搜索

[14721] 2019-10-20_Flare-On逆向挑战赛（一）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-10-20_Flare-On逆向挑战赛（一） F l a r e - O n 逆 向 挑 战 赛 （ 一 ） K r i s t o n   F r e e B u f   2 0 1 9 - 1 0 - 2 0 从 从 2 0 1 3 年 开 始 举 办 的 年 开 始 举 办 的 F l a r e - O n 逆 向 挑 战 赛 今 年 已 经 是 第 逆 向 挑 战 赛 今 年 已 经 是 第 6 届 。 今 年 的 比 赛 共 有 届 。 今 年 的 比 赛 共 有 1 2 道 题 目 ， 涉 及 道 题 目 ， 涉 及 W i n d o w s ， ， . N E T ， ， L i n u x 和 和 A n d r o i d 上 上 x 8 6 的 各 种 架 构 。 此 外 ， 这 也 是 的 各 种 架 构 。 此 外 ， 这 也 是 F l a r e - O n 历 史 上 的 第 一 次 比 赛 中 出 现 历 史 上 的 第 一 次 比 赛 中 出 现 N E S   R O M 的 题 目 。 该 比 赛 是 仅 有 的 以 的 题 目 。 该 比 赛 是 仅 有 的 以 W i n d o w s 为 中 心 的 为 中 心 的 C T F 竞 赛 之 一 。 完 成 竞 赛 之 一 。 完 成 F l a r e - O n 逆 向 挑 战 也 是 笔 者 一 直 以 来 的 目 标 之 一 ， 今 年 终 于 有 时 间 去 实 现 这 个 目 逆 向 挑 战 也 是 笔 者 一 直 以 来 的 目 标 之 一 ， 今 年 终 于 有 时 间 去 实 现 这 个 目 标 了 。 标 了 。 M u g a t u W a r e 题 目 信 息 题 目 信 息 题 目 下 载 解 压 之 后 共 有 5 个 文 件 ， 两 个 加 密 过 的 g i f 文 件 ， b e s t . g i f . M u g a t u 和 t h e _ k e y _ t o _ s u c c e s s _ 0 0 0 0 . g i f . M u g a t u 。 一 个 恶 意 软 件 制 作 者 留 下 的 t x t 文 件 恶 意 软 件 M u g a t u w a r e . e x e 。 题 目 下 载 链 接 ： x x x x x x x x x x 分 析 分 析 将 e x e 文 件 拖 入 i d a 之 后 ， 并 同 时 在 x 8 6 d b g 当 中 单 步 跟 进 调 试 的 时 候 会 发 现 它 将 程 序 的 I A T 表 进 行 了 修 改 ， 导 致 i d a 进 行 静 态 分 析 的 时 候 看 到 调 用 的 d l l 当 中 的 函 数 与 实 际 不 符 。 当 你 用 P E v i e w 查 看 程 序 原 本 的 I M P O R T   A d d r e s s   T a b l e 会 发 现 P E 文 件 在 执 行 到 s t a r t 函 数 的 时 候 内 存 I A T 表 当 中 的 k e r n e l 3 2 . d l l 函 数 顺 序 已 经 被 完 全 颠 倒 了 ， 通 过 脚 本 修 复 i d a 当 中 出 现 的 函 数 调 用 之 后 就 能 查 看 到 程 序 原 本 的 执 行 流 程 。 能 正 常 的 查 看 程 序 的 执 行 流 程 了 。 题 目 获 取 了 机 器 h o s t n a m e ， i p 地 址 等 信 息 存 到 了 全 局 数 据 段 当 中
接 着 访 问 了 h t t p : / / t w i t r s s . m e / t w i t t e r _ u s e r _ t o _ r s s / ? u s e r = A C e n t e r F o r A n t s 这 个 域 名 ， 将 读 取 页 面 中 的 p u b d a t e 信 息 和 获 得 的 机 器 信 息 进 行 亦 或 加 密 。 然 后 再 通 过 网 络 方 式 将 加 密 之 后 的 结 果 以 b a s e 6 4 的 形 式 P O S T 到 m u g a t u . f l a r e - o n . c o m 这 个 U R L ， 然 后 目 前 这 个 域 名 是 没 有 办 法 被 解 析 的 。 如 果 修 改 d n s 解 析 让 其 指 向 自 己 的 服 务 器 I P 就 能 看 到 和 这 个 域 名 进 行 交 互 的 整 个 过 程 ， 但 是 这 里 我 没 有 这 么 做 ， 而 是 选 择 继 续 动 态 调 试 ， p a t c h 返 回 值 以 理 解 程 序 的 执 行 流 程 。 如 果 P O S T 获 得 了 返 回 值 就 会 调 用 s u b _ 4 0 1 8 9 4 这 个 函 数 ， 函 数 中 对 P O S T 访 问 之 后 获 得 的 数 据 进 行 了 b a s e 6 4 解 码 并 亦 或 了 0 x 4 d ， 然 后 比 较 了 前 面 2 5 个 字 节 是 否 为 ” o r a n g e   m o c h a   f r a p p u c c i n o ” ， 如 果 是 的 话 ， 会 将 第 2 5 个 字 节 开 始 的 内 容 复 制 到 4 1 7 1 0 0 地 址 中 ， 然 后 在 4 0 1 5 c 0 函 数 当 中 创 建 了 一 个 新 的 线 程 执 行 s u b _ 4 0 1 7 b 7 这 个 函 数 ， 这 个 函 数 当 中 会 通 过 S e t E v e n t 发 送 一 个 信 号 ， 并 通 过 W r i t e F i l e 向 ” . m a i l s l o t L e t _ m e _ s h o w _ y o u _ D e r e l i c t e ” 这 个 m a i l s l o t 当 中 发 送 了 2 0 个 字 节 的 数 据 。 