pwnable.kr [Toddler's Bottle] - flag

考查简单的逆向分析能力，主要还是看了不了解套路。

用IDA打开flag文件，发现程序流程异常，检测不到库函数，察觉到有壳。

用任意hex编辑器打开，也可以直接在IDA中观察Hex View，可以看到是加了UPX壳。



这里便可以直接用UPX壳工具解包（https://upx.github.io/），

upx -d -o flag_unpack flag

之后重新用IDA打开，查看main函数



流程已经很清晰了：

1. 使用malloc()开辟了一个堆空间，返回首地址；

2. 将flag的内容通过strcpy复制到该地址处。

这里就不用跟进到开辟的空间处去找答案，call strcpy()之前的rsi寄存器保存了flag内容所在地址，跟进到cs:flag，就能得到最终答案。