逆向游乐园第二关

最新推荐文章于 2024-09-06 22:53:53 发布
最新推荐文章于 2024-09-06 22:53:53 发布
阅读量462 收藏 1
点赞数 1
分类专栏： CTF特训营：技术详解、解题方法与竞赛技巧 # CTF之Reverse 文章标签： windows
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ChuMeng1999/article/details/121299337
版权

目录

预备知识

1.关于调试器和反编译工具简介

OLLYDBG是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级32位调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。同时还支持插件扩展功能，是目前最强大的调试工具。
IDA PRO简称IDA（Interactive Disassembler），是一个世界顶级的交互式反汇编工具，有两种可用版本。标准版（Standard）支持二十多种处理器。高级版（Advanced）支持50多种处理器。
UPX（the Ultimate Packer for eXecutables）是一款先进的可执行程序文件压缩器，压缩过的可执行文件体积缩小50%-70%，这样减少了磁盘占用空间、网络上传下载的时间和其它分布以及存储费用。通过UPX压缩过的程序和程序库完全没有功能损失和压缩之前一样可正常地运行，对于支持的大多数格式没有运行时间或内存的不利后果。UPX支持许多不同的可执行文件格式包含Windows 95/98/ME/NT/2000/XP/CE程序和动态链接库、DOS程序、Linux可执行文件和核心。
Delphi Decompiler是一个用来反编译Delphi编写的程序的工具。Delphi Decompiler反编译成功后，能够查看函数过程等，是一款Delphi反编译利器！
WinHex是一个专门用来对付各种日常紧急情况的小工具。它可以用来检查和修复各种文件、恢复删除文件、硬盘损坏造成的数据丢失等。同时它还可以让你看到其他程序隐藏起来的文件和数据。总体来说是一款非常不错的16进制编辑器。得到ZDNetSoftwareLibrary五星级最高评价，拥有强大的系统效用。

2.PE查壳工具

PEiD（PE Identifier）是一款著名的查壳工具，其功能强大，几乎可以侦测出所有的壳，其数量已超过470种PE文档的加壳类型和签名。
ExEinfo PE是一款免费的Win32可执行程序检查器，它可以检查程序的打包方式，exe保护等，可以帮助开发人员对程序进行编译。

3.汇编指令

在这里插入图片描述

4.寄存器

EAX是“累加器”（accumulator），它是很多加法乘法指令的缺省寄存器。
EBX是“基地址”（base）寄存器，在内存寻址时存放基地址。
ECX是计数器（counter），是重复（REP）前缀指令和LOOP指令的内定计数器。
EDX则总是被用来放整数除法产生的余数。
ESI/EDI分别叫做“源/目标索引寄存器”（source/destination index），因为在很多字符串操作指令中，DS:ESI指向源串，而ES:EDI指向目标串。
EBP是“基址指针”（BASE POINTER），它最经常被用作高级语言函数调用的“框架指针”（frame pointer）。

5.Little-endian（小端序）

数据的高位字节存放在地址的高端，低位字节存放在地址低端。

实验目的

通过该实验了解调试工具和反编译工具的使用方法，能够通过分析样本中的详细信息，进行程序的爆破或者算法的还原突破程序的限制，本次实验主要针对Delphi编写的程序。

实验环境

在这里插入图片描述
服务器：Windows XP SP3，IP地址：随机分配
辅助工具：Ollydbg、PEiD 0.95、ExeinfoPE、IDA Pro v6.8、Delphi Decompiler、UPX UnPacker、WinHex
破解程序：CKme、CKme002、aLoNg3x.1（位于桌面CrackMe文件夹）

实验步骤一

首先利用侦壳子、工具对样本（三个CrackMe）进行侦测分析，判断是否存在保护，然后对于存在暗桩的程序进行一部处理，最后对算法过程等分析回溯。
任务描述：对第一个CrackMe，CKme进行外壳分析，然后对其暗桩处理，算法回溯，以达到分析学习的目的。
在本次CrackMe中，作者给予了一定的说明，一定要阅读一下，对我们后期的分析有启发式帮助，一定不能放过任何一点别人给予的看似无用的资料。
在这里插入图片描述
感觉比较重点的提示，已标出。
那么，我们现在打开ExeInfo对其先做一步分析识别。
在这里插入图片描述
作者确实没有欺骗我们，确实Delphi写的程序，并且得知我们的CM（以下CM代指CrackMe）没有加密。下一步是运行看看，有没有什么值得我们利用的关键点，说白了，还是继续搜集信息（你可以理解为踩点~~）。
在这里插入图片描述
确实没有确定钮，鼠标放上面有提示说，如果用户名，和注册码正确，会出现“朱茵”小姐的照片，话说朱茵是谁？麻烦告诉我一下，我真不知道。跑题了，嗯，我猜这个灰色的框可能是用来显示图片的，也可能是个图片按钮，只是单击后，用户名和注册码不正确不提示而已，何况正确也不提示你，只是出来一个妹纸的照片。对于本次并不是C语言类型的那种非封装性的，好下断点，何况此次没有任何提示，bp MessageBox*就不考虑了。
打开OD，将我们程序拖进去，看看作者有没有留给我们可参考的字符串信息呢。
在这里插入图片描述
卧槽，这是什么鬼，好像发现了一个切入点哎~
在这里插入图片描述
那么跟进去看看~

