搜索

[13158] 2018-09-08_Frida在爆破Windows程序中的应用

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-09-08_Frida在爆破Windows程序中的应用 F r i d a 在 爆 破 W i n d o w s 程 序 中 的 应 用 g e e k 痕   F r e e B u f   2 0 1 8 - 0 9 - 0 8 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： g e e k 痕 ， 本 文 属 痕 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 谈 到 爆 破 ， 相 信 大 部 分 网 络 安 全 从 业 者 都 并 不 陌 生 ， 爆 破 爆 破 ， 就 是 暴 力 破 解 嘛 。 通 过 枚 举 尝 试 尽 可 能 多 的 可 能 谈 到 爆 破 ， 相 信 大 部 分 网 络 安 全 从 业 者 都 并 不 陌 生 ， 爆 破 爆 破 ， 就 是 暴 力 破 解 嘛 。 通 过 枚 举 尝 试 尽 可 能 多 的 可 能 解 ， 再 进 行 验 证 判 断 是 否 正 确 。 在 进 行 解 ， 再 进 行 验 证 判 断 是 否 正 确 。 在 进 行 w e b 的 爆 破 时 ， 我 们 通 常 会 使 用 的 爆 破 时 ， 我 们 通 常 会 使 用 b r u p s u i t e 等 工 具 ， 那 么 ， 如 果 是 二 进 制 程 序 中 等 工 具 ， 那 么 ， 如 果 是 二 进 制 程 序 中 的 爆 破 呢 ？ 的 爆 破 呢 ？ 本 文 将 介 绍 一 种 方 法 ， 通 过 动 态 插 桩 （ h o o k ） 的 方 式 ， 实 现 二 进 制 程 序 中 的 爆 破 。 最 近 在 学 习 逆 向 ， 刷 一 些 c t f 的 题 目 ， 遇 到 了 一 道 拖 进 i d a 死 活 分 析 不 出 算 法 ， 因 为 实 在 是 太 菜 了 ， 目 标 程 序 大 概 长 这 样 ： 有 兴 趣 的 可 以 先 试 试 ： 地 址 如 下 ： h t t p : / / c t f 5 . s h i y a n b a r . c o m / r e / 1 0 0 w . e x e 输 入 的 口 令 正 确 则 会 弹 出 f l a g ， 输 入 错 误 则 会 弹 出 错 误 提 示 。 看 到 提 示 说 是 6 位 数 字 ， 而 且 在 逆 向 的 过 程 中 发 现 有 这 样 一 段 文 字 ： 行 吧 … 那 就 爆 破 一 个 试 试 。 之 前 就 听 说 过 F r i d a 牛 逼 的 不 行 ， 跨 平 台 的 动 态 插 桩 框 架 ， 不 过 之 前 一 直 没 亲 自 动 手 玩 过 ， 这 次 就 试 试 吧 。 在 实 践 过 程 中 发 现 F r i d a 的 相 关 资 料 本 身 并 不 多 ， 而 且 大 多 是 针 对 A n d r o i d 移 动 平 台 的 应 用 ， 于 是 决 定 写 一 篇 文 章 分 享 一 些 桌 面 端 F r i d a 应 用 的 技 术 。 先 上 一 段 F r i d a 的 介 绍 ： S o   w h a t   i s   F r i d a ,   e x a c t l y ? I t ’ s G r e a s e m o n k e y   f o r n a t i v e   a p p s ,   o r ,   p u t   i n   m o r e   t e c h n i c a l   t e r m s ,   i t ’ s   a   d y n a m i c   c o d e i n s t r u m e n t a t i o n   t o o l k i t .   I t   l e t s   y o u   i n j e c t   s n i p p e t s   o f   J a v a S c r i p t   o r   y o u r   o w n l i b r a r y   i n t o   n a t i v e   a p p s   o n   W i n d o w s ,   m a c O S ,   G N U / L i n u x ,   i O S ,   A n d r o i d ,   a n d   Q N X .
