初步分析
本题是驱动的修复及调试……(:з」∠)
拿到sys文件，发现是PE格式，于是直接IDA反编译
沿着DriverEntry向里查找，发现这里
这里创建了硬件设备对象和符号链接并传入DriverObject
MajorFunction就很明显了
查看DriverObject结构体及其介绍可以更好地理解这些作用
https://www.cnblogs.com/zhuyp1015/archive/2012/03/14/2396560.html讲的挺好
PDRIVER_DISPATCH MajorFunction[IRP_MJ_MAXIMUM_FUNCTION];
指向驱动程序的DispatchXXX函数指针的数组。每个驱动程序至少要设置一个DispatchXXX函数指针在这个数组里来处理这个驱动程序IRP请求包。需要设定一些默认的分发函数（DIspatchXXX）来处理一些默认的IRP包。
查看这两个函数发现前者设置了一个全局变量和IRP的状态，后者则只是析构处理
这个全局变量挺令人在意，于是查看交叉引用，发现了另一个函数sub_110a4
查看sub_110A4的交叉引用，发现调用在一个很有趣的地方
.text:00011182 loc_11182: ; CODE XREF: sub_11118+5Dj
.text:00011182 mov dword ptr [edi+38h], offset sub_1102A
.text:00011189 mov dword ptr [edi+40h], offset sub_11006
.text:00011190 push eax
.text:00011191 mov eax, offset sub_110A4
.text:00011196 pop eax
这里上面两行就是DriverObject->MajorFunction的赋值，而最后引入了sub_110A4却又直接覆盖了
结合题目，很明显这里就是Bug点了
初步分析先到这里，下面进行安装和调试
安装驱动
使用DriverMonitor来安装和启动驱动
直接报错
这是因为驱动在启动时会检查CRC32的校验和
通过LoadPE可以一键修复，再启动就成功了
但是停止则会失败
显示，它没有卸载函数
结合之前静态分析可知，应该把sub_110A4赋值给DriverObject的Unload成员上。
将其Patch上以后会显示不正常：
实际上是重定位表错位，需要手动修复
顺手查了一波重定位表的相关知识
这里赋值的都是函数地址的绝对值，而由于内存加载基址可能改变，因此需要让加载器根据重定位表来修复这些绝对值
重定位表中保存的就是使用函数地址的地方
如sub_1102A的地址是11182-10000+3=1185，其中11182是该命令的起始地址，10000是基址，3是命令（mov xxx, offset name）中函数地址的偏移
在PE工具中查找
地址分别为1185、118C和1192
对照发现Patch后应该将第三个改为1193，修正后安装、启动和关闭都正常了
（记得要修正校验和）
分析代码可以发现，在MajorFunction[0]即Major_Create函数中，首先校验pid是否为360，然后申请了一块空间，并对某个值进行操作，放置在该空间中
在Unload函数中对该空间的值进行解密，结果放置于0x4000中
正常操作是创建一个设备来调用Major_Create函数，再关闭驱动来调用Unload函数，调试查看0x4000处的内存
创建设备的代码为
#include <windows.h>
#include <stdio.h>
#define PAGE_SIZE 0x1000
#define OBJ_CASE_INSENSITIVE 0x00000040
#define FILE_OPEN_IF 0x00000003
#define KERNEL_NAME_LENGTH 0x0D
//main 函数
int main()
{
HANDLE DeviceHandle=NULL;
ULONG ReturnLength = 0;
PVOID MappedBase=NULL;
ULONG DllCharacteristics = DONT_RESOLVE_DLL_REFERENCES;
ULONG ShellCodeSize = PAGE_SIZE;
char DeviceName[] = "\\\\.\\360Dst";
HANDLE handle = CreateFile(DeviceName, GENERIC_READ|GENERIC_WRITE,
FILE_SHARE_READ | FILE_SHARE_WRITE, NULL, OPEN_EXISTING, 0, NULL);
if(handle == INVALID_HANDLE_VALUE)
{
printf("CreateFile error:%d\n", GetLastError());
}
else
{
printf("CreateFile succ\n");