目 前 为 止 还 没 有 看 到 真 正 的 加 密 过 程 在 什 么 位 置 ， 看 到 的 只 是 对 网 页 进 行 访 问 发 送 并 接 收 信 息 ， 所 以 接 下 来 可 以 继 续 动 态 执 行 。 执 行 到 s u b _ 4 0 1 4 9 1 函 数 当 中 会 发 现 一 些 端 倪 ， 首 先 检 查 了 当 前 程 序 加 载 的 d l l 内 容 并 复 制 到 了 目 的 地 址 当 中 ， 之 后 通 过 L o a d L i b r a r y 和 G e t P r o c A d d r e s s 函 数 解 析 了 I A T 表 中 导 入 函 数 的 地 址 ， 然 后 将 这 个 d l l 中 k e r n e l 3 2 . d l l 所 有 的 导 入 函 数 地 址 颠 倒 顺 序
并 取 反 存 在 了 一 个 数 组 当 中 。 在 后 面 的 代 码 当 中 ， 程 序 往 v 2 7 这 个 位 置 当 中 写 入 了 如 上 图 所 示 的 奇 怪 内 容 。 这 个 地 方 一 开 始 我 也 没 有 猜 出 来 是 什 么 ， 直 到 之 后 在 反 编 译 的 时 候 才 发 现 这 里 实 际 上 写 的 是 指 令 。 p u s h 地 址 到 栈 上 并 对 栈 顶 的 内 容 进 行 了 去 反 ， 个 人 认 为 之 所 以 加 上 了 取 反 这 个 操 作 应 该 是 为 了 过 杀 毒 软 件 的 动 态 查 杀 。 通 过 动 态 调 试 可 以 发 现 v 2 7 这 个 地 址 是 后 面 要 执 行 的 d l l 的 I A T 当 中 跳 转 到 的 地 址 ， 所 以 是 在 这 里 修 改 了 后 面 d l l 的 I A T 。 之 后 在 程 序 4 0 1 5 1 b 位 置 通 过 c a l l   e a x 指 令 跳 转 到 了 新 加 载 的 d l l 的 m a i n 函 数 执 行 。 我 们 需 要 做 的 是 d u m p 出 程 序 重 新 加 载 出 的 d l l 进 行 分 析 ， d u m p 的 地 方 应 该 是 在 L o a d L i b r a r y 执 行 之 前 。 d u m p 完 成 之 后 修 复 这 个 d l l 就 能 够 获 得 实 际 执 行 的 程 序 ， 真 正 的 勒 索 加 密 过 程 应 该 是 在 这 个 d l l 当 中 实 现 的 。 上 图 0 x 2 e a 0 0 0 0 开 始 的 数 据 段 为 程 序 复 制 的 d l l 程 序 代 码 ， 0 x 2 f 5 0 0 0 0 位 置 开 始 的 数 据 段 是 被 复 制 的 真 正 的 d l l 代 码 。 接 下 来 要 做 的 是 找 到 这 个 函 数 的 关 键 加 密 代 码 位 置 ， 找 这 种 关 键 代 码 比 较 基 本 的 就 是 s h i f t + f 1 2 找 字 符 串 的 引 用 。 这 里 有 几 个 比 较 关 键 的 字 符 串 ， 一 个 是 ” . m a i l s l o t L e t _ m e _ s h o w _ y o u _ D e r e l i c t e ” 这 个 m a i l s l o t 名 字 的 字 符 串 ， 一 个 是 E v e n t 的 名 字 F 0 a 1 M 。 通 过 这 样 的 字 符 串 我 们 可 以 很 容 易 的 定 位 到 关 键 的 代 码 位 置 。 除 此 以 外 在 d u m p 出 的 d l l 当 中 还 有 一 个 没 有 去 掉 符 号 的 函 数 ， 名 字 叫 做 B l u e S t e e l 。 直 接 查 看 这 个 函 数 也 能 很 快 定 位 到 这 个 关 键 位 p u s h       0 x d e a d b e e f n o t         D W O R D   P T R   [ e s p ] r e t . t e x t : 0 0 4 0 1 5 1 7   0 1 0                                   p u s h         0 . t e x t : 0 0 4 0 1 5 1 9   0 1 4                                   p u s h         e d i . t e x t : 0 0 4 0 1 5 1 A   0 1 8                                   p u s h         e s i . t e x t : 0 0 4 0 1 5 1 B   0 1 C                                   c a l l         e a x
