xx病案统计管理系统 V4.61

第一次碰到加了ASprotect的壳并有自己本身的注册程序，心痒解之。

ASProtect 2.1x SKE -> Alexey Solodovnikov
保护方式：Advanced Import protection

1.脱壳：
定位OEP+IAT
code：地址=00401000  大小=00217000 (2191360.)

最后一次异常：
0102FAA5      C700 EFCA5C85        mov dword ptr ds:[eax],855CCAEF
0102FAAB      67:64:8F06 0000      pop dword ptr fs:[0]
0102FAB1      83C4 04              add esp,4
0102FAB4      83E8 AF              sub eax,-51

OEP：
00616C7C      55                   push ebp
00616C7D      8BEC                 mov ebp,esp
00616C7F      83C4 F0              add esp,-10
00616C82      53                   push ebx
00616C83      B8 74666100          mov eax,main.00616674
00616C88      E8 2FFDDEFF          call main.004069BC
00616C8D      8B1D 54816200        mov ebx,dword ptr ds:[628154]         ; main.00629C0C
无stolen oep。

IAT：RVA=6301A0-00630998,SIZE=7F8
00406908    - FF25 70026300        jmp dword ptr ds:[630270]             ; kernel32.TlsGetValue
0063019C  00000000
006301A0  00000000
006301A4  77F87BF9  ntdll.RtlDeleteCriticalSection
006301A8  77F89134  ntdll.RtlLeaveCriticalSection
006301AC  77F89103  ntdll.RtlEnterCriticalSection
...
006301F4  B5CCB129                                       // 好多加密
006301F8  4E33759B
006301FC  77E6E6A9  kernel32.GetProcAddress
00630200  00B5580F
00630204  3BD08651
...
00630954  717185C1  comctl32.ImageList_Destroy
00630958  7171884C  comctl32.ImageList_Create
0063095C  BFCE6B2A
00630960  00000000
00630964  777C440B  winspool.OpenPrinterA
00630968  777C5F7C  winspool.EnumPrintersA
0063096C  777C583B  winspool.DocumentPropertiesA
00630970  777C4964  winspool.ClosePrinter
00630974  00000000
00630978  27BBEA5D
0063097C  00000000
00630980  CA10037F
00630984  67490C24
00630988  3583A4E8
0063098C  C5054AA6
00630990  00000000
00630994  77E69BBA  kernel32.MulDiv
00630998  00000000

基本情况已经清楚了，开始patch：
第一次patch前的异常：特征码ASCII "85"
0102EA55      C601 B6        mov byte ptr ds:[ecx],0B6
0102EA58      6323           arpl word ptr ds:[ebx],sp
0102EA5A      DEAA B86B9C6B  fisubr word ptr ds:[edx+6B9C6BB8]
0102EA60      75 11          jnz short 0102EA73

0102EBF8      68 E8F40201    push 102F4E8                       ; ASCII "85"
0102EBFD      E8 2A62FEFF    call 01014E2C
0102EC02      A1 1C370301    mov eax,dword ptr ds:[103371C]
0102EC07      8B00           mov eax,dword ptr ds:[eax]
0102EC09      E8 0A8CFFFF    call 01027818
0102EC0E      84C0           test al,al
0102EC10      75 0A          jnz short 0102EC1C
0102EC12      68 E8F40201    push 102F4E8                       ; ASCII "85"

搜索：3BF0 75 5E EB 01
010275EC      6933 C08A433B   imul esi,dword ptr ds:[ebx],3B438A>
010275F2      3BF0            cmp esi,eax            //在此下断
010275F4      75 5E           jnz short 01027654
010275F6      EB 01           jmp short 010275F9

下断后观察esi值，注意数据窗口的IAT变化。
eax=B8；esi=B8，6F，6B；  当esi=6F加密，好patch代码：
010275F4    - E9 078A2300     jmp 01260000      // 申请的空间
je 010275F9
cmp esi,06B
je 01027654
mov esi,06B
jmp 01027654

patch后F9运行停在下一个异常，撤销所有修改，在010275F4新建eip。

运行到最后一个异常，定位第二次patch的位置：
搜索：89,45,F0,B8,00,07,00,00
01027188      8945 F0         mov dword ptr ss:[ebp-10],eax
0102718B      B8 00070000     mov eax,700
01027190      E8 B7B3FDFF     call 0100254C             //第二次patch的位置

