# m0rph：追踪混淆 ELF 程序的字符串校验逻辑

> m0rph 调查使用 readelf、strings、Cutter 和 Radare2 分析一款经过混淆的 x86-64 ELF CTF 字符串校验程序。报告追踪 CALL RAX 跳转到动态分配内存的执行过程，并说明如何逐次在调用处设断点、检查 RDI 以还原预期字符。

- 类型：案例
- 目标：二进制
- 类别：原生分析工具
- 关联：学习资源
- 来源复核于：2026-11-06
- 收录于：2026-11-06
- 原始资源：<https://github.com/UmbertoDellaMonica/m0rph-CTF-CyberChallenge.IT>
- 一手来源：<https://github.com/UmbertoDellaMonica/m0rph-CTF-CyberChallenge.IT/blob/064dbf1bcedd39a0360a311daaa86c32b525a7db/README.md>
- 目录页面：<https://awesomerea.org/zh/resources/m0rph-ctf-analysis-case/>
- 记录 JSON：<https://awesomerea.org/resources/m0rph-ctf-analysis-case/record.json>
- 英文版：[English](https://awesomerea.org/resources/m0rph-ctf-analysis-case/index.md)

## 使用条件与局限

- **前提条件：**复现调查需要 m0rph x86-64 ELF 题目程序及 Linux 分析环境。
- **前提条件：**所述流程使用 Radare2、Cutter 和常见 Linux 检查工具。
- **许可：**采用 MIT 许可证。

## 一手来源

1. <https://github.com/UmbertoDellaMonica/m0rph-CTF-CyberChallenge.IT/blob/064dbf1bcedd39a0360a311daaa86c32b525a7db/README.md>

## 同分区更多条目：原生二进制

- [CPQ IO Scheduler：还原小米的块设备调度器](https://awesomerea.org/zh/resources/cpq-iosched-case/index.md) · 案例
- [Malware Analysis：njRAT 与 Casdet 行为研究](https://awesomerea.org/zh/resources/malware-analysis-njrat-casdet-case/index.md) · 案例
- [Ghidra](https://awesomerea.org/zh/resources/ghidra/index.md) · 工具
- [radare2](https://awesomerea.org/zh/resources/radare2/index.md) · 工具
- [Cutter](https://awesomerea.org/zh/resources/cutter/index.md) · 工具
- [Qiling](https://awesomerea.org/zh/resources/qiling/index.md) · 工具

## 关于此条目

说明已依据一手来源复核。
原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。