CTF逆向入门：BUUCTF reverse1详解，从查壳到提交flag全流程

如果你刚入坑CTF想在逆向Reverse方向找一个能当天做完、又不至于让人劝退的题目BUUCTF靶场里的reverse1几乎是绕不开的第一站。这个题目在平台上的位置非常靠前难度标注不高附件是一个Windows可执行程序但它的价值在于能让你把“查壳 → 静态分析 → 关键逻辑定位 → 字符串处理 → 提交flag”这一整条链路完整走通。很多老手回忆自己的逆向入门路第一道能独立做出来的题往往就是这种级别的签到逆向。这篇内容不是简单报答案而是把拿到文件之后的每一步、为什么要这么做、工具的哪个按钮能帮到你都拆开讲清楚。如果你是刚准备开始刷题的新手或者已经做过几道Misc/Pwn想试试Reverse这篇文章正好适合你。我会按照实际做题的顺序来写从环境准备到最终提交把那些文档里不会写的坑也一并列出来。1. reverse1到底考什么一道入门逆向题的完整画像1.1 题目在CTF中的定位CTF的Reverse方向简单说就是把一个编译好的程序交到你手里通过静态反汇编、动态调试、算法还原等手段找出隐藏在程序中的flag。reverse1正是这个方向里最典型的一类“签到题”没有壳、没有混淆、没有反调试代码逻辑通常只有几十行出题人只希望考察最基础的工具使用能力。很多新手在这道题上卡住不是因为工具不会装而是不知道怎么把“程序在比较某个字符串”这个事实转化成提交答案。他们会对着汇编代码发呆甚至双击运行后随便输入几个字符串看到提示Wrong flag就不知道怎么办了。其实这类题的核心就是一句话找到程序用于比较的字符串弄清楚它经过什么处理把处理后的值提交上去。所以你在做reverse1之前需要建立一个大前提这道题不需要你把整个程序逆向出来也不需要看懂所有汇编指令。你只需要找到关键的比较逻辑尤其是strcmp这类函数顺着它往前看就能看到被比较的两个参数。整个分析过程可能用不了十分钟但第一次完整走下来你对逆向题的感觉就完全不一样了。1.2 做这道题需要准备哪些工具工具是逆向的起点但不需要贪多。我实际用到的只有四样分别是IDA Pro、Exeinfo PE、顺手写脚本的Python和调试时备用的x64dbg。下面这张表是我每次做入门题都会带的组合。工具作用说明IDA Pro静态反汇编、反编译7.0以上版本重点用F5功能看伪代码Exeinfo PE查壳、识别文件类型轻量工具拖进去就能看到PE信息Python 3处理字符串、写脚本用于批量替换字符、异或运算等x64dbg动态调试可选当静态分析不够直观时下断点观察内存这里多说一句如果你没有IDA的授权用Ghidra或者免费的IDA Free也是完全可行的。但为了方便演示下面所有步骤都以IDA Pro的界面为例。工具不是越贵越好关键是你知道每个功能的入口在哪。很多新人上来就装了一堆大软件结果打开IDA连函数窗口都找不到反而被劝退所以工具越少越容易上手。2. 拿到reverse1.exe以后的第一件事别急着双击2.1 先搞清楚文件是什么、加壳没有拿到一个陌生的二进制文件第一反应不是双击运行而是先看它的“外壳”。这里可以把PE文件想成一盒压缩饼干真正的程序逻辑是里面的饼干壳就是那层塑料包装。如果加了壳IDA直接打开只会看到壳的代码看不到程序本体这时候需要先脱壳。如果没加壳就能直接进行静态分析。对reverse1这种入门题绝大多数情况都是无壳的。但你不查一下就不知道尤其是有些题目故意加个UPX壳来考验你基本的脱壳能力。所以查壳这个动作就算题目再简单也应该做。它花不了几秒钟却能避免你后面在IDA里看到一堆看不懂的push、pop时怀疑人生。另外文件类型也很重要。Windows下常见的可执行文件是PE格式Linux下是ELF格式。reverse1这道题的附件通常是Windows PE文件也就是exe后缀。你后面用IDA打开时要选择对应的反汇编模式这一步选错后面看到的代码可能就是完全错乱的。2.2 用Exeinfo PE快速判断文件类型用Exeinfo PE查壳是我觉得最直观的方式。打开Exeinfo PE把reverse1.exe拖进去几秒钟后就能看到文件信息。我在这道题上看到的大致信息是文件类型PE32 executable也就是32位Windows可执行程序编译环境Microsoft Visual C 6.0或者类似的老编译器加壳状态没有检测到加壳显示类似“No Packer”或者“Not packed”的提示看到这些信息心里就有数了。32位程序要用IDA的32位版本打开无壳意味着可以直接走静态分析。如果你在查壳时看到UPX字样那就需要在命令行执行upx -d reverse1.exe脱壳然后再拖回Exeinfo PE确认一遍。即便reverse1大概率用不上这个操作我也建议你顺手学一下因为后面的题目迟早会遇到。