F r i d a   a l s o   p r o v i d e s   y o u   w i t h   s o m e   s i m p l e   t o o l s   b u i l t   o n   t o p   o f   t h e   F r i d a   A P I . T h e s e   c a n   b e   u s e d   a s - i s ,   t w e a k e d   t o   y o u r   n e e d s ,   o r   s e r v e   a s   e x a m p l e s   o f   h o w   t o u s e   t h e   A P I . F r i d a 是 一 个 动 态 插 桩 的 工 具 包 。 它 可 以 让 你 将 j s 脚 本 或 那 你 自 己 的 一 些 库 插 入 到 w i n 、 m a c o s 、 l i n u x 、 a n d r o i d 、 i o s 等 平 台 的 应 用 中 。 跨 平 台 的 实 现 方 案 听 起 来 很 牛 逼 有 木 有 ， 这 意 味 着 熟 练 掌 握 这 一 个 工 具 的 性 价 比 是 很 高 的 。 乱 扯 了 那 么 多 ， 先 来 看 下 F r i d a 使 用 的 基 本 代 码 框 架 。 以 下 是 p y t h o n 的 代 码 。 首 先 ， 用 p i p 安 装 一 下 ： 然 后 下 面 这 段 代 码 是 f r i d a   的 基 本 框 架 ： 代 码 比 较 简 单 ， 不 多 解 释 。 重 点 是 s e s s i o n . c r e a t e _ s c r i p t 里 面 的 j s 代 码 。 首 先 ， 我 们 要 能 够 模 拟 调 用 按 钮 点 击 后 执 行 的 函 数 。 找 这 个 函 数 地 址 的 思 路 有 两 个 。 一 个 ， 由 于 这 个 c r a c k m e 是 用 易 语 言 写 的 ， 所 以 用 e - d e b u g 可 以 找 到 c a l l 的 地 址 ： 另 外 一 个 方 法 就 是 拖 入 o d 找 字 符 串 然 后 往 上 找 到 函 数 入 口 ， 下 断 点 验 证 。 不 行 再 往 上 翻 。 p i p   i n s t a l l   f r i d a i m p o r t   f r i d a d e f   o n _ m e s s a g e ( m e s s a g e ,   d a t a ) :         p r i n t ( " [ % s ]   = >   % s "   %   ( m e s s a g e ,   d a t a ) ) s e s s i o n   =   f r i d a . a t t a c h ( ' 1 0 0 f w . e x e ' ) # 附 加 f r i d a 到 目 标 进 程 s c r i p t   =   s e s s i o n . c r e a t e _ s c r i p t ( ' s o m e   j s   c o d e   h e r e ' ) s c r i p t . o n ( ' m e s s a g e ' ,   o n _ m e s s a g e ) s c r i p t . l o a d ( ) s y s . s t d i n . r e a d ( ) s e s s i o n . d e a t c h ( )
最 后 找 到 函 数 入 口 如 下 ： 然 后 ， 我 们 用 f r i d a 的 j s   a p i 写 一 个 模 拟 调 用 的 函 数 。 N t i v e F u n c t i o n 的 后 面 两 个 参 数 中 ， 第 一 个 是 返 回 值 类 型 ， 第 二 个 是 参 数 列 表 的 类 型 ， 这 里 都 为 空 即 可 。 然 后 定 义 o n c e 模 拟 调 用 一 次 按 钮 点 击 事 件 。 最 后 ， 我 们 在 p y t h o n 代 码 中 调 用 f r i d a 为 我 们 暴 露 出 来 的 接 口 ： 以 上 代 码 可 以 不 断 模 拟 点 击 目 标 程 序 中 按 钮 的 过 程 。 再 然 后 ， 我 们 需 要 模 拟 往 输 入 中 填 入 各 个 值 。 那 么 要 做 的 就 是 h o o k 获 取 控 件 数 值 的 相 关 函 数 。 找 的 方 法 嘛 . . 我 用 的 是 先 把 断 点 下 到 按 钮 事 件 函 数 那 里 ， 然 后 单 步 走 起 。 看 哪 个 函 数 返 回 了 输 入 值 的 指 针 。 