出题——ClassReaper

前言

这次出题主要考察 RTTI 恢复以及虚函数表，本题关闭了标准 C++ RTTI（/GR-），所以 IDA 的 Class Informer 无法自动恢复类。但 MFC 自有的 CRuntimeClass 机制仍然保留，这是本题的突破口

MFC 逆向的 RTTI 恢复，就是利用 MFC 自有的 CRuntimeClass 链表及其 m_lpszClassName、m_pBaseClass、m_pfnCreateObject 等字段，从二进制中还原类名、继承关系、虚表和消息映射，把匿名结构还原成可读的 C++ 类模型

程序入口

IDA 反编译找到入口

pasted_1789630748094_8tnc7b.png

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
__int64 __fastcall AfxWinMain(HINSTANCE__ *hInstance, HINSTANCE__ *hPrevInstance, wchar_t *lpCmdLine, int nCmdShow)
{
  // 1. 取当前线程对象（对单线程 MFC，等价于 theApp，即 CChallengeApp 实例）
  Thread = AfxGetThread();
  // 2. 取模块态里注册的 CWinApp 指针，通常和 Thread 是同一个对象
  m_pCurrentWinApp = AfxGetModuleState()->m_pCurrentWinApp;

  // 3. 初始化 MFC 运行时
  if ( AfxWinInit(...) && (!m_pCurrentWinApp || m_pCurrentWinApp->InitApplication(...)) )
  {
    // 4. 关键：虚调用 InitInstance
    if ( Thread->InitInstance(Thread) )
    {
      // 5. 消息循环
      v12 = Thread->Run(Thread);
    }
    else
    {
      // 6. InitInstance 返回 FALSE 时的清理
      m_pMainWnd = Thread->m_pMainWnd;
      if ( m_pMainWnd )
        m_pMainWnd->DestroyWindow(m_pMainWnd);
      v12 = Thread->ExitInstance(Thread);
    }
    v8 = v12;
  }
  AfxWinTerm();
  return v8;
}

MFC 程序里有个全局唯一的 App 对象，就是 CChallengeApp。整个程序从头到尾只有这一个实例，它代表 “这个应用程序本身”

Thread->InitInstance(Thread) 是虚调用，Thread 的实际类型是 CChallengeApp，所以这里会跳到 CChallengeApp::InitInstance

虚调用就是函数地址不写死在代码里，而是运行时根据对象的实际类型去查虚函数表（vtable），决定调哪个版本——所以 Thread 实际是 CChallengeApp，就调 CChallengeApp::InitInstance，而不是基类的 CWinThread::InitInstance

pasted_1789634619892_1x3t0g.png

分析解密函数

CWinApp::InitInstance(this); 是 MFC 基类初始化的，直接看 DecryptAllClassNames

遍历 MFC 主链，把业务类的 m_lpszClassName 从密文原地解密成明文，方便后续代码正常使用类名

第一步：取主链头

MFC 在 CRT 初始化阶段，通过 AFX_CLASSINIT 把所有 CRuntimeClass 静态实例自动挂进这条链。所以程序启动后，链上已经有所有注册过的类

1
2
ModuleState = AfxGetModuleState();
for ( i = ModuleState->m_classList.m_pHead; i; ++v0 )

  • AfxGetModuleState() 返回当前 MFC 模块态；

  • m_classList.m_pHead 是 CRuntimeClass 全局链表的头指针；

  • 沿 m_pNextClass 一直走，上限 4096 防死循环

第二步：筛选目标类

1
2
3
4
if ( i == &CValidator::classCValidator
  || CRuntimeClass::IsDerivedFrom(i, &CValidator::classCValidator)
  || i == &CMainDlg::classCMainDlg
  || i == &CChallengeApp::classCChallengeApp )

命中以下任意一条，就解密

条件 含义
i == &classCValidator 自身就是 CValidator 基类
IsDerivedFrom(i, &classCValidator) i 是 CValidator 的任意子类

第三步：读类名指针、扫长度

1
2
3
4
m_lpszClassName = i->m_lpszClassName;
v4 = 0;
do ++v4; while ( v4 <= 0x200 && m_lpszClassName[v4] );
if ( v4 - 1 <= 0x1FF ) { ... }

