寫在最前：

想要成為安全大牛的願望還是這麼遙不可及。
漸漸地，沒有什麼憂慮的大學生活也好像開始有了一些屬於小人物的忐忑。
還是堅信自己很厲害，可是道路前方仍是一篇迷濛。

感謝幫助過我的前輩，以及讓我可以暫時不考慮經濟壓力的父母。

I have a binary that has a lot information inside heap.
How fast can you reverse-engineer this?
(hint: see the information inside EAX,EBX when 0x403E65 is executed)

ssh

[email protected] -p2222 (pw:guest)

題目大意是逆向分析這個 PE 檔案，並在服務主機上提交 2 個有關這個檔案的問題的答案。

1. What is the string inside 2nd biggest chunk? :
2. What is the string inside 3rd biggest chunk? :

全部答對即可得到 Flag。

在做逆向分析之前，先跑一下程式猜測一下流程。

執行程式後，會給出提示，大意為程式會分配1000個大小隨機堆塊，每個堆塊中儲存有一個隨機的字串。其中最大的堆塊大小為 99879 byte，其中包含的字串為 X12nM7yCJcu0x5u。

多次執行程式，提示的最大堆塊大小和其中的字串不變。按照獲取Flag的要求，猜測這裡的隨機的意思應該是指定大小的堆快在空間分配上的隨機，固定大小序列的堆塊中儲存的字串應是固定的或者遵循某種固定的構造演算法。

下面開始分析（無殼無加密無VM）
在提示中讓我們去檢視 0x403E65 處指令執行後 EAX , EBX 的情況，
根據物理機實際的不同，筆者的提示指令位於0x0E3E65處。

可以看到，此處EAX儲存著當前次迴圈分配的堆塊大小，EBX儲存著堆塊的地址。
繼續執行，將棧中儲存的迴圈次數傳到EAX，自增1後傳回棧中儲存，同時驗證這個值。

問題所需的是第二和第三大堆塊中儲存的字串內容，由於分配了1000次，不可能由觀察得到。這裡藉助IDA動態除錯結合指令碼IDC去比較每次堆分配執行後EAX的值來指向目標堆塊。
指令碼如下：

#include <idc.idc>  

static main(){  

    auto max_eax, max_ebx, second_eax, second_ebx, third_eax, third_ebx;  
    auto eax, ebx;  

    // 依次為前三大堆塊分配完成時的eax和ebx值
    max_eax = 0;  
    second_eax = 0;  
    third_eax = 0;  
    max_ebx = 0;  
    second_ebx = 0;  
    third_ebx = 0;  

    AddBpt(0x083E65);      // 在提示位置新增斷點，在IDA中該地址為0x83E65
    StartDebugger("","","");  
    auto count;  
    for(count = 0; count < 999; count ++){  
        auto code = GetDebuggerEvent(WFNE_SUSP|WFNE_CONT, -1);  
        eax = GetRegValue("EAX");     // 中斷時得到所需的值
        ebx = GetRegValue("EBX");  

        // 判斷是否應重新整理前三大堆塊的值
        if(max_eax < eax){  
            third_eax = second_eax;  
            third_ebx = second_ebx;  
            second_eax = max_eax;  
            second_ebx = max_ebx;  
            max_eax = eax;  
            max_ebx = ebx;  
        }else if(second_eax < eax){  
            third_eax = second_eax;  
            third_ebx = second_ebx;  
            second_eax = eax;  
            second_ebx = ebx;  
        }else if(third_eax < eax){  
            third_eax = eax;  
            third_ebx = ebx;  
        }  
    }  
    // 輸出
    Message("max eax: %d, ebx: %x, second eax: %d, ebx: %x, third eax: %d, ebx: %x\n", max_eax, max_ebx, second_eax, second_ebx, third_eax, third_ebx);  
}  

迴圈999而不是1000次是為了避免程式結束，堆空間被釋放。
在IDA Script Commend中輸入指令碼並儲存為.idc格式，在Debugger選項中配置好動態偵錯程式。跑Script File即可。

最後根據跑出的結果到對應的堆塊位置找到字串。

[email protected]:~$ nc 0 9021
What is the string inside 2nd biggest chunk? :
roKBkoIZGMUKrMb
Wait for 10 seconds to prevent brute-forcing…
What is the string inside 3rd biggest chunk? :
2ckbnDUabcsMA2s
Wait for 10 seconds to prevent brute-forcing…
Congratz! flag : select_eax_from_trace_order_by_eax_desc_limit_20