o k ， 找 到 函 数 地 址 为 0 X 0 0 4 0 1 C E 7 （ 最 靠 近 结 果 的 c a l l ） 接 下 来 我 们 h o o k 这 个 函 数 的 返 回 结 果 ， 让 它 依 次 遍 历 每 一 个 可 能 的 值 ： v a r   f = n e w   N a t i v e F u n c t i o n ( p t r ( ' 0 x 0 0 4 0 1 7 3 a ' ) ,   ' v o i d ' , [ ] ) ; r p c . e x p o r t s = {         o n c e : f u n c t i o n ( ) {                 f ( ) ;         } } ; w h i l e ( T r u e ) :         s c r i p t . e x p o r t s . o n c e ( )
上 面 的 代 码 有 注 释 ， 这 里 解 释 下 为 什 么 用 N e e d A d d 辅 助 来 让 t m p 值 每 两 次 递 增 一 次 . 因 为 … 我 比 较 菜 h o o k 点 不 是 很 合 适 ， 每 一 次 调 用 都 会 有 两 次 被 h o o k 到 ， 所 以 . . 就 出 此 下 策 了 。 接 下 来 ， 我 们 要 h o o k 掉 消 息 框 弹 窗 函 数 ， 获 取 提 示 内 容 以 判 断 口 令 的 正 确 与 否 。 眼 看 着 这 是 最 后 一 步 了 ， 但 我 却 在 这 里 踩 了 很 多 坑 。 首 先 ， 获 取 信 息 框 内 容 嘛 ， 好 啊 ， 我 h o o k   M e s s a g e B o x 不 就 好 了 ， 于 是 用 O D 插 件 给 A P I 下 断 一 通 乱 搞 ， 获 取 到 了 弹 窗 内 容 美 滋 滋 。 跑 起 来 一 看 ， 等 等 ！ 难 道 要 我 每 一 次 都 点 一 下 确 认 把 消 息 框 弄 掉 才 能 进 行 下 一 次 尝 试 吗 ？ 不 行 ！ 要 把 这 个 信 息 框 干 掉 。 然 后 想 着 直 接 跳 过 对 M e s s a g e B o x 的 c a l l ， 结 果 程 序 崩 了 ， 调 试 一 番 才 发 现 ， 堆 栈 不 平 衡 ， h o o k 了 好 几 个 都 不 行 。 就 在 这 里 卡 了 好 一 会 ， 后 来 觉 得 沿 着 a p i 的 调 用 栈 一 直 往 上 翻 ， 一 定 能 找 到 用 户 态 最 初 的 c a l l ， 那 个 c a l l 的 调 用 关 系 应 该 相 对 简 单 ， 堆 栈 平 衡 问 题 也 比 较 容 易 处 理 ， 然 后 就 一 直 找 啊 找 ， 发 现 就 在 搜 到 的 字 符 串 附 近 有 这 样 一 段 代 码 ， 顿 时 两 眼 放 光 ： 这 就 好 办 了 ， 结 果 跟 进 去 一 看 ， 发 现 这 只 是 一 个 索 引 ， h o o k 这 个 会 影 响 很 多 函 数 ： 那 不 如 . . 直 接 把 这 个 c a l l 给 n o p 掉 吧 . . 把 这 个 嘴 给 塞 住 。 测 试 之 后 发 现 经 过 a d d   e s p ， 0 x 2 8 后 堆 栈 刚 好 平 衡 ， 很 好 ， p e r f e c t ！ 现 在 ， 我 们 可 以 写 出 最 后 一 段 代 码 了 ： 这 里 解 释 一 下 ， 为 什 么 把 0 x 0 0 4 0 1 c 0 3   n o p 掉 之 后 仍 然 可 以 h o o k 这 里 。 v a r   t m p = 1 0 0 0 0 0 ; v a r   N e e d A d d = t r u e ; v a r   f 3 = p t r ( ' 0 x 0 0 4 0 1 C E 7 ' ) ; I n t e r c e p t o r . a t t a c h ( f 3 , {         o n L e a v e : f u n c t i o n ( r e s u l t ) {         / *                 c o n s o l e . l o g ( ' - - - - - - - - - - ' )                 c o n s o l e . l o g ( r e s u l t . t o I n t 3 2 ( ) ) ; * /                 M e m o r y . w r i t e A n s i S t r i n g ( p t r ( r e s u l t . t o I n t 3 2 ( ) ) , t m p . t o S t r i n g ( ) ) / / r e s u l t 为 输 入 值 的 指 针 指 向                 i f ( N e e d A d d ) { t m p = t m p + 1 ; N e e d A d d = f a l s e ; }                 