数据修改总结

一般来说，比赛中逆向方向的题目如果按照静态的数据解不出来，且认为者程序逻辑分析没有什么的话，有可能动态运行程序的时候数据有修改，下面是几种常见的修改数据的地方

交叉引用

一般数据的修改都可以直接交叉引用ctrl+x或者x找到另外引用该内存的地方，出现的频率也最高

2025数字中国数字安全赛道初赛数字安全-隐私保护

unk_50c0变量在main里面没有赋初值但是后续异或会用到

鼠标点在变量上在按x就能发现其他函数也调用这个变量

发现对byte50c0变量（unk_50c0本质上只是不知道类型而已）有赋值

init_array

2023浙江省省赛决赛re3

ctrl+s查看数据段，发现init_array有函数

函数点进去后发现有修改，前面一部分相当于特征码搜索，找到i+31的地方改为75

大概率是在tea算法中有修改，因为看汇编有一段很奇怪的指令，也就是4个nop

原来的0b改为4b，从add变成sub，那大概率是对的

TLS

2023NewStarCTFweek3EzDll

函数列表最开始可能会出现tls_callback函数，先于main执行，main运行结束又回到tls，一般tls会和花指令等结合，在函数列表也能搜到

同时注意有反调试，正常都是不调试才能获得正确密文，所以这里第一个key是5而不是6

init_function

2023NewStarCTFweek4iwannarest

key在init_function被修改

xxtea解密的key被重新赋值了

#include <stdint.h>
#include <stdio.h>
#include <string.h>
#define DELTA 0x9E3779B9
#define MX (z >> 5 ^ y << 2) + (y >> 3 ^ z << 4) ^ (sum ^ y) + (k[(p & 3) ^ e] ^ z)

void xxtea_encrypt(uint32_t *v, uint32_t len, uint32_t *k) {
    uint32_t n = len - 1;
    uint32_t y, z, sum = 0, e, p, q;
    q = 6 + 52 / len;
    while (q-- > 0) {
        sum += DELTA;
        e = sum >> 2 & 3;
        for (p = 0; p < n; p++) {
            y = v[p + 1];
            z = v[p] += MX;
        }
        y = v[0];
        z = v[n] += MX;
    }
}

void xxtea_decrypt(uint32_t *v, uint32_t len, uint32_t *k) {
    uint32_t n = len - 1;
    uint32_t y, z, sum, e, p, q;
    q = 6 + 52 / len;
    sum = q * DELTA;
    y = v[0];
    while (sum != 0) {
        e = sum >> 2 & 3;
        for (p = n; p > 0; p--) {
            z = v[p - 1];
            y = v[p] -= MX;
        }
        z = v[n];
        y = v[0] -= MX;
        sum -= DELTA;
    }
}

int main() {
    uint32_t v[8] = { 
      3962803346,3145558623,1541010058,1093420299,
      3315082129,861271549,352576336,60051825, };
      uint32_t key[4] = { 1,1,4,5 };
      uint32_t i;
      uint32_t temp[2];
      for (i = 0; i < 8; i += 2){
        temp[0] = v[i]; 
        temp[1] = v[i + 1]; 
        xxtea_decrypt(temp, 2, key);
        v[i] = temp[0];
        v[i + 1] = temp[1];
      }
    printf("%s", (char *)v);
    return 0;
}
//flag{GDu7Il0v3uP1zl3tm3Gr@duate}?

main函数前

当前面几种方法失效的时候可以main函数往上找一找

2024ISCCRe-Find_All

这题就是在main函数前面有可疑数据

交叉引用找到父函数，找到可能的加密逻辑，4个一循环然后相邻位置异或

去试试看，发现是对的

a=[26,16,0,67,8,32,18,65,113,1,119,68,35,1,34,99,35,7,18,118,39,97,92,125]
print(len(a))
for i in range(0,24,4):
    a[i + 2] = a[i + 2] ^ a[i + 3]
    a[i + 1] = a[i + 1] ^ a[i + 2]
    a[i]=a[i]^a[i+1]
for i in range(24):
    print(chr(a[i]),end="")
#ISCC{sSAC23Dc@Ac@cdvg@!}

数据修改总结附件.zip