plaidctf 2025 sheriff_says 题解

正文

请到「今天看啥」查看全文

ida没有识别到返回值，而且go是支持多返回值的，有个大力出奇迹的方法，那就是把返回值修改为_OWORD, 返回两个返回值的函数是比较多的。

而且，据我观察函数中没有用的到倒数的参数，一般就是返回值，如这里的runtime_newobject()中的void *r0就是返回值。

修复后：好看很多(只修改函数签名还不够，还要在被调用出修改call type)

workspace/executeCommand

程序匹配method的长度，使用switch case匹配，关键点在workspace/executeCommand

其支持两个command：

1.wildwest.loadNewConfig

2.wildwest.quickDraw

通过逆向wildwest.loadNewConfig负责更新配置文件，如果配置文件设置了usefilesyetem为true，则会进入打开flag的逻辑。

其参数可以在其local type中看出来，

请到「今天看啥」查看全文