-
-
[原创]IDA7.2安装包分析
-
发表于: 2019-1-16 15:53
-
直接运行,得知会释放几个文件
子进程启动命令行:
90FC739C83CD19766ACB562C66A7D0E2
翻查字符串时, 找到一个链接: http://www.innosetup.com/ 一个打包安装器
打包软件:
http://www.jrsoftware.org/isinfo.php
https://github.com/jrsoftware/issrc
输入密码有弹窗, 直接尝试暂停程序栈回溯
跑起来 调试器附加到tmp文件, 输入错误密码, 然后暂停查看栈回溯
因为在正常安装时, 会有明显卡顿的感觉, 给人一种验证程序冗长的感觉, 在回溯几层之后, 发现一个 sleep ,怀疑是否与此有关, 函数头下断.
发现了输入的测试数据, 载入IDA静态查看, 不远处发现一个字符串,
当时在这一块纠缠了一段时间, 发现可能是一个脚本引擎,
所以直接去Git搜索了这个字符串"CheckPassword"
翻源码不现实, 有7.0的安装包, 也定位到相应的地方, 进行正确流程对比
直接暴力跳过SHA1验证,是可以过掉验证,但是在后续解密中, 依然会用到此KEY,进行解密和解压操作
内存提取数据:
由于本人密码学相关知识学的并不扎实, 待大佬们弄吧,
个人感觉可能解出来之后 也不那么尽人意, 插件可能不全哦.
经过观察:key 文件为扫描上传, 仅为授权信息, 此数据源上传文件十几万 应该马来一个分析员开的杀软自动提的VTEXE 为主动上传, 在关联信息来看,与 KEY 暂无关联ZIP 上传时间最新, 应该是下载EXE之后, 压缩又重新上传的, 仅一条记录
路径: C:\Users\User\Downloads\Compressed\HexRays.IDA.Pro.7.2\34zvo.HexRays.IDA.Pro.7.2\idapro72a\idapro72\IDAPRO7.2_ESET_KEY.key
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
那相当于只是跳过验证, 没啥用的 |
|
|
最大的价值是里面的库，可以识别最新的一些操作系统宏定义，不用自己导入。如果解出来的话，还希望兄台共享下。 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
难者不会, 会者不难, 就是瞎发一贴子而已, 没什么高大上的东西, 轻喷 现在只求@火绒 别告我使用火绒剑就好. |
|
|
|
|
|
全插件全平台的可能大家还会搞一下, 就目前来看, 仅一个X64, 都感觉成本太高 |
|
|
|
|
|
我到是有一个主意，论坛高手搞一个跑码程序，把密码分成一千段，或者一万段。论坛上的人来领一段跑，出了密码第一时间在论坛公布，就算一个月能跑出来，也是行的啊，我到是愿意领一段跑一个月。
最后于 2019-1-22 15:44
被tjszlqq编辑
，原因：
|
|
|
|
|
|
请问怎么看出来F5只有 arm64 的？ |
|
|
|
|
|
hexray都是正版投递到你的邮箱的，每个安装包都有不一样的签名，包含的反编译种类在文件名中就有标识，文件名（x64_idapronw_hexarm64w_xxxxx）包含hexarm64w，即拥有可以运行在windows平台的arm64反编译器，完全版不包含ppc应该是hexarm64w_hexarmw_hexx64w_hexx86w，之前老外也算过爆破这个安装包要多久了，以现在的算力要9年左右，超算的租金零头都够买你这辈子都用不完的ida授权了 |
|
|
|
|
|
pc这块他说C++有增强，实测完全没感觉到，重心全部在ios和苹果上，云sig目前跟废的差不多，基本没用，新增中间码API，估计大多数人都不知道干什么的，我平常都是7.0和7.2双开，7.2分析更慢了，但值还是值的 |
|
|
大伙只是出于解题的乐趣，不是真想要这软件，360，谷歌，苹果等公司的技术人员，不用九年，不花一分钱，十天内必出密码 |
|
|
真有十天内必出密码这样的技术务必让小弟开开眼，至少是我认知以外的东西 |
|
|
那么问题来了 他们是买正版 还是用泄露版 |
nevinhappy
tjszlqq