运行到OEP后往下搜索E8：
00401338      E8 C3ECE700     call 01280000

修改第二次patch的位置：
01027190    - E9 A28E2900     jmp 012C0037      // 申请的空间

patch代码：
BA 00104000 803A E8 75 12 8B42 01 03C2 83C0 05 3D 00002801 75 03 EB 0C 90 42 81FA 00806100 72 E0 EB FE 8915 00012C01 60 FFE2 90 90 90 90 90 90 90 60 B8 A0016300 90 3910 75 20 8B0D 00012C01 C701 FF250000 8941 02 61 90 8B15 00012C01 90 90 90 EB BE 90 90 90 90 83C0 04 3D 98096300 7E D2 EB E3 90 90

012C0000      BA 00104000     mov edx,main.<ModuleEntryPoint>    ; CODE 开始
012C0005      803A E8         cmp byte ptr ds:[edx],0E8
012C0008      75 12           jnz short 012C001C
012C000A      8B42 01         mov eax,dword ptr ds:[edx+1]
012C000D      03C2            add eax,edx
012C000F      83C0 05         add eax,5
012C0012      3D 00002801     cmp eax,1280000                    ; call xxxxxxxx
012C0017      75 03           jnz short 012C001C
012C0019      EB 0C           jmp short 012C0027
012C001B      90              nop
012C001C      42              inc edx
012C001D      81FA 00806100   cmp edx,618000                     ; code结束
012C0023    ^ 72 E0           jb short 012C0005
012C0025    - EB FE           jmp short 012C0025
012C0027      8915 00012C01   mov dword ptr ds:[12C0100],edx
012C002D      60              pushad
012C002E      FFE2            jmp edx
012C0030      90              nop
012C0031      90              nop
012C0032      90              nop
012C0033      90              nop
012C0034      90              nop
012C0035      90              nop
012C0036      90              nop
012C0037      60              pushad
012C0038      B8 A0016300     mov eax,6301A0                     ; IAT起始
012C003D      90              nop
012C003E      3910            cmp dword ptr ds:[eax],edx
012C0040      75 20           jnz short 012C0062
012C0042      8B0D 00012C01   mov ecx,dword ptr ds:[12C0100]
012C0048      C701 FF250000   mov dword ptr ds:[ecx],25FF
012C004E      8941 02         mov dword ptr ds:[ecx+2],eax
012C0051      61              popad
012C0052      90              nop
012C0053      8B15 00012C01   mov edx,dword ptr ds:[12C0100]
012C0059      90              nop
012C005A      90              nop
012C005B      90              nop
012C005C    ^ EB BE           jmp short 012C001C
012C005E      90              nop
012C005F      90              nop
012C0060      90              nop
012C0061      90              nop
012C0062      83C0 04         add eax,4
012C0065      3D 98096300     cmp eax,630998                     ; IAT结束
012C006A    ^ 7E D2           jle short 012C003E
012C006C    ^ EB E3           jmp short 012C0051
012C006E      90              nop
012C006F      90              nop

在012C0000新起eip，F9运行。

lordpe选择进程dump，ImportREC选择进程，OEP=00216C7C,自动搜索，没有无效函数，修复。
运行ok，Borland Delphi 6.0 - 7.0。

2.破解：
获得注册码：
单位名称：MeiLun
负责人：God
机器码：WD-WCAD13523066
注册码：87654321
错误提示：注册码错误。
算法查询：Sha－1，Base64

MessageBoxExA，断下后返回，往上找源头：
005BA0FC      55              push ebp

初始化一串数据：
005BA133      C705 00F76200 0>mov dword ptr ds:[62F700],4
005BA13D      C705 04F76200 0>mov dword ptr ds:[62F704],2
005BA147      C705 08F76200 0>mov dword ptr ds:[62F708],5
005BA151      C705 0CF76200 0>mov dword ptr ds:[62F70C],7
005BA15B      C705 10F76200 0>mov dword ptr ds:[62F710],8
005BA165      C705 14F76200 0>mov dword ptr ds:[62F714],3
005BA16F      C705 18F76200 0>mov dword ptr ds:[62F718],1
005BA179      C705 1CF76200 0>mov dword ptr ds:[62F71C],6