置 。 逻 辑 大 概 是 这 样 的 ， 当 接 收 到 L A t t 3 这 个 事 件 发 出 的 信 号 量 之 后 会 调 用 R e a d F i l e 从 ” . m a i l s l o t L e t _ m e _ s h o w _ y o u _ D e r e l i c t e ” 这 个 m a i l s l o t 名 字 的 m a i l s l o t 当 中 读 取 2 0 个 字 节 。 读 取 完 成 了 之 后 调 用 s u b _ 1 2 2 9 这 个 函 数 ， 函 数 当 中 遍 历 所 有 的 D r i v e r 和 里 面 的 文 件 ， 当 发 现 文 件 名 是 以 g i f 结 尾 的 时 候 会 调 用 s u b _ 1 0 0 0 函 数 进 行 加 密 。 加 密 使 用 的 函 数 是 传 入 的 参 数 a 3 ， 动 态 调 试 的 时 候 能 够 发 现 实 际 上 调 用 的 是 s u b _ 1 6 b 9 地 址 的 函 数 。 解 决 解 决 这 个 加 密 函 数 第 一 眼 看 上 去 就 是 一 个 x t e a 加 密 ， 所 以 我 直 接 重 命 名 为 x t e a _ e n c r y p t 了 （ 然 后 之 后 却 被 这 个 重 命 名 给 坑 了 ） 。 因 此 ， 当 执 行 到 这 里 的 时 候 我 们 可 以 断 定 这 个 位 置 使 用 的 是 x t e a 进 行 加 密 ， 但 是 并 不 知 道 加 密 使 用 的 k e y 是 什 么 。 重 新 查 看 题 目 文 件 夹 当 中 的 文 件 可 以 发 现 其 中 一 个 加 密 过 的 g i f 名 称 为 t h e _ k e y _ t o _ s u c c e s s _ 0 0 0 0 . g i f . M u g a t u ， 那 么 可 以 尝 试 一 下 让 k e y 为 [ 0 ,   0 ,   0 , 0 ] 。 发 现 能 够 成 功 的 解 密 出 图 片 i n t   _ _ c d e c l   x t e a _ e n c r y p t ( i n t   c o u n t ,   u n s i g n e d   i n t   * a 2 ,   i n t   a 3 ) {     [ . . . ]     v 0   =   * a 2 ;     v 1   =   a 2 [ 1 ] ;     s u m   =   0 ;     d o     {         v 6   =   s u m   +   * ( u n s i g n e d   _ _ i n t 8   * ) ( ( s u m   &   3 )   +   a 3 ) ;         s u m   - =   0 x 6 1 C 8 8 6 4 7 ;         v 0   + =   v 6   ^   ( v 1   +   ( ( v 1   > >   5 )   ^   1 6   *   v 1 ) ) ;         r e s u l t   =   s u m   +   * ( u n s i g n e d   _ _ i n t 8   * ) ( ( ( s u m   > >   1 1 )   &   3 )   +   a 3 ) ;         v 1   + =   r e s u l t   ^   ( v 0   +   ( ( v 0   > >   5 )   ^   1 6   *   v 0 ) ) ;         - - c o u n t ;     }     w h i l e   (   c o u n t   ) ;     * a 2   =   v 0 ;     a 2 [ 1 ]   =   v 1 ;     r e t u r n   r e s u l t ; }
接 下 来 就 是 真 正 坑 的 地 方 。 一 直 以 为 这 个 题 目 应 该 是 正 常 的 x t e a 加 密 ， 然 后 知 道 了 第 一 个 k e y 的 b y t e 是 0 x 3 1 。 所 以 我 爆 破 了 一 天 一 夜 剩 下 的 1 5 个 字 节 ， 但 是 并 没 有 爆 破 出 来 。 直 到 两 天 后 重 新 查 看 这 个 加 密 函 数 的 时 候 才 发 现 这 个 加 密 算 法 当 中 存 在 问 题 ， 并 不 是 标 准 的 x t e a 加 密 ， 进 行 加 法 操 作 的 时 候 把 k 强 制 转 换 成 为 了   u n s i g n e d   _ _ i n t 8   * 类 型 ， 这 就 意 味 着 k e y 实 际 上 只 有 4 个 字 节 。 由 于 告 诉 了 我 们 第 一 个 字 节 ， 所 以 只 需 要 爆 破 剩 下 的 3 个 字 节 就 好 。 v o i d   d e c i p h e r ( u n s i g n e d   i n t   n u m _ r o u n d s ,   u i n t 3 2 _ t   v [ 2 ] ,   u i n t 3 2 _ t   k e y [ 4 ] )   {             u n s i g n e d   i n t   i ;             u i n t 3 2 _ t   v 0 = v [ 0 ] ,   v 1 = v [ 1 ] ,   d e l t a = 0 x 9 E 3 7 7 9 B 9 ,   s u m = d e l t a * n u m _ r o u n d s ;             f o r   ( i = 0 ;   i   <   n u m _ r o u n d s ;   i + + )   {                     v 1   - =   ( ( ( v 0   < <   4 )   ^   ( v 0   > >   5 ) )   +   v 0 )   ^   ( s u m   +   k e y [ ( s u m > > 1 1 )   &   3 ] ) ;                     s u m   - =   d e l t a ;                     v 0   - =   ( ( ( v 1   < <   4 )   ^   ( v 1   > >   5 ) )   +   v 1 )   ^   ( s u m   +   k e y [ s u m   &   3 ] ) ;    