这里还有一个容易被忽略的点文件的哈希值。你在BUUCTF下载完附件之后可以先算一下MD5或者SHA1确认文件没有下载损坏。有些新手第一次做题下载的exe只有几百字节一用IDA打开就报错最后发现是下载不完整。这种问题不是技术难度完全是粗心。3. 用IDA静态分析reverse1的核心逻辑3.1 如何快速在IDA里找到main函数把reverse1.exe拖进IDA选择默认的PE加载方式等它分析完你会看到一个入口点的汇编代码。这里要提醒一句程序入口不等于main入口点是编译器添加的启动代码真正的逻辑通常在main、WinMain或者_main里。在IDA里找main有几个常用办法。最简单的是在左侧函数窗口中按CtrlF输入main你会看到以main开头的函数。如果窗口里叫_main那也是一样的东西。还有一种办法是看字符串窗口快捷键是ShiftF12里面如果显示input your flag或者right flag这些提示文本双击它就能跳到对应地址再用CtrlX查看交叉引用就能找到使用这个字符串的函数。我见过不少新手在IDA的汇编视图中随便点到一个函数从头看到尾找半天也找不到关键点。其实你应该先找那些能直接读懂的字符串和库函数调用因为程序总要告诉用户“你输对了还是错了”这些提示信息就是最明显的路标。尤其对入门题strcmp、scanf、printf这些函数名一出现后面往往就跟着答案。3.2 F5反编译后的代码逐行解读选中main函数然后按F5IDA会生成一段近似C语言的伪代码。reverse1这道题核心逻辑大概长这样变量名会因IDA版本略有差异但结构一致int __cdecl main() { char Str1[40]; char Str2[40]; int i; strcpy(Str2, flag{0O0O0O0O0O0O0O}); printf(input your flag:); scanf(%40s, Str1); for ( i 0; i strlen(Str2); i ) { if ( Str2[i] O ) Str2[i] 0; } if ( strcmp(Str1, Str2) 0 ) printf(right flag!\n); else printf(wrong flag!\n); return 0; }这段代码的逻辑非常清晰。程序先把一个字符串复制到Str2里然后提示用户输入接着用一个for循环遍历Str2中的每一个字符凡是遇到大写字母O就把它改成数字字符0。最后把用户输入的字符串和修改后的Str2用strcmp比较相等就输出right flag否则输出wrong flag。关键点就在这个循环里。很多人第一次看到代码顺手抄了IDA里显示的Str2原始值去提交结果不对。因为程序在实际比较之前已经把Str2里的所有大写O都替换成数字0了真正被比较的字符串是替换之后的内容不是你第一眼看到的内容。这就是出题人给你设下的视觉陷阱字母O和数字0在屏幕上高度相似不仔细看根本分不清。3.3 从伪代码到正确答案把替换规则算清楚既然程序会先把Str2里的O换成0那我们只需要手动执行一遍这个规则。以我上面展示的Str2为例原始字符串是flag{0O0O0O0O0O0O0O}把其中所有的大写O改成数字0会得到flag{0000000000000000}。注意这里的替换是逐字符的原始字符串里的小写字母o或者数字0是不受影响的只有大写字母O会被替换。有些同学会用全角字符、或者把0和O弄混提交时就会一直提示Wrong。你可以用记事本先把原始字符串复制出来然后逐个对照也可以直接写一个小脚本处理两种方式在下一节展开。另外还要说一句Str2里开头部分是否包含flag{}不同题目版本可能会有差异。但reverse1这道题既然要提交到BUUCTF最终得到的字符串通常是标准的flag{...}格式。你不需要自己去补前缀程序里原本的字符串长什么样替换之后就提交什么样。4. 从代码逻辑到最终flag手工推导与脚本自动化4.1 手工推导顺着程序逻辑走一遍如果你不想写代码手工推导完全够用。步骤很简单在IDA的伪代码里找到strcpy那行把复制给Str2的字符串完整选中复制到一个干净的文本编辑器里。肉眼检查每个字符尤其注意O和0的区别。大写字母O一般是字母数字0一般是圆形但略扁两者在等宽字体下其实有明显差异。按程序的逻辑把所有大写O改成数字0其他字符一律不动。把处理后的整个字符串包括flag{}复制到BUUCTF的提交框里提交验证。演示一下我上面的例子flag{0O0O0O0O0O0O0O}手动把第二位、第四位、第六位这些大写O全部改成0就会得到一连串的0。这个过程看起来简单但非常容易出错因为人的眼睛在这种重复字符面前会产生惯性一不留神就把O漏掉一个。我建议你改了之后再看一遍或者用下面的脚本做最保险的校验。