BUUCTF 刮开 BUUCTF 刮开

一、刮开有奖活动分析

所需工具：

1. IDA（反编译工具）
2. exeinfope（查壳工具）
3. CaptfEncoder(编码转换)

题解：

将文件导入至exeinfope中，用以检测是否存在外壳封装[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

未发现相关结果。

确认文件的位数是32位还是64位。具体操作方式为：利用记事本直接打开对应的exe文件。只需观察第二行内容，该行起始位置附近会出现PE两个英文字母，随后两个空格之后的第三个字符即为标识符。若该字符为字母L，则表明这是一个32位的应用程序；若显示为d?，则代表这是一个64位的应用程序。

将.exe文件拖拽至IDA 32中，并通过F5键执行反编译操作。

在WinMain函数中定位到关键函数DialogFunc。

    INT_PTR __stdcall DialogFunc(HWND hDlg, UI