-
-
[原创]zpd的crackme分析
-
发表于: 2007-6-3 04:41
-
【破文标题】zpd的crackme分析
【对 象】初入门的新手
【下载地址】 crackme.rar
【破解工具】OD
【保护方式】序号
【破文作者】不懂算法
【破解声明】我很菜，写这篇东西是给刚入门的兄弟，高手请飘过
【备 注】老手勿看，别浪费你的时间
【电 邮】wzlei0409@gmail.com
【破解过程】
用OD加载crack1.exe，如下图
可以看得出来代码很有规律，而且有一个控制台窗口，所以这是一个没有加壳的WIN32控制台程序，对于控制台程序的输入输出，一般是scanf和printf，我们看看这个crackme调用了那些程序，在代码窗口单击右键，选择查找->所有模块间的调用，如下图。
可以看到所有该程序调用的，当然这是由于没有加壳，所以比较规律，我们找到scanf，只有一个scanf，说明程序只在一处调用的scanf来获取用户输入。
双击scanf就可以跳到程序调用scanf的位置，如下图
稍微分析一下这个循环，大概代码是
for(int i=0;i<=7;i++)
{
scanf(inputbuf[i]);
}
在scanf出按F2下断点，再按F9执行程序，程序断在scanf这一行，再按F8执行过scanf这个函数，但是scanf必须要有用户输入才会返回的函数，所以OD里面执行不到下一行，这时候我们在命令行窗口输入8个字符(我们已经知道程序只接收8个字符了)，然后按回车键
这时候看OD里面程序已经执行到下一行代码，说明scanf已经接收到1个字符了，F8到循环结束，或者选中004015B0这一行，然后按F4。
执行到004015B3这一行，可以看到程序比较我们输入的第一位跟初始字符串的第12位’y’比较
往下执行到004015C5，如下图
按F7进入函数00401480
执行到004014B6，这个跳是肯定跳的
执行到返回，进入004014D4这个CALL
这个CALL重新验证了刚才的比较，如果发现不正确就跳转到失败。
往下面类似的比较还有7处，一共8次，分别验证用户输入的第1、2、3、4、5、6、7、8跟初始字符(2qd1uep3i9lycb3s7fkm8axow0))的第12、16、19、2、10、21、24、9位
即‘y’，‘s’，‘k’，‘q’，‘9’，‘8’，‘o’，‘i’ “yskq98oi”
执行到下面的跳转
我们跟随进关键CALL 3
成功通过验证的话执行到下面
跟进关键CALL4，其实就是printf错误信息的函数
【总结】
经过上面的分析，我们知道能得到成功信息的字符串是“yskq98oi”，但是我们上面也分析过了，该crackme只取输入字符串的8位并做判断，对8位以后的不做判断，所以我们只要前8位是“yskq98oi”后面可以跟任意位数的任意字符。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
 新手学习中。。
|
|
|
支持一下
|
|
|
很不喜欢WIN32控制台程序,不漂亮...
 不过还是得支持楼主
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
嗯，我们两个菜鸟一起加油、努力吧！
|
|
|
|
|
|
|
|
|
楼主辛苦了,支持!
|
|
|
支持，太详细了，还有图可以看。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
