首先将题目main文件拖入IDA中分析，分析main函数逻辑，该程序具有插入字符串（最多19个字符，最多进行15次插入）和搜索（也是最多进行15次）两个功能。
image.png (55 KB, 下载次数: 0)
下载附件
2024-11-5 00:21 上传
main函数中最先调用preprocessing函数，将本地的"flag.txt"文件读入到内存中，地址0x0064040处存储的就是flag，所以我们需要想办法读到这个内存地址。
image.png (13.06 KB, 下载次数: 0)
下载附件
2024-11-5 00:21 上传
接着分析负责插入功能的insert函数，发现插入用户输入的字符串的过程实质是构造一棵二叉树，且要求左子节点的值比右子节点的值大。
image.png (35.63 KB, 下载次数: 0)
下载附件
2024-11-5 00:20 上传
image.png (39.84 KB, 下载次数: 0)
下载附件
2024-11-5 00:06 上传
分析search函数，发现是遍历二叉树的过程。
image.png (20.74 KB, 下载次数: 0)
下载附件
2024-11-5 00:22 上传
我们可以发现search后，程序会puts打印找到的字符串。
image.png (18.38 KB, 下载次数: 0)
下载附件
2024-11-5 00:21 上传
全局变量a在内存中的地址为0x4040。当v6 = 0x4000时，&a + 24 * v6 等于0x0064040，也就是flag处。要想v6为0x4000需要输入一组数据，要求数值逐渐减小，并且小于0x6D7564206D612069，只有这样insert函数中的变量a1才会以2为底的指数增长，直到达到0x2000。我们可以将问题转化为，需要构造一棵只有左孩子节点的二叉树。
只要输入13次数据，就可以让0x2000处的节点填进数据，这样就可以和0x4000处的flag连到一起（作为左孩子节点）。
insert函数中，利用进程id和系统时间来生成随机数，并在用户每次插入字符串使用随机数进行&操作，这会导致可能随机发生树节点发生换位。这里挺阴间的，你及时知道正确的插入数据的序列，也需要一定的运气才能获得flag（每次输入时都不发生换位）。为了方便验证序列是正确的，我将a1>1的判断跳转修改为jmp，直接跳过换位操作。
image.png (17.83 KB, 下载次数: 0)
下载附件
2024-11-5 00:24 上传
image.png (37.85 KB, 下载次数: 0)
下载附件
2024-11-5 00:23 上传
在本地运行修改后的main文件，说明一下这里测试的如“00000008aaaaaaaaaaa”在调试时，手动修改为“\x00\x00\x00\x00\x00\x00\x00\x5F
[color=]aaaaaaaaaaa
”（因为无法输入不可打印的ascii字符），完成13轮输入后，查询“wd”，成功获取到flag。
image.png (121.54 KB, 下载次数: 0)
下载附件
2024-11-5 00:22 上传
image.png (64.33 KB, 下载次数: 0)
下载附件
2024-11-5 00:23 上传
贴一下解题脚本
image.png (63.16 KB, 下载次数: 0)
下载附件
2024-11-5 00:10 上传