}
return 0;
}
动态调试
首先在虚拟机中完成双机调试的设置
流程可参考http://blog.csdn.net/sagittarius_warrior/article/details/51305046
PS: 我用的是XP系统，没有bcdedit，在C盘的boot.ini中添加启动项即可
再先后启动物理机的windbg和虚拟机系统即可
windbg会在启动系统的时候断下，此时下好驱动载入的断点
sxe ld 360dst.sys
然后g运行
断下来以后输入lm查看所有载入模块，找到驱动的地址
f8aa2000 f8aa9000 360dst (no symbols)
f8aa2000就是起始点，然后根据IDA中反编译的地址即可下断
bp f8aa2000 + 0x10f7
（入口点+偏移地址）
安装设备并终止，断下Unload函数
查看对应的内存即可
kd> da f8aa2000+4000
f8aa6000 "Cong.057e483b4694fc2866d1bd0b6fc"
f8aa6020 "a0f48"
得到flag
静态分析并复现flag生成
作为逆向选手，这个程序把flag的生成流程全部写在程序里了，非要我调试才能看到，这能忍吗？！
首先可以看出来Unload函数中执行了sub_11482函数来解密Src中的东西，结果放在offset_14000中
查看交叉引用发现Src在Create的sub_114A8函数中被赋值
通过密码学插件/常数搜索可以得知它分别进行了MD5和blowfish两次变换
熟悉MD5的C实现的话可以很轻松猜出这三个函数分别是init、update和final
其中update的参数之一是输入，final的参数之一是输出
输入就是src，从上一个函数可以看出是360，即68 01 00 00四个字节
仿造进行md5即可
下面blowfish很明显a2是长度，a3是一段key，其中一些字节被刚才MD5的结果进行替换，a1则是输出
这里想了半天blowfish应该至少有3个输入：密钥、明文、密文，但这里缺少一个明文
后来去找了blowfish的源码才发现这个函数其实是blowfish_init，它用key对S盒和P盒进行了变换
值得一提的是，对照网上实现的源码可以发现该程序修改了结构
S盒是从第19个字节开始的
那么中间18个字节干啥了？
往下看：
重复放置了P盒
也就是说，本来的
typedef struct {
unsigned long P[16 + 2];
unsigned long S[4][256];
} BLOWFISH_CTX;
被改成了这样
typedef struct {
unsigned long P[16 + 2];
unsigned long P2[16 + 2];
unsigned long S[4][256];
} BLOWFISH_CTX;
将其修正后直接调用blowfish_init源码即可
那很明显，offset_14000处存放的就是密文了
解密函数不算复杂，核心部分只是每次取两个双字，先异或，然后送入sub_11324，再异或
*v3 ^= dword_14108;
v3[1] ^= dword_1410C;
v7 = v3[1];
v8 = *v3;
sub_11324(v3, v3, (_DWORD *)a3, 0);
*v3 ^= v6;
v3[1] ^= v5;
v6 = v8;
v5 = v7;
v3 += 2;
++v10;
而sub_11324中是逐字节取出值进行异或，太长懒得看直接复制下来
一般而言IDA的F5是不会破坏逻辑的
至此源程序的逻辑就完全拷贝下来了，运行即可得到flag
#include <stdio.h>
#include <stdlib.h>
#include "blowfish.c"
#include "md5.h"
#define _DWORD long
int BYTE1(int x)
{
return (x>>8)&0xff;
}
int BYTE2(int x)
{
return (x>>16)&0xff;
}
int *__stdcall sub_11324(int *a1, int *a2, int *a3, int a4)
{
int v4; // ecx
int *v5; // eax
int *v6; // edi
unsigned int v7; // ecx
_DWORD *v8; // esi
int v9; // edx
int *result; // eax
unsigned int v11; // [esp+14h] [ebp+8h]
int *v12; // [esp+1Ch] [ebp+10h]
v4 = *a1;
v11 = a1[1];
v5 = a3;
v6 = a3;
if ( !a4 )
v6 = a3 + 18;
v7 = *v6 ^ v4;
v8 = v6 + 2;
v12 = (int *)8;
do
{
