第一次参加CTF比赛我连逆向题入口在哪都没找到。一个只有几KB的exe双击就退出用记事本打开是一堆乱码当时真觉得自己跟汇编之间有堵墙。后来花了大概两个月时间从只会用IDA按F5慢慢能独立逆出带壳的入门题最大的感受是CTF逆向入门吃的不是天赋而是顺序和方法。这篇文章就围绕CTF逆向中汇编基础这个最常见的卡点把从工具链、汇编到解题流程的完整实操路线写出来供想快速上手的人直接照搬。1. CTF逆向题长什么样新手为什么总在入门原地打转1.1 一道reverse题的基础形态CTF里的逆向题本质是出题人给你一个可执行程序或者一段加密逻辑要求你通过静态分析、动态调试、算法还原等手段找出藏起来的flag。按场景分主要有三类Linux ELF题、Windows PE题、移动端/脚本逆向题。入门阶段绝大多数题目都落在前两类尤其是Linux ELF题目因为它的符号信息往往没有完全剥离分析起来相对友好。最经典的入门reverse题长这样程序运行时要求你输入一串字符输入正确就输出Correct或者直接打印flag输入错误就输出Wrong。出题人会把正确的输入或者正确输入经过某种变换后的结果硬编码在程序里你的任务就是把这段硬编码数据找出来再逆推回正确的输入。听起来简单但难就难在中间那层变换。可能是一个字节加某个常数可能是一个异或循环可能是RC4、TEA这种标准算法也可能是一堆看起来毫无逻辑的指令片段。出题人的功力就体现在变换设计得够不够刁钻而你的逆向水平也直观地体现在能不能把这层变换逆回来。1.2 新手常见的三个卡点我带过不少刚接触CTF的朋友发现大家卡住的位置高度一致主要集中在三个地方。第一个是工具不会用。很多人上来就打开IDA界面全是英文、一堆窗口不知道哪个是代码区哪个是反汇编窗口连按F5看伪代码这一步都没走到就放弃了。实际上入门阶段你只需要IDA里的三四个功能其他都可以当不存在。第二个是汇编看不懂。IDA虽然能F5但很多时候F5出来的代码跟出题人说的变换对不上。这时候你得切回汇编视图逐条指令去理解。可新手一看mov eax, [rbpvar_4]这种就直接懵了更别说那些带偏移的寻址、带条件的跳转。第三个是没有解题流程。拿到一个文件后不知道第一步该干什么、什么时候上动态调试、什么时候该去猜算法。这种迷路感比看不懂代码更致命因为你看懂了一条指令依然不知道下一步要干嘛。所以这篇文章不打算讲玄乎的逆向思维就老老实实把工具、汇编、流程这三件事讲透照着做就能迈过入门门槛。2. 从零搭一套入门工具链该装什么、为什么是这些2.1 Windows侧的组合与安装如果你主力机是Windows我建议装这样一组工具每一个都有明确用途。工具用途备注Detect It EasyDIE查文件类型、是否加壳比PEiD维护更勤识别率高IDA Free / Ghidra静态反汇编与反编译IDA Free个人版够用Ghidra开源免费x64dbgWindows动态调试自带反汇编、断点、内存查看HxD十六进制编辑器改二进制、看原始字节安装顺序无所谓但有一个约定俗成的流程拿到一个Windows的exe后先用DIE看是什么环境下编译的、有没有壳、是32位还是64位。这一步几乎能决定你后续要面对什么级别的难度。如果DIE显示UPX甚至VMProtect那就说明题目考的是脱壳不是纯逻辑分析如果是无壳Visual C编译那基本就是正常逻辑题直接上IDA即可。Ghidra和IDA Free二选一即可我个人的体会是常规CTF入门题用IDA Free更顺手它的反编译结果直观快捷键也习惯但Ghidra胜在免费且功能完整适合预算为零的学生党。两个工具的F5Ghidra里叫Decompile效果在这类入门题上差距不大。2.2 Linux侧的组合与安装Linux环境在CTF里几乎是必须的因为大量题目本身就是Linux ELF文件。就算你只在Windows上做题也强烈建议装一个Ubuntu虚拟机最好再配个WSL两个叠加基本能覆盖所有情况。Linux侧最小组合就四样file查看文件类型一条命令解决checksec查看ELF开启了哪些保护NX、PIE、Canary、RELRO虽然是pwn方向的工具但reverse题里也要看尤其判断程序是否strip过objdump / readelf命令行反汇编、查看节信息在没有图形界面时应急用gdb pwndbgLinux动态调试的首选pwndbg插件能高亮显示寄存器、栈结构对新手极其友好装完记得再配一个pwntoolsPython库。它不只是pwn方向的东西在reverse题里也常用来写exp辅助验证计算结果。终端里敲pip install pwntools即可。2.3 工具的配合关系先静态后动态很多新手以为工具就是换着试试其实它们配合的节奏非常固定。我的习惯是先用file/DIE看清文件属性再用strings扫一遍字符串然后进IDA做静态分析把关键逻辑搞清楚最后才轮到gdb或x64dbg上动态验证。