【文章标题】: Riijj CrackMe9 分析
【文章作者】: hawking
【作者邮箱】: rich_hawking@hotmail.com
【软件名称】: Riijj CrackMe 9
【软件大小】: 320K
【下载地址】: http://bbs1.pediy.com:8081/showthread.php?s=&threadid=36592
【加壳方式】: 未知
【使用工具】: OllyICE PEiD
【操作平台】: win2k
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
本人菜鸟，刚开始学习加密解密的时候就是通过Riijj大侠的几个CrackMe入的门。Riijj大侠针对自写的几个CrackMe进行了深入浅出的分析，令我等初学者受益匪浅。
首先按照惯例用PEiD载入查一下看看有没有加壳，结果是Nothing found [Overla]*，我们再点一下EP Section 后面的 > 按钮，可以看出程序只有四个常用的段，由此推测程序很可能没有加壳。
运行程序看一下，程序有两个文本框，分别用来存放name及key，还有一个Register按钮。随便输入name及key，点按钮后无反应。
OllyICE 载入，提示代码段可能被压缩加密或包含大量嵌入数据（跟一般的没有加壳的程序载入的时候不一样），不分析继续。
00410380 > 55 push ebp ;OEP 停在这里
00410381 E9 357C0000 jmp 00417FBB
00410386 - E9 0FBE4C3C jmp 3C8DC19A
0041038B 64:68 3ED24100 push 0041D23E
00410391 C3 retn
00410392 - E9 8B4D1068 jmp 68515122
00410397 0F6D ??? ; 未知命令
00410399 41 inc ecx
程序到处都是jmp，跳来跳去的。不管，F7单步，去掉无用的push XXXXXXXX retn 指令后整理出程序入口处代码如下：
00410380 > 55 push ebp
00417FBB 8BEC mov ebp, esp
0041134C 6A FF push -1
00419090 68 08014200 push 00420108
00419634 68 4C104100 push 0041104C
004102CD 64:A1 00000000 mov eax, dword ptr fs:[0]
00416626 50 push eax
0041A808 64:8925 0000000>mov dword ptr fs:[0], esp
0041594D 83EC 58 sub esp, 58
0041A520 53 push ebx
00411789 56 push esi
00412DF6 57 push edi
00418801 8965 E8 mov dword ptr [ebp-18], esp
00418B51 FF15 64004200 call dword ptr [<&KERNEL32.GetVersion>] ; KERNEL32.GetVersion
0041BE34 33D2 xor edx, edx
典型的Microsoft Visual C++ 程序入口点代码。^-^
F9跑起来。
在程序界面上的文本框内输入
Registration name: hawking
Registration key: 123456
我们来看看如何定位到它的处理代码段，由于是VC++代码，我们可以通过消息断点来定位。
点工具栏上的W图标打开OD窗口窗口，打开之后可以看到按钮Register 句柄002302FA,ID 为3EA，父窗口句柄0019027C（您看到的和我看到的也许不一样）
右键在ClassProc上设置消息断点 202 WM_LBUTTONUP 这样就能在您单击Register注册按钮的时候将程序断下来了。
点击程序界面上的Register按钮后中断在模块USER32系统领空。
77E00DFC > 55 push ebp ;中断在这儿
77E00DFD 8BEC mov ebp, esp
77E00DFF 8B4D 08 mov ecx, dword ptr [ebp+8]
77E00E02 56 push esi
77E00E03 57 push edi
77E00E04 E8 ED07FFFF call 77DF15F6
我们要返回到自己的程序代码段。打开内存窗口，在riijjcm9 .text区段上F2设置访问中断。 F9跑
00410050 8B4424 08 mov eax, dword ptr [esp+8] ;停在这里
00410054 E9 01890000 jmp 0041895A
00410059 - E9 0F85918B jmp 8BD2856D
0041005E 0000 add byte ptr [eax], al
看看堆栈
0012FB94 77DF1EF0 返回到 USER32.77DF1EF0
0012FB98 0019027C ;眼熟 父窗口句柄
0012FB9C 00000135 ;消息号 不是我们想要的111
0012FBA0 41011245
0012FBA4 002302FA
0012FBA8 002302FA
0012FBAC DCBAABCD
按几下F7之后又回到了USER32系统领空。
77DF1EF0 817C24 04 CDABB>cmp dword ptr [esp+4], DCBAABCD
77DF1EF8 0F85 C4910300 jnz 77E2B0C2
77DF1EFE 83C4 08 add esp, 8
77DF1F01 5D pop ebp
77DF1F02 C2 1400 retn 14
看来没有断下来，继续上面的操作，在我们的代码段下断点，F9运行
00410050 8B4424 08 mov eax, dword ptr [esp+8] ;停在了上次相同的地址
00410054 E9 01890000 jmp 0041895A ;这里应该就是程序用来处理消息的代码段了
00410059 - E9 0F85918B jmp 8BD2856D
0041005E 0000 add byte ptr [eax], al
00410060 68 8B214100 push 0041218B
00410065 C3 retn
再瞅瞅堆栈，这回应该是处理我们刚才引发的按钮消息的地方了。
0012FC60 77DF1EF0 返回到 USER32.77DF1EF0
0012FC64 0019027C ;父窗口句柄