取得机器码与上面的数据相加：
005BA193      C703 01000000   mov dword ptr ds:[ebx],1
005BA199      8D55 F8         lea edx,dword ptr ss:[ebp-8]
005BA19C      A1 ECF66200     mov eax,dword ptr ds:[62F6EC]
005BA1A1      E8 E2ECE4FF     call dumped_.00408E88                 ; 机器码
005BA1A6      8B45 F8         mov eax,dword ptr ss:[ebp-8]
005BA1A9      8B13            mov edx,dword ptr ds:[ebx]
005BA1AB      8A4410 FF       mov al,byte ptr ds:[eax+edx-1]
005BA1AF      8B13            mov edx,dword ptr ds:[ebx]
005BA1B1      8882 28F76200   mov byte ptr ds:[edx+62F728],al
005BA1B7      8B03            mov eax,dword ptr ds:[ebx]
005BA1B9      0FB680 28F76200 movzx eax,byte ptr ds:[eax+62F728]
005BA1C0      8B13            mov edx,dword ptr ds:[ebx]
005BA1C2      030495 FCF66200 add eax,dword ptr ds:[edx*4+62F6FC]    ; 相加
005BA1C9      8D55 F4         lea edx,dword ptr ss:[ebp-C]
005BA1CC      E8 43F1E4FF     call dumped_.00409314                  ; 转换成十进制
005BA1D1      8B55 F4         mov edx,dword ptr ss:[ebp-C]
005BA1D4      8B03            mov eax,dword ptr ds:[ebx]
005BA1D6      8D0485 34F76200 lea eax,dword ptr ds:[eax*4+62F734]
005BA1DD      E8 92A2E4FF     call dumped_.00404474
005BA1E2      FF03            inc dword ptr ds:[ebx]
005BA1E4      4E              dec esi
005BA1E5    ^ 75 B2           jnz short dumped_.005BA199

参数：
0062F700  04 00 00 00 02 00 00 00 05 00 00 00 07 00 00 00  ............
0062F710  08 00 00 00 03 00 00 00 01 00 00 00 06 00 00 00  ............
0062F720  00 00 00 00 00 00 00 00 00 57 44 2D 57 43 41 44  .........WD-WCAD
0062F730  31 33 35 32 33 30 36 36 34                       135230664

顺取机器码，＋参数（每次4个字节），得到的值转换成十进制。
总共计算15次？，依次为：
堆栈 ss:[0012F0AC]=010745F4, (ASCII "91")             // 8；1        W
堆栈 ss:[0012F0AC]=01076C34, (ASCII "70")             // 4；0        D
堆栈 ss:[0012F0AC]=00FC30D4, (ASCII "50")             // 3；0        -
堆栈 ss:[0012F0AC]=00FC744C, (ASCII "94")             // 1；4        W
堆栈 ss:[0012F0AC]=080FD264, (ASCII "75")             // 5；5        C
堆栈 ss:[0012F0AC]=080FD274, (ASCII "68")             // 6；8        A
堆栈 ss:[0012F0AC]=080FD284, (ASCII "69")             // 2；9        D
堆栈 ss:[0012F0AC]=080FD294, (ASCII "55")             // 7；5        1
堆栈 ss:[0012F0AC]=080FD2A4, (ASCII "51")                            3
堆栈 ss:[0012F0AC]=080FD2B4, (ASCII "53")                            5
堆栈 ss:[0012F0AC]=080CC9B4, (ASCII "759453490")                     2
堆栈 ss:[0012F0AC]=07EE4D84, (ASCII "1145127818")                    3
堆栈 ss:[0012F0AC]=080D49F8, (ASCII "842347361")                     0
堆栈 ss:[0012F0AC]=01025FF4, (ASCII "3551337")                       6
堆栈 ss:[0012F0AC]=00FD15A4, (ASCII "17253930")                      6

然后有选择的取第2位，如上标注，连接：
005BA2B5      B8 7CF76200     mov eax,dumped_.0062F77C
005BA2BA      8B13            mov edx,dword ptr ds:[ebx]
005BA2BC      8B1495 58F76200 mov edx,dword ptr ds:[edx*4+62F758]
005BA2C3      E8 20A4E4FF     call dumped_.004046E8
005BA2C8      FF03            inc dword ptr ds:[ebx]
005BA2CA      833B 09         cmp dword ptr ds:[ebx],9
005BA2CD    ^ 75 E6           jnz short dumped_.005BA2B5

得到：49005851

与输入的注册码比较：
005BA2D8      E8 0FFEEAFF     call dumped_.0046A0EC                 ; 取注册码
005BA2DD      8B55 F0         mov edx,dword ptr ss:[ebp-10]         ; ZCM
005BA2E0      A1 7CF76200     mov eax,dword ptr ds:[62F77C]         ; 49005851
005BA2E5      E8 42A5E4FF     call dumped_.0040482C                 ; 比较
005BA2EA      74 1E           je short dumped_.005BA30A

如果这个相等的话提示注册成功，但是没看到写入注册表，所在文件夹也没有相关注册文件，可能写入数据库文件：dataset.mdb

重启后提示注册信息错误：
0012F044   77E180BC    /CALL 到 MessageBoxExA 来自 user32.77E180B7
0012F048   002801FE    |hOwner = 002801FE ('xx病案统计管理系统',class='TApplication')
0012F04C   0058D7F8    |Text = "注册信息错误 - NO.1"
0012F050   0058D798    |Title = "提示"
0012F054   00000000    |Style = MB_OK|MB_APPLMODAL
0012F058   00000000    \LanguageID = 0 (LANG_NEUTRAL)

