搜索

[13595] 2018-12-30_萌新学逆向：Crackme入门之基础操作分析

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-18
2018-12-30_萌新学逆向：Crackme入门之基础操作分析 萌 新 学 逆 向 ： C r a c k m e 入 门 之 基 础 操 作 分 析 原 创   m i n t a n c y   F r e e B u f   2 0 1 8 - 1 2 - 3 0 背 景 背 景 萌 新 第 一 次 学 习 逆 向 ， 所 以 在 这 里 也 算 总 结 和 记 录 ， 如 有 错 误 之 处 还 请 指 出 。 萌 新 第 一 次 学 习 逆 向 ， 所 以 在 这 里 也 算 总 结 和 记 录 ， 如 有 错 误 之 处 还 请 指 出 。 分 析 文 件 是 e x e 格 式 ， 附 带 一 个 d l l 链 接 文 件 。 要 求 得 到 解 密 后 的 三 个 k e y ， e x e 主 程 序 负 责 k e y 1 的 解 密 ， d l l 文 件 负 责 k e y 2 和 k e y 3 的 解 密 。 文 件 可 以 在 链 接 处 下 载 （ 链 接 :   h t t p s : / / p a n . b a i d u . c o m / s / 1 e S 2 2 y H 0   密 码 ： w t n e ） 。 使 用 工 具 使 用 工 具 i d a （ V 6 . 8 ， 吾 爱 破 解 网 站 下 载 ） 静 态 分 析 + o l l y d b g （ V 1 . 1 0 ， 官 网 下 载 ） 动 态 分 析 。 运 行 环 境 运 行 环 境 本 人 是 m a c 系 统 ， 然 后 安 装 了 虚 拟 机 ： v m w a r e + w i n d o w s   x p   s p 3 。 那 么 ， 我 们 进 入 正 题 吧 。 一 、 一 、 i d a 静 态 分 析 静 态 分 析 将 程 序 c r a c k m e . e x e 在 i d a 中 打 开 ， 可 以 看 到 对 应 的 汇 编 语 言 。 然 后 看 到 左 侧 列 表 有 个 m a i n 函 数 ， 直 接 双 击 ， 找 到 汇 编 程 序 的 m a i n 入 口 处 ， f 2 加 断 点 高 亮 显 示 ： 此 时 ， 可 以 直 接 在 高 亮 处 按 F 5 反 汇 编 得 到 对 应 的 C 代 码 ：
代 码 前 面 部 分 就 是 各 种 初 始 化 ， 变 量 声 明 之 类 的 ， 没 什 么 特 别 。 继 续 往 下 看 ， 看 到 " & u n k _ 4 0 F A 5 8 " 看 起 来 是 调 用 了 数 据 段 的 某 个 地 址 的 内 容 ， 于 是 双 击 看 看 是 什 么 ： 哟 ， 很 明 显 的 字 符 串 ， 会 不 会 是 k e y 1 呢 ？ 于 是 输 入 k e y 1 ， 显 示 错 误 。 然 后 继 续 看 看 程 序 中 使 用 这 串 字 符 串 的 位 置 ： 可 以 看 到 ， 在 程 序 找 到 字 符 串 之 后 ， 接 下 来 就 是 具 体 的 解 密 部 分 ， 其 实 可 以 看 到 很 明 显 的 一 句 汇 编 语 言 ： 寄 存 器 e d i 中 存 储 的 是 加 密 字 符 ， 执 行 的 计 算 是 减 一 ， 也 可 以 理 解 是 向 前 移 位 的 计 算 。 到 这 一 步 ， 再 打 开 o l l y d b g 进 行 动 态 分 析 ， 验 证 自 己 的 猜 想 。 其 实 直 接 分 析 汇 编 语 言 也 可 以 得 到 答 案 ， 只 不 过 觉 得 执 行 程 序 得 到 结 果 更 形 象 。 二 、 二 、 o d 动 态 分 析 动 态 分 析 在 之 前 还 是 简 单 地 介 绍 一 下 o d 的 界 面 和 在 之 后 用 到 的 界 面 （ 其 实 也 就 是 常 用 的 几 个 界 面 ） ： . t e x t : 0 0 4 0 1 1 2 8                                   d e c           e d i
汇 编 代 码 窗 口 和 寄 存 器 窗 口 是 两 个 常 用 窗 口 ， 一 个 确 定 程 序 运 行 到 了 哪 一 步 ， 一 个 确 定 需 要 的 内 容 在 内 存 的 存 储 位 置 。 对 照 在 i d a 找 到 的 m a i n 函 数 ， 直 接 右 键 选 择 “ G o   T o ” 跳 到 m a i n 函 数 位 置 设 置 断 点 （ 在 没 有 i d a 静 态 分 析 不 知 道 主 函 数 位 置 的 网 上 有 各 种 方 法 ） ： 然 后 反 复 调 试 程 序 设 置 合 适 的 断 点 ， 可 以 确 定 汇 编 代 码 的 功 能 并 得 到 计 算 后 的 字 符 串 ：
