[原创]《pediy crackme 2007》序列号Bigman's Crackme6逆向过程-CTF对抗-看雪-安全社区|安全招聘|kanxue.com

[原创]《pediy crackme 2007》序列号Bigman's Crackme6逆向过程

发表于: 2015-4-23 19:51 10643

[原创]《pediy crackme 2007》序列号Bigman's Crackme6逆向过程

Lakitu

2015-4-23 19:51

10643

逆向一个注册验证算法，之前有前辈逆向过这个过程：
http://bbs.pediy.com/showthread.php?t=11222

查壳，ASPack 2.X，用工具直接脱掉，加载到OD。
输入命令“bp GetDlgItemTextA”F9跑起来。输入用户、密码后确定，程序跳到：

CTRL+F9跳出该函数：

现在查看buffer参数的内容在左下方的内存窗口"CTRL+G"再输入EBP-100查看到了BUFFER的内存，也就是我输到软件里面的帐号，以确定刚刚调用的这个API GetDlgItemTextA是获取帐号用了。。然后单步，一直到1589这个call

发现他压入了刚刚的字符串、字符串长度、句柄，可疑，F7步入函数，观察函数的特征，发现这个函数也调用了GetDlgItemTextA，然后还调用了sprintf，也就是说这个函数获取到我输入的密匙，还有字符串处理。