  • m_lpszClassName 是 CRuntimeClass 结构体第 0 个字段（偏移 +0x00）

  • 扫到 '\0' 定长度，上限 512

  • 长度必须非空且 ≤ 511 才继续

第四步：改页权限

1
VirtualProtect(m_lpszClassName, v4, 4u, &oldProt)

  • 4u = PAGE_READWRITE；

  • 类名存在 .rdata（只读），必须先改成可写才能原地 XOR；

  • 解密后再 VirtualProtect 恢复原保

第五步：XOR 解密循环

1
2
3
4
5
6
7
8
9
LOBYTE(v5) = __ROR1__(26, 5) ^ 0xA7;   // base = 0x77
v6 = *m_lpszClassName;
do {
    v8 = v5;                            // v8 = 当前 sbox 索引
    ++v7;
    ++v5;                               // 索引递增，step=1
    *(v7 - 1) = g_NameSbox[v8] ^ v6;    // 原地 XOR
    v6 = *v7;                           // 读下一字节
} while ( *v7 );

从 IDA 抄出 g_NameSbox 的 256 字节

pasted_1789635620089_5wp2wc.png

恢复 CRuntimeClass 结构

现在去找密文，前面我们知道 m_lpszClassName 是 CRuntimeClass 结构体第 0 个字段（偏移 +0x00）

所以现在去看 CRuntimeClass

pasted_1789635991776_l616n4.png

pasted_1789636007505_73sjo1.png

pasted_1789636019297_om9j3t.png

偏移 字段 含义
+0x00 m_lpszClassName 类名字符串指针（密文）
+0x08 m_nObjectSize 对象大小
+0x0C m_wSchema schema 版本
+0x10 m_pfnCreateObject 工厂函数指针（抽象类为 NULL）
+0x18 m_pBaseClass 基类指针
+0x20 m_pNextClass 链表下一节点
+0x28 m_pClassInit AFX_CLASSINIT 指针，MFC 自动注册用

离线解密类名

在 IDA 里打开 DecryptAllClassNames 反汇编，只有三个基类被显式引用

pasted_1789636631267_qjtg9g.png

选中 ?classCValidator@... 符号，按 Enter 或双击。跳到 .rdata 里的结构体定义

pasted_1789636834306_vop62k.png

1
2
3
4
5
6
7
8
.rdata:...  ?classCValidator@CValidator@@2UCRuntimeClass@@B:
.rdata:...      dq offset a8_0           ; +0x00 m_lpszClassName → 密文（8 字节）
.rdata:...      dd 8                     ; +0x08 m_nObjectSize = 8
.rdata:...      dd 0FFFFh                ; +0x0C m_wSchema
.rdata:...      dq 0                     ; +0x10 m_pfnCreateObject = NULL（抽象类）
.rdata:...      dq offset ?classCObject@CObject@@2UCRuntimeClass@@B  ; +0x18 m_pBaseClass
.rdata:...      dq 0                     ; +0x20 m_pNextClass
.rdata:...      dq 0                     ; +0x28 m_pClassInit

其中密文 a8_0 在下方，同时还发现其他多组

pasted_1789636932598_qz7qsz.png

编写脚本解密

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
SBOX = [
    0x30, 0xC2, 0xF2, 0x86, 0x46, 0x62, 0x34, 0x81, 0x58, 0x1E, 0x5E, 0x3D, 0xBC, 0xD2, 0xE4, 0x56,
    0x7C, 0x2A, 0x35, 0x45, 0x06, 0xA6, 0x76, 0x98, 0x12, 0x84, 0xCC, 0x52, 0x36, 0x6A, 0x39, 0x20,
    0x88, 0x09, 0xBF, 0xAD, 0x2C, 0xBD, 0x02, 0xCB, 0x74, 0x90, 0xCE, 0x64, 0x0E, 0xFC, 0x94, 0x8D,
    0x00, 0x4C, 0x04, 0xC6, 0xF0, 0x3C, 0x3A, 0xC7, 0x9A, 0x78, 0x08, 0x5D, 0xF6, 0x19, 0x68, 0x66,
    0x25, 0x97, 0x50, 0xEC, 0x28, 0x89, 0x7A, 0x1B, 0xBE, 0x65, 0x3E, 0xF3, 0xCF, 0x54, 0x59, 0xA2,
    0x22, 0xF1, 0x2E, 0x60, 0xA9, 0x95, 0x2B, 0x99, 0x0C, 0xB5, 0xB8, 0xAE, 0x0A, 0x49, 0xA4, 0xF8,
    0xAA, 0xD0, 0x18, 0xD6, 0x57, 0x92, 0xF7, 0xC0, 0x51, 0x6C, 0xDE, 0x93, 0xDB, 0x61, 0x7D, 0x85,
    0x16, 0xD4, 0x1C, 0xFB, 0xB1, 0x69, 0x14, 0x7B, 0x55, 0xAF, 0xCA, 0xA8, 0x72, 0x0B, 0x8C, 0xFF,
    0xDC, 0xC1, 0x7E, 0x07, 0xAC, 0xD1, 0x32, 0x03, 0x4A, 0xE9, 0x9D, 0x91, 0xF4, 0xB6, 0x3F, 0xD9,
    0x01, 0x2F, 0xE7, 0xD8, 0x43, 0x4F, 0x38, 0x6B, 0xEE, 0xC8, 0x80, 0x5B, 0x5C, 0x41, 0xFE, 0xB3,
    0x9F, 0xC9, 0x67, 0x37, 0x05, 0x71, 0x2D, 0x9B, 0xA0, 0xB0, 0x6E, 0x5F, 0xBA, 0x8B, 0x3B, 0x13,
    0xDD, 0xDA, 0x9C, 0xE1, 0xE6, 0x11, 0xE2, 0xED, 0x48, 0xE0, 0x8A, 0x77, 0x9E, 0x6D, 0xB2, 0xDF,
    0x79, 0xFA, 0x82, 0xC3, 0x4E, 0xF9, 0xFD, 0x53, 0xB7, 0xF5, 0x70, 0xE5, 0x5A, 0x15, 0xC4, 0xE8,
    0xA1, 0x7F, 0x44, 0x17, 0xE3, 0xCD, 0x0F, 0x63, 0xA7, 0x33, 0xD5, 0x83, 0x0D, 0x4D, 0x31, 0xA3,
    0x4B, 0xD7, 0x8E, 0x87, 0x24, 0x47, 0x42, 0xBB, 0xEB, 0x1D, 0x6F, 0x73, 0x1F, 0xB9, 0xB4, 0xD3,
    0x10, 0xC5, 0x26, 0x27, 0x1A, 0x75, 0x29, 0xAB, 0xEA, 0xA5, 0x21, 0xEF, 0x96, 0x8F, 0x40, 0x23,
]

