Go

Go 语言逆向工程，指的是针对 Go 语言编译出的二进制程序进行分析，以理解其内部逻辑、数据结构和工作原理的过程

逆向 Go 程序时，经常会遇到以下几个 “拦路虎”：

  • 巨大的二进制体积：Go 默认采用静态编译，会将运行时（runtime）、垃圾回收（GC）和所有依赖库都打包进一个文件。这使得文件体积通常很大（动辄十几MB），在反汇编工具中打开时，可能会看到成千上万个函数

  • 特殊的调用约定：Go 的函数调用约定与传统的 C/C++ 不同。例如，它支持多返回值，在 x86-64 架构上可能通过多个寄存器来传递返回值，这很容易让传统的反编译工具 “懵圈”

  • 独特的数据结构：Go 语言的数据结构在底层有独特的实现方式。最典型的是字符串，它并非以空字符 \0 结尾的 C 字符串，而是由(起始地址, 长度)两个元素组成的结构体

  • 复杂的栈管理：Go 的栈管理由其运行时（runtime）负责，与操作系统线程的栈不同。其栈空间可以动态增长（例如从初始的 2KB 开始），并且函数参数的传递和返回值的存储在栈上也有自己的一套规则

实战案例

go（Go + Base64 换表）

pasted_1785955081599_dwx7ck.png

Go 语言编写的程序，没有去符号，IDA 正常反编译

pasted_1785956325712_mn7dyd.png

太难看了，我们取重点部分

1
2
3
4
5
flag.str = "cbdb2c89f6800e6c93e1c1e541e1a89758f45fd988c6652fa955db2f00290da272454969d57b828ca80bd146ebe8c89d";
flag.len = 96;

pwd.str = "nRKKAHzMrQzaqQzKpPHClX";
pwd.len = 22;

关键校验在这里

1
2
3
4
5
6
7
8
9
10
*&typ[16] = main_encode(*typ);
...
*&typ[16] = "==";
*&typ[24] = 2;
*&typ[32] = strings_TrimRight(*typ, *&typ[16]);

if ( *&typ[40] != pwd.len || ... runtime_eqstring() ... )
{
    fmt.Println("key is error.")
}

还原成 Go 代码就是

1
2
3
4
5
6
7
8
9
10
11
12
// 对输入数据进行自定义编码，得到编码后的字符串
encoded := main.encode(input)

// 移除编码结果末尾的 "==" 填充字符
encoded = strings.TrimRight(encoded, "==")

// 检查处理后的编码串是否与预期的固定密钥匹配
if encoded != "nRKKAHzMrQzaqQzKpPHClX" {
    // 若不匹配，输出错误信息并终止当前函数执行
    fmt.Println("key is error.")
    return
}

通过校验后，用输入当 AES key 解密

1
2
3
4
5
6
7
memset(&coder, 0, sizeof(coder));
coder.Key = *v10;

runtime_stringtoslicebyte(0, flag);
main__ptr_gogo_Decode(&coder, ...);
runtime_slicebytetostring(...);
fmt_Println(...);

继续看 main.encode

pasted_1785958237342_c421gv.png

很明显这里是 Base64 换表

1
XYZFGHI2+/Jhi345jklmEnopuvwqrABCDKL6789abMNWcdefgstOPQRSTUVxyz01

编写脚本

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
import base64

# 自定义 Base64 字母表（乱序）与标准表的映射
custom = b"XYZFGHI2+/Jhi345jklmEnopuvwqrABCDKL6789abMNWcdefgstOPQRSTUVxyz01"
standard = b"ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/"

target = b"nRKKAHzMrQzaqQzKpPHClX"

# 将 target 从自定义表映射到标准表，并补回 "=="
trans = bytes.maketrans(custom, standard)
std_b64 = target.translate(trans) + b"=="

# 标准 Base64 解码得到原始密钥
key = base64.b64decode(std_b64)

print(std_b64)
print(key)
print(key.decode())

运行后得到

1
2
3
b'V2hhdF9pc19nb19hX0FfSA=='
b'What_is_go_a_A_H'
What_is_go_a_A_H

接下来只需要继续分析 main.(*gogo).Decode，验证它如何用这个 key 解密

pasted_1785958631957_egz8pw.png

这里很明显可以看到使用的是 AES 加密

pasted_1785958765841_mjjhdo.png

这里要求 IV 的长度必须是 16，而 What_is_go_a_A_H 刚好是 16

pasted_1785958883302_sp77x0.png

这里能看到使用的是 CBC 模式

pasted_1785958965032_z1qa3i.png

成功拿到 flag

pasted_1785959031393_nezrh3.png