赛后复现下这道题，正好也有人问这道题咋做，那就把这道题提上日程，做一做吧。

做的过程中，一头雾水，做着做着就想放弃，每次都是自己劝自己在坚持一下。最后还是自己静下心来，慢慢的抠细节，完成这道题的破解。

非常开心，特此写一篇wp记录下这道题的心路历程。顺便，截至这篇文章发布之前网上并没有这道题的详细wp，我尽量写的详细一点，看不懂官方wp的同学，可以看看这篇文章。

这道题是由bevyy引擎(rust实现)驱动的rpg游戏，

flag就是左右两边输入的数字

官方wp说可以根据特征找到源码，反正我没找到。我直接使用见闻色霸气（偷看wp）找到了：

113K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6b7M7X3q4^5g2s2g2T1k6g2)9J5c8Y4c8K6N6h3#2A6

得到源码，查看main.rs中最核心的部分:

要弄懂这道题的逻辑，必须先搞懂bevy的逻辑，不过对于这道题只需要两个机制就可以了：

定义

作用

用法

定义

作用

用法

示例：

在这里的add_plugins很简单就是加一个插件的意思，这里是模块化思想。

拿aspect/combiner.rs 举例：

update指定了 select_aspects,show_combiner_icon, select_combined_aspect,check_all_aspects_full,这四个函数会在游戏的每一帧运行，条件就是run_if中，在Gaming的状态。

在源代码的仓库中，有这个游戏的网页版，玩一遍之后游戏的流程也就有数了。

游戏逻辑是：

其中的flag的加密，就在其中的逻辑的处理函数中，共有四个，按加密顺序为：

逻辑一目了然，spawn_dialogue_runner会与输入的数字运算，check_all_aspects_full，highlight_and_select_bed，trigger_ending_dialogue之中有 xxtea的标志字段逻辑一目了然。

找到加密的函数具体是哪个还是比较费劲的，一个个的找，除了用xxtea的一眼顶真，spawn_dialogue_runner中的加密逻辑比较难找，但是话说回来，flag和游戏中的输入等价的话，那么找到输入的处理部分就是入口了，找到入口是一个思路。其次，在找到前三个之后，你会发现加密逻辑都用混淆，所以同样的思路，哪个函数中使用了相同的混淆，那就是了。总之，比较难找，需要细心与耐心。

如何定位函数，逆rust啊，要有结构体的思想，有时候指针指向的位置不一定是你想要的，但是如果你往后找一下，会找到你想要的。

crtl+ F函数名的字符串，然后交叉引用，到注册的地方(bevy_ecs::schedule::config::NodeConfigs::new_system)，找到这个指针然后点进去，往后找到run_safe,就是这个函数的具体实现了

这里读取输入的数组，这里的rdi是从前面调用bevy_ecs::system::system_param::impl_7::get_param_alictf::aspect::combiner::Combiner_获取的。（debug的时候我每次都选33，因为离那个台子最近，我以为是常量，在这里卡了半天）

接着往下看：

这里往下就是第一个混淆了。

可以发现程序使用switch 进行了控制流平坦化混淆，导致ida不能正常反编译还原正常的算法。混淆算法可以抽象为：

总之就是源代码的每一行都给你插入一个switch，让ida识别不到，手动跟一下，就能知道逻辑。

这里可以选择手都debug或者静态计算每个xor的结果，总之就是找到正确的执行顺序后，收到patch就好了。

patch结果：

其实就是手动把这些控制流恢复，修改jmp的地址就可以了。

往下，还有个同样的混淆，同样的方法patch，最后反编译的一下舒服多了

不过，就算这样，ida也恢复的不准，比如

v48的计算就不对：

正确的计算应该是：

然后就是 *(_DWORD *)(v6 + 0x78) = v47;作为下一轮的种子，然后与输入计算，存入vec。

最后算法总结为：

可以看到这里4组处理数字的模式，操作的vec正是前面push的，长度是0x40,这下flag长度也知道。

后面就是对xxtea的混淆了，对xxtea太熟了，懒得patch了，直接找变化

这里就改了DELTA，6BC6121Dh。还行，太凉心啦！

同理也是xxtea加密，只改了DELTA

除了XXTEA加密外，还在加密前后加入了常量xor，很简单一眼看出来混淆前的样子。

至此，这道题目的加密逻辑分析完毕。

最后解出是一串数字，怎么变成flag呢？

奥，md5啊。害！

[培训]科锐逆向工程师培训第53期2025年7月8日开班！