搜索

[14259] 2019-06-22_一道题入门逆向分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-06-22_一道题入门逆向分析 一 道 题 入 门 逆 向 分 析 B o r i n g r o l e   F r e e B u f   2 0 1 9 - 0 6 - 2 2 0 x 0 0   前 言 前 言 将 自 己 学 习 逆 向 破 解 的 知 识 总 结 一 下 ， 主 要 是 逆 向 的 入 门 知 识 以 及 自 己 的 学 习 感 悟 ， 包 括 逆 向 时 的 一 些 思 路 和 补 丁 ， 注 册 机 ， 保 护 壳 等 方 面 的 一 些 知 识 ， 有 不 到 之 处 请 师 傅 们 斧 正 。 将 自 己 学 习 逆 向 破 解 的 知 识 总 结 一 下 ， 主 要 是 逆 向 的 入 门 知 识 以 及 自 己 的 学 习 感 悟 ， 包 括 逆 向 时 的 一 些 思 路 和 补 丁 ， 注 册 机 ， 保 护 壳 等 方 面 的 一 些 知 识 ， 有 不 到 之 处 请 师 傅 们 斧 正 。 演 示 程 序 【 提 取 码 ： 演 示 程 序 【 提 取 码 ： d d 2 b   】 】 工 具 包 【 工 具 包 【   提 取 码 ： 提 取 码 ： w i r x   】 】 0 x 0 1   基 础 篇 基 础 篇 逆 向 一 个 小 程 序 时 ， 我 们 要 做 的 第 一 步 应 该 是 收 集 信 息 ， 比 如 该 程 序 有 哪 些 功 能 ， 重 要 字 符 串 ， 通 过 程 序 的 一 些 行 为 猜 测 调 用 了 哪 些 A P I 函 数 ， 是 否 加 壳 等 ， 这 些 信 息 有 助 于 我 们 理 解 程 序 的 运 行 逻 辑 ， 为 后 面 的 破 解 做 好 铺 垫 。 比 如 我 们 通 过 P E I D 发 现 未 加 壳 ， 进 入 不 同 的 功 能 模 块 ， 发 现 了 具 有 参 考 价 值 的 重 要 字 符 串 ， 通 过 弹 窗 行 为 可 以 猜 测 程 序 调 用 了 M e s s a g e b o x （ ） 函 数 等 A P I 函 数 。 搜 集 完 信 息 后 ， 我 们 可 以 加 以 猜 测 ， 猜 对 了 可 以 减 少 工 作 量 ， 比 如 S e r i a l 模 块 ， 猜 测 是 程 序 会 自 动 生 成 一 个 固 定 序 列 号 或 者 利 用 用 户 输 入 值 进 行 一 定 操 作 后 生 成 新 的 序 列 号 等 。 图 一 图 一 通 过 图 一 可 以 看 到 程 序 主 要 有 两 个 部 分 ， 一 个 是 单 纯 地 输 入 序 列 号 ， 一 个 是 要 求 输 入 用 户 名 和 序 列 号 。 S e r i a l 部 分 部 分 在 S e r i a l 部 分 ， 尝 试 着 随 便 输 入 几 个 序 列 号 都 报 错 ， 接 下 来 通 过 O D 打 开 ， 用 智 能 搜 索 可 以 发 现 很 多 有 价 值 的 线 索 。 经 过 前 面 的 探 索 ， 现 在 我 们 已 经 知 道 了 各 个 字 符 串 出 现 的 位 置 ， 并 且 我 们 甚 至 可 以 大 概 猜 测 出 输 入 正 确 的 序 列 号 之 后 会 出 现 的 情 况 。 图 二 图 二 图 三 图 三 双 击 F a i l e d ！ 后 程 序 自 动 定 位 到 相 应 汇 编 代 码 处 。 上 下 移 动 可 以 发 现 本 模 块 的 开 始 部 分 “ 0 0 4 2 F 4 7 E   | .   5 5   p u s h   e b p ” ， 用 F 2 在 此 处 下 一 个 断 点 ， 继 续 运 行 程 序 会 发 现 程 序 停 留 在 断 点 处 ， 使 用 F 8 继 续 运 行 ， 最 终 弹 出 报 错 框 。