0045803B  |. /75 76         jnz short CKme.004580B3
0045803D  |. |33DB          xor ebx,ebx
0045803F  |> |8D55 E4       /lea edx,[local.7]
00458042  |. |8B86 D4020000 |mov eax,dword ptr ds:[esi+0x2D4]
00458048  |. |E8 FBB2FCFF   |call CKme.00423348
0045804D  |. |8B45 E4       |mov eax,[local.7]
00458050  |. |E8 27BBFAFF   |call CKme.00403B7C
00458055  |. |83C0 03       |add eax,0x3
00458058  |. |8D55 E8       |lea edx,[local.6]
0045805B  |. |E8 A4FAFAFF   |call CKme.00407B04
00458060  |. |FF75 E8       |push [local.6]
00458063  |. |8D55 E0       |lea edx,[local.8]
00458066  |. |8B86 D4020000 |mov eax,dword ptr ds:[esi+0x2D4]
0045806C  |. |E8 D7B2FCFF   |call CKme.00423348
00458071  |. |FF75 E0       |push [local.8]
00458074  |. |8D55 DC       |lea edx,[local.9]
00458077  |. |8BC3          |mov eax,ebx
00458079  |. |E8 86FAFAFF   |call CKme.00407B04
0045807E  |. |FF75 DC       |push [local.9]
00458081  |. |8D45 FC       |lea eax,[local.1]
00458084  |. |BA 03000000   |mov edx,0x3
00458089  |. |E8 AEBBFAFF   |call CKme.00403C3C
0045808E  |. |43            |inc ebx
0045808F  |. |83FB 13       |cmp ebx,0x13
00458092  |.^|75 AB         \jnz short CKme.0045803F
00458094  |. |33D2          xor edx,edx                              ;  CKme.<ModuleEntryPoint>
00458096  |. |8B86 F0020000 mov eax,dword ptr ds:[esi+0x2F0]
0045809C  |. |E8 BFB1FCFF   call CKme.00423260
004580A1  |. |A1 20B84500   mov eax,dword ptr ds:[0x45B820]
004580A6  |. |83C0 70       add eax,0x70
004580A9  |. |BA 14814500   mov edx,CKme.00458114                    ;  恭喜恭喜！注册成功
004580AE  |. |E8 9DB8FAFF   call CKme.00403950
004580B3  |> \33C0          xor eax,eax

呦呵！0045803B有一处jnz跳转，如果不符就直接跳过正确的注册信息。那么凭借我们男生，不，男人的第八感，这是一个可爆破用的关键跳转。
那么我们翻到该函数头部，下个断点跑跑看，他是怎么处理的。

