搜索

[6893] 2020-08-26_通过CreckMe学习IDA使用的一些技巧

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2020-08-26_通过CreckMe学习IDA使用的一些技巧 通 过 C r e c k M e 学 习 I D A 使 用 的 一 些 技 巧 E 安 全   2 0 2 0 - 0 8 - 2 6 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 y . o m i c r o n 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 前 言 首 先 养 成 习 惯 ， 每 个 C r a c k e r 都 要 有 自 己 的 一 个 套 路 。 N o . 1 N o . 1 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 查 壳 查 壳 & 样 本 信 息 样 本 信 息 壳 信 息 ， 样 本 语 言 壳 信 息 ， 样 本 语 言 · 实 际 上 ， 这 个 样 本 是 没 有 壳 的 ， 而 且 是 采 用 的 D e l p h i 语 言 编 写 程 序 。 运 行 结 果 ， 窗 体 概 况 运 行 结 果 ， 窗 体 概 况 1 、 首 先 就 是 弹 窗 N A G ， 窗 口 标 题 h e l l o   y o u   h a v e   t o   k i l l   m e ! 也 说 明 ， 这 个 弹 窗 需 要 被 干 掉 ， 相 当 于 未 注 册 的 时 候 ， 弹 窗 提 示 你 购 买 软 件 。 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
2 、 接 下 来 点 完 确 认 ， 就 可 以 看 到 软 件 的 正 式 界 面 3 、 有 两 种 验 证 的 方 式 ， 说 明 我 们 需 要 解 决 两 种 验 证 的 算 法 。 · N a m e / S e r i a l
· S e r i a l 4 、 得 到 的 比 较 有 效 的 消 息 都 来 自 于 标 题 或 者 内 容 ， 实 际 上 这 个 弹 窗 我 们 猜 测 使 用 的 是 M e s s a g e B o x A / W ， 如 果 断 不 下 来 ， 在 考 虑 C r e a t e W i n d o w 这 个 更 加 原 始 的 A P I 下 断 点 。 N o . 2 N o . 2 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 静 态 分 析 I D A 初 处 理 初 处 理 · 首 先 ， 我 们 F 5 尝 试 阅 读 伪 代 码 。 原 始 图 片 如 下 图 ， 我 们 使 用 F 5 或 者 T a b l e 键 就 可 以 查 看 反 编 译 窗 口 。 有 的 时 候 不 可 以 反 编 译 ， 就 需 要 我 们 做 一 些 调 整 。
· 我 们 尝 试 恢 复 符 号 。 我 们 可 以 看 到 没 有 变 量 ， 都 是 函 数 ， 所 以 直 接 跟 进 函 数 ， 尝 试 恢 复 函 数 名 。 · 可 以 看 到 传 入 了 一 个 参 数 ， 这 个 参 数 可 以 双 击 点 进 去 看 看 是 什 么 ， 实 际 上 感 觉 这 个 参 数 类 似 列 表 ， 可 能 用 来 寻 址 之 类 的 。 没 有 遇 到 使 用 ， 暂 时 不 做 修 改 。 · 进 入 函 数 之 后 ， 阅 读 性 很 强 ， 所 以 我 们 直 接 阅 读 代 码 ， 遇 到 函 数 记 得 上 M S D N h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / 查 询 。 · 在 这 里 就 可 以 直 接 搜 索 函 数 G e t M o d u l e H a n d l e A 然 后 修 改 v 2 为 h S e l f P r o c e s s 自 己 能 看 懂 就 行 ， 这 里 是 当 前 进 程 的 伪 句 柄 。
· 接 下 来 ， 有 一 个 u n k _ 4 3 0 0 A 0 是 一 个 很 奇 怪 的 数 据 ， 但 是 我 们 可 以 判 断 他 是 一 个 数 组 ， 因 为 指 针 加 上 偏 移 ， 通 常 情 况 下 是 一 个 结 构 体 ， 这 里 可 以 判 断 出 这 个 结 构 体 是 一 个 指 针 数 组 。 · 过 去 之 后 看 到 的 空 间 分 配 告 诉 我 们 这 个 数 据 的 类 型 的 ( 虽 然 还 是 靠 猜 ) · 既 然 知 道 是 一 个 结 构 体 ， 那 么 我 们 就 可 以 让 他 看 起 来 更 接 近 原 始 代 码 。 · 首 先 修 复 这 个 数 据 所 包 含 的 空 间 ， 否 则 I D A 会 认 为 这 个 变 量 只 有 4 字 节 ， 实 际 我 们 看 到 的 是 1 6 字 节 ， 是 一 个 D W O R D * P t r [ 4 ] ， 所 以 我 们 先 修 改 数 据 为 数 组 。 修 改 为 4 就 可 以 了 ， 我 们 看 到 这 个 空 间 应 该 是 4 个 变 量 。
