[逆向][Writeup]ISG2015 flagfinder - .NET程序逆向

這個題目同樣是一道.NET的逆向題，.NET的逆向方法在之前的博文中已經介紹過，這里不做重復的說明。本題的源程序可以在我的github上下載：https://github.com/gsharpsh00ter/reverse

0x01 逆向

flagfinder為.NET編譯的PE文件，用dnSpy反編譯后，得到如下源碼：

using System;
using System.IO;
using System.Linq;
using System.Security.Cryptography;
using System.Threading;
using Microsoft.VisualBasic.CompilerServices;

namespace flagfinder
{
    // Token: 0x02000007 RID: 7
    [StandardModule]
    internal sealed class Module1
    {
        // Token: 0x06000012 RID: 18 RVA: 0x000020D4 File Offset: 0x000002D4
        [STAThread]
        //遍歷所有驅動器上的所有文件
        public static void Main()
        {
            DriveInfo[] drives = DriveInfo.GetDrives();
            checked
            {
                for (int i = 0; i < drives.Length; i++)
                {
                    DriveInfo driveInfo = drives[i];
                    if (driveInfo.IsReady)
                    {
                        Module1.SearchDir(driveInfo.RootDirectory);
                    }
                }
            }
        }

        // Token: 0x06000013 RID: 19 RVA: 0x0000210C File Offset: 0x0000030C
        public static void SearchDir(DirectoryInfo dir)
        {
            checked
            {
                try
                {
                    FileInfo[] files = dir.GetFiles();
                    for (int i = 0; i < files.Length; i++)
                    {
                        FileInfo file = files[i];
                        //對于每一個文件，會進行檢查，找到符合條件的文件會打印flag
                        Module1.CheckFile(file);
                    }
                    DirectoryInfo[] directories = dir.GetDirectories();
                    for (int j = 0; j < directories.Length; j++)
                    {
                        dir = directories[j];
                        Module1.SearchDir(dir);
                    }
                }
                catch (Exception expr_49)
                {
                    ProjectData.SetProjectError(expr_49);
                    Console.WriteLine("Unable to search: " + dir.FullName);
                    ProjectData.ClearProjectError();
                }
            }
        }

        // Token: 0x06000014 RID: 20 RVA: 0x00002198 File Offset: 0x00000398
        public static void CheckFile(FileInfo file)
        {
            try
            {
                Console.WriteLine("Analyzing " + file.FullName + " ...");
                //此處為判斷條件，文件內容的MD5為指定值后會計算sha256哈希值，并打印flag
                MD5CryptoServiceProvider mD5CryptoServiceProvider = new MD5CryptoServiceProvider();
                if (mD5CryptoServiceProvider.ComputeHash(file.OpenRead()).SequenceEqual(Module1.target))
                {
                    SHA256CryptoServiceProvider sHA256CryptoServiceProvider = new SHA256CryptoServiceProvider();
                    Console.WriteLine("We've found the flag on your hard drive:");
                    Console.WriteLine("ISG{" + BitConverter.ToString(sHA256CryptoServiceProvider.ComputeHash(file.OpenRead())).ToLower() + "}");
                    Environment.Exit(0);
                }
                Thread.Sleep(100);
            }
            catch (Exception expr_81)
            {
                ProjectData.SetProjectError(expr_81);
                Console.WriteLine("Unable to read: " + file.FullName);
                ProjectData.ClearProjectError();
            }
        }

        // Token: 0x04000006 RID: 6
        private static byte[] target = new byte[]
        {
            108,
            203,
            97,
            69,
            90,
            216,
            146,
            25,
            144,
            43,
            58,
            246,
            10,
            154,
            45,
            28
        };
    }
}

0x02 分析

程序邏輯比較簡單，運行后會遍歷驅動器上的所有文件，并對每一個文件進行檢查。如果某個文件的內容經過MD5哈希后是指定的值(target)，則該文件為flag文件，此時會計算器sha256的哈希值，并打印flag。

顯然我們不太可能根據已有的MD5值去逆向破解出文件的內容。可以用google查一下對應的MD5值。在http://www.herdprotect.com/a2cmd.exe-12fc1578b371d0847bf158eefb36f85f42cb9fb3.aspx這個頁面，我們發現相關的信息：

MD5: 6ccb61455ad89219902b3af60a9a2d1c

Sha256: 4cbce92e74fc64dba2b0c5194dd54bf7d694d37fc758572f46bd5b3b8a0c1a80

這應該是一個惡意文件的MD5值，雖然我們沒有該文件，但是沒關系，我們已經得到了sha256的哈希值，根據程序邏輯，我們已經可以自己打印flag了。

打印flag的python代碼如下：

#!/usr/bin/python2

#targets = [108, 203, 97, 69, 90, 216, 146, 25, 144, 43, 58, 246, 10, 154, 45, 28]
md5="6ccb61455ad89219902b3af60a9a2d1c"
sha256="4cbce92e74fc64dba2b0c5194dd54bf7d694d37fc758572f46bd5b3b8a0c1a80"
flag="ISG{"

for i in range(0, len(sha256), 2):
    flag = flag + sha256[i:i+2] + "-"
flag += "}"
flag = flag.replace("-}", "}")
print flag

運行結果如下：

Flag為：

ISG{4c-bc-e9-2e-74-fc-64-db-a2-b0-c5-19-4d-d5-4b-f7-d6-94-d3-7f-c7-58-57-2f-46-bd-5b-3b-8a-0c-1a-80}