动态调试不是必须的但它是验证猜想最有力的手段。静态分析就像读代码动态调试就像在代码里埋观察点直接看某个变量在某个时刻的真实值。入门阶段建议两条腿走路静态分析负责读懂动态调试负责确认。如果一个题光靠静态就能读懂那动态调试可以跳过一旦你在静态分析中产生了疑问比如这里到底带不带符号解密循环走了几轮立即上调试器验证不要凭空猜。3. 汇编零基础速成逆向真正需要的那几条指令3.1 寄存器与指令的最小集合网上那些动辄几百页的汇编教程对CTF逆向入门来说是个陷阱你真的不需要全部学完。x86-64下你需要先认识的寄存器就这几个rax / rbx / rcx / rdx通用寄存器rax常用来装返回值rcx在循环里常做计数器rdi / rsi函数调用时传参数第一个参数放rdi第二个放rsirsp / rbp栈指针和栈基址指针所有局部变量的位置都跟它们有关rip指令指针程序执行到哪条指令就看它指令方面入门必会的也就十来条mov赋值、lea取地址、add/sub加减、xor异或、cmp比较、jz/jnz/jg/jle条件跳转、call调用函数、ret返回、push/pop压栈弹出、test按位与并置标志位。你可能会问就这对就这。CTF逆向入门题99%的汇编代码都在这个集合里。剩下的如shl/shr移位、imul乘法遇到时花一分钟查一下即可。真正的核心不是每条指令的细节而是看懂指令之间的数据流也就是数值从哪里来、经过什么运算、最后比较到哪里去。3.2 调用约定和栈帧怎么看新手读汇编最大的障碍之一是看到函数开头一堆push rbp; mov rbp, rsp; sub rsp, 0x20就发懵。这其实是标准的函数栈帧结构含义是保存上一层的栈基址建立新的栈基址然后给局部变量预留0x20字节的空间。看到这段基本可以判断这里是一个新函数。调用约定决定参数怎么传。x86-64下的System V约定是前两个整数参数放在rdi和rsi返回值放rax。Windows下的x64约定略有不同rcx和rdx传前两个参数但CTF入门题绝大多数是Linux ELF记System V这套就够用。有个反直觉的地方函数内部局部变量在汇编里的表示往往是[rbp-4]这种带负偏移的形式。你看到mov eax, [rbp-4]不要纠结这个地址到底在哪直接头脑里翻译成这是某个局部变量。如果F5伪代码已经给你命名了比如v4那就通过汇编和伪代码的对应关系来回切换拿汇编里的偏移确认这个v4到底是不是我猜的那个变量。这个能力在遇到伪代码对不上的case时尤其好用。3.3 从汇编反推C代码的思考方法读汇编时我一直用一套逆向翻译法把每一条指令翻译成C语言的一小句话然后组合出整个逻辑。举个最基础的模式mov eax, [rbpvar_8] add eax, 5 mov [rbpvar_8], eax翻译过来就是var_8 var_8 5本质是C语言里的i 5。再看一个带比较的mov eax, [rbpvar_4] cmp eax, 0x10 jle short loc_401234翻译为if (var_4 0x10) goto loc_401234但注意jle是小于等于则跳转所以这里是不满足大于0x10就跳。这种方向感容易绕我的经验是永远把条件跳转理解成满足哪个条件就去哪条分支而不是哪个条件成立。刚开始可以一条指令一条指令地写注释二十条之后就会形成肌肉记忆。当你发现不需要刻意翻译就能一眼看懂一段汇编在干什么时逆向的入门关就过了。4. 照搬可用的反向解题流水线从拿到文件到找到flag4.1 第一步永远是file而不是IDA无论你拿到的是Linux ELF还是Windows exe第一动作都一样先运行file命令看文件类型。这个动作看起来基础但能避免大量无效工作。$ file baby_rev baby_rev: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, not stripped这里两个关键信息64-bit告诉你这是64位程序反汇编时要选x64模式not stripped说明符号表还在IDA或Ghidra能直接显示main函数名这会大幅降低分析难度。如果显示stripped说明符号被删了入口点只能从_start找起分析门槛会高一点。不过入门题strip的其实不多先记住这个判断标准即可。Windows exe则建议用DIE先看编译器和壳信息。不同的编译器MinGW、Visual C、GCC对应不同的入口结构和库函数调用风格看到入口特征就能初步判断难度。4.2 用strings和对象浏览找线索strings命令看起来简单却是逆向分析里性价比最高的工具之一。它的原理是把二进制文件里可打印的连续字符串提取出来。在CTF题里很多出题人会留下仓促的痕迹提示信息、明文flag片段、加密算法名称、或者某个函数注释。