结 果 就 是 这 个 数 据 包 含 的 空 间 为 1 6 字 节 · 接 下 来 ， 我 们 首 先 在 反 编 译 窗 口 使 用 F 5 ， 刷 新 界 面 ， 让 我 们 刚 刚 做 的 修 改 被 应 用 ， 然 后 可 以 看 到 这 个 数 据 还 是 不 对 ， 我 们 原 本 看 到 的 是 * ( ( D W O R D * ) & u n k _ 4 3 0 0 A 0 + 1 ) ， 怎 么 看 也 不 会 是 数 组 的 最 后 一 个 嘛 ， 我 们 接 下 来 修 改 变 量 的 类 型 ， 点 击 变 量 ， 按 Y 。 这 就 是 为 什 么 是 4 的 原 因 ， 他 识 别 为 c h a r 型 ， 而 一 个 c h a r 只 有 一 个 字 节 ， 在 代 码 中 强 转 为 D W O R D ( 4 个 字 节 ) 类 型 之 后 ， 加 一 是 移 动 了 4 个 字 节 。 修 改 变 量 为 D W O R D * 类 型 。 这 回 就 是 正 常 的 结 果 了 。 中 间 出 现 了 一 些 问 题 ， 毕 竟 I D A   6 . 8 识 别 的 与 I D A   7 . 0 识 别 的 代 码 还 是 略 有 不 同 。 最 后 ， 还 是 达 到 了 一 样 的 代 码 逻 辑 。 · 实 际 上 我 们 完 全 可 以 采 用 I D R   ( I n t e r a c t i v e   D e l p h i   R e c o n s t r u c t o r ) 这 款 工 具 来 完 成 D e l p h i 的 反 汇 编 来 辅 助 I D A ， 不 过 上 面 的 内 容 主 要 是 完 成 对 结 构 体 的 一 些 操 作 ， 也 是 需 要 掌 握 的 。 I D R 辅 助 辅 助 I D A 逆 向 功 能 算 法 逆 向 功 能 算 法 · 首 先 使 用 I D R ， 在 窗 口 里 面 快 速 定 位 到 我 们 要 解 决 的 窗 口 ( 没 有 发 现 开 始 的 那 个 弹 窗 N A G ) ， 这 里 就 首 先 处 理 N a m e   S e r i a l 窗 口 。
· 然 后 我 们 直 接 找 到 提 交 答 案 的 按 钮 ， 看 提 交 答 案 的 处 理 函 数 在 那 个 地 方 。 · 然 后 就 可 以 直 接 使 用 I D A / G D B 跳 转 到 对 应 地 址 ， 可 以 看 到 回 答 正 确 的 弹 窗 。 · 这 个 时 候 发 现 有 很 多 函 数 都 没 有 识 别 ， 没 有 关 系 ， 查 壳 的 作 用 就 要 显 示 出 来 了 · 应 该 还 记 得 查 壳 的 结 果 。 · 直 接 使 用 快 捷 键 S h i f t   +   F 5 跳 转 到 签 名 界 面 ， 按 I n s e r t 添 加 签 名 。
· 搜 索 D e l p h i ， 然 后 添 加 对 应 版 本 的 签 名 。 然 后 回 到 反 编 译 窗 口 F 5 一 下 ， 就 能 看 到 熟 悉 的 函 数 名 了 。 · 接 下 来 ， 我 们 直 接 阅 读 代 码 即 可 解 决 问 题 解 决 问 题 · 注 意 到 我 标 注 出 来 的 那 一 行 代 码 ， v 1 4 作 为 注 册 码 最 开 始 的 一 部 分 字 符 串 ， 却 没 有 被 赋 值 ， 说 明 他 应 该 是 个 指 针 ， 但 是 这 个 指 针 里 面 应 该 是 被 赋 予 了 一 个 值 ， 但 是 静 态 分 析 没 有 办 法 分 析 这 种 调 用 ， 所 以 ， 我 们 必 须 要 在 D B G 里 面 调 试 才 能 找 到 V 1 4 的 值 ( 其 实 猜 都 猜 出 来 是 C W 了 ) · 其 实 换 个 编 译 器 ， 或 者 在 I D A 的 汇 编 窗 口 查 看 ， 也 是 可 以 整 理 清 楚 逻 辑 的 ， 只 是 反 编 译 不 是 非 常 完 美 。 所 以 像 我 这 么 懒 ， 就 选 择 直 接 在 G D B 中 查 看 拼 接 好 的 字 符 串 。
另 一 个 另 一 个 S e r i a l · 这 个 按 照 上 面 的 办 法 就 可 以 解 决 了 ， 找 到 算 法 ， 一 下 就 看 懂 了 ， 看 不 懂 的 ， 建 议 写 一 些 程 序 ， 然 后 再 多 使 用 一 下 M S D N 。 · 注 册 码 H e l l o   D u d e ! ， 注 意 感 叹 号 ， 上 面 就 是 没 发 现 感 叹 号 . . . . . . N o . 3 N o . 3 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 动 态 分 析 调 试 器 选 择 · 我 们 通 过 静 态 分 析 知 道 这 个 程 序 使 用 的 是 M e s s a g e B o x 来 实 现 弹 窗 的 ， 我 们 就 可 以 使 用 在 M e s s a g e B o x 下 A P I 断 点 来 完 成 去 除 N A G 的 工 作 · 但 是 我 们 如 何 去 除 掉 这 个 N A G 就 有 些 讲 究 ， 我 们 可 以 先 试 试 ， 我 习 惯 使 用 自 己 魔 改 的 x 6 4 _ d b g 。 · 所 以 我 们 还 是 需 要 在 调 试 器 中 进 行 栈 回 溯 和 一 定 的 分 析 ， 否 则 只 会 白 给 。 我 采 用 的 方 式 是 交 叉 引 用 查 找 。 · 首 先 找 到 字 符 串 在 内 存 中 的 位 置
· 然 后 直 接 搜 素 引 用 · 这 样 就 可 以 找 到 真 正 传 递 参 数 准 备 弹 窗 的 地 方 。 · 接 下 来 ， 直 接 干 掉 另 外 两 个 注 册 的 判 断 即 可 ， 地 址 都 知 道 。 当 然 ， 也 可 以 直 接 使 用 上 面 的 断 点 ， 一 样 的 可 以 解 决 问 题 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理