0012FC68 00000111 ;WM_COMMAND
0012FC6C 000003EA ;按钮ID
0012FC70 002302FA
0012FC74 002302FA
0012FC78 DCBAABCD
一路F8
00410050 8B4424 08 mov eax, dword ptr [esp+8]
0041895A 3D 10010000 cmp eax, 110
0041AF11 ^\0F85 ADE4FFFF jnz 004193C4
004193C4 3D 11010000 cmp eax, 111 ;按钮命令
00411462 /0F85 2E5A0000 jnz 00416E96
00417AB0 66:817C24 0C EA>cmp word ptr [esp+C], 3EA ;按钮ID = 3EA
004129A6 /0F85 EA440000 jnz 00416E96
00419323 56 push esi
来到这里
00419323 56 push esi
00413059 8B7424 14 mov esi, dword ptr [esp+14]
00414129 57 push edi
00416CE0 8B3D E0004200 mov edi, dword ptr [<&USER32.EnableWindow>] ; USER32.EnableWindow
0041861D 6A 00 push 0 ;false
0041A518 56 push esi ;按钮句柄
0041212F FFD7 call edi ; USER32.EnableWindow 这里禁用了Register按钮，后面还应该有一个对应的call恢复按钮状态
00416D45 E8 B2220000 call 00418FFC
F7跟进去
00418FFC 8B0D B0264300 mov ecx, dword ptr [4326B0] ;父窗口句柄
004119E9 81EC BC000000 sub esp, 0BC
0041AA9E 8D4424 20 lea eax, dword ptr [esp+20]
0041A49C 53 push ebx
00419A11 56 push esi
004175DF 57 push edi ; USER32.EnableWindow
00410169 8B3D 9C004200 mov edi, dword ptr [<&USER32.GetDlgItemTextA>; USER32.GetDlgItemTextA
0041A823 6A 32 push 32 ;Count
0041B298 50 push eax ;Buffer
004108E0 68 E8030000 push 3E8 ;Control ID
0041CEE7 51 push ecx ;hWnd
0041807F FFD7 call edi ; USER32.GetDlgItemTextA 取name
00418B37 8D9424 94000000 lea edx, dword ptr [esp+94]
004171C2 8BF0 mov esi, eax ;eax中存放的是name长度
0041DA8D A1 B0264300 mov eax, dword ptr [4326B0]
0041831B 6A 32 push 32
004170B4 52 push edx
0041472E 68 E9030000 push 3E9
00415286 50 push eax
00414F64 FFD7 call edi ; USER32.GetDlgItemTextA 取key
0041752F 85F6 test esi, esi ;name长度为0的话则end
00416380 BB 857B0100 mov ebx, 17B85
0041DE2A ^\0F84 044FFFFF je 00412D34
00419AC4 83F8 14 cmp eax, 14 ;key长度小于20的话则end
0041D609 ^\0F82 2557FFFF jb 00412D34
我们输入的key长度不够，重新来过。在0041D609处下断，Ctl+F2重来，输入一个20位的key
0041A09F 33C9 xor ecx, ecx
00410CC9 8BC1 mov eax, ecx
00417B5A 33D2 xor edx, edx
004196CC F7F6 div esi
0041E04F 8BC3 mov eax, ebx
00413AAD BB C9010000 mov ebx, 1C9
00413527 69C0 8F1E0000 imul eax, eax, 1E8F
00410C72 0FBE7C14 2C movsx edi, byte ptr [esp+edx+2C]
004103AE 33D2 xor edx, edx
00413397 F7F3 div ebx
00411697 03FA add edi, edx
00412A77 41 inc ecx
0041AA0D 8BDF mov ebx, edi
004105F3 83F9 32 cmp ecx, 32
004109C2 885C0C 5F mov byte ptr [esp+ecx+5F], bl
00415C87 ^\0F82 3CB0FFFF jb 00410CC9
伪代码：
ebx = 0x17B85 ;
for ( int i = 0 ; i < 0x32 ; i++ )
{
ebx = name[i% strlen(name)] + (ebx * 0x1E8F ) % 0x1C9 ;
temp[i] = ebx & 0xFF;
}
004138DB 33C9 xor ecx, ecx
004156A8 55 push ebp
00413098 85F6 test esi, esi
0041929F BD 01000000 mov ebp, 1
0041C3BE /0F86 63100000 jbe 0041D427
00417707 F6C1 01 test cl, 1
0041CA16 ^\0F85 163BFFFF jnz 00410532
0041C4EC 0FBE540C 30 movsx edx, byte ptr [esp+ecx+30]
004178D7 0FAFEA imul ebp, edx
00413F2E /E9 68840000 jmp 0041C39B
00410532 0FBE7C0C 30 movsx edi, byte ptr [esp+ecx+30]
00419A54 8BC5 mov eax, ebp