$ strings baby_rev /lib64/ld-linux-x86-64.so.2 ... Please input your flag: Wrong! Correct! Your flag is: %s看到Correct! Your flag is: %s这种字符串立刻就能判断程序输入后会有一个分支判断验证通过了就用printf打印flag。紧接着就能去IDA里搜这个字符串通过交叉引用IDA里按X键找到引用它的函数直接定位到核心逻辑。这比从头看入口快得多是名副其实的按图索骥。字符串只能给线索不能给最终答案。flag硬编码的位置大多隐藏在数据段strings扫不出到不一定没有只是可能被编码成字节数组或者做了混淆。看到可疑的大段十六进制数据记得切到hex view看一眼。4.3 顺着scanf/fgets找到核心函数找到入口函数的另一个高效办法是找输入函数的调用点。反向题无论包装得多花哨总要读取你的输入而读取输入在linux里无非是scanf、fgets、read这几类。IDA的Imports窗口或Functions窗口里搜scanf、fgets双击进入后按X查看交叉引用就能直接跳到调用它的函数。这个调用点往往就是主逻辑所在的函数或者紧邻核心逻辑的函数。举个例子你搜到fgets被sub_401234调用进入sub_401234后发现它调用了check_flag那就直接分析check_flag即可。我见过很多新手在主函数里翻半天其实主函数就三行提示输入、调check、输出结果真正的逻辑全在子函数里。顺着输入流去找谁处理了我输入的数据是定位核心逻辑最自然的方式。4.4 F5伪代码怎么读才不漏逻辑IDA的F5让你看到的是C风格伪代码但伪代码不是C代码它有几个特征你得适应。第一变量名带编号比如v4、v5。这些编号和汇编里的局部变量对应但顺序不代表实际栈偏移。想搞清楚某个变量是哪个直接对比汇编里的[rbp-xx]偏移更可靠。第二循环会被还原成for或者while但循环条件里的比较常被优化成奇怪的写法。比如if ( v4 0x10 )看着是小于判断实际可能是嵌套循环的边界。第三伪代码里的和移位运算可能就是出题人的加密算法。入门题最常见的加密逻辑就是for ( int i 0; i 32; i ) buf[i] ^ 0x2A;伪代码里一行异或背后就有对应的一段汇编循环。看到类似结构就要警惕这里是变换点回汇编视图把循环次数、异或常数、输入输出位置全部确认一遍。读伪代码时永远带着三个问题程序读入了什么、对数据做了什么、拿结果跟什么比较了。这三个问题的答案串起来flag的获取路径就清晰了。5. 全流程实战演练一个入门级crackme的完整推理链5.1 题目形态与初步侦察为了把前面所有流程串起来我来构造一个典型的入门级crackme教学样例结构和真实题目一致。假设我们拿到一个名为demo_rev的文件先执行file$ file demo_rev demo_rev: ELF 64-bit LSB executable, x86-64, dynamically linked, not stripped64位、未strip好开局。执行一下程序发现它提示Key:并要求输入一串字符。输入随便什么它打印Wrong退出。用strings扫一遍看到关键字符串Correct! The flag is: %s还看到一串可疑的连续字节但字符串形式像是乱码。这说明flag不是明文存储而是经过处理后才打印的。顺手用checksec看一下保护NX开了、PIE没开——意味着地址固定动态调试更方便。5.2 静态分析定位主函数与关键循环进入IDA左侧函数窗口直接能看到main。双击进入F5得到伪代码int __cdecl main(int argc, const char **argv, const char **envp) { char input[32]; char *enc_flag ......; // 一串加密后的字节 printf(Key: ); fgets(input, 32, stdin); for ( int i 0; i 31; i ) input[i] i; // 每个字符加上其索引值 if ( strcmp(input, enc_flag) 0 ) printf(Correct! The flag is: %s, flag); else puts(Wrong); }这是非常典型的入门变换逐字节加上索引值。现在打开汇编视图验证这个for循环能看到mov rdx, [rbpvar_20]之类的局部变量操作以及add eax, ebx之类的累加操作。确认伪代码和汇编一致后问题变成enc_flag里存的是什么样的字节F5里enc_flag显示的字符串可能不是可见字符因为它是加密后的字节值。双击这个变量跳转到数据段选中它的字节内容用Python还原一下已知逻辑是input[i] i enc_flag[i]那么正确的输入应该是enc_flag[i] - i。