图 四 图 四 图 五 图 五   图 六 图 六 分 析 进 行 到 这 里 ， 很 显 然 我 们 会 猜 想 序 列 号 为 “ H e l l o   D u d e ！ ” ， 验 证 结 果 如 下 ：   图 七 图 七 重 要 汇 编 代 码 分 析 ： 重 要 汇 编 代 码 分 析 ： S e r i a l + N a m e 部 分 ： 部 分 ： 通 过 查 看 文 本 字 符 串 ， 再 运 行 一 下 即 可 大 致 了 解 该 部 分 程 序 的 主 要 运 行 逻 辑 。 图 八 图 八 可 以 看 到 “ T r y   A g a i n ！ ” 和 “ S o r r y ,   T h e   s e r i a l   i s   i n c o r r e c t ！ ” 分 别 出 现 了 两 次 ， 考 虑 到 要 求 输 入 用 户 名 与 序 列 号 ， 猜 测 应 该 是 先 满 足 一 个 条 件 后 ， 再 判 断 是 否 满 足 另 一 个 条 件 ， 只 有 两 个 条 件 都 满 足 0 0 4 2 F 4 7 E     | .     5 5                                           p u s h   e b p                                                                         ;     S e r i a l 部 分 开 始 处 ！ 0 0 4 2 F 4 7 F     | .     6 8   2 C F 5 4 2 0 0       p u s h   D e m o . 0 0 4 2 F 5 2 C 0 0 4 2 F 4 8 4     | .     6 4 : F F 3 0                       p u s h   d w o r d   p t r   f s : [ e a x ] 0 0 4 2 F 4 8 7     | 0 0 4 2 F 4 D 7     | .     6 A   0 0                                 p u s h   0 x 0 0 0 4 2 F 4 D 9     | .     B 9   6 4 F 5 4 2 0 0       m o v   e c x , D e m o . 0 0 4 2 F 5 6 4                     ;     C o n g r a t z ! 0 0 4 2 F 4 D E     | .     B A   7 0 F 5 4 2 0 0       m o v   e d x , D e m o . 0 0 4 2 F 5 7 0                     ;     G o d   J o b   d u d e   ! !   = ) 0 0 4 2 F 4 E 3     | 0 0 4 2 F 4 F 1     | >     6 A   0 0                               p u s h   0 x 0 0 0 4 2 F 4 F 3     | .     B 9   8 4 F 5 4 2 0 0       m o v   e c x , D e m o . 0 0 4 2 F 5 8 4                       ;     F a i l e d ! 0 0 4 2 F 4 F 8     | .     B A   8 C F 5 4 2 0 0       m o v   e d x , D e m o . 0 0 4 2 F 5 8 C                   ;     T r y   A g a i n ! ! 0 0 4 2 F 4 F D     |
的 情 况 下 才 弹 出 正 确 信 息 。 同 样 ， 双 击 第 一 个 “ T r y   A g a i n ！ ” 所 在 行 ， 程 序 跳 转 至 相 应 汇 编 代 码 处 ， 上 下 移 动 可 以 发 现 这 就 是 我 们 要 寻 找 的 关 键 代 码 。 同 样 在 入 口 代 码 处 设 置 一 个 断 点 ， 继 续 运 行 ， 在 输 入 框 中 随 便 输 入 一 些 信 息 ， 点 击 “ C h e c k   i t   B a b y ！ ” 按 钮 会 发 现 程 序 动 不 了 。 图 九 图 九 图 十 图 十 此 时 程 序 将 停 留 在 断 点 处 ， 我 们 在 O D 中 选 择 F 8 单 步 步 过 ， 一 直 按 F 8 ， 最 终 会 发 现 在 堆 栈 窗 口 会 冒 出 一 个 特 别 的 值 ： “ C W - 4 6 7 4 - C R A C K E D ” , 猜 测 是 我 们 需 要 的 序 列 号 。 