这 一 段 代 码 很 短 ， 可 以 一 步 一 步 调 试 （ F 7 ） ， 然 后 注 意 o a 右 边 的 寄 存 器 窗 口 ， 截 图 中 解 释 的 地 址 就 是 根 据 相 应 寄 存 器 存 储 内 容 确 定 的 。 解 密 算 法 执 行 结 束 之 后 到 内 存 地 址 窗 口 找 到 存 储 解 密 字 符 串 的 位 置 [ 0 0 3 9 3 F 6 8 ] ， 可 以 看 到 一 串 熟 悉 的 字 符 串 亲 切 地 躺 在 这 里 ： 此 时 不 太 确 定 是 不 是 k e y 1 ， 然 后 到 程 序 上 输 入 ： Y E A H ! ! 第 一 个 k e y 1 找 到 啦 ！ 萌 新 特 别 开 心 ！ 然 后 一 鼓 作 气 ， 继 续 解 决 k e y 2 和 k e y 3 。 这 个 时 候 有 点 陷 入 汇 编 代 码 的 茫 茫 大 海 中 ， 直 接 在 o d 中 使 用 f 7 动 态 调 试 ， 没 有 再 对 照 i d a 中 的 代 码 。 本 意 是 想 分 析 一 下 后 面 的 执 行 顺 序 ， 看 看 内 存 的 变 化 。 f 7 太 慢 ， 然 后 又 按 f 8 。 结 果 执 行 又 太 快 ， 还 没 注 意 到 具 体 解 密 算 法 ， 就 看 到 右 下 角 栈 区 域 出 现 了 一 个 疑 似 k e y 的 字 符 串 。 找 到 对 应 的 内 存 位 置 ， 上 下 滚 动 一 下 发 现 有 两 个 字 符 串 ：
然 后 拿 到 程 序 中 试 试 ： 踏 破 铁 鞋 无 觅 处 ， 得 来 全 不 费 工 夫 啊 ！ 但 是 ， 本 着 认 真 学 习 的 态 度 ， 我 决 定 再 回 过 头 看 看 解 密 这 两 个 字 符 串 使 用 了 什 么 算 法 。 o d 使 用   a l t + f 2   重 新 载 入 程 序 。 三 、 再 次 分 析 三 、 再 次 分 析 记 住 k e y 2 在 内 存 中 的 写 入 位 置 ： 0 0 3 B 3 D 7 8 ， 然 后 重 新 载 入 程 序 ， 设 置 内 存 写 入 断 点 ， 看 看 是 什 么 时 候 在 经 历 了 什 么 步 骤 之 后 写 入 的 。 结 果 发 现 并 没 有 这 个 位 置 ， 有 可 能 是 载 入 动 态 链 接 库 之 后 才 赋 予 的 地 址 ： 继 续 分 析 c 代 码 ， 发 现 忽 略 了 这 两 个 地 址 引 用 ：
就 按 照 上 一 个 k e y 的 方 法 再 次 找 到 汇 编 语 言 中 使 用 这 两 字 符 串 的 地 方 ： 同 理 在 o d 中 定 位 到 [ 0 0 4 0 1 2 3 D ] 然 后 继 续 在 o d 中 F 8 动 态 调 试 ， 找 到 合 适 的 断 点 ： 进 入 k e y 2 解 密 函 数 ， 此 时 已 载 入 动 态 链 接 库 。 再 查 找 内 存 地 址 0 0 3 B 3 D 7 8 ， 出 现 了 该 地 址 内 容 。 可 以 看 到 该 内 存 地 址 还 没 有 被 初 始 化 ， 在 此 位 置 设 置 内 存 写 入 断 点 （ 关 于 设 置 内 存 写 入 断 点 的 细 节 可 以 参 见 链 接 ： h t t p : / / b b s . p e d i y . c o m / t h r e a d - 1 8 7 1 1 8 . h t m ） ：
然 后 F 9 执 行 之 后 在 一 行 代 码 停 下 ， 可 以 看 到 此 时 k e y 已 经 开 始 写 入 ： 此 时 再 使 用 f 7 可 以 单 步 执 行 溯 源 找 到 解 密 算 法 ：
可 得 ： k e y 2 的 解 密 是 让 字 符 串 与 7 7 进 行 亦 或 （ x o r ） 运 算 。 同 理 得 到 k e y 3 的 解 密 算 法 ， k e y 3 的 内 存 写 入 地 址 是 0 0 3 B 3 D C 0 ： k e y 3 的 解 密 是 让 字 符 串 和 0 F 做 与 运 算 然 后 左 移 4 位 。 四 、 一 鼓 作 气 四 、 一 鼓 作 气 等 等 ！ 你 以 为 这 样 就 结 束 了 吗 ？ ！ 别 走 ， 快 回 来 ！ 并 没 有 ， 让 我 们 再 回 过 头 来 看 看 主 程 序 的 代 码 ：