4.2 用Python脚本批量替换字符串当字符串很长时肉眼替换真的不靠谱。我第一次刷题的时候遇到一长串O和0混合的字符串眼睛都快看瞎了最后用Python一行代码就解决了。你只需要把IDA里看到的原始字符串存到一个变量里然后调用字符串的replace方法。s flag{0O0O0O0O0O0O0O} flag s.replace(O, 0) print(flag)运行之后终端会直接输出替换后的完整字符串。这里需要注意Python的replace是区分大小写的所以O不会影响o也不会影响数字0完全符合程序里的替换规则。如果你不放心可以再加一行输出把每一个字符的ASCII码打印出来确保那些看起来像O的地方是真的O。s flag{0O0O0O0O0O0O0O} flag s.replace(O, 0) print(flag) for ch in flag: print(hex(ord(ch)), end )看到一串0x30就是数字0看到0x4f就是大写O。这种检查方式在遇到复杂字符串时会救你一命。4.3 到BUUCTF提交页面完成验证拿到替换后的字符串复制到BUUCTF对应题目的flag提交框里点提交正常就会看到Accepted或者类似的提示。到了这一步题目就算完成了。有些人可能觉得这题未免太简单了但它确实把逆向里的核心思想教给了你分析程序逻辑还原出程序真正比较的值。提交的时候还有一个细节平台要求完整输入flag{}中间的内容也不能有空格和换行。如果你复制的时候多了一个换行符或者从终端窗口复制时把最前面的隐藏字符带进去了也会提交失败。这时候可以在提交框里删掉首尾字符重新输入一遍多半就好了。5. 新人最容易踩的坑与排查实录5.1 工具层面IDA打开、定位main、F5无效怎么办做题过程中工具上的问题比逻辑上的更容易让人崩溃。我梳理了几个高频问题。第一个是IDA打不开exe。如果你看到类似“The input file is not in a supported format”的报错先检查文件是不是完整。有些浏览器下载时会自动改后缀或者文件本身传输损坏重新下载一遍基本能解决。第二个是函数窗口里找不到main。没关系你直接按ShiftF12打开字符串窗口找right flag或者wrong flag双击跳转到该字符串所在的地址然后按CtrlX查看交叉引用就能跳到被调用的函数。这个方法能绕过一切main查找问题。第三个是F5没有反应。这是因为你的IDA里没有安装Hex-Rays反编译插件或者你用的是免费版IDA。免费版不支持F5但你可以看汇编代码配合字符串窗口依然能判断出比较逻辑。如果你一定要用F5就找一个带反编译插件的正式版或者使用Ghidra。在做reverse1这种简单题时看汇编也不会特别难因为关键函数名都在那里。5.2 逻辑层面提交wrong flag的几种原因很多人在题目逻辑都已经分析清楚的情况下提交还是错误。我把常见原因列成一张表你可以对照排查。错误现象可能原因对应操作提交IDA里看到的原始字符串提示Wrong没有处理O到0的替换按程序逻辑替换后再提交替换后仍然Wrong字符串里混入了引号、空格清除首尾多余字符确保中间无空白提交小写形式提示Wrong大小写不匹配保持原样不要手动改大小写只提交花括号内的内容平台要求完整flag格式恢复flag{}前缀后缀提交内容与显示的内容看起来一样把0和O看混了用脚本输出ASCII码核对我自己遇到最多的情况是“多复制了一个引号”。因为IDA伪代码里的字符串是带双引号显示的新人第一次复制时会顺手把引号一起带进提交框。这里你只要记住我们提交的是字符串的内容不包括引号本身。5.3 几个能明显提升效率的小习惯最后分享几个我在做这类入门逆向题时养成的习惯它们能帮你少走很多弯路。第一拿到文件先算哈希再丢进Exeinfo PE查壳。这个动作三秒钟却能避免后面各种莫名其妙的工具报错。第二在IDA里多使用ShiftF12字符串窗口。任何需要交互的程序都会在代码里留下可读字符串它们就是你的导航仪。从“正确”或“错误”的提示文本找交叉引用往往比从入口点往下追容易得多。第三遇到字符判断逻辑时建议直接把原始字符串复制到脚本里处理别用肉眼硬看。O和0的问题还有l和1的问题在终端里通过ASCII码一眼就能分辨。第四不要怕看汇编。F5伪代码确实方便但如果你用的工具没法F5还是要具备看简单汇编的能力。至少在strcmp附近你通常能看到两个参数分别来自哪个寄存器或栈位置多盯几次就熟悉了。我自己带新人刷题时最常强调的就是这四点。reverse1这道题虽然简单但它让你亲手踩过了字符串陷阱体会过从IDA伪代码到提交成功的闭环。这种“原来逆向也不难”的感觉才是这道题最值钱的地方。之后再遇到类似的换表、替换、异或操作你至少知道第一反应应该是回到代码里看它的处理规则而不是对着题目瞎猜。