图 十 一 图 十 一 验 证 结 果 如 下 ： 图 十 二 图 十 二 重 要 汇 编 代 码 分 析 ： 重 要 汇 编 代 码 分 析 ： 0 x 0 2   高 级 篇 高 级 篇 注 册 机 注 册 机 每 次 输 入 用 户 名 后 再 通 过 堆 栈 窗 口 来 查 找 序 列 号 有 些 麻 烦 ， 我 们 可 以 编 写 一 个 注 册 机 来 让 程 序 自 动 弹 出 正 确 序 列 号 。 我 们 可 以 通 过 打 补 丁 使 程 序 自 动 弹 出 正 确 序 列 号 ， 补 丁 代 码 有 多 种 设 置 方 式 ， 通 常 设 置 在 文 件 的 空 白 区 域 文 件 的 空 白 区 域 （ 补 丁 代 码 较 少 时 ） ， 扩 展 最 后 节 区 后 扩 展 最 后 节 区 后 或 者 添 加 新 节 区 后 在 打 补 丁 添 加 新 节 区 后 在 打 补 丁 。 下 面 我 们 通 过 第 三 种 方 式 来 实 现 ： 添 加 一 个 新 区 段 后 再 打 补 丁 。 通 过 P E 增 加 区 段 工 具 可 以 增 加 一 个 新 的 区 段 ， 不 过 增 加 完 区 段 后 ， 我 们 还 要 改 变 该 区 段 的 权 限 ， 使 之 可 读 可 写 可 执 行 ， 这 里 我 用 的 是 L o r d P E ： 0 0 4 2 F 9 A 9     | .     5 5                                                       p u s h   e b p 0 0 4 2 F 9 A A     | .     6 8   6 7 F B 4 2 0 0                   p u s h   D e m o . 0 0 4 2 F B 6 7 0 0 4 2 F 9 A F             6 4 : F F 3 0                                   p u s h   d w o r d   p t r   f s : [ e a x ] 0 0 4 2 F 9 B 2     0 0 4 2 F A 5 C     | .     6 A   0 0                                 p u s h   0 x 0 0 0 4 2 F A 5 E     | .     B 9   7 4 F B 4 2 0 0       m o v   e c x , D e m o . 0 0 4 2 F B 7 4                                   ;   T r y   A g a i n ! 0 0 4 2 F A 6 3     | .     B A   8 0 F B 4 2 0 0       m o v   e d x , D e m o . 0 0 4 2 F B 8 0                                   ;   S o r r y   ,   T h e   s e r i a l   i s   i n c o r e c t   ! 0 0 4 2 F A 6 8     | 0 0 4 2 F A 7 9     | >     8 D 5 5   F 0                             l e a   e d x , [ l o c a l . 4 ]   0 0 4 2 F A 7 C     | .     8 B 8 3   D C 0 1 0 0 0 0   m o v   e a x , d w o r d   p t r   d s : [ e b x + 0 x 1 D C ] 0 0 4 2 F A 8 2     | .     E 8   D 1 A F F E F F           c a l l   D e m o . 0 0 4 1 A A 5 8 0 0 4 2 F A 8 7     | .     ; 算 法 开 始 0 0 4 2 F A 8 A     | .     