#逆向分析 160个CrackMe 052

闲来无事，工作上有调整，等待来年安排，日常的学习还是不能松懈，好久没搞2进制了，最近正在刷pwn和CrackMe，看到了一个160集合感觉不错，刷了几周了，做了20多个了吧，也不知道哪个好，随便搞了下，感觉这5星级的还是挺有意思的，故分析发文。

参考

160个CrackMe破解思路合集

工具和环境

环境：win10 x64 chs

工具：x64dbg IDA BinaryNinja

编译器：gcc

大体扫一眼

• 看图标和UI应该是mfc的。
• 类型应该是Name/Serail类型的。
• DIE跑一下：UPX的壳。
• 简单输入Name和Serial测试下，有弹窗。

脱壳

那些在xp上好有用的工具都不太兼容win10，魔改版的LoadPE + ImportREC 修复的exe时灵时不灵的。

还好x64dbg仅有的一个插件解决了这个问题。

x64dbg + esp定律找到OEP，使用x64dbg自带的Scylla,三下五除二搞定。

找算法函数

第一种办法就是 IDA根据导入表MessageBox函数，交叉引用找到算法。

第二种就是通过OD或者x64dbg动态调试，弹出对话框后，暂停进程，调用栈回溯，也能找到算法函数。

这里我就不过多赘述。

分析

直接拖入IDA，通过导入表MessageBoxA的交叉引用找到4处引用，2个函数。

第一个函数是MFC封装的MsgBox函数，根据它的交叉引用很快找到了数据处理和比较的地方。

封装的MsgBox

根据MsgBox交叉引用，找到处理函数

代码分析：

• 获取name和code分别保存

• name + strrev(name) + ProductID(项的值) + RegisterOwner（项的值）；由于是win10没有注册表项， 最终结果是 name + strrev(name) + strrev(name) + strrev(name) ;

• 初始化md5的state

• name[-1] = 0x80 ;数据对齐64字节，存储len * 8

• 循环Md5Tramsform

• 保留state[0] 低16位，关键跳比较的就是state[0]的数据

• 读取code中的4个UINT

• 分别对 UINT[0] UINT[1];UINT[1]UINT[2];UINT[2]UINT[3] 运算

• 比较 UINT[0] 和 state[0] 如果相等则成功；

Encode函数

关键函数Encode函数

代码解读，直接c代码把

// 编码所用

void AllShl(unsigned int* low32, unsigned int* high32, unsigned int left) {

    unsigned int _low32, _high32, lowLeft;


    if (left < 32)
    {
        _low32 = *low32;
        _high32 = *high32;


        lowLeft = _low32 >> (32 - left);

        _high32 = _high32 << left;
        _low32 = _low32 << left;

        _high32 = _high32 | lowLeft;


        *low32 = _low32;
        *high32 = _high32;
    }

}

void Encode(unsigned int* low32, unsigned* high32, unsigned int loop) {

    unsigned int b2,h31,tHigh;

    for (unsigned int i = 0; i < loop; loop--) {
        // 第一步就是循环左移一位,高32位最高位会溢出，所以源程序先保存最高位，然后，补到低32位的最低为
        // 其实就是一个圈
        // 自己实现了一个圈
        h31 = (*high32) >> 31;
        AllShl(low32, high32, 1);
        *low32 = *low32 | h31;


        tHigh = 0;
        b2 = *low32 & 4;			// low32取第2位
        AllShl(&b2, &tHigh, 11);	// 左移11位 + 原来的2位 = 13位

        b2 = b2 ^ (*low32 & 0x2000);// 第二位和第13位亦或
        
        AllShl(&b2, &tHigh, 18);   // 左移18位 + 原来的13位 = 31位

        b2 = b2 ^ (*low32 & 0x80000000);// 第二位和第31位亦或

        AllShl(&b2, &tHigh, 1);

        *low32 = *low32 ^ b2;			// b2 始终等于0 
        *high32 = *high32 ^ tHigh;

    }
}

简化后的Encode

简化后其实就2步骤，根据低32位还原高32位；然后循环右移1位

Decode代码可得

验证可行性

验证结果

keygen

几组组NS供验证：

helloworld : 7db37660 ae4c5d05 d2783eea 1d6514f2

pediy.com : b3f21c39 e8ca4483 4146d6f6 5644545b

[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法