00416BC9 33D2 xor edx, edx
00415F0F F7F7 div edi
00410186 8BEA mov ebp, edx
0041C39B 41 inc ecx
00412B6A 3BCE cmp ecx, esi
00412637 /0F82 CA500000 jb 00417707
伪代码：
ebp = 1 ;
for ( int i = 0 ; strlen(name) > 0 && i < strlen(name) ; i++ )
{
if ( i % 2 == 0 )
ebp = name[i] * ebp ;
else
ebp = ebp % name[i] ;
}
0041D427 B9 07000000 mov ecx, 7
004145EE 33C0 xor eax, eax
0041A8FF 8D7C24 10 lea edi, dword ptr [esp+10]
0041818C BE 857B0100 mov esi, 17B85
004106F0 F3:AB rep stos dword ptr es:[edi]
00416E78 66:AB stos word ptr es:[edi]
004110F1 33FF xor edi, edi
伪代码：
key[30] = { 0 } ;
esi = 0x17b85 ;
00410387 0FBE4C3C 64 movsx ecx, byte ptr [esp+edi+64]
0041D23E 8BC1 mov eax, ecx
004174F9 33D2 xor edx, edx
00410258 0FAFC5 imul eax, ebp
00415821 BB 32000000 mov ebx, 32
0041D961 F7F3 div ebx
00413744 33C0 xor eax, eax
0041B514 8A4414 64 mov al, byte ptr [esp+edx+64]
004149EE 85C0 test eax, eax
00411D65 /0F86 C46E0000 jbe 00418C2F
0041AD8A 8BD8 mov ebx, eax
004176D2 8BC6 mov eax, esi
0041029C 33D2 xor edx, edx
0041BA27 69C0 8F1E0000 imul eax, eax, 1E8F
004154B1 BE C9010000 mov esi, 1C9
00419528 F7F6 div esi
004128BF 33D1 xor edx, ecx
00416766 4B dec ebx
00418B2E 8BF2 mov esi, edx
0041A4B1 ^\0F85 1BD2FFFF jnz 004176D2
00418C2F 8BC6 mov eax, esi
004140AE 33D2 xor edx, edx
0041D412 B9 1A000000 mov ecx, 1A
00419602 F7F1 div ecx
00414F86 80C2 41 add dl, 41
004145DB 88543C 10 mov byte ptr [esp+edi+10], dl
0041B977 47 inc edi
00412596 83FF 14 cmp edi, 14
00412939 ^\0F82 48DAFFFF jb 00410387
伪代码：
for ( int i = 0 ; i < 0x14 ; i++ )
{
unsigned long ti = temp[i] < 0x80 ? temp[i] : temp[i] ^ 0xFFFFFF00 ;
int tii = temp[ ( ti * ebp ) % 0x32 ] ;
if ( tii > 0)
{
while ( tii != 0 )
{
esi = ( ( esi * 0x1E8F ) % 0x1C9 ) ^ ti ;
tii-- ;
}
}
key[i] = esi % 0x1A + 0x41 ;
}
00416FB5 33C0 xor eax, eax
0041DACD 5D pop ebp ; 0012FC7C
00412FB3 8A9404 94000000 mov dl, byte ptr [esp+eax+94] ;用户输入key
0041DAB8 8A4C04 0C mov cl, byte ptr [esp+eax+C] ;计算所得key
00416919 3AD1 cmp dl, cl ;比较key与您输入的key 将此处改为 cmp cl,cl即可爆破
00411C3B /0F85 F3100000 jnz 00412D34
00412DE1 40 inc eax
0041DE20 83F8 14 cmp eax, 14
00412000 /0F82 AD0F0000 jb 00412FB3
0041C1BE E8 429CFFFF call 00415E05
F7跟进
00415E05 A1 AC264300 mov eax, dword ptr [4326AC]
0041B51F 6A 00 push 0
0041841A 68 68004300 push 00430068 ; ASCII "Riijj crackme 9"
004139EF 68 4C004300 push 0043004C ; ASCII "Registration successful !"
004106DF 50 push eax
00413953 FF15 A0004200 call dword ptr [<&USER32.MessageBox>; USER32.MessageBoxA 成功!
到这里整个CrackMe就基本分析完了。
--------------------------------------------------------------------------------
【经验总结】
由于Riijj大侠这个CrackMe的变形代码基本都是 push XXXXXXXX retn 这个形式的，加上程序本身代码量不大，所以可以一步一步地跟并整理。但是如果代码量大或者是变形的方式再多一些的话，跟起来就更困难了。
本文没有什么技术含量，只是菜菜写的第一篇脱文，也算是个开始吧。高手莫笑。
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!
2006年12月19日 21:00:02
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
