一个简单ReverseMe的完全分析

这个ReverseMe是<<加密与解密>>第2版P89提到的ReverseMe01.exe, 但是书上并没有给出完全分析, 在本文中给出.
阅读本文之前读者应当熟悉窗口程序的基本结构和基本API函数
为了方便新手阅读, 代码尽量保持良好的可读性, 这样做同时也是因为本文是采用纯静态反汇编分析的方法
文章很菜, 还望各位不吝赐教

一. 工欲善其事, 必先利其器
首先准备好工具, 这里我们需要3样工具, 他们是:
1. Stud_PE或PEiD...............获取欲逆向文件的第一手信息, 包括编写语言, 是否加壳等
2. IDA.........................强大的逆向工程工具, 把它用在单纯的破解上可以说是杀鸡用牛刀了
3. MSDN........................我们是新手, 有不懂的地方它永远是最好的老师

二. 知彼知己, 百战不殆

工具准备好了, 可以正式开始了, 不过在开始之前, 我们要问自己以下几个问题:
1.这个程序行为如何?
运行之, 出现一小窗口, 上有一按钮和一文本框, 按钮上有"not reversed"几个字, 单击按钮会弹出对话框"Ok, for now, mission failed".

2.这个程序是否加壳?是何语言编写?该语言编写的程序有什么特点?
Peid显示为无壳, 汇编语言编写, 汇编语言编写的程序反汇编结果基本与源码一致, 可读性很好.

3.这个程序用到了哪些API?各是干什么的?
用Peid查看其输入表, 结果如下, 我一一作简要的解释供参考, 详细解释请查阅Msdn
基本上都是很基本的窗口程序API

USER32.dll
    DestroyWindow  ord:141 rva: 00002010
    清除一个窗口并导致一个WM_DESTROY消息
    GetWindowTextA  ord:347 rva: 00002014
    获取窗口标题(或者按钮, 文本框)文本
    LoadCursorA  ord:407 rva: 00002018
    装载光标
    LoadIconA  ord:411 rva: 0000201C
    装载图标
    MessageBoxA  ord:443 rva: 00002020
    不用多说了, 大家都知道
    PostQuitMessage  ord:477 rva: 00002024
    在消息队列里加入一条WM_QUIT消息
    DispatchMessageA  ord:148 rva: 00002028
    向窗口过程分发消息, 窗口程序基本API之一
    GetMessageA  ord:296 rva: 0000202C
    取消息队列消息, 基本函数
    SetFocus  ord:555 rva: 00002030
    设置窗口焦点
    SetWindowTextA  ord:601 rva: 00002034
    设置窗口文本
    ShowWindow  ord:613 rva: 00002038
    设置窗口显隐状态
    TranslateMessage  ord:637 rva: 0000203C
    翻译消息
    UpdateWindow  ord:651 rva: 00002040
    刷新窗口
    DefWindowProcA  ord:131 rva: 00002044
    消息默认处理函数, 基本函数之一
    CreateWindowExA  ord:88 rva: 00002048
    建立窗口
    RegisterClassExA  ord:495 rva: 0000204C
    注册类
    SendMessageA  ord:528 rva: 00002050
    向窗口过程发送消息, 阻塞型函数
    
KERNEL32.dll
    GetModuleHandleA  ord:273 rva: 00002000
    获取模块句柄, 基本函数
    GetCommandLineA  ord:182 rva: 00002004
    获取命令行
    ExitProcess  ord:117 rva: 00002008
    退出进程

三. 实战

下面我们开始逆向之旅

我们目的是完全逆向这个程序, 由于程序很简单, 从入口来分析是合理的

         start           proc near
.text:00401000                 push    NULL            ; lpModuleName
.text:00401002                 call    GetModuleHandleA
.text:00401007                 mov     hInstance, eax

.text:0040100C                 call    GetCommandLineA

.text:00401011                 push    SW_SHOWDEFAULT  ; nCmdShow
.text:00401013                 push    lpCmdLine       ; lpCmdLine
.text:00401019                 push    NULL            ; hPrevInstance
.text:0040101B                 push    hInstance       ; hInstance
.text:00401021                 call    WinMain

.text:00401026                 push    eax             ; uExitCode
.text:00401027                 call    ExitProcess
.text:00401027 start           endp