5.3 动态验证断点下的寄存器对比静态分析推出了推理但严谨起见上一遍动态调试来验证。用gdb加载程序在strcmp处下断点$ gdb ./demo_rev (gdb) b strcmp (gdb) run输入一串测试字符命中断点后查看寄存器。此时rdi和rsi分别指向传入strcmp的两个字符串——也就是变换后的输入和加密后的目标值。用x/s $rdi和x/s $rsi打印两个字符串的内容立刻能确认静态分析的推断对不对。如果验证发现对不上通常问题出在变换逻辑读错了比如input[i] i和input[i] 1看混淆了。这时候回汇编单步在循环内部下断点观察每次add执行前后eax的变化就能精确定位偏移量。动态验证的最大价值在于它把我猜的逻辑和程序真实的逻辑之间的误差暴露出来。入门阶段多做几次这种验证排查错误的速度会快很多。5.4 推理链总结这类题的通用解法模板上面这个样例看起来简单但它的推理链条可以推广到绝大多数入门reverse题识别输入函数 → 定位处理函数 → 找到变换逻辑 → 推导还原公式 → 写脚本还原正确输入 → 用还原出的输入运行程序验证很多新手卡住是因为跳过了中间步骤直接想flag是什么。实际应该先把变换逻辑当成一个黑盒分开处理输入进黑盒黑盒出结果拿结果和目标比对。你要做的不是同时搞懂所有东西而是把黑盒打开看清每一步变换然后用逆运算还原。写还原脚本时我通常直接用Python简洁不用编译。上面样例的还原脚本长这样enc bytes.fromhex(......) # 数据段里提取的字节序列 flag bytes([enc[i] - i for i in range(len(enc))]) print(flag)用这个还原出的flag再运行程序验证如果输出Correct整条推理链闭合。6. 从入门到能打区域赛路线规划与工具升级节奏6.1 刷题科目怎么分配入门阶段最容易犯的错误是贪多、杂而不深。我今天看一个题目明天换一个方向结果哪个都没吃透上了赛场什么都反应不过来。我的建议是按广度—深度—拓展三个阶段分配刷题精力。广度阶段2~3周每天做1~2道纯Linux ELF的无壳题目类型就锁定输入判断型和静态字符串查找型。刷十几个之后你就发现这些题的核心套路基本一致只是变换算法和数据结构在变。此阶段的目标不是解题多快而是形成固定流程。深度阶段3~4周开始接触带加密算法的题目比如RC4、TEA、AES裸实现。不用把这些算法完全背下来但见到特征循环里连续异或移位、查表操作、固定的魔数要能识别。练习从加密代码反推解密代码写脚本还原flag。拓展阶段视精力而定再做脱壳题常见UPX、FSG、反调试题、windows PE题。这个阶段才建议去碰安卓APK逆向或JavaScript前端加密逆向。很多新手一上来就研究安卓逆向结果基础不牢连dex文件结构都不认识纯属自我劝退。6.2 什么时候开始学安卓/JS/杂项分支热词里提到微信小程序逆向、“抖音js爬虫逆向、i茅台逆向”这些方向确实热闹但我不建议小白一上来就扑上去。原因很简单这些场景往往混合了大量反爬、混淆、代码压缩等对抗手段而CTF入门题是把对抗隔离开的让新的分析者眼界足够清晰。先把无对抗的纯逻辑题做透再学对抗技术才是省时间的路径。如果一定要给个时间线先把Linux ELF题做满30~50道能做到看到题就有思路、15分钟内能定位主函数再考虑换分支。安卓逆向要先会jadx、fridaJS逆向先学JavaScript动态调试和AST脱混淆。这些都是独立技能树没基础硬上很容易被打击到弃坑。另外不要忽略杂项和密码学在逆向里的交叉。像热词里的mt19937随机数预测、sam_and_steg隐写与逆向结合、.pcapng usb ctfUSB流量还原本质上都是逆向思维在不同数据形态上的延伸。入门阶段可以不做这些题但它们会让你明白一个道理逆向的核心不是工具多强而是能从任何黑盒里抽出规律。6.3 自动化工具的使用时机关于angr这类符号执行工具我的看法是入门期别碰有基础之后当辅助。很多新手听说angr能自动求解flag就兴冲冲去装结果连符号状态、求解器、路径爆炸都没搞明白白白消耗时间而且大部分带有算法验证的题目用符号执行反而比人肉逆推更容易翻车。我的使用节奏是先手动逆推逆推过程中发现瓶颈比如循环太深、手动推导容易错才考虑用自动化工具辅助验证。比如你推断某段逻辑是逐字节异或加索引可以直接用angr验证这个推断是否能求出正确输入。工具是经验的放大器不是替代品。没有手动分析经验的人用angr求出的结果都不知怎么检查。所以你现在要做的事很清楚装好工具链找平台上的simple reverse标签题按文章里第4章的流程一个一个刷。前三个题目可能写代码比看反汇编还快第20个题目之后你开始觉得汇编飘着的那层雾在散开。到时候再回头看这篇文章你就知道那段从汇编到flag的完整推理链到底值多少力气了。
CTF逆向入门：从汇编基础到解题流程的完整实操指南