g e t   t h e   f l a g ! * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： K r i s t o n ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载                 v 0   - =   ( ( ( v 1   < <   4 )   ^   ( v 1   > >   5 ) )   +   v 1 )   ^   ( s u m   +   k e y [ s u m   &   3 ] ) ;             }             v [ 0 ] = v 0 ;   v [ 1 ] = v 1 ;     }     i n t   m a i n ( )     {         c h a r   * f i l e n a m e   =   " C : U s e r s t e s t D o c u m e n t s V i s u a l   S t u d i o   2 0 1 2 P r o j e c t s P r o j e c t 1 D e b u g b e s t . g i f . M u g a t u " ;         c h a r   o u t p u t [ ]   =   " o u t p u t . g i f " ;         u i n t 3 2 _ t   v [ 2 ]   =   { } ;             u i n t 3 2 _ t   k [ 4 ]   =   { 0 x 3 1 ,   0 x 7 3 ,   0 x 3 5 ,   0 x b 1 } ;             u n s i g n e d   i n t   r = 3 2 ; / / n u m _ r o u n d s 建 议 取 值 为 3 2             i n t   s i z e ,   c o u n t ;         / /   v 为 要 加 密 的 数 据 是 两 个 3 2 位 无 符 号 整 数             / /   k 为 加 密 解 密 密 钥 ， 为 4 个 3 2 位 无 符 号 整 数 ， 即 密 钥 长 度 为 1 2 8 位             F I L E   * f p ,   * f p 1 ;         f p   =   f o p e n ( f i l e n a m e ,   " r b + " ) ;         f p 1   =   f o p e n ( o u t p u t ,   " w b + " ) ;         H A N D L E   h a n d l e   =   C r e a t e F i l e ( f i l e n a m e ,   F I L E _ R E A D _ E A ,   F I L E _ S H A R E _ R E A D ,   0 ,   O P E N _ E X I S T I N G ,   0 ,   0 ) ;         i f ( h a n d l e   ! =   I N V A L I D _ H A N D L E _ V A L U E ) {                 s i z e   =   G e t F i l e S i z e ( h a n d l e ,   N U L L ) ;                 p r i n t f ( " % d n " ,   s i z e ) ;                 C l o s e H a n d l e ( h a n d l e ) ;         }         c o u n t   =   s i z e   /   8 ;         f o r ( i n t   i   =   0 ;   i   <   c o u n t ;   i + + ) {                 f r e a d ( v ,   1 ,   8 ,   f p ) ;                 d e c i p h e r ( 0 x 2 0 ,   v ,   k ) ;                 f w r i t e ( v ,   1 ,   8 ,   f p 1 ) ;         }         f c l o s e ( f p ) ;         f c l o s e ( f p 1 ) ;         r e t u r n   0 ; }
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理