v11 ^= *(v8 - 1) ^ (v5[(unsigned __int8)v7 + 804]
+ (v5[BYTE1(v7) + 548] ^ (v5[(v7 >> 24) + 36] + v5[BYTE2(v7) + 292])));
v9 = *v8 ^ (v5[(unsigned __int8)v11 + 804] + (v5[BYTE1(v11) + 548] ^ (v5[(v11 >> 24) + 36] + v5[BYTE2(v11) + 292])));
v8 += 2;
v7 ^= v9;
v12 = (int *)((char *)v12 - 1);
}
while ( v12 );
result = a2;
*a2 = v11 ^ v6[17];
a2[1] = v7;
return result;
}
int decrypt(long* text, int* src)
{
long a = 0xf383d5a8;
long b = 0x6ac37e1b;
long c = 0xc72a9e7c;
long d = 0xf3ecb286;
int i;
int p,q;
for(i=0;i<256/8;i+=2)
{
text[i] ^= c;
text[i+1] ^= d;
p = text[i];
q = text[i+1];
sub_11324(&text[i], &text[i], src, 0);
text[i] ^= a;
text[i+1] ^= b;
a = p;
b = q;
}
}
int main()
{
int i;
char ori[] = "Qpsv";
char buff[16];
char key[0x38]={54, 56, 210, 92, 26, 136, 116, 205, 152, 50, 220, 35, 155, 38, 53, 166, 98, 147, 86, 57, 4, 127, 10, 154, 229, 147, 39, 182, 212, 8, 231, 250, 44, 158, 170, 67, 85, 118, 55, 230, 108, 196, 136, 28, 71, 191, 138, 151, 5, 145, 28, 4, 242, 251, 167, 105};
char ori[] = {0x68, 1, 0, 0};
long text[] = {0x3cf1b7ca, 0xa6bc245d, 0xfc276b09, 0x4c026ea, 0x6d9b8290, 0x9d94b06c, 0x71e60589, 0x2e9b4795, 0xaf979444, 0x8c344ef5, 0xd55a582a, 0xc6440f3, 0xc26bd39c, 0x8117dba2, 0x8e711c57, 0x9b6ea04f, 0xbdc82f70, 0xf3903244, 0x463fb07c, 0xa77d458, 0xc4ad0f9c, 0x952cec2d, 0xf28a1fc9, 0x583f6a2f, 0x7a20ac12, 0x5c6861ec, 0x74927586, 0x1575d2cd, 0x77ba9e87, 0x417dcb6b, 0x4ede3b5a, 0x422ecb08, 0x3ce8f43c, 0x2159b3a7, 0xd936c841, 0x83d5753f, 0x928a467b, 0x7bca5b9e, 0x2960cd32, 0x300bbc8d, 0x968f8d36, 0xd0ea9e65, 0x2b2f78ce, 0xc0b02381, 0xe5b66467, 0x3f3b9fa9, 0xc04c3820, 0x8ac6b974, 0x6ec7343a, 0x753044ca, 0xb8cc8948, 0x9d2351ce, 0x5349755c, 0xf48dd4fd, 0x671076e, 0x97bd8774, 0x16842dd4, 0xdabeff4c, 0xb21cae13, 0x6ead57f7, 0xa297aa31, 0x84f724c9, 0xb4e38dd7, 0x1fa8d531};
BLOWFISH_CTX buff2;
MD5_CTX md5;
MD5Init(&md5);
MD5Update(&md5, ori, 4);
MD5Final(&md5, buff);
/*for(i=0;i<16;i++)
printf("%x\n", buff[i]);*/
key[1] = buff[0];
key[2] = buff[1];
key[4] = buff[2];
key[7] = buff[3];
key[9] = buff[4];
key[10] = buff[5];
key[13] = buff[6];
key[15] = buff[7];
key[18] = buff[8];
key[21] = buff[9];
key[25] = buff[10];
key[27] = buff[11];