第一次参加CTF比赛我连逆向题入口在哪都没找到。一个只有几KB的exe双击就退出用记事本打开是一堆乱码当时真觉得自己跟汇编之间有堵墙。后来花了大概两个月时间从只会用IDA按F5慢慢能独立逆出带壳的入门题最大的感受是CTF逆向入门吃的不是天赋而是顺序和方法。这篇文章就围绕CTF逆向中汇编基础这个最常见的卡点把从工具链、汇编到解题流程的完整实操路线写出来供想快速上手的人直接照搬。1. CTF逆向题长什么样新手为什么总在入门原地打转1.1 一道reverse题的基础形态CTF里的逆向题本质是出题人给你一个可执行程序或者一段加密逻辑要求你通过静态分析、动态调试、算法还原等手段找出藏起来的flag。按场景分主要有三类Linux ELF题、Windows PE题、移动端/脚本逆向题。入门阶段绝大多数题目都落在前两类尤其是Linux ELF题目因为它的符号信息往往没有完全剥离分析起来相对友好。最经典的入门reverse题长这样程序运行时要求你输入一串字符输入正确就输出Correct或者直接打印flag输入错误就输出Wrong。出题人会把正确的输入或者正确输入经过某种变换后的结果硬编码在程序里你的任务就是把这段硬编码数据找出来再逆推回正确的输入。听起来简单但难就难在中间那层变换。可能是一个字节加某个常数可能是一个异或循环可能是RC4、TEA这种标准算法也可能是一堆看起来毫无逻辑的指令片段。出题人的功力就体现在变换设计得够不够刁钻而你的逆向水平也直观地体现在能不能把这层变换逆回来。1.2 新手常见的三个卡点我带过不少刚接触CTF的朋友发现大家卡住的位置高度一致主要集中在三个地方。第一个是工具不会用。很多人上来就打开IDA界面全是英文、一堆窗口不知道哪个是代码区哪个是反汇编窗口连按F5看伪代码这一步都没走到就放弃了。实际上入门阶段你只需要IDA里的三四个功能其他都可以当不存在。第二个是汇编看不懂。IDA虽然能F5但很多时候F5出来的代码跟出题人说的变换对不上。这时候你得切回汇编视图逐条指令去理解。可新手一看mov eax, [rbpvar_4]这种就直接懵了更别说那些带偏移的寻址、带条件的跳转。第三个是没有解题流程。拿到一个文件后不知道第一步该干什么、什么时候上动态调试、什么时候该去猜算法。这种迷路感比看不懂代码更致命因为你看懂了一条指令依然不知道下一步要干嘛。所以这篇文章不打算讲玄乎的逆向思维就老老实实把工具、汇编、流程这三件事讲透照着做就能迈过入门门槛。2. 从零搭一套入门工具链该装什么、为什么是这些2.1 Windows侧的组合与安装如果你主力机是Windows我建议装这样一组工具每一个都有明确用途。工具用途备注Detect It EasyDIE查文件类型、是否加壳比PEiD维护更勤识别率高IDA Free / Ghidra静态反汇编与反编译IDA Free个人版够用Ghidra开源免费x64dbgWindows动态调试自带反汇编、断点、内存查看HxD十六进制编辑器改二进制、看原始字节安装顺序无所谓但有一个约定俗成的流程拿到一个Windows的exe后先用DIE看是什么环境下编译的、有没有壳、是32位还是64位。这一步几乎能决定你后续要面对什么级别的难度。如果DIE显示UPX甚至VMProtect那就说明题目考的是脱壳不是纯逻辑分析如果是无壳Visual C编译那基本就是正常逻辑题直接上IDA即可。Ghidra和IDA Free二选一即可我个人的体会是常规CTF入门题用IDA Free更顺手它的反编译结果直观快捷键也习惯但Ghidra胜在免费且功能完整适合预算为零的学生党。两个工具的F5Ghidra里叫Decompile效果在这类入门题上差距不大。2.2 Linux侧的组合与安装Linux环境在CTF里几乎是必须的因为大量题目本身就是Linux ELF文件。就算你只在Windows上做题也强烈建议装一个Ubuntu虚拟机最好再配个WSL两个叠加基本能覆盖所有情况。Linux侧最小组合就四样file查看文件类型一条命令解决checksec查看ELF开启了哪些保护NX、PIE、Canary、RELRO虽然是pwn方向的工具但reverse题里也要看尤其判断程序是否strip过objdump / readelf命令行反汇编、查看节信息在没有图形界面时应急用gdb pwndbgLinux动态调试的首选pwndbg插件能高亮显示寄存器、栈结构对新手极其友好装完记得再配一个pwntoolsPython库。它不只是pwn方向的东西在reverse题里也常用来写exp辅助验证计算结果。终端里敲pip install pwntools即可。2.3 工具的配合关系先静态后动态很多新手以为工具就是换着试试其实它们配合的节奏非常固定。我的习惯是先用file/DIE看清文件属性再用strings扫一遍字符串然后进IDA做静态分析把关键逻辑搞清楚最后才轮到gdb或x64dbg上动态验证。