题目链接: https://buuoj.cn/challenges#[SUCTF2019]hardcpp
思路
首先用 Detect it easy 这个软件，看看有没有壳
发现没有
接下来我们把这个程序丢入 IDA （截图上面有些不一样是因为我改过一部分函数的名字了）
看到一大坨 while(1) 就可以知道这个题目上了平坦控制流混淆
本来我是想和之前一样用一个平坦控制流脚本（https://github.com/cq674350529/deflat）来去除这个混淆的。但是很不幸，毕竟是别人的脚本，去除的时候总是会出那么些 bug，在这个题目，假如你用这个脚本来去除混淆，你会发现有些变量莫名其妙也被去除了，如果勉强做下去的话，肯定会出大问题。
面对这种程序流程被打乱的局面，我们只能让程序跑起来，记录下来程序的执行流程才行。
但是这个题目没法运行（可能是动态链接的那些库现在的 Linux 上没了对应的版本吧）
所以调试是没办法了，unicorn 等模拟执行的工具我也不太会。
但是也并不是没有办法，毕竟 IDA 反编译出来的代码是类 C 代码，稍微改动改动还是能过 c/c++ 编译器的。
这里举个例子
我们想要理清楚流程的代码弄到一个 c++ 文件里面，然后改动掉语法错误，之后我们用 Visual Studio Code 或者什么 IDE 来调试这段代码。在调试的时候我们要把执行过的每条语句记录下来。
最后我们就可以得到一段正常的代码了。
之后我们就这样一直一直干，把所有的代码恢复出来。
这里需要十足的耐心，反正逆向拼的就是毅力
可以得到以下表达式 （enc 为程序中加密后的数据）
enc[i - 1] = (input_time ^ s[i] + s[input_time + i - 1] % 7) ^ ((s[input_time + index - 1] ^ 18) * 3 + 2))
嗯······非常的长
然后根据这个代码中的一句话
可以猜到 input_time 是 0
所以最后我们代入 input_time 整理这个式子，最后可以推出一个表达式
s[i] = (enc[i - 1] ^ ((s[i - 1] ^ 18) * 3 + 2)) - s[i - 1] % 7
其中 s[0] 不知道，得枚举 s[0] 的值
解题脚本
enc = [0xF3, 0x2E, 0x18, 0x36, 0xE1, 0x4C, 0x22, 0xD1, 0xF9,
0x8C, 0x40, 0x76, 0xF4, 0xE, 0, 0x5, 0xA3, 0x90, 0xE, 0xA5]
def main() -> None:
for start_char in range(0, 128):
result = ""
result += chr(start_char)
for data in enc:
pre_char = ord(result[len(result) - 1])
current_char = (data ^ ((pre_char ^ 18) * 3 + 2)) - pre_char % 7
result += chr(current_char & 0xFF)
if "flag" in result or "FLAG" in result:
print(result)
if __name__ == '__main__':
main()