key[33] = buff[12];
key[39] = buff[13];
key[47] = buff[14];
key[52] = buff[15];
Blowfish_Init(&buff2, &key, 0x38);
decrypt(&text, &buff2);
printf("%s", text);
}
这一题做下来虽然耗费不少时间，但是对windbg总算是入门了，而且还尝试了双机调试。另一方面把整个程序的算法完全梳理透了，还是挺有成就感的。
blowfish.c
Blowfish_Init等相关的函数包含在（从网上扒来的）blowfish.c中，需要稍作修改，贴在下面
//////////////////////////////////////////////////////////////////////////////
#define N 16
//////////////////////////////////////////////////////////////////////////////
typedef struct {
unsigned long P[16 + 2];
unsigned long P2[16 + 2];
unsigned long S[4][256];
} BLOWFISH_CTX;
//////////////////////////////////////////////////////////////////////////////
static const unsigned long ORIG_P[16 + 2] = {
0x243F6A88L, 0x85A308D3L, 0x13198A2EL, 0x03707344L,
0xA4093822L, 0x299F31D0L, 0x082EFA98L, 0xEC4E6C89L,
0x452821E6L, 0x38D01377L, 0xBE5466CFL, 0x34E90C6CL,
0xC0AC29B7L, 0xC97C50DDL, 0x3F84D5B5L, 0xB5470917L,
0x9216D5D9L, 0x8979FB1BL
};
static const unsigned long ORIG_S[4][256] = {
{ 0xD1310BA6L, 0x98DFB5ACL, 0x2FFD72DBL, 0xD01ADFB7L,
0xB8E1AFEDL, 0x6A267E96L, 0xBA7C9045L, 0xF12C7F99L,
0x24A19947L, 0xB3916CF7L, 0x0801F2E2L, 0x858EFC16L,
0x636920D8L, 0x71574E69L, 0xA458FEA3L, 0xF4933D7EL,
0x0D95748FL, 0x728EB658L, 0x718BCD58L, 0x82154AEEL,
0x7B54A41DL, 0xC25A59B5L, 0x9C30D539L, 0x2AF26013L,
0xC5D1B023L, 0x286085F0L, 0xCA417918L, 0xB8DB38EFL,
0x8E79DCB0L, 0x603A180EL, 0x6C9E0E8BL, 0xB01E8A3EL,
0xD71577C1L, 0xBD314B27L, 0x78AF2FDAL, 0x55605C60L,
0xE65525F3L, 0xAA55AB94L, 0x57489862L, 0x63E81440L,
0x55CA396AL, 0x2AAB10B6L, 0xB4CC5C34L, 0x1141E8CEL,
0xA15486AFL, 0x7C72E993L, 0xB3EE1411L, 0x636FBC2AL,
0x2BA9C55DL, 0x741831F6L, 0xCE5C3E16L, 0x9B87931EL,
0xAFD6BA33L, 0x6C24CF5CL, 0x7A325381L, 0x28958677L,
0x3B8F4898L, 0x6B4BB9AFL, 0xC4BFE81BL, 0x66282193L,
0x61D809CCL, 0xFB21A991L, 0x487CAC60L, 0x5DEC8032L,
0xEF845D5DL, 0xE98575B1L, 0xDC262302L, 0xEB651B88L,
0x23893E81L, 0xD396ACC5L, 0x0F6D6FF3L, 0x83F44239L,
0x2E0B4482L, 0xA4842004L, 0x69C8F04AL, 0x9E1F9B5EL,
0x21C66842L, 0xF6E96C9AL, 0x670C9C61L, 0xABD388F0L,
0x6A51A0D2L, 0xD8542F68L, 0x960FA728L, 0xAB5133A3L,
0x6EEF0B6CL, 0x137A3BE4L, 0xBA3BF050L, 0x7EFB2A98L,