动态调试不是必须的但它是验证猜想最有力的手段。静态分析就像读代码动态调试就像在代码里埋观察点直接看某个变量在某个时刻的真实值。入门阶段建议两条腿走路静态分析负责读懂动态调试负责确认。如果一个题光靠静态就能读懂那动态调试可以跳过一旦你在静态分析中产生了疑问比如这里到底带不带符号解密循环走了几轮立即上调试器验证不要凭空猜。3. 汇编零基础速成逆向真正需要的那几条指令3.1 寄存器与指令的最小集合网上那些动辄几百页的汇编教程对CTF逆向入门来说是个陷阱你真的不需要全部学完。x86-64下你需要先认识的寄存器就这几个rax / rbx / rcx / rdx通用寄存器rax常用来装返回值rcx在循环里常做计数器rdi / rsi函数调用时传参数第一个参数放rdi第二个放rsirsp / rbp栈指针和栈基址指针所有局部变量的位置都跟它们有关rip指令指针程序执行到哪条指令就看它指令方面入门必会的也就十来条mov赋值、lea取地址、add/sub加减、xor异或、cmp比较、jz/jnz/jg/jle条件跳转、call调用函数、ret返回、push/pop压栈弹出、test按位与并置标志位。你可能会问就这对就这。CTF逆向入门题99%的汇编代码都在这个集合里。剩下的如shl/shr移位、imul乘法遇到时花一分钟查一下即可。真正的核心不是每条指令的细节而是看懂指令之间的数据流也就是数值从哪里来、经过什么运算、最后比较到哪里去。3.2 调用约定和栈帧怎么看新手读汇编最大的障碍之一是看到函数开头一堆push rbp; mov rbp, rsp; sub rsp, 0x20就发懵。这其实是标准的函数栈帧结构含义是保存上一层的栈基址建立新的栈基址然后给局部变量预留0x20字节的空间。看到这段基本可以判断这里是一个新函数。调用约定决定参数怎么传。x86-64下的System V约定是前两个整数参数放在rdi和rsi返回值放rax。Windows下的x64约定略有不同rcx和rdx传前两个参数但CTF入门题绝大多数是Linux ELF记System V这套就够用。有个反直觉的地方函数内部局部变量在汇编里的表示往往是[rbp-4]这种带负偏移的形式。你看到mov eax, [rbp-4]不要纠结这个地址到底在哪直接头脑里翻译成这是某个局部变量。如果F5伪代码已经给你命名了比如v4那就通过汇编和伪代码的对应关系来回切换拿汇编里的偏移确认这个v4到底是不是我猜的那个变量。这个能力在遇到伪代码对不上的case时尤其好用。3.3 从汇编反推C代码的思考方法读汇编时我一直用一套逆向翻译法把每一条指令翻译成C语言的一小句话然后组合出整个逻辑。举个最基础的模式mov eax, [rbpvar_8] add eax, 5 mov [rbpvar_8], eax翻译过来就是var_8 var_8 5本质是C语言里的i 5。再看一个带比较的mov eax, [rbpvar_4] cmp eax, 0x10 jle short loc_401234翻译为if (var_4 0x10) goto loc_401234但注意jle是小于等于则跳转所以这里是不满足大于0x10就跳。这种方向感容易绕我的经验是永远把条件跳转理解成满足哪个条件就去哪条分支而不是哪个条件成立。刚开始可以一条指令一条指令地写注释二十条之后就会形成肌肉记忆。当你发现不需要刻意翻译就能一眼看懂一段汇编在干什么时逆向的入门关就过了。4. 照搬可用的反向解题流水线从拿到文件到找到flag4.1 第一步永远是file而不是IDA无论你拿到的是Linux ELF还是Windows exe第一动作都一样先运行file命令看文件类型。这个动作看起来基础但能避免大量无效工作。$ file baby_rev baby_rev: ELF 64-bit LSB executable, x86-64, version 1 (SYSV), dynamically linked, not stripped这里两个关键信息64-bit告诉你这是64位程序反汇编时要选x64模式not stripped说明符号表还在IDA或Ghidra能直接显示main函数名这会大幅降低分析难度。如果显示stripped说明符号被删了入口点只能从_start找起分析门槛会高一点。不过入门题strip的其实不多先记住这个判断标准即可。Windows exe则建议用DIE先看编译器和壳信息。不同的编译器MinGW、Visual C、GCC对应不同的入口结构和库函数调用风格看到入口特征就能初步判断难度。4.2 用strings和对象浏览找线索strings命令看起来简单却是逆向分析里性价比最高的工具之一。它的原理是把二进制文件里可打印的连续字符串提取出来。在CTF题里很多出题人会留下仓促的痕迹提示信息、明文flag片段、加密算法名称、或者某个函数注释。