00401305  /$  55            push    ebp
00401306  |.  89E5          mov     ebp, esp
00401308  |.  81EC 2C040000 sub     esp, 42C                                    ;  开辟42C个字节空间
0040130E  |.  53            push    ebx
0040130F  |.  56            push    esi
00401310  |.  57            push    edi
00401311  |.  8DBD FCFEFFFF lea     edi, dword ptr [ebp-104]
00401317  |.  8D35 38204000 lea     esi, dword ptr [402038]
0040131D  |.  B9 40000000   mov     ecx, 40
00401322  |.  F3:A5         rep     movs dword ptr es:[edi], dword ptr [esi]    ;  memcpy(ebp104,402038,sizeof()=0x40);
00401324  |.  8DBD E1FBFFFF lea     edi, dword ptr [ebp-41F]
0040132A  |.  8D35 38214000 lea     esi, dword ptr [402138]
00401330  |.  B9 40000000   mov     ecx, 40
00401335  |.  F3:A5         rep     movs dword ptr es:[edi], dword ptr [esi]    ;  memcpy(ebp41f,402138,40);
00401337  |.  8DBD E1FDFFFF lea     edi, dword ptr [ebp-21F]
0040133D  |.  8D35 38224000 lea     esi, dword ptr [402238]
00401343  |.  B9 40000000   mov     ecx, 40
00401348  |.  F3:A5         rep     movs dword ptr es:[edi], dword ptr [esi]    ;  memcpy(ebp21f,402238,40);
0040134A  |.  8DBD E1FCFFFF lea     edi, dword ptr [ebp-31F]
00401350  |.  8D35 38234000 lea     esi, dword ptr [402338]
00401356  |.  B9 40000000   mov     ecx, 40
0040135B  |.  F3:A5         rep     movs dword ptr es:[edi], dword ptr [esi]    ;  memcpy(ebp31f,402338,5);
0040135D  |.  8DBD DCFBFFFF lea     edi, dword ptr [ebp-424]
00401363  |.  8D35 38244000 lea     esi, dword ptr [402438]
00401369  |.  B9 05000000   mov     ecx, 5
0040136E  |.  F3:A4         rep     movs byte ptr es:[edi], byte ptr [esi]      ;  memcpy(ebp424,402438,5);
00401370  |.  8DBD D6FBFFFF lea     edi, dword ptr [ebp-42A]
00401376  |.  8D35 3D244000 lea     esi, dword ptr [40243D]
0040137C  |.  B9 03000000   mov     ecx, 3
00401381  |.  F3:66:A5      rep     movs word ptr es:[edi], word ptr [esi]      ;  memcpy(ebp42a,40243d,3);
00401384  |.  8DBD E1FEFFFF lea     edi, dword ptr [ebp-11F]
0040138A  |.  8D35 43244000 lea     esi, dword ptr [402443]
00401390  |.  B9 1B000000   mov     ecx, 1B
00401395  |.  F3:A4         rep     movs byte ptr es:[edi], byte ptr [esi]      ;  memcpy(ebp11f,402443,0x1b);
00401397  |.  C745 FC 00000>mov     dword ptr [ebp-4], 0                        ;  int ebp4=0;
0040139E  |.  68 00010000   push    100                                         ; /Count = 100 (256.)
004013A3  |.  8D85 E1FCFFFF lea     eax, dword ptr [ebp-31F]                    ; |
004013A9  |.  50            push    eax                                         ; |Buffer
004013AA  |.  6A 66         push    66                                          ; |ControlID = 66 (102.)
004013AC  |.  FF75 08       push    dword ptr [ebp+8]                           ; |hWnd
004013AF  |.  E8 84030000   call    <jmp.&USER32.GetDlgItemTextA>               ; \GetDlgItemTextA
004013B4  |.  09C0          or      eax, eax
004013B6  |.  0F84 48010000 je      00401504                                    ;  if(eax==0)return;
004013BC  |.  B8 CF110000   mov     eax, 11CF                                   ;  eax=11cf;
004013C1  |.  0FB68D E1FCFF>movzx   ecx, byte ptr [ebp-31F]                     ;  ecx=ebp31F[0]
004013C8  |.  99            cdq
004013C9  |.  F7F9          idiv    ecx                                         ;  edx,eax/ecs=eax..........edx
004013CB  |.  83FA 17       cmp     edx, 17
004013CE  |.  74 07         je      short 004013D7                              ;  if(eax%ecx!=0x17)
004013D0  |.  31C0          xor     eax, eax                                    ;  { eax=0;
004013D2  |.  E9 2D010000   jmp     00401504                                    ;  }else
004013D7  |>  31DB          xor     ebx, ebx                                    ;  { ebx=0;
004013D9  |.  EB 0B         jmp     short 004013E6                              ;  while(ebx<ebpC)
004013DB  |>  8B45 10       /mov     eax, dword ptr [ebp+10]                    ;  ebp4+=ebp10[ebx++];
004013DE  |.  0FBE0418      |movsx   eax, byte ptr [eax+ebx]
004013E2  |.  0145 FC       |add     dword ptr [ebp-4], eax
004013E5  |.  43            |inc     ebx
004013E6  |>  3B5D 0C        cmp     ebx, dword ptr [ebp+C]
004013E9  |.^ 7C F0         \jl      short 004013DB                             ;  此处循环，在else逻辑内
004013EB  |.  31DB          xor     ebx, ebx                                    ;  ebx=0;
004013ED  |.  E9 83000000   jmp     00401475                                    ;  跳转循环判断
004013F2  |>  8B55 10       /mov     edx, dword ptr [ebp+10]                    ;  edx=[ebp10][0].....while(ebx<ebpC)循环体内
004013F5  |.  0FBE3C1A      |movsx   edi, byte ptr [edx+ebx]
004013F9  |.  8B75 FC       |mov     esi, dword ptr [ebp-4]                     ;  esi=ebp4
004013FC  |.  89D9          |mov     ecx, ebx                                   ;  ecx=ebx;
004013FE  |.  C1E1 02       |shl     ecx, 2                                     ;  ecx*=4;