很标准的入口初始化过程: 首先获取本模块句柄, 然后获取命令行指针, 再启动WinMain主函数, 最后ExitProcess退出.
不知大家注意到没, 这个入口过程有一个小错误, 看出来了吗?就是那个lpCmdLine参数不正确, 应当push eax才对

我们看看WinMain里有什么

 ; int __stdcall WinMain(HINSTANCE hInstance,HINSTANCE hPrevInstance,LPCSTR lpCmdLine,int nCmdShow)
.text:0040102C WinMain         proc near               ; CODE XREF: start+21p
.text:0040102C
.text:0040102C hWnd            = dword ptr -50h
.text:0040102C stMsg           = MSG ptr -4Ch
.text:0040102C stWndClassex    = WNDCLASSEXA ptr -30h
.text:0040102C hInstance       = dword ptr  8
.text:0040102C hPrevInstance   = dword ptr  0Ch
.text:0040102C lpCmdLine       = dword ptr  10h
.text:0040102C nCmdShow        = dword ptr  14h
.text:0040102C
.text:0040102C                 push    ebp
.text:0040102D                 mov     ebp, esp
.text:0040102F                 add     esp, -50h

.text:00401032                 mov     [ebp+stWndClassex.cbSize], SIZEOF WNDCLASSEX
.text:00401039                 mov     [ebp+stWndClassex.style], 3
.text:00401040                 mov     [ebp+stWndClassex.lpfnWndProc], offset WndProc
.text:00401047                 mov     [ebp+stWndClassex.cbClsExtra], 0
.text:0040104E                 mov     [ebp+stWndClassex.cbWndExtra], 0
.text:00401055                 push    [ebp+hInstance]
.text:00401058                 pop     [ebp+stWndClassex.hInstance]
.text:0040105B                 mov     [ebp+stWndClassex.hbrBackground], 0Fh + 1h
.text:00401062                 mov     [ebp+stWndClassex.lpszMenuName], offset aWhatmenu ; "WhatMenu"
.text:00401069                 mov     [ebp+stWndClassex.lpszClassName], offset ClassName ; "SupremeDickHead"

.text:00401070                 push    IDI_APPLICATION ; lpIconName
.text:00401075                 push    NULL            ; hInstance
.text:00401077                 call    LoadIconA
.text:0040107C                 mov     [ebp+stWndClassex.hIcon], eax
.text:0040107F                 mov     [ebp+stWndClassex.hIconSm], eax

.text:00401082                 push    IDC_ARROW       ; lpCursorName
.text:00401087                 push    NULL            ; hInstance
.text:00401089                 call    LoadCursorA
.text:0040108E                 mov     [ebp+stWndClassex.hCursor], eax

以上一段代码初始化窗口类, 类名为"SupremeDickHead", 窗口程序为WndProc, 由于反汇编代码已经最大程度的整理过了, 所以如果读者熟悉窗口程序的话应该很容易看明白, 我就不作解释了

.text:00401091                 lea     eax, [ebp+stWndClassex]
.text:00401094                 push    eax             ; WNDCLASSEXA *
.text:00401095                 call    RegisterClassExA

注册窗口类

.text:0040109A                 push    NULL            ; lpParam
.text:0040109C                 push    [ebp+hInstance] ; hInstance
.text:0040109F                 push    NULL            ; hMenu
.text:004010A1                 push    NULL            ; hWndParent
.text:004010A3                 push    0C8h            ; nHeight
.text:004010A8                 push    12Ch            ; nWidth
.text:004010AD                 push    0C8h            ; Y
.text:004010B2                 push    0C8h            ; X
.text:004010B7                 push    80C80000h       ; dwStyle
.text:004010BC                 push    offset Caption  ; "ReverseMe #1"
.text:004010C1                 push    offset ClassName ; "SupremeDickHead"
.text:004010C6                 push    0               ; dwExStyle
.text:004010C8                 call    CreateWindowExA
.text:004010CD                 mov     [ebp+hWnd], eax

创建窗口, 窗口标题为 "ReverseMe #1", 没有菜单

.text:004010D0                 push    SW_SHOWNORMAL   ; nCmdShow
.text:004010D2                 push    [ebp+hWnd]      ; hWnd
.text:004010D5                 call    ShowWindow