$ strings baby_rev /lib64/ld-linux-x86-64.so.2 ... Please input your flag: Wrong! Correct! Your flag is: %s看到Correct! Your flag is: %s这种字符串立刻就能判断程序输入后会有一个分支判断验证通过了就用printf打印flag。紧接着就能去IDA里搜这个字符串通过交叉引用IDA里按X键找到引用它的函数直接定位到核心逻辑。这比从头看入口快得多是名副其实的按图索骥。字符串只能给线索不能给最终答案。flag硬编码的位置大多隐藏在数据段strings扫不出到不一定没有只是可能被编码成字节数组或者做了混淆。看到可疑的大段十六进制数据记得切到hex view看一眼。4.3 顺着scanf/fgets找到核心函数找到入口函数的另一个高效办法是找输入函数的调用点。反向题无论包装得多花哨总要读取你的输入而读取输入在linux里无非是scanf、fgets、read这几类。IDA的Imports窗口或Functions窗口里搜scanf、fgets双击进入后按X查看交叉引用就能直接跳到调用它的函数。这个调用点往往就是主逻辑所在的函数或者紧邻核心逻辑的函数。举个例子你搜到fgets被sub_401234调用进入sub_401234后发现它调用了check_flag那就直接分析check_flag即可。我见过很多新手在主函数里翻半天其实主函数就三行提示输入、调check、输出结果真正的逻辑全在子函数里。顺着输入流去找谁处理了我输入的数据是定位核心逻辑最自然的方式。4.4 F5伪代码怎么读才不漏逻辑IDA的F5让你看到的是C风格伪代码但伪代码不是C代码它有几个特征你得适应。第一变量名带编号比如v4、v5。这些编号和汇编里的局部变量对应但顺序不代表实际栈偏移。想搞清楚某个变量是哪个直接对比汇编里的[rbp-xx]偏移更可靠。第二循环会被还原成for或者while但循环条件里的比较常被优化成奇怪的写法。比如if ( v4 0x10 )看着是小于判断实际可能是嵌套循环的边界。第三伪代码里的和移位运算可能就是出题人的加密算法。入门题最常见的加密逻辑就是for ( int i 0; i 32; i ) buf[i] ^ 0x2A;伪代码里一行异或背后就有对应的一段汇编循环。看到类似结构就要警惕这里是变换点回汇编视图把循环次数、异或常数、输入输出位置全部确认一遍。读伪代码时永远带着三个问题程序读入了什么、对数据做了什么、拿结果跟什么比较了。这三个问题的答案串起来flag的获取路径就清晰了。5. 全流程实战演练一个入门级crackme的完整推理链5.1 题目形态与初步侦察为了把前面所有流程串起来我来构造一个典型的入门级crackme教学样例结构和真实题目一致。假设我们拿到一个名为demo_rev的文件先执行file$ file demo_rev demo_rev: ELF 64-bit LSB executable, x86-64, dynamically linked, not stripped64位、未strip好开局。执行一下程序发现它提示Key:并要求输入一串字符。输入随便什么它打印Wrong退出。用strings扫一遍看到关键字符串Correct! The flag is: %s还看到一串可疑的连续字节但字符串形式像是乱码。这说明flag不是明文存储而是经过处理后才打印的。顺手用checksec看一下保护NX开了、PIE没开——意味着地址固定动态调试更方便。5.2 静态分析定位主函数与关键循环进入IDA左侧函数窗口直接能看到main。双击进入F5得到伪代码int __cdecl main(int argc, const char **argv, const char **envp) { char input[32]; char *enc_flag ......; // 一串加密后的字节 printf(Key: ); fgets(input, 32, stdin); for ( int i 0; i 31; i ) input[i] i; // 每个字符加上其索引值 if ( strcmp(input, enc_flag) 0 ) printf(Correct! The flag is: %s, flag); else puts(Wrong); }这是非常典型的入门变换逐字节加上索引值。现在打开汇编视图验证这个for循环能看到mov rdx, [rbpvar_20]之类的局部变量操作以及add eax, ebx之类的累加操作。确认伪代码和汇编一致后问题变成enc_flag里存的是什么样的字节F5里enc_flag显示的字符串可能不是可见字符因为它是加密后的字节值。双击这个变量跳转到数据段选中它的字节内容用Python还原一下已知逻辑是input[i] i enc_flag[i]那么正确的输入应该是enc_flag[i] - i。