0 F B 6 0 0                                 m o v z x   e a x , b y t e   p t r   d s : [ e a x ]                           ; E A X   0 3 9 ， 取 用 户 名 字 符 串 地 址 中 的 第 一 个 字 节 入 e a x 0 0 4 2 F A 8 D     | .   F 7 2 D   5 0 1 7 4 3 0 0         i m u l   d w o r d   p t r   d s : 0 0 4 2 F B 0 5     | .     6 A   0 0                                           p u s h   0 x 0 0 0 4 2 F B 0 7     | .     B 9   C C F B 4 2 0 0               m o v   e c x , D e m o . 0 0 4 2 F B C C             ;   C o n g r a t z   ! ! 0 0 4 2 F B 0 C     | .     B A   D 8 F B 4 2 0 0               m o v   e d x , D e m o . 0 0 4 2 F B D 8           ; G o o d   j o b   d u d e   = )         0 0 4 2 F B 1 1     | 0 0 4 2 F B 1 F     | >     6 A   0 0                                         p u s h   0 x 0 0 0 4 2 F B 2 1     | .     B 9   7 4 F B 4 2 0 0                   m o v   e c x , D e m o . 0 0 4 2 F B 7 4           ; T r y   A g a i n ! 0 0 4 2 F B 2 6     | .     B A   8 0 F B 4 2 0 0                   m o v   e d x , D e m o . 0 0 4 2 F B 8 0           ; S o r r y   ,   T h e   s e r i a l   i s   i n c o r e c t   ! 0 0 4 2 F B 2 B     |
图 十 三 图 十 三 图 十 四 图 十 四 通 过 O D 打 开 刚 才 增 加 了 m e s s a g e b o x 区 段 的 程 序 ， 我 们 可 以 看 到 该 区 段 在 程 序 中 的 位 置 ， 接 着 调 转 到 相 应 位 置 去 编 写 补 丁 程 序 ， 下 面 演 示 中 ， 我 们 从 4 E C 0 1 0 处 开 始 编 写 。 图 十 五 图 十 五 图 十 六 图 十 六 将 c a l l   A c i d _ b u r . 0 0 4 1 A A 5 8 下 面 两 行 代 码 n o p 掉 ， 并 跳 转 至 我 们 自 己 写 的 代 码 处 ： 图 十 七 图 十 七
图 十 八 图 十 八 p u s h 的 都 是 地 址 ， 可 以 修 改 标 题 和 内 容 的 地 址 ， 再 调 用 相 应 的 M e s s a g e b o x A 函 数 ； 当 程 序 通 过 一 系 列 的 算 法 算 出 注 册 码 的 时 候 ， 再 用 弹 窗 注 册 机 弹 出 。 图 十 九 图 十 九 图 二 十 图 二 十 补 充 ： 上 述 实 例 中 ， 由 于 我 们 在 增 加 的 区 段 中 调 用 的 M e s s a g e b o x (   ) 为 编 写 者 自 己 封 装 的 程 序 ， 因 此 当 我 们 将 其 放 置 到 其 他 环 境 中 去 运 行 时 ， 可 能 会 出 现 如 下 情 况 ：   图 二 十 一 图 二 十 一 图 二 十 二 图 二 十 二 补 充 ： 只 有 使 用 W i n d o w s 系 统 的 库 函 数 才 能 避 免 这 类 问 题 ， 比 如 上 图 中 的 j m p . & u s e r 3 2 . M e s s a g e B o x A 函 数 。
