首页
论坛
专栏
课程

[原创]第七题 不问少年crackme解题过程

维一零
4
2017-6-15 15:13 1363

程序运行起来输入测试key,点击验证没反应,再点一次程序崩溃,这其实和题目的设计有关,后面会揭晓原因。

直接拖到od里运行,发现入口点被修改了:

IDA看一下,一眼发现有TLS,先于入口点执行了:

所以省事就先运行程序,然后OD附加进程调试,去下断获取输入的地方,发现没开始验证呢就不断的采集输入的字符串,估计和想实现直接回车验证有关,这样也稍微增加了下断验证点的难度。后来直接不下断点点击验证了,但是调试器却自己中断了:

可以看到代码里直接写了个INT3断点,应该是为了触发异常进入异常处理函数,先看一下代码里的异常处理设置,找到了一处可疑的:

进入异常处理函数,正好设定了处理int3异常,然后就发送0x464号消息:

仔细一看,该消息号保存在一个全局变量里,交叉引用可以看到另一处调用:

该处调用处于一些消息处理的函数里,处理该消息时发现了验证的主函数:

后面要调试验证过程可以直接在这个地方修改流程,可以重复的进入验证函数跟踪:

进入分析验证流程,可以看到作者还特意把计算输入key的函数加密了,需要的时候解密调用,最后计算进入check函数验证:

Check函数的流程是比较上面计算的结果和预先计算的结果是否一致,如果通过比较,就解密一个shellcode去执行:

跟踪一下比较函数吧,毕竟比较关键,发现在下图位置计算两个比较对象的长度:

Esi+0x18指向的即期望计算后的对象地址,发现是一个数组:

ebp-0x48指向的为使用测试输入串(“weiyiling”)计算后的数组:

在跟踪过程中还发现了一个16进制字符串:

仔细分析一下能够确定,输入串一个字符对应上面16进制字符串的两个字符,且对应计算后数组的4个字节数据,从而可以猜测最终输入的计算结果应该和期望数组一致(算法在sub_41612a),并且间接得到最终输入key的长度:0x50 / 4 = 0x14,也就是20个字符。这样一来,关键就在计算输入串转换为数组的那个被加密的函数calc了,点进去一看,妈呀真长,下面截取部分:

有点不想去跟踪这个算法了,于是萌生了编写OD脚本自动爆破每一位的想法,正好测试过程发现,输入串每一位若输入固定字符,输出的对应数组元素的4个字节数据是一样的(其实我只看了16进制的对应两个字符是一样的)。这样一来就很好爆破了,枚举每一位即可,下面贴出调试的OD枚举脚本:

var patch
var gettext
var aftercalc
       
var inputbuf
var calcbuf
var keybuf
var inputoffset
var calcoffset
var calcdowrd
var keydowrd
var testchar
       
mov patch,40e3eb
mov gettext,4104fc
mov aftercalc,411a31
mov inputoffset, 0
mov calcoffset, 0
mov testchar, 10
sub [patch],1//patch
go patch
       
test:
go gettext
mov inputbuf,[esp+8]
sto
add inputbuf, inputoffset
//mov [inputbuf],testchar
fill inputbuf, 1, testchar
       
go aftercalc
mov calcbuf,[ebp-48]
add calcbuf, calcoffset
mov keybuf,[esi+18]
add keybuf, calcoffset
mov calcdowrd, [calcbuf]
mov keydowrd, [keybuf]
cmp keydowrd, calcdowrd
       
je testok
       
add testchar, 1
cmp testchar, 9f
ja loopinput
jmp test
testok:
log "find"
log inputoffset
log testchar
add testchar, 1
jmp test
loopinput:
mov testchar, 10
add inputoffset, 1
add calcoffset, 4
       
cmp inputoffset, 14
ja end
jmp test
       
end:
log "end"
//bc patch

脚本的算法就不解释了,调试时载入OD跟一下很容易理解,最终能够把每一位可能的字符打印到OD的日志窗口里:


打印出来后发现有多解,下面每一行为第n行的字符集:

这样看的话那个比较只是第一层校验,后面的shellcode解密是第二层校验,但是能通过第一层校验的字符串有那么多(上万个),怎么破呢?看运气吧,比如如果你能从以上字符集看到连续的一个字符串“Pediy2017”,那你就成功了一大半,剩下的还得靠解密shellcode的过程。通过第一层校验后,会先分配一段内存,将加密的shellcode拷贝进去,然后使用输入串进行简单的异或解密:


成功解密后shellcode的样子,所以,这里别无选择,只能看你对shellcode代码的熟悉程度进行测试了:

只有正确猜出输入key才能解密如上正确的shellcode,弹出成功提示,否则就会像开始那样,点击两次验证按钮就程序崩溃,因为没有校验解密出的shellcode校验和就直接执行了。。。

 



[防守篇]2018看雪.TSRC CTF 挑战赛(团队赛)11月1日征题开启!

上传的附件:
最新回复 (0)
返回