Home avatar

2023 ciscn talkbot

要如何识别出这个加密是一个 protobuf 呢?有如下几种办法

搜索字符串,可以在 github 上找到仓库

ciscn shellwego

  • 恢复符号表

    elf 是去了符号表的,可以用 bindiff 恢复符号表。(将这个文件和其他的有符号表的 go 的文件 database diff,相似的部分导入符号表,自动导入重合度高的函数)

  • golang 的传参方式

    在 Go1.17 版本之前,Go 函数调用是通过栈来传递的。1.17 中 32 位的通过寄存器传递,64 位的还是栈,到 Go1.18 全部通过寄存器传递参数了。不过具体是哪些寄存器用什么顺序传参,感觉不是固定的欸(?)。

  • 查看 go elf 和 modules 的版本

    本题没有外部的 modules