0xA1F1651DL, 0x39AF0176L, 0x66CA593EL, 0x82430E88L,
0x8CEE8619L, 0x456F9FB4L, 0x7D84A5C3L, 0x3B8B5EBEL,
0xE06F75D8L, 0x85C12073L, 0x401A449FL, 0x56C16AA6L,
0x4ED3AA62L, 0x363F7706L, 0x1BFEDF72L, 0x429B023DL,
0x37D0D724L, 0xD00A1248L, 0xDB0FEAD3L, 0x49F1C09BL,
0x075372C9L, 0x80991B7BL, 0x25D479D8L, 0xF6E8DEF7L,
0xE3FE501AL, 0xB6794C3BL, 0x976CE0BDL, 0x04C006BAL,
0xC1A94FB6L, 0x409F60C4L, 0x5E5C9EC2L, 0x196A2463L,
0x68FB6FAFL, 0x3E6C53B5L, 0x1339B2EBL, 0x3B52EC6FL,
0x6DFC511FL, 0x9B30952CL, 0xCC814544L, 0xAF5EBD09L,
0xBEE3D004L, 0xDE334AFDL, 0x660F2807L, 0x192E4BB3L,
0xC0CBA857L, 0x45C8740FL, 0xD20B5F39L, 0xB9D3FBDBL,
0x5579C0BDL, 0x1A60320AL, 0xD6A100C6L, 0x402C7279L,
0x679F25FEL, 0xFB1FA3CCL, 0x8EA5E9F8L, 0xDB3222F8L,
0x3C7516DFL, 0xFD616B15L, 0x2F501EC8L, 0xAD0552ABL,
0x323DB5FAL, 0xFD238760L, 0x53317B48L, 0x3E00DF82L,
0x9E5C57BBL, 0xCA6F8CA0L, 0x1A87562EL, 0xDF1769DBL,
0xD542A8F6L, 0x287EFFC3L, 0xAC6732C6L, 0x8C4F5573L,
0x695B27B0L, 0xBBCA58C8L, 0xE1FFA35DL, 0xB8F011A0L,
0x10FA3D98L, 0xFD2183B8L, 0x4AFCB56CL, 0x2DD1D35BL,
0x9A53E479L, 0xB6F84565L, 0xD28E49BCL, 0x4BFB9790L,
0xE1DDF2DAL, 0xA4CB7E33L, 0x62FB1341L, 0xCEE4C6E8L,
0xEF20CADAL, 0x36774C01L, 0xD07E9EFEL, 0x2BF11FB4L,
0x95DBDA4DL, 0xAE909198L, 0xEAAD8E71L, 0x6B93D5A0L,
0xD08ED1D0L, 0xAFC725E0L, 0x8E3C5B2FL, 0x8E7594B7L,
0x8FF6E2FBL, 0xF2122B64L, 0x8888B812L, 0x900DF01CL,
0x4FAD5EA0L, 0x688FC31CL, 0xD1CFF191L, 0xB3A8C1ADL,
0x2F2F2218L, 0xBE0E1777L, 0xEA752DFEL, 0x8B021FA1L,
0xE5A0CC0FL, 0xB56F74E8L, 0x18ACF3D6L, 0xCE89E299L,
0xB4A84FE0L, 0xFD13E0B7L, 0x7CC43B81L, 0xD2ADA8D9L,
0x165FA266L, 0x80957705L, 0x93CC7314L, 0x211A1477L,
0xE6AD2065L, 0x77B5FA86L, 0xC75442F5L, 0xFB9D35CFL,
0xEBCDAF0CL, 0x7B3E89A0L, 0xD6411BD3L, 0xAE1E7E49L,
0x00250E2DL, 0x2071B35EL, 0x226800BBL, 0x57B8E0AFL,
0x2464369BL, 0xF009B91EL, 0x5563911DL, 0x59DFA6AAL,
0x78C14389L, 0xD95A537FL, 0x207D5BA2L, 0x02E5B9C5L,
0x83260376L, 0x6295CFA9L, 0x11C81968L, 0x4E734A41L,
0xB3472DCAL, 0x7B14A94AL, 0x1B510052L, 0x9A532915L,
0xD60F573FL, 0xBC9BC6E4L, 0x2B60A476L, 0x81E67400L,
0x08BA6FB5L, 0x571BE91FL, 0xF296EC6BL, 0x2A0DD915L,
0xB6636521L, 0xE7B9F9B6L, 0xFF34052EL, 0xC585566
[复制链接]
发表于 2018-1-30 21:50