返回到：
0058CFD3      E8 7CDFEFFF        call dumped_.0048AF54
0058CFD8      837D D8 00         cmp dword ptr ss:[ebp-28],0
0058CFDC      74 1D              je short dumped_.0058CFFB

根据W32Dasm查找到源头：
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0058CCC5(C)
|
:0058CCD7 8B06                    mov eax, dword ptr [esi]

往下看到：
* Possible StringData Ref from Code Obj ->"单位名称"
* Possible StringData Ref from Code Obj ->"注册码"
* Possible StringData Ref from Code Obj ->"单位负责人"

看到希望了，继续往下，看到读取文件hytj.ini的内容：
0058CE68      B9 28D75800       mov ecx,dumped_.0058D728            ; ASCII "hytj.ini"
0058CE6D      E8 BA78E7FF       call dumped_.0040472C
0058CE72      8B4D DC           mov ecx,dword ptr ss:[ebp-24]
0058CE75      B2 01             mov dl,1
0058CE77      A1 00424400       mov eax,dword ptr ds:[444200]
0058CE7C      E8 2F74EBFF       call dumped_.004442B0
0058CE81      A3 D4F56200       mov dword ptr ds:[62F5D4],eax
0058CE86      6A 00             push 0
0058CE88      8D45 D8           lea eax,dword ptr ss:[ebp-28]
0058CE8B      50                push eax
0058CE8C      B9 3CD75800       mov ecx,dumped_.0058D73C            ; ASCII "PKCGH"
0058CE91      BA 4CD75800       mov edx,dumped_.0058D74C            ; ASCII "SET"
0058CE96      A1 D4F56200       mov eax,dword ptr ds:[62F5D4]
0058CE9B      8B38              mov edi,dword ptr ds:[eax]
0058CE9D      FF17              call dword ptr ds:[edi]             ; 读取文件hytj.ini的PKCGH

进入该call：
00444C1C      E8 EB21FCFF       call <jmp.&kernel32.GetPrivateProfileStringA>
0012E8B8   00444C21    /CALL 到 GetPrivateProfileStringA 来自 dumped_.00444C1C
0012E8BC   0058D74C    |Section = "SET"                        // 读取SET部分
0012E8C0   0058D73C    |Key = "PKCGH"                          // 读取PKCGH段内容
0012E8C4   004048E5    |Default = ""
0012E8C8   0012E8E0    |ReturnBuffer = 0012E8E0
0012E8CC   00000800    |BufSize = 800 (2048.)
0012E8D0   080FD0A4    \IniFileName = "E:\xx病案统计管理系统\hytj.ini"

然后就是判断：
0058CEFC      837D D8 00        cmp dword ptr ss:[ebp-28],0          ; 这个数值哪来的？
0058CF00      74 11             je short dumped_.0058CF13            ; 是否为空？
0058CF02      8B45 D8           mov eax,dword ptr ss:[ebp-28]
0058CF05      8B55 CC           mov edx,dword ptr ss:[ebp-34]        ;  (ASCII "D59AW8fl")
0058CF08      E8 1F79E7FF       call dumped_.0040482C                ; 比较
0058CF0D      0F84 C5000000     je dumped_.0058CFD8                  ; 又一个关键跳转
发现[ebp-28]的内容是空的，往下就提示错误信息1，如果修改这个跳转就会比较[ebp-28]的内容是不是ASCII "D59AW8fl"。

添加注册信息：
打开hytj.ini，内容如下：
[set]
database =database\database.mdb
babase   =database\mzba.mdb
ime      =王码五笔型输入法86版
datainput=2

的确没有PKCGH的内容，于是添加PKCGH部分，注意对齐：
[set]
database =database\database.mdb
babase   =database\mzba.mdb
ime      =王码五笔型输入法86版
datainput=2
PKCGH    =D59AW8fl

重新加载程序，呵呵，这下[ebp-28]的数据就是：D59AW8fl，然后通过比较，跳过错误信息提示，直接进入程序主界面，注册的菜单变灰，搞定。

注册信息：
单位名称：MeiLun
负责人：God
机器码：WD-WCAD13523066
注册码：49005851
hytj.ini添加：PKCGH    =D59AW8fl

后记：
跟踪D59AW8fl如何来的，发现过程非常繁琐，涉及到SHA－1加密，Base64加密，而且还有一段可能是作者自己的加密方法，对注册单位名称＆注册码的计算结果进行加密的，循环非常大，但是最后还是得到明码比较。
因此注册信息与单位名称，机器码有关。

[招生]系统0day安全班，企业级设备固件漏洞挖掘，Linux平台漏洞挖掘！