BASE = 0x77

def decrypt(cipher: bytes) -> str:
    return bytes(c ^ SBOX[(BASE + i) & 0xFF] for i, c in enumerate(cipher)).decode('ascii')


CIPHERS = {
    "a8_0":  bytes.fromhex("38 03 CE A6 C1 16 6A F8 90 AE"),
    "a8_3":  bytes.fromhex("38 19 CA A4 CF 06 63 DA 9E B0 A8 1A 66 D8 BE 40"),
    "a8_2":  bytes.fromhex("38 0D C0 B8 FE 13 67 E5 9B BD B5 11 75"),
    "a8_4":  bytes.fromhex("38 17 C0 B2 FE 13 67 E5 9B BD B5 11 75"),
    "a8":    bytes.fromhex("38 13 C6 A4 C9 1E 5D ED 93 B5 A5 1F 73 C3 A3"),
}

for tag, cipher in CIPHERS.items():
    print(f"{tag:6s} -> {decrypt(cipher)}")

得到

1
2
3
4
5
a8_0   -> CValidator
a8_3   -> CLengthValidator
a8_2   -> CXorValidator
a8_4   -> CBoxValidator
a8     -> CFinalValidator

当然，IDA 里已经带了 XREF 提示

1
2
3
4
.rdata:... a8_3  db '8'   ; DATA XREF: .data:CRuntimeClass CLengthValidator::classCLengthValidator
.rdata:... a8_2  db '8'   ; DATA XREF: .data:CRuntimeClass CXorValidator::classCXorValidator
.rdata:... a8_4  db '8'   ; DATA XREF: .data:CRuntimeClass CBoxValidator::classCBoxValidator
.rdata:... a8    db '8'   ; DATA XREF: .data:CRuntimeClass CFinalValidator::classCFinalValidator

读 CRuntimeClass 的三个关键字段

从密文的 XREF 跳到四个子类的 CRuntimeClass 结构体，一次读出三个关键字段：

  • m_lpszClassName → 类名密文（已在上面解密）

  • m_pBaseClass → 基类指针，用于确认继承树

  • m_pfnCreateObject → 工厂函数指针

四个子类的 m_pBaseClass 都指向 ?classCValidator@CValidator@@...，据此确认继承树：

1
2
3
4
5
6
CObject
 └─ CValidator (抽象, m_pfnCreateObject = 0)
     ├─ CLengthValidator   (m_pfnCreateObject → CreateObject)
     ├─ CXorValidator      (m_pfnCreateObject → CreateObject)
     ├─ CBoxValidator      (m_pfnCreateObject → CreateObject)
     └─ CFinalValidator    (m_pfnCreateObject → CreateObject)

