BugKuCTF 역방향 LoopAndLoop

1.
파일을 다운로드했는데 APK 파일인 것을 발견하고 시뮬레이터로 설치해 보세요. (여기는 Blue Stack을 사용합니다.)
몇 개의 숫자를 아무렇게나 입력하면'Not Right'가 표시됩니다. 정확한 비밀번호를 입력하면 flag를 얻을 수 있을 것입니다. 좋습니다. JEB를 열어 역컴파일합니다.
2.
핵심 코드는 다음과 같이 MainActivity를 엽니다.
 

protected void onCreate(Bundle arg6) {
        super.onCreate(arg6);
        this.setContentView(017701000030);
        this.findViewById(0x7F0C0052).setOnClickListener(new View$OnClickListener(this.findViewById(0x7F0C0050), this.findViewById(0x7F0C0051), this.findViewById(0x7F0C0053)) {
            public void onClick(View arg7) {
                int v1;
                String v2 = this.val$ed.getText().toString();
                try {
                    v1 = Integer.parseInt(v2);
                }
                catch(NumberFormatException v0) {
                    this.val$tv1.setText("Not a Valid Integer number");
                    return;
                }

                if(MainActivity.this.check(v1, 99) == 0x6D6F1462) {  // 1835996258
                    this.val$tv1.setText("The flag is:");
                    this.val$tv2.setText("alictf{" + MainActivity.this.stringFromJNI2(v1) + "}");
                }
                else {
                    this.val$tv1.setText("Not Right!");
                }
            }
        });
    }

 
이 코드는 우리가 입력한 문자열에 대해 먼저 검사를 한 것을 볼 수 있으며, 형식이 틀리면 이상을 던질 수 있으며, 이것은 잠시 상관하지 않아도 된다.그 다음에 check 방법을 사용하여 우리가 입력한 값과 99를 조작하고 반환 값이 1835996258와 같으면 flag를 출력한다는 판단이 나왔다.자, 다음은 체크 함수가 우리의 입력에 대해 무엇을 했는지 봅시다.
3.
check 함수가native층에 있기 때문에, IDA로liblhm을 열어야 합니다.so.위치를 찾으면 역컴파일된 코드는 다음과 같습니다.

int __fastcall Java_net_bluelotus_tomorrow_easyandroid_MainActivity_chec(int a1, int a2, int a3, int a4)
{
  int v4; // r4
  int v5; // r7
  int result; // r0
  int v7; // [sp+Ch] [bp-34h]
  int v8; // [sp+10h] [bp-30h]
  int v9; // [sp+14h] [bp-2Ch]
  int v10; // [sp+1Ch] [bp-24h]
  int v11; // [sp+20h] [bp-20h]
  int v12; // [sp+24h] [bp-1Ch]

  v9 = a2;
  v8 = a4;
  v4 = a1;
  v7 = a3;
  v5 = (*(int (**)(void))(*(_DWORD *)a1 + 24))();
  v10 = _JNIEnv::GetMethodID(v4, v5, "check1", "(II)I");
  v11 = _JNIEnv::GetMethodID(v4, v5, "check2", "(II)I");
  v12 = _JNIEnv::GetMethodID(v4, v5, "check3", "(II)I");
  if ( v8 - 1 <= 0 )
    result = v7;
  else
    result = _JNIEnv::CallIntMethod(v4, v9, *(&v10 + 2 * v8 % 3), v7, v8 - 1);
  return result;
}

이 코드를 보면 v8-1<=0일 때 첫 번째 파라미터를 되돌려주고 종료 조건을 위해 *(&v10+2*v8%3)는 세 가지 체크 방법 중 어느 것을 호출할지 결정한다. 2*v8%3=0일 때 체크 1을 호출하고 1일 때 체크 2를 호출하며 2시 체크 3, v7과 v8-1을 전입방법의 변수로 한다.총괄적으로 말하면 기본 절차는 두 개의 값을 전달하는 것이다. 첫 번째 값은 우리의 입력 값이고 서로 다른 방법을 사용한 후에 그 값을 바꾼다.두 번째 값의 초기 값은 99로 프로세스의 종료를 제어하고 check1, check2, check3의 어떤 함수를 호출할 때마다 두 번째 값은 1을 줄이고 반환 값이 1835996258와 같을 때 flag를 출력한다.
4.
기본 논리를 알게 된 후, 우리는 알고리즘을 써서 해답을 구할 수 있다.

#include 

using namespace std;

int main()
{
	long long num=99;
	long long flag=1835996258;
	while(num-1>0)
		{
			long long tmp=num*2%3;
			if(tmp==0)
				for(long long i=0;i<100;i++)
					flag-=i;
			if(tmp==1)
				if((num-1)%2==0)
					for(long long i=0;i<1000;i++)
						flag-=i;
				else
					for(long long i=0;i<1000;i++)
						flag+=i;
			if(tmp==2)
				for(long long i=0;i<10000;i++)
					flag-=i;
			num--;
		}
	cout<