图 二 十 三 图 二 十 三 内 嵌 补 丁 内 嵌 补 丁 如 果 我 们 选 择 在 程 序 的 空 白 区 域 编 写 补 丁 代 码 ， 有 时 会 报 错 : “ 在 可 执 行 文 件 中 无 法 定 位 数 据 ” ， 因 为 在 增 加 代 码 后 ， 整 个 代 码 长 度 可 能 会 超 出 C o d e 区 段 的 大 小 。 另 外 ， 有 时 会 遇 到 对 象 程 序 经 过 运 行 时 压 缩 （ 或 加 密 处 理 ） 而 难 以 直 接 修 改 的 情 况 ， 此 时 我 们 都 可 以 选 择 内 嵌 补 丁 。 图 二 十 四 图 二 十 四 内 嵌 补 丁 ( I n l i n e   C o d e   P a t c h ) ： 难 以 直 接 修 改 指 定 代 码 时 ， 插 入 并 运 行 被 称 为 “ 洞 穴 代 码 ” 的 补 丁 代 码 后 ， 对 程 序 打 补 丁 。 图 二 十 五 图 二 十 五 左 侧 是 典 型 的 运 行 时 压 缩 或 加 密 代 码 ， E P 代 码 先 将 加 密 的 O E P 代 码 解 密 ， 然 后 再 跳 转 到 O E P 代 码 处 ， 若 要 打 补 丁 的 代 码 存 在 于 经 过 加 密 的 O E P 区 域 是 很 难 打 补 丁 的 ， 因 为 解 密 过 程 中 可 能 会 解 出 完 全 不 同 的 结 果 。 此 时 可 以 在 文 件 中 另 外 设 置 被 称 为 “ 洞 穴 代 码 ” 的 “ 补 丁 代 码 ” ， E P 代 码 解 密 后 修 改 J M P 指 令 ， 运 行 洞 穴 代 码 。 在 洞 穴 代 码 中 执 行 补 丁 代 码 后 ， 再 跳 转 到 O E P 处 。 即 每 次 运 行 另 外 的 补 丁 代 码 时 都 要 对 进 程 内 存 的 代 码 打 补 丁 。 它 与 一 般 修 改 代 码 的 方 式 不 同 在 于 ：   图 二 十 六 图 二 十 六 保 护 壳 ： 保 护 壳 ： 一 段 专 门 负 责 保 护 软 件 不 被 非 法 修 改 或 反 编 译 的 程 序 。 通 常 将   壳 壳   分 为 两 类 ， 一 类 是 压 缩 壳 ， 另 一 类 是 加 密 壳 。 压 缩 壳 可 以 帮 助 缩 减   P E   文 件 的 大 小 ， 隐 藏 了   P E   文 件 内 部 代 码 和 资 源 ， 便 于 网 络 传 输 和 保 存 ； 加 密 壳 最 主 要 的 功 能 是 保 护   P E   免 受 代 码 逆 向 分 析 。 由 于 加 密 壳 的 主 要 目 的 不 再 是 压 缩 文 件 资 源 ， 所 以 加 密 壳 保 护 的   P E   程 序 通 常 比 原 文 件 大 得 多 。 目 前 加 密 壳 大 量 用 于 对 安 全 性 要 求 高 ， 对 破 解 敏 感 的 应 用 程 序 ， 同 时 也 有 恶 意 程 序 用 于 避 免 （ 降 低 ） 杀 毒 软 件 的 检 测 查 杀 。 图 二 十 七 图 二 十 七 壳 的 加 载 过 程 ： 壳 的 加 载 过 程 ： a : 保 存 入 口 参 数 ； （ 加 壳 程 序 初 始 化 时 保 存 各 寄 存 器 的 值 ， 外 壳 执 行 完 毕 ， 恢 复 各 寄 存 器 值 ， 最 后 再 跳 到 原 程 序 执 行 ） b : 获 取 所 需 函 数   A P I ；
c : 解 密 各 区 块 数 据 ； （ 处 于 保 护 源 程 序 代 码 和 数 据 的 目 的 ， 一 般 会 加 密 源 程 序 文 件 的 各 个 区 块 ， 在 程 序 执 行 时 外 壳 将 这 些 区 块 数 据 解 密 ， 以 让 程 序 正 常 运 行 ） d : 跳 转 回 原 程 序 入 口 点 。 脱 壳 技 巧 ： 脱 壳 技 巧 ： 关 于 脱 壳 技 巧 部 分 ， 网 络 上 有 很 多 很 棒 的 资 源 ， 我 就 不 造 轮 子 了 ， 主 要 有 这 几 种 ： 单 步 跟 踪 法 、 E S P 定 律 法 、 内 存 镜 像 法 、 一 步 到 达 O E P 法 、 最 后 一 次 异 常 法 、 S F X 自 动 脱 壳 法 等 等 。 * 本 文 作 者 ： 本 文 作 者 ： B o r i n g r o l e ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理