e l s e { N e e d A d d = t r u e ; }                 / *                 c o n s o l e . l o g ( M e m o r y . r e a d A n s i S t r i n g ( p t r ( r e s u l t . t o I n t 3 2 ( ) ) ) ) ; * / / / 输 出 修 改 后 的 结 果         } } ) ; v a r   f 4 = p t r ( ' 0 x 0 0 4 0 1 C 0 3 ' ) ; I n t e r c e p t o r . a t t a c h ( f 4 , {         o n E n t e r : f u n c t i o n ( a r g s ) {                 / / c o n s o l e . l o g ( a r g s [ 0 ] ) ;                 s e n d ( M e m o r y . r e a d A n s i S t r i n g ( p t r ( a r g s [ 0 ] ) ) ) ; / / 读 取 相 应 内 容 并 发 送 给 终 端 显 示                 r e t u r n ;         } } ) ;
根 据 我 的 猜 测 ， f r i d a 的 h o o k 应 该 是 内 存 断 点 ， 获 取 的 “ 参 数 ” 就 是 根 据 堆 栈 情 况 的 相 对 位 置 确 定 的 ， 所 以 我 们 可 以 “ h o o k ” 这 个 地 方 ， 获 取 到 前 面 p u s h 的 内 容 ， 至 于 那 个 a r g s [ 0 ] ， 多 试 几 个 就 好 了 。 其 实 ， 成 功 的 时 候 c a l l 的 地 方 不 在 这 里 ， 而 我 们 没 有 处 理 成 功 弹 窗 的 相 关 代 码 ， 成 功 后 自 然 会 弹 出 来 ， 这 里 的 显 示 有 些 多 余 ， 当 作 实 验 就 好 了 吧 。 下 面 是 完 整 代 码 ： 最 好 运 行 成 功 之 后 是 酱 紫 的 ： i m p o r t   f r i d a i m p o r t   s y s d e f   o n _ m e s s a g e ( m e s s a g e ,   d a t a ) :         p r i n t ( " [ % s ]   = >   % s "   %   ( m e s s a g e ,   d a t a ) ) s e s s i o n   =   f r i d a . a t t a c h ( ' 1 0 0 f w . e x e ' ) s c r i p t   =   s e s s i o n . c r e a t e _ s c r i p t ( ' ' '         v a r   t m p = 7 0 0 0 0 0 ;         v a r   N e e d A d d = t r u e ;         v a r   f 1   =   p t r ( ' 0 x 0 0 4 0 1 0 9 6 ' ) ;         v a r   f 2   =   p t r ( ' 0 x 0 0 4 0 1 6 9 d ' ) ;         I n t e r c e p t o r . a t t a c h ( f 1 ,   {                 o n E n t e r : f u n c t i o n ( a r g s ) {                 }         } ) ;         I n t e r c e p t o r . a t t a c h ( f 2 ,   {                 o n E n t e r : f u n c t i o n ( a r g s ) {                 }         } ) ;         v a r   f = n e w   N a t i v e F u n c t i o n ( p t r ( ' 0 x 0 0 4 0 1 7 3 a ' ) ,   ' v o i d ' , [ ] ) ;         r p c . e x p o r t s = {                 o n c e : f u n c t i o n ( ) {                         f ( ) ;                 }         } ;         v a r   f 3 = p t r ( ' 0 x 0 0 4 0 1 C E 7 ' ) ;         I n t e r c e p t o r . a t t a c h ( f 3 , {                 o n L e a v e : f u n c t i o n ( r e s u l t ) {                 / *                         c o n s o l e . l o g ( ' - - - - - - - - - - ' )                         c o n s o l e . l o g ( r e s u l t . t o I n t 3 2 ( ) ) ; * /                         M e m o r y . w r i t e A n s i S t r i n g ( p t r ( r e s u l t . t o I n t 3 2 ( ) ) , t m p . t o S t r i n g ( ) )                         i f ( N e e d A d d ) { t m p = t m p + 1 ; N e e d A d d = f a l s e ; }                         e l s e { N e e d A d d = t r u e ; }                         / / c o n s o l e . l o g ( M e m o r y . r e a d A n s i S t r i n g ( p t r ( r e s u l t . t o I n t 3 2 ( ) ) ) ) ;                         c o n s o l e . l o g ( t m p ) ;                 }         } ) ;         / *         v a r   f 4 = p t r ( ' 0 x 0 0 4 0 1 C 0 3 ' ) ;         I n t e r c e p t o r . a t t a c h ( f 4 , {                 o n E n t e r : f u n c t i o n ( a r g s ) {                         / / c o n s o l e . l o g ( a r g s [ 0 ] ) ;                         s e n d ( M e m o r y . r e a d A n s i S t r i n g ( p t r ( a r g s [ 0 ] ) ) ) ;                         r e t u r n ;                 }         } ) ;         * / ' ' ' ) s c r i p t . o n ( ' m e s s a g e ' ,   o n _ m e s s a g e ) s c r i p t . l o a d ( ) w h i l e ( T r u e ) :         s c r i p t . e x p o r t s . o n c e ( ) s y s . s t d i n . r e a d ( ) s e s s i o n . d e a t c h ( )
再 说 几 点 注 意 吧 ， 首 先 是 运 行 的 时 候 要 先 运 行 程 序 ， 再 运 行 p y 脚 本 ， 不 然 会 出 现 这 个 ： 然 后 是 我 们 要 先 在 输 入 框 中 输 入 一 个 随 意 的 六 位 数 ， 这 样 系 统 才 会 分 配 一 个 储 存 的 空 间 。 不 然 会 出 现 这 样 ： 这 个 解 决 方 案 有 个 地 方 不 足 就 是 效 率 还 是 低 了 点 ， 完 整 爆 破 需 要 一 些 时 间 。 我 尝 试 过 减 少 调 试 性 的 输 出 来 提 升 效 率 ， 还 是 有 一 定 效 果 的 。 然 后 因 为 爆 破 的 时 候 c p u 并 没 有 跑 满 ， 所 以 多 开 几 个 实 例 来 分 段 跑 估 计 也 能 快 不 少 。 看 了 正 解 算 法 的 确 比 较 复 杂 ， o r z 。 最 后 ， 本 文 旨 在 探 讨 F r i d a 的 使 用 技 巧 。 总 的 来 说 ， F r i d a 的 可 玩 性 还 是 很 高 的 ， 还 有 很 多 j s   a p i 接 口 没 有 介 绍 ， 有 兴 趣 的 可 以 去 官 网 看 看 文 档 。 写 文 章 的 经 验 不 多 ， 还 请 各 位 d a l a o 拍 砖 ！ * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： g e e k 痕 ， 本 文 属 痕 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理