显示窗口

.text:004010DA                 push    [ebp+hWnd]      ; hWnd
.text:004010DD                 call    UpdateWindow
.text:004010E2

刷新窗口

.text:004010E2 MessageLoop:                            ; CODE XREF: WinMain+DBj
.text:004010E2                 push    0               ; wMsgFilterMax
.text:004010E4                 push    0               ; wMsgFilterMin
.text:004010E6                 push    NULL            ; hWnd
.text:004010E8                 lea     eax, [ebp+stMsg]
.text:004010EB                 push    eax             ; lpMsg
.text:004010EC                 call    GetMessageA

.text:004010F1                 or      eax, eax        ;收到WM_QUIT消息就退出
.text:004010F3                 jz      short Exit

.text:004010F5                 lea     eax, [ebp+stMsg]
.text:004010F8                 push    eax             ; lpMsg
.text:004010F9                 call    TranslateMessage

.text:004010FE                 lea     eax, [ebp+stMsg]
.text:00401101                 push    eax             ; lpMsg
.text:00401102                 call    DispatchMessageA

.text:00401107                 jmp     short MessageLoop

消息循环

.text:00401109
.text:00401109 Exit:                                   ; CODE XREF: WinMain+C7j
.text:00401109                 mov     eax, [ebp+stMsg.wParam]
.text:0040110C                 leave
.text:0040110D                 retn    10h
.text:0040110D WinMain         endp

这个WinMain是非常标准的窗口程序主函数, 很可惜, 没有什么特别之处, 我就不多说了, 如果读者还是不理解原理请参考Windows程序设计相关书籍, 论坛置顶帖有介绍的

重点在WndProc函数处, 下面我们一起来看看这个函数

; int __stdcall WndProc(HWND hWnd,UINT Msg,WPARAM wParam,LPARAM lParam)
.text:00401110 WndProc         proc near               ; DATA XREF: WinMain+14o
.text:00401110
.text:00401110 hWnd            = dword ptr  8
.text:00401110 Msg             = dword ptr  0Ch
.text:00401110 wParam          = dword ptr  10h
.text:00401110 lParam          = dword ptr  14h
.text:00401110
.text:00401110                 push    ebp
.text:00401111                 mov     ebp, esp
.text:00401113                 cmp     [ebp+Msg], WM_DESTROY
.text:00401117                 jnz     short loc_401125
        ;if (Msg == WM_DESTROY)
.text:00401119                 push    0               ; nExitCode
.text:0040111B                 call    PostQuitMessage
.text:00401120                 jmp     return

如果窗口关闭则发送退出消息使主程序退出消息循环
 
.text:00401125 loc_401125:                             ; CODE XREF: WndProc+7j
.text:00401125                 cmp     [ebp+Msg], WM_CREATE
.text:00401129                 jnz     short loc_4011A1
        else if   (Msg == WM_CREATE)
.text:0040112B                 push    0               ; lpParam
.text:0040112D                 push    hInstance       ; hInstance
.text:00401133                 push    ID_EDIT         ; nControlID
.text:00401135                 push    [ebp+hWnd]      ; hWndParent
.text:00401138                 push    19h             ; nHeight
.text:0040113A                 push    0C8h            ; nWidth
.text:0040113F                 push    23h             ; Y
.text:00401141                 push    32h             ; X
.text:00401143                 push    50800080h       ; dwStyle
.text:00401148                 push    NULL            ; lpWindowName
.text:0040114A                 push    offset aEdit    ; "edit"
.text:0040114F                 push    WS_EX_CLIENTEDGE ; dwExStyle
.text:00401154                 call    CreateWindowExA
.text:00401159                 mov     hEdit, eax

在窗口中创建一个Edit控件

.text:0040115E                 push    hEdit           ; hWnd
.text:00401164                 call    SetFocus

并设置焦点

.text:00401169                 push    NULL            ; lpParam
.text:0040116B                 push    hInstance       ; hInstance
.text:00401171                 push    ID_BUTTON       ; nControlID
.text:00401173                 push    [ebp+hWnd]      ; hWndParent
.text:00401176                 push    19h             ; nHeight
.text:00401178                 push    8Ch             ; nWidth
.text:0040117D                 push    46h             ; Y
.text:0040117F                 push    4Bh             ; X
.text:00401181                 push    50000001h       ; dwStyle
.text:00401186                 push    offset aNotReversed ; "Not Reversed"
.text:0040118B                 push    offset aButton  ; "button"
.text:00401190                 push    0               ; dwExStyle
.text:00401192                 call    CreateWindowExA
.text:00401197                 mov     hButton, eax

