2024春秋杯夏季赛巅峰对话：冠军是努力的轨迹，而非偶然的奇迹！

cnw@ngihe

首先，使用IDA分析目标平台的架构，确认其为armv7 thumb-2指令集。然后开始查阅相关芯片的datasheet，发现这是一个类似于STM32的MCU固件。

通过分析，发现ROM的加载基址为0x0，而地址空间从0x0到0x3F8的部分全部是中断向量表，由此可以去定位关键函数（需要注意的是，在thumb模式下，跳转地址实际上是实际地址+1）。

因为波特率是通信协议的关键参数，所以可以去查找常见的uart波特率（9600、19200、38400、57600 和 115200 bps），程序中可以找到的波特率位115200，据此可以找到负责接收UART消息的函数。在定位到关键函数后，我发现根据UART消息组装CAN消息的逻辑位于地址0x4F54，该函数的参数为uart_msg和msg_len。通过对参数的分析，需要满足以下要求：

1. uart_msg[0] 必须等于 0x2a ('*')，表示消息的起始标志。

2. uart_msg[-1] 必须等于 0x23 ('#')，表示消息的结束标志。

3. uart_msg[3] == can_msg_len，且其值需小于等于8。表示CAN数据域的长度。

4. 通过计算(uart_msg[2] << 8) | uart_msg[1]，我推断出这是CAN消息的ID，即0x440。

5. 消息主体msg[4: 4 + can_msg_len]需要与0x11进行异或操作，以确保消息的加密性。

基于以上分析，我构建了符合要求的UART消息，最终得到的消息为：

2A4004080386624178641F4023。即为flag：

flag{2A4004080386624178641F4023}