Flare-On 2015: حل التحدي الثاني

You crushed that last one! Let's up the game.
Enter the password>

sub_401000 proc near
.text:00401000 pop     eax
.text:00401001 push    ebp
.text:00401002 mov     ebp, esp

.text:00401004                 sub     esp, 10h
.text:00401007                 mov     [ebp-10h], eax
.text:0040100A                 push    0FFFFFFF6h        ; STD_INPUT_HANDLE
.text:0040100C                 call    GetStdHandle
.text:00401012                 mov     [ebp-0Ch], eax
.text:00401015                 push    0FFFFFFF5h        ; STD_OUTPUT_HANDLE
.text:00401017                 call    GetStdHandle
.text:0040101D                 mov     [ebp-8], eax
.text:00401020                 push    0
.text:00401022                 lea     eax, [ebp-4]
.text:00401025                 push    eax
.text:00401026                 push    43h               ; 'C'
.text:00401028                 push    offset aYouCrushedThat ; "You crushed that last one! Let's up the game."
.text:0040102D                 push    dword ptr [ebp-8]
.text:00401030                 call    WriteFile
.text:00401036                 push    0
.text:00401038                 lea     eax, [ebp-4]
.text:0040103B                 push    eax
.text:0040103C                 push    32h               ; '2'
.text:0040103E                 push    offset unk_402159
.text:00401043                 push    dword ptr [ebp-0Ch]
.text:00401046                 call    ReadFile

.text:0040104C                 push    0               ; lpOverlapped
.text:0040104E                 lea     eax, [ebp-4]
.text:00401051                 push    eax             ; lpNumberOfBytesWritten
.text:00401052                 push    11h             ; nNumberOfBytesToWrite
.text:00401054                 push    dword ptr [ebp-4]      ; عدد البايتات المقروءة
.text:00401057                 push    offset unk_402159      ; المُدخل من المستخدم
.text:0040105C                 push    dword ptr [ebp-10h]    ; المعامل السري (قيمة pop eax)
.text:0040105F                 call    sub_401084
.text:00401064                 add     esp, 0Ch

sub_401084 proc near
    push    ebp
    mov     ebp, esp
    sub     esp, 0          ; لا يخصص مساحة إضافية (مجرد إطار)
    push    edi
    push    esi
    xor     ebx, ebx        ; ebx = 0 (المجموع التراكمي bx)
    mov     ecx, 25h        ; ecx = 37 (عدد البايتات المطلوبة)
    cmp     [ebp+arg_8], ecx ; إذا كان طول المدخل أقل من 37 -> فشل
    jl      loc_4010D7
    mov     esi, [ebp+arg_4]  ; esi = مؤشر المدخل (input buffer)
    mov     edi, [ebp+arg_0]  ; edi = مؤشر البيانات المخفية (hidden buffer)
    lea     edi, [edi+ecx-1]  ; edi = edi + 36 (يشير إلى آخر عنصر في المخفي)

loc_4010A2:
    mov     dx, bx        ; dx = المجموع التراكمي السفلي (bx)
    and     dx, 3         ; dx = bx & 3 (نأخذ آخر بتّين فقط)
    mov     ax, 1C7h      ; ax = 0x1C7
    push    eax           ; حفظ eax على الستاك
    sahf                  ; تحميل ah (0x01) إلى أعلام EFLAGS -> تعيين CF = 1
    lodsb                 ; al = بايت من مدخل المستخدم (من esi)، ثم esi++
    pushf                 ; حفظ الأعلام الحالية على الستاك
    xor     al, [esp+4]   ; al = al XOR 0xC7
    xchg    cl, dl        ; تبادل cl مع dl (cl = العداد، dl = bx&3)
    rol     ah, cl        ; تدوير ah (0x01) بمقدار (bx&3) -> ah = 1 << (bx&3)
    popf                  ; استعادة الأعلام (CF = 1)
    adc     al, ah        ; al = al + ah + CF
    xchg    cl, dl        ; إعادة cl و dl إلى أماكنهما
    xor     edx, edx      ; edx = 0
    and     eax, 0FFh     ; eax = al فقط
    add     bx, ax        ; bx = bx + al (المجموع التراكمي)
    scasb                 ; قارن al مع [edi] ثم edi++ (DF=0)
    cmovnz  cx, dx        ; إذا لم تتساوَ (ZF=0): cx = dx = 0 -> فشل مبكر
    pop     eax           ; استعادة 0x1C7 من الستاك
    jecxz   loc_4010D7    ; إذا أصبح cx = 0 -> اخرج بفشل
    sub     edi, 2        ; edi = edi - 2 (مع زيادة scasb يصبح صافي edi--)
    loop    loc_4010A2    ; إنقاص ecx ثم القفز إذا لم يصل إلى 0
    jmp     short loc_4010D9 ; نجاح

push    eax          ; يخزن 0x1C7 على الستاك
sahf                ; ينقل ah (0x01) إلى البايت المنخفض من EFLAGS
lodsb               ; يقرأ بايت من المدخل إلى al
pushf               ; يدفع الأعلام الحالية إلى الستاك

xor al, 0xC7

xchg    cl, dl      ; cl = العداد، dl = bx&3  -> بعد التبادل: cl = bx&3
rol     ah, cl      ; ah = 1 << (bx&3)

al = al + R + 1

T = ((input_byte XOR 0xC7) + R + 1) mod 256

hidden[36]  يُقارن مع  input[0]
hidden[35]  يُقارن مع  input[1]
...
hidden[0]   يُقارن مع  input[36]

(input_byte XOR 0xC7) = (T - R - 1) mod 256
input_byte = ((T - R - 1) mod 256) XOR 0xC7

hidden = [
  0xAF, 0xAA, 0xAD, 0xEB, 0xAE, 0xAA, 0xEC, 0xA4, 0xBA, 0xAF, 0xAE, 0xAA,
  0x8A, 0xC0, 0xA7, 0xB0, 0xBC, 0x9A, 0xBA, 0xA5, 0xA5, 0xBA, 0xAF, 0xB8,
  0x9D, 0xB8, 0xF9, 0xAE, 0x9D, 0xAB, 0xB4, 0xBC, 0xB6, 0xB3, 0x90, 0x9A, 0xA8
]

#include <idc.idc>

static main()
{
    auto arg0, i, bx, ref_addr, ref_byte, shift, rot, candidate, out, flag;
    arg0 = 0x4010E4;    // عنوان البيانات المخفية
    bx = 0;
    flag = "";          // لتجميع النتيجة كنص

    for (i = 0; i < 37; i++)
    {
        // العنوان المرجعي = arg0 + 36 - i (تقدم خطي عكسي)
        ref_addr = arg0 + 36 - i;
        ref_byte = Byte(ref_addr);
        shift = bx & 3;
        rot = 1 << shift;   // 1, 2, 4, 8

        for (candidate = 0; candidate < 256; candidate++)
        {
            out = ((candidate ^ 0xC7) + rot + 1) & 0xFF;   // لاحظ XOR مع 0xC7
            if (out == ref_byte)
            {
                flag = flag + sprintf("%c", candidate);   // أضف الحرف مباشرة
                bx = (bx + out) & 0xFFFF;
                break;
            }
        }
    }

    Message("Flag: %s\n", flag);
}