(CTF)【rev,win】exeファイルの解析（WinAntiDbg）

サムネ線対称ですね（笑）

CTF頑張り中の初心者なので間違っていたり回りくどいことしてるかもしれませんがご了承を
もっといい方法とか教えていただいたら泣いて喜びます

ツール

IDA（https://qiita.com/kgtakm/items/fc5ee85ca0224a6364e6）
コードの解析に使う。proは金がえぐいのでfreeやdemoを使う。
　
OllyDbg（https://www.ollydbg.de/）
ブレークポイントおいて実行とか
　
Stirling （https://www.vector.co.jp/soft/win95/util/se079072.html）
バイナリの書き換え

流れ

IDAでコードを解析

IDAでコードを解析します。

デバッグしてみたり、条件分岐のところを探したり、フラグを出力してそうなところを探したりします。

OllyDbgで実行とか

フラグを出力してそうなところにブレークポイントを置いて実行するとフラグを得られることもよくあります。

Stirlingでバイナリ書き換え

条件分岐にnop命令を入れて分岐先を変えたり等

picoCTF 2024 WinAntiDbg0x200(WinAntiDbg0x100)

問題文

WinAntiDbg0x100を解いたことがある人なら、この問題で新しい発見があるだろう。実行ファイルをデバッグして、フラグを見つけてください！
このチャレンジの実行ファイルはWindowsのコンソール・アプリケーションで、Windowsのコマンド・プロンプトを使って実行することから始めることができます。
この実行ファイルには管理者権限が必要です。コマンドプロンプトまたはデバッガーを『管理者として実行』オプションを使って起動するとよいでしょう。
Challengeはこちらからダウンロードできます。アーカイブをパスワードpicoctfで解凍します。

かっこで(WinAntiDbg0x100)としているのは全く同じ方法でこちらの問題も解けるからです。

ステップ１　概要把握

問題文にあるようにIDAを管理者で実行

Newを押してファイルを開く

適当にOK押しまくる

このような画面になったらOK、一回デバッグしてみる。

Debugged application message: ### Level 2: Why did the parent process get a promotion at work? Because it had a “fork-tastic” child process that excelled in multitasking!

Debugged application message: ### Oops! The debugger was detected. Try to bypass this check to get the flag!

なんか書いてあるが、あんまり関係なかった

IDAを眺めていると興味深いものが見つかった