5.3 动态验证断点下的寄存器对比静态分析推出了推理但严谨起见上一遍动态调试来验证。用gdb加载程序在strcmp处下断点$ gdb ./demo_rev (gdb) b strcmp (gdb) run输入一串测试字符命中断点后查看寄存器。此时rdi和rsi分别指向传入strcmp的两个字符串——也就是变换后的输入和加密后的目标值。用x/s $rdi和x/s $rsi打印两个字符串的内容立刻能确认静态分析的推断对不对。如果验证发现对不上通常问题出在变换逻辑读错了比如input[i] i和input[i] 1看混淆了。这时候回汇编单步在循环内部下断点观察每次add执行前后eax的变化就能精确定位偏移量。动态验证的最大价值在于它把我猜的逻辑和程序真实的逻辑之间的误差暴露出来。入门阶段多做几次这种验证排查错误的速度会快很多。5.4 推理链总结这类题的通用解法模板上面这个样例看起来简单但它的推理链条可以推广到绝大多数入门reverse题识别输入函数 → 定位处理函数 → 找到变换逻辑 → 推导还原公式 → 写脚本还原正确输入 → 用还原出的输入运行程序验证很多新手卡住是因为跳过了中间步骤直接想flag是什么。实际应该先把变换逻辑当成一个黑盒分开处理输入进黑盒黑盒出结果拿结果和目标比对。你要做的不是同时搞懂所有东西而是把黑盒打开看清每一步变换然后用逆运算还原。写还原脚本时我通常直接用Python简洁不用编译。上面样例的还原脚本长这样enc bytes.fromhex(......) # 数据段里提取的字节序列 flag bytes([enc[i] - i for i in range(len(enc))]) print(flag)用这个还原出的flag再运行程序验证如果输出Correct整条推理链闭合。6. 从入门到能打区域赛路线规划与工具升级节奏6.1 刷题科目怎么分配入门阶段最容易犯的错误是贪多、杂而不深。我今天看一个题目明天换一个方向结果哪个都没吃透上了赛场什么都反应不过来。我的建议是按广度—深度—拓展三个阶段分配刷题精力。广度阶段2~3周每天做1~2道纯Linux ELF的无壳题目类型就锁定输入判断型和静态字符串查找型。刷十几个之后你就发现这些题的核心套路基本一致只是变换算法和数据结构在变。此阶段的目标不是解题多快而是形成固定流程。深度阶段3~4周开始接触带加密算法的题目比如RC4、TEA、AES裸实现。不用把这些算法完全背下来但见到特征循环里连续异或移位、查表操作、固定的魔数要能识别。练习从加密代码反推解密代码写脚本还原flag。拓展阶段视精力而定再做脱壳题常见UPX、FSG、反调试题、windows PE题。这个阶段才建议去碰安卓APK逆向或JavaScript前端加密逆向。很多新手一上来就研究安卓逆向结果基础不牢连dex文件结构都不认识纯属自我劝退。6.2 什么时候开始学安卓/JS/杂项分支热词里提到微信小程序逆向、“抖音js爬虫逆向、i茅台逆向”这些方向确实热闹但我不建议小白一上来就扑上去。原因很简单这些场景往往混合了大量反爬、混淆、代码压缩等对抗手段而CTF入门题是把对抗隔离开的让新的分析者眼界足够清晰。先把无对抗的纯逻辑题做透再学对抗技术才是省时间的路径。如果一定要给个时间线先把Linux ELF题做满30~50道能做到看到题就有思路、15分钟内能定位主函数再考虑换分支。安卓逆向要先会jadx、fridaJS逆向先学JavaScript动态调试和AST脱混淆。这些都是独立技能树没基础硬上很容易被打击到弃坑。另外不要忽略杂项和密码学在逆向里的交叉。像热词里的mt19937随机数预测、sam_and_steg隐写与逆向结合、.pcapng usb ctfUSB流量还原本质上都是逆向思维在不同数据形态上的延伸。入门阶段可以不做这些题但它们会让你明白一个道理逆向的核心不是工具多强而是能从任何黑盒里抽出规律。6.3 自动化工具的使用时机关于angr这类符号执行工具我的看法是入门期别碰有基础之后当辅助。很多新手听说angr能自动求解flag就兴冲冲去装结果连符号状态、求解器、路径爆炸都没搞明白白白消耗时间而且大部分带有算法验证的题目用符号执行反而比人肉逆推更容易翻车。我的使用节奏是先手动逆推逆推过程中发现瓶颈比如循环太深、手动推导容易错才考虑用自动化工具辅助验证。比如你推断某段逻辑是逐字节异或加索引可以直接用angr验证这个推断是否能求出正确输入。工具是经验的放大器不是替代品。没有手动分析经验的人用angr求出的结果都不知怎么检查。所以你现在要做的事很清楚装好工具链找平台上的simple reverse标签题按文章里第4章的流程一个一个刷。前三个题目可能写代码比看反汇编还快第20个题目之后你开始觉得汇编飘着的那层雾在散开。到时候再回头看这篇文章你就知道那段从汇编到flag的完整推理链到底值多少力气了。
