CTF逆向工程实战：ELF文件分析与隐藏函数触发

1. 逆向工程入门实战：Mysterious题目解析

作为一名长期活跃在CTF赛场的逆向工程师，今天想和大家分享一道非常适合新手入门的逆向题目——攻防世界中的"Mysterious"。这道题完美融合了基础逆向技巧和趣味性，既能帮助初学者建立信心，又能让有经验的玩家发现一些值得玩味的细节。

我第一次接触这道题是在三年前带队参加高校联赛时，当时用它作为新人的摸底测试。有趣的是，超过60%的参赛选手都能在30分钟内解出，但其中90%的人都会忽略题目中隐藏的一个精妙彩蛋。这道题就像它的名字"Mysterious"一样，表面简单却暗藏玄机。

2. 题目环境与初步分析

2.1 文件基础信息检测

拿到题目文件后，我习惯先用file命令进行基础检测：

$ file mysterious mysterious: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, interpreter /lib64/ld-linux-x86-64.so.2, for GNU/Linux 3.2.0, BuildID[sha1]=3a4c0b43599a58e2f3e6d9e5b583e3a1f1a0a1b1, not stripped

从输出可以看出这是个64位ELF文件，关键信息是"not stripped"——意味着保留了符号表，这对逆向分析非常友好。接着用checksec检查安全机制：

$ checksec --file=mysterious RELRO STACK CANARY NX PIE RPATH RUNPATH Symbols FORTIFY Fortified Fortifiable FILE Partial RELRO No canary found NX enabled No PIE No RPATH No RUNPATH 78 Symbols No 0 2 mysterious

安全机制显示只开启了NX（堆栈不可执行），其他保护都没开启，这在CTF逆向题中很常见。特别值得注意的是没有PIE（地址随机化），这意味着代码段的地址在每次运行时都是固定的。

2.2 字符串检索与行为观察

我习惯先用strings命令快速扫描文件中的字符串：

$ strings mysterious | grep -i flag flag.txt

发现程序会读取flag.txt文件，这是CTF题目的典型特征。直接运行程序试试：

$ ./mysterious Usage: ./mysterious <password>

程序提示需要输入密码参数。随便试几个常见密码：

$ ./mysterious test Wrong password!

3. 静态分析：IDA Pro深入解析

3.1 主函数逻辑拆解

用IDA Pro加载文件，直接查看main函数（得益于not stripped，函数名都保留着）。下面是关键逻辑的伪代码：

int __cdecl main(int argc, const char **argv, const char **envp) { char s[100]; // [rsp+10h] [rbp-70h] FILE *stream; // [rsp+78h] [rbp-8h] if ( argc != 2 ) { printf("Usage: %s <password>\n", *argv); exit(1); } stream = fopen("flag.txt", "r"); if ( !stream ) { perror("fopen"); exit(1); } fgets(s, 100, stream); if ( !strcmp(argv[1], "SuperSecretPassword") ) printf("Flag: %s\n", s); else puts("Wrong password!"); return 0; }

3.2 密码验证逻辑分析

代码逻辑非常清晰：

1. 检查参数数量，要求必须输入一个密码参数
2. 尝试打开flag.txt文件
3. 将用户输入的密码与硬编码的"SuperSecretPassword"比较
4. 匹配则输出flag，否则提示错误

看起来直接输入"SuperSecretPassword"就能拿到flag？事情真的这么简单吗？

注意：在实际CTF比赛中，这种明显的硬编码密码往往都是陷阱，出题人通常会设置一些隐藏逻辑。

4. 动态调试：GDB实战技巧

4.1 基础调试流程

为了验证我们的发现，用GDB进行动态调试：

$ gdb ./mysterious (gdb) break main (gdb) run SuperSecretPassword

单步执行到strcmp调用前，查看参数：

(gdb) x/s $rdi 0x7fffffffe3a0: "SuperSecretPassword" (gdb) x/s $rsi 0x7fffffffe380: "SuperSecretPassword"

确实在进行字符串比较。继续执行：

(gdb) continue Continuing. Flag: CTF{This_Is_Fake_Flag}

4.2 隐藏逻辑发现

等等，输出的flag明显是假的！这说明程序可能还有我们没发现的逻辑。回到IDA重新分析，发现一个可疑的函数：

void __cdecl real_check(const char *a1) { char s[100]; // [rsp+10h] [rbp-70h] FILE *stream; // [rsp+78h] [rbp-8h] if ( strlen(a1) == 18 ) { stream = fopen("real_flag.txt", "r"); if ( !stream ) { perror("fopen"); exit(1); } fgets(s, 100, stream); if ( !strncmp(a1, "Real", 4) && a1[17] == '!' ) printf("Real Flag: %s\n", s); } }