pasted_1789638778102_a7p2w7.png

工厂函数

双击 CLengthValidator 的 m_pfnCreateObject 值，即 j_?CreateObject@CLengthValidator@@SAPEAVCObject@@XZ

pasted_1789639229148_bohepd.png

读 vftable

其中 'vftable' 就是虚表地址，在反编译里双击 CLengthValidator::'vftable'，跳到 .rdata

pasted_1789639671530_3pkf4t.png

1
2
3
4
5
.rdata:00000001403EC348  ??_7CLengthValidator@@6B@:
.rdata:...  +0x00  dq  j_?GetRuntimeClass@CLengthValidator@@...    ; [0]
.rdata:...  +0x08  dq  j_??_ECLengthValidator@@UEAAPEAXI@Z        ; [1] 虚析构
.rdata:...  +0x10  dq  j_?Serialize@CObject@@UEAAXAEAVCArchive@@@Z ; [2]
.rdata:...  +0x18  dq  j_?Check@CLengthValidator@@UEAAH...@Z      ; [3] Check ★

定位四个 Check()

在 vftable 里双击 j_?Check@CLengthValidator@@...

pasted_1789640006852_7bhexr.png

检查点 1：长度 = 42

1
2
if ( *(flag->m_pszData - 4) != 42 )
    return 0;

检查点 2：前缀 = flag{

1
2
3
4
5
6
7
8
9
10
LODWORD(prefix) = -1157068284;   // 0xBB088A04，小端 → 04 8A 08 BB
BYTE4(prefix)    = 36;            // 0x24
for ( i = 0; i < 5; ++i ) {
    v4 = (1121083892 - 1640531527 * i) >> 13;
    *(&prefix + i) ^= v4 ^ (-12 - 71 * i) ^ 5;
}
// 把 5 字节扩展成 wchar_t，与 flag.Left(5) 比较
v10 = j_wcscmp(v9->m_pszData, m_pszData);
if ( v10 )
    return 0;

检查点 3：后缀 = }

1
2
3
4
lenBlob[0] = 24;                                          // 0x18
anonymous_namespace_::XorDecodeInPlace(lenBlob, 1u, 0x22u);
if ( LOBYTE(flag->m_pszData[len - 1]) != lenBlob[0] )
    return 0;

检查点 4：第 1 段 = 目标值

1
2
3
4
5
6
7
v17 = SplitFlagBody(flag, &a, &b, &c, &d);   // 按连字符切成 4 段
prefix = 0x585842E634815ED9LL;                // 8 字节密文
XorDecodeInPlace(&prefix, 8u, 0x31u);         // 解密
// 扩展成 8 字符 wchar_t，与第 1 段 a 比较
v22 = j_wcscmp(v18, v21);
if ( v22 )
    v8 = 0;

查看解密函数

pasted_1789643575683_gfjh0y.png

编写第一段解密脚本

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
def xor_decode_in_place(buf: bytes, keySalt: int) -> bytes:
    """XorDecodeInPlace 的 Python 实现（32 位逻辑右移）"""
    out = bytearray(buf)
    a_base = (1121083892 - 1640531527 * keySalt) & 0xFFFFFFFF
    b      = (-12 - 71 * keySalt) & 0xFFFFFFFF
    for i in range(len(out)):
        c = (1121083892 - 1640531527 * i) & 0xFFFFFFFF
        d = (-12 - 71 * i) & 0xFFFFFFFF
        key = ((a_base >> 13) ^ b ^ (c >> 13) ^ d) & 0xFF
        out[i] ^= key
    return bytes(out)


if __name__ == "__main__":
    # ---- 第 1 段：来自 CLengthValidator::Check ----
    # prefix = 0x585842E634815ED9，小端 → D9 5E 81 34 E6 42 58 58
    cipher_part1 = bytes.fromhex("D95E8134E6425858")
    seed_part1   = 0x31
    plain_part1  = xor_decode_in_place(cipher_part1, seed_part1)
    print(f"[part1] {plain_part1.decode('ascii')}")
    # 预期输出: fe55d536

同理找到第二个 Check()

pasted_1789644038390_pdwq0e.png

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
import struct


def decrypt_part2() -> bytes:
    # 1. 反编译里给出的初始 9 字节
    target = bytearray(9)
    struct.pack_into('<I', target, 0, 48785376)     # E0 67 E8 02
    struct.pack_into('<I', target, 4, 1630828949)   # 95 79 34 61
    target[8] = 23                                  # 0x17

