BUUCTF--CrackRTF

测试文件：https://www.lanzous.com/iane9hi

代码分析

直接IDA打开，找到主函数之后

int __cdecl main_0()
{
  DWORD v0; // eax
  DWORD v1; // eax
  CHAR String; // [esp+4Ch] [ebp-310h]
  int v4; // [esp+150h] [ebp-20Ch]
  CHAR String1; // [esp+154h] [ebp-208h]
  BYTE pbData; // [esp+258h] [ebp-104h]

  memset(&pbData, 0, 0x104u);
  memset(&String1, 0, 0x104u);
  v4 = 0;
  printf("pls input the first passwd(1): ");
  scanf("%s", &pbData);                         // 输入
  if ( strlen((const char *)&pbData) != 6 )
  {
    printf("Must be 6 characters!
");
    ExitProcess(0);
  }
  v4 = atoi((const char *)&pbData);             // 将数字字符串转换为整型
  if ( v4 < 100000 )
    ExitProcess(0);
  strcat((char *)&pbData, "@DBApp");            // 末尾加上 @DBApp
  v0 = strlen((const char *)&pbData);
  sub_40100A(&pbData, v0, &String1);
  if ( !_strcmpi(&String1, "6E32D0943418C2C33385BC35A1470250DD8923A9") )// MD5解密得到123321@DBApp
  {
    printf("continue...

");
    printf("pls input the first passwd(2): ");
    memset(&String, 0, 0x104u);
    scanf("%s", &String);
    if ( strlen(&String) != 6 )
    {
      printf("Must be 6 characters!
");
      ExitProcess(0);
    }
    strcat(&String, (const char *)&pbData);     // 将123321@DBApp放到第二次输入字符串后面
    memset(&String1, 0, 0x104u);
    v1 = strlen(&String);
    sub_401019((BYTE *)&String, v1, &String1);
    if ( !_strcmpi("27019e688a4e62a649fd99cadaafdb4e", &String1) )
    {
      if ( !sub_40100F(&String) )
      {
        printf("Error!!
");
        ExitProcess(0);
      }
      printf("bye ~~
");
    }
  }
  return 0;
}

需要我们输入两次密码。

第一次密码

首先我们知道密码长度为6，并且通过atoi的操作，可以看出应该是纯数字的字符串（后面使用星号*表示）。

第一部分将******@DBApp经过sub_40100A函数加密之后，得到6E32D0943418C2C33385BC35A1470250DD8923A9。因此我们只需要将密文解密，就能得到第一段的密码。

打开sub_40100A函数后

猜测是hash类的函数，测试后发现是MD5加密（https://www.somd5.com/），解密得到123321@DBApp

第二次密码

这次将上次的结果放到这次输入之后，即******123321@DBApp，用的是同一种加密方法得到27019e688a4e62a649fd99cadaafdb4e，但是解密不出来。

因此我们向下看sub_40100F函数

char __cdecl sub_4014D0(LPCSTR lpString)
{
  LPCVOID lpBuffer; // [esp+50h] [ebp-1Ch]
  DWORD NumberOfBytesWritten; // [esp+58h] [ebp-14h]
  DWORD nNumberOfBytesToWrite; // [esp+5Ch] [ebp-10h]
  HGLOBAL hResData; // [esp+60h] [ebp-Ch]
  HRSRC hResInfo; // [esp+64h] [ebp-8h]
  HANDLE hFile; // [esp+68h] [ebp-4h]

  hFile = 0;
  hResData = 0;
  nNumberOfBytesToWrite = 0;
  NumberOfBytesWritten = 0;
  hResInfo = FindResourceA(0, (LPCSTR)0x65, "AAA");
  if ( !hResInfo )
    return 0;
  nNumberOfBytesToWrite = SizeofResource(0, hResInfo);
  hResData = LoadResource(0, hResInfo);
  if ( !hResData )
    return 0;
  lpBuffer = LockResource(hResData);
  sub_401005(lpString, (int)lpBuffer, nNumberOfBytesToWrite);
  hFile = CreateFileA("dbapp.rtf", 0x10000000u, 0, 0, 2u, 0x80u, 0);
  if ( hFile == (HANDLE)-1 )
    return 0;
  if ( !WriteFile(hFile, lpBuffer, nNumberOfBytesToWrite, &NumberOfBytesWritten, 0) )
    return 0;
  CloseHandle(hFile);
  return 1;
}

• FindResourceA：该函数确定指定模块中指定类型和名称的资源所在位置。（可以看看这篇：https://blog.csdn.net/singleyellow/article/details/80308789）
• SizeofResource：表示该函数返回指定资源的字节数大小。 
• LoadResource 以前返回值类似于记录可移动的指针的 HANDLE，需要传递给 LockResource 得到一个固定的指针地址以供读写。而现在，LoadResource 直接返回固定的可读写内存地址，不再需要 LockResource。

这个函数我看成了三个部分：

• 第1~21行：查找类型“AAA”，名称0x65的资源。
• 第22行：将第二段密码与查找到的资源进行某种变换。
• 第23行~最后：将变换得到的信息写入dbapp.rtf文件。

第一部分中的信息，可以使用Resource Hacker查看

我们重点看第二部分的函数

unsigned int __cdecl sub_401420(LPCSTR lpString, int a2, int a3)
{
  unsigned int result; // eax
  unsigned int i; // [esp+4Ch] [ebp-Ch]
  unsigned int v5; // [esp+54h] [ebp-4h]

  v5 = lstrlenA(lpString);
  for ( i = 0; ; ++i )
  {
    result = i;
    if ( i >= a3 )
      break;
    *(_BYTE *)(i + a2) ^= lpString[i % v5];
  }
  return result;
}

这段实际就是将资源文件的信息与输入的密码进行异或操作。因为密码的后12位我们都知道了，因此我们只需要知道密码的前6位。

这里需要一点脑洞，因为生成的是.rtf文件，我们可以了解到它的标识符前6位为{ tf1（https://blog.csdn.net/dream_dt/article/details/79215798）。有结果，有异或值，不难解出原值。

脚本

# -*- coding:utf-8 -*-

List = [0x05,0x7D,0x41,0x15,0x26,0x01]

enc = '{\rtf1'
flag = ''

for i,val in enumerate(List):
    flag += chr(ord(enc[i]) ^ val)
print (flag)

~!3a@0

输入密码~!3a@0得到dbapp.rtf文件

get flag！