(__int64 a1, int a2, int a3)
{
   
     //a1是数组的首地址，a2是v10,a3是v9
  __int64 result; // rax

  result = *(unsigned __int8 *)(a1 + a2 + 8LL * a3);//a3乘以8表明v10在二维数组中表示上下
  LOBYTE(result) = (_DWORD)result == ' ' || (_DWORD)result == '#';
  return result;
}

从这里我们得知v10表示行，就是控制上下。v9表示列，就是控制左右。
而且只有‘ ’ 和#可以走，否则返回return 0。’*'是迷宫的墙。
写代码生成迷宫，0可走，X为墙。

#include<iostream>
using namespace std;
int main()
{
   
     
	char s[]="  *******   *  **** * ****  * ***  *#  *** *** ***     *********";
	int i,j;
	for(i=0;i<8;i++)
	{
   
     
		for(j=0;j<8;j++)
			{
   
     
				if(s[i*8+j]==' ')
				cout<<"0"<<' ';
				else if(s[i*8+j]=='*')
				cout<<"X"<<' ';
				else 
				cout<<"#"<<' ';
			}
		cout<<endl;
	}
	return 0;
}

在这里插入图片描述走迷宫得到flag为 nctf{o0oo00O000oooo…OO}

4.BUUCTF：不一样的flag

题目地址：https://buuoj.cn/challenges
拖进IDA查看main函数

int __cdecl __noreturn main(int argc, const char **argv, const char **envp)
{
   
     
  char v3[29]; // [esp+17h] [ebp-35h] BYREF
  int v4; // [esp+34h] [ebp-18h]
  int v5; // [esp+38h] [ebp-14h] BYREF
  int i; // [esp+3Ch] [ebp-10h]
  _BYTE v7[12]; // [esp+40h] [ebp-Ch] BYREF

  __main();
  v4 = 0;
  strcpy(v3, "*11110100001010000101111#");//这就是迷宫
  while ( 1 )
  {
   
     
    puts("you can choose one action to execute");
    puts("1 up");
    puts("2 down");
    puts("3 left");
    printf("4 right\n:");//控制方向
    scanf("%d", &v5);
    if ( v5 == 2 )
    {
   
     
      ++*(_DWORD *)&v3[25];
    }
    else if ( v5 > 2 )
    {
   
     
      if ( v5 == 3 )
      {
   
     
        --v4;
      }
      else
      {
   
     
        if ( v5 != 4 )
LABEL_13:
          exit(1);
        ++v4;
      }
    }
    else
    {
   
     
      if ( v5 != 1 )
        goto LABEL_13;
      --*(_DWORD *)&v3[25];
    }
    for ( i = 0; i <= 1; ++i )
    {
   
     
      if ( *(int *)&v3[4 * i + 25] < 0 || *(int *)&v3[4 * i + 25] > 4 )
        exit(1);
    }
    if ( v7[5 * *(_DWORD *)&v3[25] - 41 + v4] == '1' )
      exit(1);//是个5*5的迷宫且1为墙
    if ( v7[5 * *(_DWORD *)&v3[25] - 41 + v4] == '#' )
    {
   
     //‘#’是迷宫终点
      puts("\nok, the order you enter is the flag!");
      exit(0);
    }
  }
}

一目了然，显然是一道迷宫题。
1，2，3，4分别控制上下左右

using namespace std; 
int main()
{
   
     
	char s[]="*11110100001010000101111#";
	int i,j;
	for(i=0;i<5;i++)
	{
   
     
		for(j=0;j<5;j++)
			{
   
     
				if(s[i*5+j]=='0')
				cout<<"0"<<' ';
				else if(s[i*5+j]=='1')
				cout<<"X"<<' ';
				else 
				cout<<s[i*5+j]<<' ';
			}
		cout<<endl;
	}
	return 0;
}

走迷宫
在这里插入图片描述 Get the flag!: flag{222441144222}

三，总结

来源：oschina

链接：https://my.oschina.net/u/4269975/blog/4946603

标签

github

Grade

hex

逆向迷宫题总结（持续更新） 2019华南师大CTF新生赛maze，攻防世界新手区：NJUPT CTF 2017，BUUCTF：不一样的flag

CTF逆向入门：迷宫题学习记录（持续更新）

目录

（前言）

一、逆向迷宫题概述

二、具体题目分析

1. 2019华南师大CTF新生赛maze

2.2020华南师大CTF新生赛maze

3.攻防世界新手区：NJUPT CTF 2017 maze

4.BUUCTF：不一样的flag

三，总结

逆向迷宫题总结（持续更新） 2019华南师大CTF新生赛maze，攻防世界新手区：NJUPT CTF 2017，BUUCTF：不一样的flag

CTF逆向入门：迷宫题学习记录（持续更新）

目录

（前言）

一、 逆向迷宫题概述

二、 具体题目分析

1. 2019华南师大CTF新生赛maze

2.2020华南师大CTF新生赛maze

3.攻防世界新手区：NJUPT CTF 2017 maze

4.BUUCTF：不一样的flag

三，总结

一、逆向迷宫题概述

二、具体题目分析