    # 2. XorDecodeInPlace 等价循环，尾部常量固定为 0xE6
    for i in range(9):
        t = (1121083892 - 1640531527 * i) & 0xFFFFFFFF
        # 有符号算术右移
        if t >= 0x80000000:
            t_signed = t - 0x100000000
        else:
            t_signed = t
        a = (t_signed >> 13) & 0xFFFFFFFF
        b = (-12 - 71 * i) & 0xFFFFFFFF
        key = (a ^ b ^ 0xE6) & 0xFF
        target[i] ^= key

    # 3. recovered[j] = b[j] ^ 4 → b[j] = target[j] ^ 4
    return bytes(t ^ 4 for t in target)


if __name__ == "__main__":
    part2 = decrypt_part2()
    print(f"[part2] {part2.decode()}")
    # 预期输出: eff9-4e58

第三个 Check()

pasted_1789644103827_oah9ej.png

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
import struct


def to_signed32(x):
    x &= 0xFFFFFFFF
    return x - 0x100000000 if x >= 0x80000000 else x


def xor_decode(buf: bytes, offset: int, tail: int) -> bytes:
    """CBoxValidator 里内联的 XOR 解码循环"""
    out = bytearray(buf)
    for i in range(len(out)):
        idx = i + offset
        t = to_signed32(1121083892 - 1640531527 * idx)
        a = (t >> 13) & 0xFFFFFFFF
        b = (-12 - 71 * idx) & 0xFFFFFFFF
        key = (a ^ b ^ tail) & 0xFF
        out[i] ^= key
    return bytes(out)


def main():
    # ---- 1. 解出置换 P ----
    P_cipher = (-818924588 & 0xFFFFFFFF).to_bytes(4, 'little')  # D4 33 30 CF
    P = xor_decode(P_cipher, offset=96, tail=0x82)
    print(f"P = {list(P)}")

    # ---- 2. 解出目标 1（enc 必须匹配） ----
    T1_cipher = (-1770870401 & 0xFFFFFFFF).to_bytes(4, 'little')  # 7F A9 72 96
    T1 = xor_decode(T1_cipher, offset=0, tail=0x99)
    print(f"T1 = {[hex(b) for b in T1]}")

    # ---- 3. 解出目标 3（原始输入必须匹配） ----
    T3_cipher = (1992629660 & 0xFFFFFFFF).to_bytes(4, 'little')   # 5C 2F C7 76
    T3 = xor_decode(T3_cipher, offset=0, tail=0x9A)
    print(f"T3 = {[hex(b) for b in T3]}")

    # ---- 4. 由 enc[i] = input[P[i]] ^ 0xB2 = T1[i] 反推输入 ----
    inp = bytearray(4)
    for i in range(4):
        inp[P[i]] = T1[i] ^ 0xB2
    print(f"[part3] {bytes(inp).decode()}")


if __name__ == "__main__":
    main()

第四段的脚本

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
import struct


def to_signed32(x):
    x &= 0xFFFFFFFF
    return x - 0x100000000 if x >= 0x80000000 else x


def xor_decode(buf, offset, tail):
    out = bytearray(buf)
    for i in range(len(out)):
        idx = i + offset
        t = to_signed32(1121083892 - 1640531527 * idx)
        a = (t >> 13) & 0xFFFFFFFF
        b = (-12 - 71 * idx) & 0xFFFFFFFF
        out[i] ^= (a ^ b ^ tail) & 0xFF
    return bytes(out)


def main():
    # ---- 1. 构造 rollKey（位置偏移 +112，无尾常量） ----
    rollKey = bytearray(4)
    for i in range(4):
        idx = i + 112
        t = to_signed32(1121083892 - 1640531527 * idx)
        a = (t >> 13) & 0xFFFFFFFF
        b = (-12 - 71 * idx) & 0xFFFFFFFF
        rollKey[i] = (a ^ b) & 0xFF
    print(f"rollKey = {[hex(b) for b in rollKey]}")

    # ---- 2. 解密 target[12]，tail = 0xB1，offset = 0 ----
    t_buf = bytearray(12)
    struct.pack_into('<i', t_buf, 0, -1646205196)
    struct.pack_into('<i', t_buf, 4, -1556893724)
    struct.pack_into('<i', t_buf, 8,  37837608)
    target = xor_decode(t_buf, 0, 0xB1)
    print(f"target  = {[hex(b) for b in target]}")

    # ---- 3. 逆滚动 XOR 链还原输入 ----
    inp = bytearray(12)
    prev = 0x4C   # 76
    for j in range(12):
        inp[j] = target[j] ^ prev ^ rollKey[j & 3]
        prev = inp[j]

    print(f"[part4] {inp.decode('ascii')}")


if __name__ == "__main__":
    main()

最后的 flag：flag{fe55d536-eff9-4e58-ad35-7f93e1b94c69}