00401401  |.  89DA          |mov     edx, ebx                                   ;  edx=ebx;
00401403  |.  42            |inc     edx                                        ;  edx++;
00401404  |.  29D1          |sub     ecx, edx                                   ;  ecx-=edx;
00401406  |.  0FB68C0D E1FE>|movzx   ecx, byte ptr [ebp+ecx-11F]                ;  ecx=ebp11f[ecx]
0040140E  |.  89FA          |mov     edx, edi                                   ;  edx=edi
00401410  |.  31CA          |xor     edx, ecx                                   ;  edx^=ecx
00401412  |.  89F1          |mov     ecx, esi                                   ;  ecx=esi
00401414  |.  0FAFCB        |imul    ecx, ebx                                   ;  ecx*=ebx
00401417  |.  29F1          |sub     ecx, esi                                   ;  ecx=esi
00401419  |.  89CE          |mov     esi, ecx                                   ;  esi=ecx
0040141B  |.  83F6 FF       |xor     esi, FFFFFFFF                              ;  esi=~esi;
0040141E  |.  8DB432 4D0100>|lea     esi, dword ptr [edx+esi+14D]
00401425  |.  8B4D 0C       |mov     ecx, dword ptr [ebp+C]
00401428  |.  89DA          |mov     edx, ebx
0040142A  |.  83C2 03       |add     edx, 3
0040142D  |.  0FAFCA        |imul    ecx, edx
00401430  |.  0FAFCF        |imul    ecx, edi
00401433  |.  89F0          |mov     eax, esi
00401435  |.  01C8          |add     eax, ecx
00401437  |.  B9 0A000000   |mov     ecx, 0A
0040143C  |.  31D2          |xor     edx, edx
0040143E  |.  F7F1          |div     ecx
00401440  |.  83C2 30       |add     edx, 30
00401443  |.  88941D FCFEFF>|mov     byte ptr [ebp+ebx-104], dl
0040144A  |.  0FB6BC1D FCFE>|movzx   edi, byte ptr [ebp+ebx-104]
00401452  |.  81F7 ACAD0000 |xor     edi, 0ADAC
00401458  |.  89DE          |mov     esi, ebx
0040145A  |.  83C6 02       |add     esi, 2
0040145D  |.  89F8          |mov     eax, edi
0040145F  |.  0FAFC6        |imul    eax, esi
00401462  |.  B9 0A000000   |mov     ecx, 0A
00401467  |.  99            |cdq
00401468  |.  F7F9          |idiv    ecx
0040146A  |.  83C2 30       |add     edx, 30
0040146D  |.  88941D FCFEFF>|mov     byte ptr [ebp+ebx-104], dl
00401474  |.  43            |inc     ebx
00401475  |>  3B5D 0C        cmp     ebx, dword ptr [ebp+C]
00401478  |.^ 0F8C 74FFFFFF \jl      004013F2                                   ;  for2此处循环在else分支内
0040147E  |.  8D85 FCFEFFFF lea     eax, dword ptr [ebp-104]
00401484  |.  50            push    eax
00401485  |.  6A 54         push    54
00401487  |.  8D85 DCFBFFFF lea     eax, dword ptr [ebp-424]
0040148D  |.  50            push    eax                                         ; |Format
0040148E  |.  8D85 E1FBFFFF lea     eax, dword ptr [ebp-41F]                    ; |
00401494  |.  50            push    eax                                         ; |s
00401495  |.  E8 CE020000   call    <jmp.&USER32.wsprintfA>                     ; \wsprintfA
0040149A  |.  8B7D 0C       mov     edi, dword ptr [ebp+C]
0040149D  |.  89F8          mov     eax, edi
0040149F  |.  0FAF45 FC     imul    eax, dword ptr [ebp-4]
004014A3  |.  B9 64000000   mov     ecx, 64
004014A8  |.  99            cdq
004014A9  |.  F7F9          idiv    ecx
004014AB  |.  89D7          mov     edi, edx
004014AD  |.  83C7 30       add     edi, 30
004014B0  |.  57            push    edi
004014B1  |.  8DBD E1FBFFFF lea     edi, dword ptr [ebp-41F]
004014B7  |.  57            push    edi
004014B8  |.  8DBD D6FBFFFF lea     edi, dword ptr [ebp-42A]
004014BE  |.  57            push    edi                                         ; |Format
004014BF  |.  8DBD E1FDFFFF lea     edi, dword ptr [ebp-21F]                    ; |
004014C5  |.  57            push    edi                                         ; |s
004014C6  |.  E8 9D020000   call    <jmp.&USER32.wsprintfA>                     ; \wsprintfA
004014CB  |.  83C4 20       add     esp, 20
004014CE  |.  8D8D E1FDFFFF lea     ecx, dword ptr [ebp-21F]
004014D4  |.  83C8 FF       or      eax, FFFFFFFF
004014D7  |>  40            /inc     eax
004014D8  |.  803C01 00     |cmp     byte ptr [ecx+eax], 0
004014DC  |.^ 75 F9         \jnz     short 004014D7
004014DE  |.  50            push    eax
004014DF  |.  8D85 E1FCFFFF lea     eax, dword ptr [ebp-31F]
004014E5  |.  50            push    eax
004014E6  |.  8D85 E1FDFFFF lea     eax, dword ptr [ebp-21F]
004014EC  |.  50            push    eax
004014ED  |.  E8 D0FDFFFF   call    004012C2
004014F2  |.  83C4 0C       add     esp, 0C
004014F5  |.  83F8 00       cmp     eax, 0
004014F8  |.  75 07         jnz     short 00401501
004014FA  |.  B8 00000000   mov     eax, 0
004014FF  |.  EB 03         jmp     short 00401504
00401501  |>  31C0          xor     eax, eax
00401503  |.  40            inc     eax
00401504  |>  5F            pop     edi
00401505  |.  5E            pop     esi
00401506  |.  5B            pop     ebx
00401507  |.  C9            leave
00401508  \.  C3            retn