在文本编辑控件的下面创建一个按钮

.text:0040119C                 jmp     return

以上一段是处理WM_CREATE消息的代码, 亦即窗口初始化代码. 这段代码创建了一个文本编辑控件和一个按钮, 就是主程序上所看到的两个控件

.text:004011A1
.text:004011A1 loc_4011A1:                             ; CODE XREF: WndProc+19j
.text:004011A1                 cmp     [ebp+Msg], WM_COMMAND
.text:004011A8                 jnz     loc_401317
        else if (Msg == WM_COMMAND)

以下是处理WM_COMMAND消息的代码, 冗长复杂, 后面我还会详细分析

.text:004011AE                 mov     eax, [ebp+wParam]
.text:004011B1                 cmp     [ebp+lParam], 0 ; Is this message from a control?
.text:004011B5                 jnz     loc_4012F6
.text:004011BB                 cmp     ax, ID_BUTTON   ; Yes, it is from a control
.text:004011BF                 jnz     short loc_4011EA

.text:004011C1                 push    offset String   ; "Edit Box Is Good Mmmmkay ?"
.text:004011C6                 push    hEdit           ; hWnd
.text:004011CC                 call    SetWindowTextA

.text:004011D1                 push    0               ; lParam
.text:004011D3                 push    '#'             ; wParam
.text:004011D5                 push    WM_KEYDOWN      ; Msg
.text:004011DA                 push    hEdit           ; hWnd
.text:004011E0                 call    SendMessageA

.text:004011E5                 jmp     return

.text:004011EA
.text:004011EA loc_4011EA:                             ; CODE XREF: WndProc+AFj
.text:004011EA                 cmp     ax, ID_EDIT
.text:004011EE                 jnz     short loc_401202
.text:004011F0                 push    NULL            ; lpString
.text:004011F2                 push    hEdit           ; hWnd
.text:004011F8                 call    SetWindowTextA
.text:004011FD                 jmp     return

这一段很有趣, 程序首先判断消息是否来自一个子窗口控件(什么?你问为什么?那么我问你, WM_COMMND消息的lParam是什么含义? 对, 发送消息的控件句柄, 如果不是来自控件这个参数就是0啦), 如果不是则分别处理消息来自按钮,文本控件和一个未知ID的情况, 如果消息来自按钮则把Edit控件的文本设置为:"Edit Box Is Good Mmmmkay ?", 然后向Edit控件发送一个WM_KEYDOWN消息. 如果消息来自Edit, 程序会清除Edit控件的内容
问题是, 明知消息不是来自控件却要处理消息来自控件的情况, 这是干什么? 还有....

.text:00401202
.text:00401202 loc_401202:                             ; CODE XREF: WndProc+DEj
.text:00401202                 cmp     ax, ID_WHATID
.text:00401206                 jnz     loc_4012EC

.text:0040120C                 mov     eax, offset loc_40123B
.text:00401211                 jmp     eax

ID_WHATID(=3)是什么控件的ID? 不得而知. 如果这里跳走的话就会结束程序(下面会调用DestroyWindow函数)
到现在已经有很多疑问了, 我们不管, 继续向下看,

.text:00401213                 push    200h
.text:00401218                 push    offset szTextBuffer ; lpString
.text:0040121D                 push    hEdit           ; hWnd
.text:00401223                 call    GetWindowTextA

.text:00401228                 push    MB_OK           ; uType
.text:0040122A                 push    offset Caption  ; "ReverseMe #1"
.text:0040122F                 push    offset szTextBuffer ; lpText
.text:00401234                 push    NULL            ; hWnd
.text:00401236                 call    MessageBoxA

