1. 逆向工程入门：从Pascal源码到裸机二进制
作为一名长期从事二进制安全研究的工程师，我最近在CTF比赛中遇到了一个有趣的挑战——"pascal-to-the-metal"。这个挑战要求我们分析一个由Pascal语言编写并编译成裸机二进制程序的文件，最终提取出隐藏的flag。整个过程让我对Pascal语言的编译特性和裸机程序逆向有了更深入的理解，今天就把我的分析过程和经验分享给大家。
裸机程序（Bare-Metal）指的是不依赖任何操作系统，直接在硬件上运行的程序。这类程序通常用于嵌入式系统、固件开发或早期的计算机系统。在CTF比赛中，裸机逆向题目往往能考察选手对计算机底层原理的理解程度。
2. 准备工作与环境搭建
2.1 工具准备
在开始逆向之前，我们需要准备以下工具：
- IDA Pro或Ghidra：用于静态反汇编分析
- QEMU：用于模拟裸机环境运行二进制文件
- GDB：配合QEMU进行动态调试
- ndisasm：用于快速反汇编16位代码
- Python：用于编写解密脚本
2.2 理解Pascal语言特性
Pascal是一种结构化编程语言，具有以下重要特性：
- 严格的类型系统
- 显式的变量声明
- 使用begin...end作为代码块分隔符
- 字符串存储方式特殊（第一个字节存储长度）
这些特性会直接影响编译器生成的机器码模式，理解它们对逆向工作至关重要。
3. 初步分析与文件识别
3.1 文件类型分析
首先使用file命令检查二进制文件类型：
bash复制$ file checker.bin
checker.bin: DOS/MBR boot sector
这个输出告诉我们，这是一个主引导记录（MBR）程序，意味着：
- 文件大小通常为512字节
- 程序会被加载到内存地址0x7C00处执行
- 运行在16位实模式下
3.2 字符串提取
使用strings命令查看文件中可打印的字符串：
bash复制$ strings checker.bin
Welcome to the Pascal-to-the-Metal checker!
Enter the flag:
Correct!
Wrong!
PASCAL
这些字符串给了我们重要线索：
- 程序的交互流程
- "PASCAL"可能是加密密钥或重要标识
4. 静态反汇编分析
4.1 使用ndisasm初步反汇编
由于是16位代码，我们使用ndisasm进行反汇编：
bash复制$ ndisasm -b 16 -o 0x7C00 checker.bin
00007C00 FA cli
00007C01 31C0 xor ax,ax
00007C03 8ED8 mov ds,ax
...
00007C50 E83400 call 0x7c87
...
从反汇编结果可以看到：
- 程序开始执行了cli指令（禁用中断）
- 初始化了数据段寄存器DS
- 调用了子程序（可能是主逻辑）
4.2 IDA Pro深度分析
在IDA Pro中加载文件时需要注意：
- 选择处理器类型为Intel 8086
- 设置加载地址为0x7C00
- 手动定义字符串和函数
通过分析，我们可以识别出几个关键函数：
- 主逻辑函数（从0x7C87开始）
- 字符串打印函数
- 输入读取函数
- 标志检查函数
5. 关键算法逆向
5.1 定位加密逻辑
通过交叉引用字符串"Wrong!"和"Correct!"，我们可以找到标志检查函数。在这个函数中，我们发现：
- 首先检查输入长度是否为24字节
- 然后进入一个循环结构
- 循环内对输入数据进行异或(XOR)操作
- 最后与硬编码的密文比较
5.2 理解加密算法
加密算法可以表示为：
code复制ciphertext[i] = plaintext[i] XOR key[(i-1) mod 6 + 1]
其中key是字符串"PASCAL"。
由于XOR操作的可逆性，解密过程与加密相同：
code复制plaintext[i] = ciphertext[i] XOR key[(i-1) mod 6 + 1]
6. 动态调试验证
6.1 使用QEMU模拟运行
启动QEMU进行调试：
bash复制qemu-system-i386 -hda checker.bin -s -S
然后在另一个终端连接GDB：
bash复制gdb
(gdb) target remote :1234
(gdb) set architecture i8086
(gdb) b *0x7D8A # 在检查函数设置断点
(gdb) c
6.2 调试观察
在调试过程中可以：
- 观察寄存器状态
- 查看内存中的字符串
- 单步执行验证加密过程
- 检查比较操作的操作数
7. 编写解密脚本
根据逆向分析的算法，我们可以用Python编写解密脚本：
python复制def decrypt_flag():
encrypted = [
23, 82, 18, 8, 10, 90, 22, 91, 31, 13, 11, 83,
28, 67, 21, 1, 21, 85, 19, 80, 28, 2, 3, 67
]
key = "PASCAL"
flag = []
for i in range(24):
key_char = ord(key[i % len(key)])
flag_char = encrypted[i] ^ key_char
flag.append(chr(flag_char))
return ''.join(flag)
print("[+] Flag:", decrypt_flag())
运行脚本即可得到flag：
code复制[+] Flag: flag{b4r3_m3t4l_r3v3rs1ng}
8. 经验总结与技巧分享
8.1 逆向Pascal程序的要点
- 注意Pascal字符串的存储方式（长度前缀）
- 了解Pascal的调用约定（参数传递顺序）
- 识别Pascal特有的控制结构（如for循环的汇编实现）
8.2 裸机程序逆向技巧
- 注意I/O操作方式（直接端口访问或BIOS中断）
- 程序入口点通常在固定地址（如0x7C00）
- 内存布局可能与操作系统程序不同
8.3 通用逆向方法论
- 先静态分析，再动态验证
- 从字符串和关键分支入手定位核心逻辑
- 理解算法后优先尝试用脚本实现解密
在实际操作中，我发现Pascal编译器生成的代码有一些固定模式，比如函数开头通常是：
code复制push bp
mov bp, sp
sub sp, N ; 为局部变量分配空间
而循环结构则常用CX寄存器作为计数器，配合LOOP指令或DEC+JNZ组合。
对于这类CTF挑战，我的建议是：
- 先快速浏览整个程序的控制流
- 重点分析用户输入处理和数据变换部分
- 善用交叉引用功能追踪关键数据
- 动态调试时注意观察内存和寄存器的变化
通过这个挑战，我深刻体会到理解高级语言特性对逆向工程的重要性。只有知道编译器是如何将高级语言结构转换为机器码的，才能在逆向时准确还原原始逻辑。