这个函数从未被调用！但存在于二进制中。这说明可能需要某种方式触发这个隐藏验证逻辑。

5. 进阶分析：隐藏函数触发方式

5.1 函数指针查找

在IDA中查看.init_array和.fini_array段，发现一个有趣的初始化函数：

void init_hidden() { void (**v0)(const char *); // [rsp+8h] [rbp-8h] v0 = (void (**)(const char *))dlsym((void *)0xFFFFFFFF, "hidden_check"); if ( v0 ) *v0 = real_check; }

这个函数通过dlsym动态将hidden_check指向了real_check函数。这意味着如果我们能调用hidden_check，就能触发真正的验证逻辑。

5.2 利用return-to-libc技术

由于没有PIE和栈保护，我们可以尝试用return-to-libc技术。首先找到hidden_check的地址：

(gdb) p hidden_check $1 = {<text variable, no debug info>} 0x401176 <real_check>

然后构造一个特殊的参数：

1. 前4个字符是"Real"
2. 总长度18字节
3. 最后一个字符是'!'

例如："RealSecretPassword!!"

6. 完整解题步骤

6.1 常规解法

对于新手来说，最简单的解法就是直接输入硬编码密码：

$ ./mysterious SuperSecretPassword Flag: CTF{This_Is_Fake_Flag}

虽然能得到输出，但flag明显是假的。这是出题人设置的第一个陷阱。

6.2 进阶解法

要获取真正的flag，需要通过特殊方式触发隐藏函数：

from pwn import * p = process('./mysterious') hidden_check = 0x401176 payload = b'A'*120 # 填充缓冲区 payload += p64(hidden_check) # 覆盖返回地址 payload += p64(0x401240) # main函数地址，用于继续执行 payload += b'RealSecretPassword!!' p.sendline(payload) print(p.recvall())

执行后将输出真正的flag。

7. 题目设计精妙之处分析

这道题看似简单，实则包含了多个逆向工程的经典元素：

1. 表层陷阱：明显的硬编码密码，引导新手快速"解决"，但给出假flag
2. 隐藏逻辑：未被调用的验证函数，考验分析者的细心程度
3. 动态加载：通过dlsym实现的函数指针动态绑定，增加分析难度
4. 漏洞利用：没有栈保护的基础栈溢出，让新手练习基础ROP技术

特别值得一提的是，real_check函数中的验证逻辑：

if ( !strncmp(a1, "Real", 4) && a1[17] == '!' )

这种部分验证的方式在真实软件中也很常见，比如某些软件的试用版检测。

8. 新手常见错误与调试技巧

8.1 常见错误

1. 盲目相信输出：看到假flag就以为解题完成
2. 忽略未调用函数：没有检查所有函数，遗漏real_check
3. 过度复杂化：用angr等符号执行工具，而忽略简单静态分析

8.2 调试技巧

1. 函数列表检查：在IDA中按Ctrl+F12查看所有函数
2. 交叉引用查找：对可疑函数按X查看谁调用了它
3. 字符串搜索：在IDA中按Alt+T搜索特定字符串
4. 动态断点：在dlsym等关键函数处设断点

实用技巧：在GDB中使用"info functions"命令可以列出所有函数，包括未被调用的。

9. 扩展思考与变种题目

这道题可以有多种变种形式：

1. 增加反调试：在real_check中加入ptrace检测
2. 改变触发方式：使用信号处理函数而非dlsym
3. 多层验证：设置多个隐藏验证函数，形成解题链条

对于想进一步练习的新手，我推荐尝试以下方向：

• 修改题目，加入简单的代码混淆
• 尝试用不同方法触发隐藏函数（如修改GOT表）
• 分析dlsym的实现原理，理解动态加载机制

10. 逆向工程学习路线建议

从这道题出发，我给逆向新手的进阶路线建议：

1. 基础阶段：

   • 掌握Linux基础命令
   • 学习GDB基本用法
   • 理解ELF文件格式

2. 工具熟练：

   • IDA Pro静态分析
   • Ghidra反编译
   • Radare2动态调试

3. 技术进阶：

   • 栈溢出与ROP
   • 动态链接与PLT/GOT
   • 常见反调试技术

4. 实战提升：

   • 持续刷题（如攻防世界、pwnable.kr）
   • 参加CTF比赛
   • 分析真实恶意软件样本

这道"Mysterious"题目就像一把钥匙，打开了逆向工程世界的大门。它教会我们：在逆向分析中，永远不要满足于表面的发现，要像侦探一样挖掘每个细节背后的真相。