这一段代码是永远也不可能执行了(jmp eax), 它作用是获取Edit的内容并用一个MessageBox把获取的内容显示出来

.text:0040123B
.text:0040123B loc_40123B:                             ; DATA XREF: WndProc+FCo
.text:0040123B                 push    MB_OK           ; uType
.text:0040123D                 push    offset Caption  ; "ReverseMe #1"
.text:00401242                 push    offset aOkayForNowMiss ; "Okay, for now, mission failed !"
.text:00401247                 push    NULL            ; hWnd
.text:00401249                 call    MessageBoxA

显示一个"Okay, for now, mission failed !"对话框, 就是我们运行程序时看到的

.text:0040124E                 push    200h            ; nMaxCount
.text:00401253                 push    offset szTextBuffer ; lpString
.text:00401258                 push    hEdit           ; hWnd
.text:0040125E                 call    GetWindowTextA
.text:00401263                 mov     ecx, eax

这时ecx存放有字符个数, 因为GetWindowTextA返回值(eax)为字符个数

.text:00401265                 xor     edx, edx        ; edx 清零
.text:00401267                 or      ebx, 0FFFFFFFFh
.text:0040126A                 inc     ebx             ; ebx 清零

.text:0040126B                 mov     eax, offset szTextBuffer

让eax指向字符串
怎么?要做字符串处理了呀, 此时eax指向字符串, ebx, edx为0

.text:00401270
.text:00401270 loc_401270:                             ; CODE XREF: WndProc+183j
.text:00401270                 mov     bl, [eax]
.text:00401272                 cmp     byte ptr [eax], 0
.text:00401275                 jz      short loc_401295
.text:00401277                 cmp     byte ptr [eax], '0'
.text:0040127A                 jl      short loc_401295
.text:0040127C                 cmp     byte ptr [eax], '9'
.text:0040127F                 ja      short loc_401295

验证字符串合法性, 如果发现了空字符串或者有除了0~9之外的字符就提示错误

.text:00401281                 add     edx, ebx        ;ebx和edx相加
.text:00401283                 shl     edx, 14h        ;相加的结果左移20位
.text:00401286                 add     edx, ecx        ;再和字符个数相加
.text:00401288                 inc     eax
.text:00401289                 add     ecx, -1        ;处理下一个字符
.text:0040128C                 test    edx, edx
.text:0040128E                 jnz     short loc_401291
.text:00401290                 inc     edx        ;edx如果是0的话则设置为1
.text:00401291
.text:00401291 loc_401291:                             ; CODE XREF: WndProc+17Ej
.text:00401291                 test    ecx, ecx        ;结束否?
.text:00401293                 jnz     short loc_401270

以上一段算法可以用C语言描述为:

int i = NumberOfChars;
char* str = StringFromEditControl;
int tmp = 0;

do {
    tmp += (int) *str;
    tmp <<= 20;
    tmp += i;
    str++;
    i--;
    if (tmp == 0) tmp++;
}
while (i != 0);

.text:00401295
.text:00401295 loc_401295:                             ; CODE XREF: WndProc+165j
.text:00401295                                         ; WndProc+16Aj ...
.text:00401295                 test    edx, 0        
.text:0040129B                 jg      short loc_4012B6
.text:0040129D                 jz      short loc_4012CB

.text:0040129F                 push    MB_OK               ; uType
.text:004012A1                 push    offset Caption  ; "ReverseMe #1"
.text:004012A6                 push    offset aThatNotANumber ; "That not a number ! CHEATHER !"
.text:004012AB                 push    NULL               ; hWnd
.text:004012AD                 call    MessageBoxA
.text:004012B2                 leave
.text:004012B3                 retn    10h

test edx, 0 ??!! 这意味着jg永远不能执行而jz会执行, 不过实际上这两个跳转之后都有一句jmp到ret处, 实际上都一样

.text:004012B6
.text:004012B6 loc_4012B6:                             ; CODE XREF: WndProc+18Bj
.text:004012B6                 jmp     short locret_4012E0

.text:004012B8                 push    MB_OK
.text:004012BA                 push    offset Caption  ; "ReverseMe #1"
.text:004012BF                 push    offset aGoodNumber ; "Good Number"
.text:004012C4                 push    NULL               ; hWnd
.text:004012C6                 call    MessageBoxA
.text:004012CB
.text:004012CB loc_4012CB:                             ; CODE XREF: WndProc+18Dj
.text:004012CB                 jmp     short locret_4012E0
 
