|
2797| 11
|
[转贴] 萌新学逆向：Crackme入门之基础操作分析
[复制链接]
|
发表于 2023-1-22 15:14
免费评分
| ||||||||||||||||||||||||||
|
发帖前要善用【论坛搜索】功能，那里可能会有你要找的答案或者已经有人发布过相同内容了，请勿重复发帖。 |
||||||||||||||||||||||||||
发表于 2023-1-23 08:42
| ||
|
发表于 2023-1-22 15:15
| ||
|
发表于 2023-1-23 09:38
| ||
发表于 2023-1-23 15:05
| ||
|
发表于 2023-1-23 15:59
| ||
|
发表于 2023-1-23 16:00
| ||
RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )
GMT+8, 2024-4-26 10:31
Powered by Discuz!
Copyright © 2001-2020, Tencent Cloud.
此时，可以直接在高亮处按F5反汇编得到对应的C代码：
汇编代码窗口和寄存器窗口是两个常用窗口，一个确定程序运行到了哪一步，一个确定需要的内容在内存的存储位置。对照在ida找到的main函数，直接右键选择“Go To”跳到main函数位置设置断点（在没有ida静态分析不知道主函数位置的网上有各种方法）：
然后反复调试程序设置合适的断点，可以确定汇编代码的功能并得到计算后的字符串：
此时不太确定是不是key1，然后到程序上输入：
然后拿到程序中试试：
踏破铁鞋无觅处，得来全不费工夫啊！但是，本着认真学习的态度，我决定再回过头看看解密这两个字符串使用了什么算法。od使用 alt+f2 重新载入程序。三、再次分析
继续分析c代码，发现忽略了这两个地址引用：
就按照上一个key的方法再次找到汇编语言中使用这两字符串的地方：
同理在od中定位到[0040123D]然后继续在od中F8动态调试，找到合适的断点：
进入key2解密函数，此时已载入动态链接库。再查找内存地址003B3D78，出现了该地址内容。可以看到该内存地址还没有被初始化，在此位置设置内存写入断点（关于设置内存写入断点的细节可以参见链接：[url=]http://bbs.pediy.com/thread-187118.htm[/url]）：
然后F9执行之后在一行代码停下，可以看到此时key已经开始写入：
此时再使用f7可以单步执行溯源找到解密算法：
可得：key2的解密是让字符串与77进行亦或（xor）运算。同理得到key3的解密算法，key3的内存写入地址是003B3DC0：
key3的解密是让字符串和0F做与运算然后左移4位。四、一鼓作气等等！你以为这样就结束了吗？！别走，快回来！并没有，让我们再回过头来看看主程序的代码：
看到这个sub_401000()木有？程序调用了动态库的decode函数对字符串解密得到了key2和key3，也就是v21和v23，v24、v26分别是用户输入的key2和key3。然后它们分别经过sub_401000()函数的洗礼（加密），来看看这个函数到底在干什么：
没办法，萌新看到这一串C语言就觉得头疼，还是使用oa调试看看吧。这段代码可以当作是再次加密，同时将加密后字符串存入[003929A0]开头的地址中：
这段代码中，需要理解的就是imul操作符及后面的代码对字符进行的操作。在这里使用了IMUL单操作数的使用方法：imul AL;意思就是：AL=AL*AL;而后面的IMUL CL意思是：AL=AL*CL；综上对单个字符的操作描述为：取字符的十六进制数（寄存器EAX低八位即AL），平方后取低八位结果（存入AL中），用这结果再加上循环次数（CL）的平方得到加密字符存入BL中，再写入内存。用python语言表示为：#在寄存器中字符用16进制表示，在这里假设字符a也用16进制表示；#计数君ECX低八位CL用t表示：a = int(‘a’, 16); //计算的时候将a转化为10进制数a = a * a; //自乘得到结果a = hex(a – (a/255*255)); //取乘法结果的低八位再转化为16进制数a = a +hex( ‘t*t’); //然后再与循环次数的平方相加得到最后结果所以最后的结论就是，将存储在程序中的key2和key3解密并加密得到key22和key33，然后用户输入usr_key2和usr_key3用同样的加密算法加密得到usr_key22和usr_key33。最后比较key22和usr_key22，key33和usr_key33是否相等。总结