看 到 这 个 s u b 4 0 1 0 0 0 ( ) 木 有 ？ 程 序 调 用 了 动 态 库 的 d e c o d e 函 数 对 字 符 串 解 密 得 到 了 k e y 2 和 k e y 3 ， 也 就 是 v 2 1 和 v 2 3 ， v 2 4 、 v 2 6 分 别 是 用 户 输 入 的 k e y 2 和 k e y 3 。 然 后 它 们 分 别 经 过 s u b 4 0 1 0 0 0 ( ) 函 数 的 洗 礼 （ 加 密 ） ， 来 看 看 这 个 函 数 到 底 在 干 什 么 ： 没 办 法 ， 萌 新 看 到 这 一 串 C 语 言 就 觉 得 头 疼 ， 还 是 使 用 o a 调 试 看 看 吧 。 这 段 代 码 可 以 当 作 是 再 次 加 密 ， 同 时 将 加 密 后 字 符 串 存 入 [ 0 0 3 9 2 9 A 0 ] 开 头 的 地 址 中 ：
这 段 代 码 中 ， 需 要 理 解 的 就 是 i m u l 操 作 符 及 后 面 的 代 码 对 字 符 进 行 的 操 作 。 在 这 里 使 用 了 I M U L 单 操 作 数 的 使 用 方 法 ： 意 思 就 是 ： 而 后 面 的 I M U L   C L 意 思 是 ： 综 上 对 单 个 字 符 的 操 作 描 述 为 ： 取 字 符 的 十 六 进 制 数 （ 寄 存 器 E A X 低 八 位 即 A L ） ， 平 方 后 取 低 八 位 结 果 （ 存 入 A L 中 ） ， 用 这 结 果 再 加 上 循 环 次 数 （ C L ） 的 平 方 得 到 加 密 字 符 存 入 B L 中 ， 再 写 入 内 存 。 用 p y t h o n 语 言 表 示 为 ： 所 以 最 后 的 结 论 就 是 ， 将 存 储 在 程 序 中 的 k e y 2 和 k e y 3 解 密 并 加 密 得 到 k e y 2 2 和 k e y 3 3 ， 然 后 用 户 输 入 u s r k e y 2 和 u s r k e y 3 用 同 样 的 加 密 算 法 加 密 得 到 u s r k e y 2 2 和 u s r k e y 3 3 。 最 后 比 较 k e y 2 2 和 u s r k e y 2 2 ， k e y 3 3 和 u s r k e y 3 3 是 否 相 等 。 总 结 总 结 用 户 输 入 前 程 序 做 了 什 么 ： 1 .   k e y 1 向 前 移 一 位 解 密 得 k e y 1 1 。 程 序 输 入 k e y 之 后 程 序 做 了 什 么 ： 1 .   输 入 u s r _ k e y 1 正 确 之 后 生 成 中 间 d l l 文 件 ， 程 序 载 入 两 个 d l l 文 件 ； 2 .   k e y 2 与 7 7 做 X O R 运 算 再 加 密 得 k e y 2 2 ； 3 .   k e y 3 与 0 F 做 A N D 运 算 然 后 左 移 4 位 再 加 密 得 k e y 3 3 ； 4 .   用 户 输 入 u s r k e y 2 , u s r k e y 3 ; 5 .   u s r k e y 2 加 密 得 u s r k e y 2 2 ， u s r k e y 3 加 密 得 u s r k e y 3 3 6 .   i f   ( k e y 2 2   = =   u s r k e y 2 2   & &   k e y 3 3   = =   u s r k e y 3 3 ) ， y o u   w i n ! i m u l   A L ; A L = A L * A L ; A L = A L * C L ； # 在 寄 存 器 中 字 符 用 1 6 进 制 表 示 ， 在 这 里 假 设 字 符 a 也 用 1 6 进 制 表 示 ； # 计 数 君 E C X 低 八 位 C L 用 t 表 示 ： a   =   i n t ( ‘ a ’ ,   1 6 ) ;                   / / 计 算 的 时 候 将 a 转 化 为 1 0 进 制 数 a   =   a   *   a ;                                             / / 自 乘 得 到 结 果 a   =   h e x ( a   –   ( a / 2 5 5 * 2 5 5 ) ) ;               / / 取 乘 法 结 果 的 低 八 位 再 转 化 为 1 6 进 制 数 a   =   a   + h e x (   ‘ t * t ’ ) ;                           / / 然 后 再 与 循 环 次 数 的 平 方 相 加 得 到 最 后 结 果
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理