.text:004012CD                 push    MB_OK
.text:004012CF                 push    offset Caption  ; "ReverseMe #1"
.text:004012D4                 push    offset aBadNumber ; "Bad Number"
.text:004012D9                 push    NULL               ; hWnd
.text:004012DB                 call    MessageBoxA
.text:004012E0
.text:004012E0 locret_4012E0:                          ; CODE XREF: WndProc:loc_4012B6j
.text:004012E0                                         ; WndProc:loc_4012CBj
.text:004012E0                 leave
.text:004012E1                 retn    10h
 
.text:004012E4                 pop     ebp
.text:004012E5                 push    eax
.text:004012E6                 leave
.text:004012E7                 retn    10h
 
.text:004012EA                 jmp     short return
 
.text:004012EC
.text:004012EC loc_4012EC:                             ; CODE XREF: WndProc+F6j
.text:004012EC                 push    [ebp+hWnd]      ; hWnd
.text:004012EF                 call    DestroyWindow
.text:004012F4                 jmp     short return
 
刚才提到过了

.text:004012F6
.text:004012F6 loc_4012F6:                             ; CODE XREF: WndProc+A5j
.text:004012F6                 cmp     ax, ID_BUTTON
.text:004012FA                 jnz     short loc_401315
.text:004012FC                 shr     eax, 10h
.text:004012FF                 or      ax, ax
.text:00401302                 jnz     short loc_401315

.text:00401304                 push    0               ; lParam
.text:00401306                 push    ID_WHATID       ; wParam
.text:00401308                 push    WM_COMMAND      ; Msg
.text:0040130D                 push    [ebp+hWnd]      ; hWnd
.text:00401310                 call    SendMessageA

.text:00401315
.text:00401315 loc_401315:                             ; CODE XREF: WndProc+1EAj
.text:00401315                                         ; WndProc+1F2j
.text:00401315                 jmp     short return
 
这里终于知道ID_WHATID的来源了, 原来是这个SendMessage函数!

.text:00401317
.text:00401317 loc_401317:                             ; CODE XREF: WndProc+98j
.text:00401317                 push    [ebp+lParam]    ; lParam
.text:0040131A                 push    [ebp+wParam]    ; wParam
.text:0040131D                 push    [ebp+Msg]       ; Msg
.text:00401320                 push    [ebp+hWnd]      ; hWnd
.text:00401323                 call    DefWindowProcA
.text:00401328                 leave
.text:00401329                 retn    10h
 
.text:0040132C
.text:0040132C return:                                 ; CODE XREF: WndProc+10j
.text:0040132C                                         ; WndProc+8Cj ...
.text:0040132C                 xor     eax, eax
.text:0040132E                 leave
.text:0040132F                 retn    10h
.text:0040132F WndProc         endp

四. 回顾

程序结束了, 现在回过头来看看程序中的微妙之处.

程序首先用标准的方法建立了一个窗口, 在窗口函数中, 程序处理了WM_CREATE, WM_DESTROY和WM_COMMAND这3个消息. 在处理WM_CREATE时, 程序分别建立了一个Edit控件和一个按钮; 在WM_COMMAND消息的处理中, 如果程序侦测到消息是按钮发出的, 则以ID_WHATID(等于3)为WPARAM, 0为LPARAM向自身发送WM_COMMAND消息. 由于在WM_COMMAND消息处理的开头, 程序会判断消息的来源, 仅当消息不是从子窗口控件发出时才处理(004011AE和004011FD之间的代码实际上不会执行), 所以00401213到004012EA的这段代码(就是那段算法代码)名义上是处理ID为ID_WHATID的"控件"发出的消息, 实质上是按钮消息处理过程的延续而已
关于那段算法代码, 由于不管结果是多少最后都要和0做and运算, 结果毫无疑问都是0, 亦即那句jz将肯定会执行. 所以这段算法是没有多大意义的. 但是这个程序毕竟是ReverseMe, 就是要求大家把不正确的内容修改正确. 至于到底怎么修改就看大家自由发挥了.

明白了这些, 相信大家再看<<加密与解密>>第2版P89~P91内容时应该觉得不难了吧

[招生]系统0day安全班，企业级设备固件漏洞挖掘，Linux平台漏洞挖掘！