登录后可查看完整内容

上传的附件：

图像 001.jpg （34.67kb，1次下载）
图像 002.jpg （182.85kb，1次下载）
图像 003.jpg （25.53kb，2次下载）
图像 004.jpg （118.68kb，1次下载）
图像 005.jpg （89.39kb，2次下载）
未命名.jpg （26.27kb，1次下载）
图像 006.jpg （53.81kb，1次下载）

收藏・11

免费・3

支持

最新回复 (7)
地狱怪客雪币： 341 活跃值： (138) 能力值： ( LV7，RANK：110 ) 在线值：发帖 23 回帖 1125 粉丝 10 关注私信	地狱怪客 2 2 楼算法好长 2015-4-23 20:00 0
Lakitu 雪币： 2679 活跃值： (2106) 能力值： ( LV4，RANK：50 ) 在线值：发帖 12 回帖 173 粉丝 1 关注私信	Lakitu 1 3 楼这个还算了，他留了个坑arr[-1]这样的它都用到了，如果你用的arr前一个字节不是0，那么你算出来的key就不对了。。。。搞得我还以为我哪里弄错了。最后调试才弄明白的。。 2015-4-23 20:04 0
木瓜枫叶雪币： 459 活跃值： (398) 能力值： ( LV8，RANK：120 ) 在线值：发帖 22 回帖 515 粉丝 6 关注私信	木瓜枫叶 2 4 楼寄存器命名~》~ 2015-4-25 08:41 0
金黄发丝雪币： 17 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	金黄发丝 5 楼 ALT+F9跳出该函数： 2015-5-7 17:58 0
Lakitu 雪币： 2679 活跃值： (2106) 能力值： ( LV4，RANK：50 ) 在线值：发帖 12 回帖 173 粉丝 1 关注私信	Lakitu 1 6 楼其实我想表达的是跳出GetDlgItemA函数，跳出系统API 2015-6-20 12:16 0
西瓜霜雪币： 490 活跃值： (85) 能力值： ( LV3，RANK：30 ) 在线值：发帖 10 回帖 27 粉丝 1 关注私信	西瓜霜 7 楼我也掉坑里了~~~ 顺便问下，怎么更改array[-1]的值呢?我用指针改的，虽然运行对了，但是会出现debug error，有没有办法不出错把值改了？ 2015-12-1 18:01 0
Lakitu 雪币： 2679 活跃值： (2106) 能力值： ( LV4，RANK：50 ) 在线值：发帖 12 回帖 173 粉丝 1 关注私信	Lakitu 1 8 楼 [QUOTE=西瓜霜;1404273]我也掉坑里了~~~ 顺便问下，怎么更改array[-1]的值呢?我用指针改的，虽然运行对了，但是会出现debug error，有没有办法不出错把值改了？[/QUOTE] 直接改算法就行了吧。。 2015-12-1 18:52 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复

Lakitu

发帖

173

回帖

RANK

关注

私信

他的文章

关于我们

联系我们

企业服务

看雪公众号

最新回复 (7)
地狱怪客雪币： 341 活跃值： (138) 能力值： ( LV7，RANK：110 ) 在线值：发帖 23 回帖 1125 粉丝 10 关注私信	地狱怪客 2 2 楼算法好长 2015-4-23 20:00 0
Lakitu 雪币： 2679 活跃值： (2106) 能力值： ( LV4，RANK：50 ) 在线值：发帖 12 回帖 173 粉丝 1 关注私信	Lakitu 1 3 楼这个还算了，他留了个坑arr[-1]这样的它都用到了，如果你用的arr前一个字节不是0，那么你算出来的key就不对了。。。。搞得我还以为我哪里弄错了。最后调试才弄明白的。。 2015-4-23 20:04 0
木瓜枫叶雪币： 459 活跃值： (398) 能力值： ( LV8，RANK：120 ) 在线值：发帖 22 回帖 515 粉丝 6 关注私信	木瓜枫叶 2 4 楼寄存器命名~》~ 2015-4-25 08:41 0
金黄发丝雪币： 17 活跃值： (10) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	金黄发丝 5 楼 ALT+F9跳出该函数： 2015-5-7 17:58 0
Lakitu 雪币： 2679 活跃值： (2106) 能力值： ( LV4，RANK：50 ) 在线值：发帖 12 回帖 173 粉丝 1 关注私信	Lakitu 1 6 楼其实我想表达的是跳出GetDlgItemA函数，跳出系统API 2015-6-20 12:16 0
西瓜霜雪币： 490 活跃值： (85) 能力值： ( LV3，RANK：30 ) 在线值：发帖 10 回帖 27 粉丝 1 关注私信	西瓜霜 7 楼我也掉坑里了~~~ 顺便问下，怎么更改array[-1]的值呢?我用指针改的，虽然运行对了，但是会出现debug error，有没有办法不出错把值改了？ 2015-12-1 18:01 0
Lakitu 雪币： 2679 活跃值： (2106) 能力值： ( LV4，RANK：50 ) 在线值：发帖 12 回帖 173 粉丝 1 关注私信	Lakitu 1 8 楼 [QUOTE=西瓜霜;1404273]我也掉坑里了~~~ 顺便问下，怎么更改array[-1]的值呢?我用指针改的，虽然运行对了，但是会出现debug error，有没有办法不出错把值改了？[/QUOTE] 直接改算法就行了吧。。 2015-12-1 18:52 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复