最低0.47元/天 解锁文章
「已注销」
关注
专栏目录
软件逆向 四
weixin_46546499的博客
11-06 370
脱壳工具之UPX 针对win64位 仅在命令行下才能使用 使用-h可查询命令 -o是输出文件 file是文件名 使用时可以直接拖动进命令行 命名使用规则 upx.exe -d -o 生成文件名 脱壳文件名 文件特色，保留原函数，能脱大部分的壳 python文件下的逆向 PYC文件 python为了提高运行效率也会进行编译 python是解释型语言，运行的时候需要通过python解释器编译，所以先编译出pyc文件后，可以节省编译这一步的耗时时间。 不想让源码泄露。 因为py文件是可以直接看到
最强大的delphi反汇编工具
10-07
世上最强大的delphi反汇编工具，可反汇编delphi 编译的exe文件。
反汇编——UPX调试
xiaosusushuai的博客
09-13 197
快速找到UPX文件POPAD指令
delphi反编译工具 Decompiler v1.1.0.194
01-08
Delphi Decompiler can analyze executables compiled with Delphi 2 to 7 giving you; all DFM files of the target, commented ASM code with references to strings, imported function calls, classes methods calls, components in the unit, Try-Except and Try-Finally blocks. Note, this is a rewrite of the original DeDe. Changes and updates include: + Updated the DSF Editor * Fixed loss of DSF editor when parsing + In DSF editor adds support for Delphi 2007, 2009, 2010 (so far works only for parsing. Bpl) * Optimized code for rendering assembly code * Full reconstruction project to accelerate work on a batch of assemblies and the subsequent testing + Updated the PE Editor + Improved the window "Options" + Added ability to change fonts: - In the DFM Editor - Lists ListView - In disassembler * Reduced the delay timer on the window screen saver * Fixed a PE editor + Added saving of projects Delphi 2007 + Added saving of projects Delphi 2009 + Added saving of projects Delphi 2010 + Rewritten engine decompilation DCU + Rewrote the analysis engine EXE + New format doi and dsf + Completely changed interface + Ability to fully maintain the project (full load project being finalized) + Full support for programs written in Delphi 2 - 7
delphi程序crackme分析1
Cosmopolitan的博客
01-12 698
拿到exe文件，先用PeiD查一下有没有壳，什么语言写的: 确定了是delphi写的之后,放到Delhpi Decompiler反编译分析: 点击Procedures,再双击CKM 注意到chkcode那个函数，怀疑是检测代码,ida跟进去看看: 函数前面部分是根据输入的用户名，计算出一个注册码： 所以连接后的字符串为:”黑头Sun Bird”+(用户名长度+5)+”
CTF逆向-Upx脱壳攻防世界simple unpack
道阻且长，行则将至。
04-11 6307
文章目录前言UPX技术原理应用范围软件使用CTF实战程序查壳UPX脱壳总结 前言 加壳软件分两类： 压缩壳：压缩的目的是减少程序体积，如 ASPack、UPX、PECompact 等； 加密壳：加密是为了防止程序被反编译（反汇编）、跟踪和调试，如 ASProtect、Armadillo、 EXECryptor、Themida、VMProtect。 壳的存在会让我们找不到程序的真实入口点，从而不能正确的分析反汇编程序，也就对程序起到了一定的保护作用。 加密壳的基本思路： 将原本程序的 PE 相关代码复制
逆向游乐园第一关
ChuMeng1999的博客
11-12 334
目录预备知识1.关于调试器和反编译工具简介2.PE查壳工具3.汇编指令4.寄存器5.VB相关函数6.Little-endian（小端序）实验目的实验环境实验步骤一1.去除程序弹窗2.Serial/Name算法分析3.对只要Serial的算法分析实验步骤二实验步骤三 预备知识 1.关于调试器和反编译工具简介 OLLYDBG是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级32位调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。同时还支持插件扩展功能，是目前
逆向游乐园第四关
ChuMeng1999的博客
11-23 339
目录预备知识1.关于调试器和反编译工具简介2.PE查壳工具3.汇编指令4.寄存器5.Little-endian（小端序）实验目的实验环境实验步骤一 预备知识 1.关于调试器和反编译工具简介 OLLYDBG是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级32位调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。同时还支持插件扩展功能，是目前最强大的调试工具。 IDA PRO简称IDA（Interactive Disassembler），是一个世界顶级的交互
逆向游乐园第三关
ChuMeng1999的博客
11-13 195
目录预备知识1.关于调试器和反编译工具简介2.PE查壳工具3.汇编指令4.寄存器5.Little-endian（小端序）实验目的实验环境实验步骤一实验步骤二实验步骤三 预备知识 1.关于调试器和反编译工具简介 OLLYDBG是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级32位调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。同时还支持插件扩展功能，是目前最强大的调试工具。 IDA PRO简称IDA（Interactive Disassembler），
UPX加壳/脱壳程序
07-04
UPX原来是命令行程序，现在给UPX加壳/脱壳程序,增加图形界面外壳,方便使用
DCU DeCompiler
12-12
DCU DeCompiler Delphi DCU DCP 的反编译工具，支持到Delphi XE2。 可以直接导航函数
专用UPX脱壳机加密解密
12-11
UPX脱壳机加密解密工具 UPX脱壳机加密解密工具
DelphiDecompiler
09-04
DelphiDecompiler,一个好用 的delphi开发工具。安装简单实用。DelphiDecompilerDelphiDecompilerDelphiDecompilerDelphiDecompilerDelphiDecompiler
delphi反编译三剑客工具
06-05
Delphi程序 一、 IDR (piblic version) IDR (Interactive Delphi Reconstructor) , Delphi反汇编利器，不断更新中。官方主页：http://kpnc.org/idr32/en/download.htm 二、 Delphi Decompiler v1.1.211b Delphi反编译工具 三、 DeDe 3.5原版 反Delphi、 C++ bulid。（DeDe3.2004源码下载） DeDe3.50.04 Fix加强版 DEDE 3.50.4的修改版(超强版:P) by DarkNess0ut 01.修改了Title和ClassName "DeDe"->"DarK",绝大部分的Anti检测都没有用了 02.DIY原DEDE,使得可以反汇编得到非标准程序的Forms格式和Procedures的事件 03.直接反汇编功能的选项 04.增加对特殊处理过的PACKAGEINFO的Uint List的显示 05.修改原有的"Open With DEDE"的注册键错误&BUG;,可以使用右键运行DEDE反汇编Delphi/BCB 06.去处NAG显示 07.修复原有Dump Active Process的BUG 08.Enable Dump按钮 09.修复拖放处理程序时,确认对话框的BUG! 10.修复Forms下将DFM保存为RES文件的BUG! 11.Enable Procedures下右键的Analize Class功能 12.修复Forms下DFM的"Open With NotePad"功能 13.heXer提供修复反汇编引擎的代码,主要是解决了反汇编的错误
逆向游乐园第五关
ChuMeng1999的博客
11-23 265
目录预备知识1.关于调试器和反编译工具简介2.PE查壳工具3.汇编指令4.寄存器5.Little-endian（小端序）实验目的实验环境实验步骤一实验步骤二实验步骤三 预备知识 1.关于调试器和反编译工具简介 OLLYDB是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级32位调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。同时还支持插件扩展功能，是目前最强大的调试工具。 IDA PRO简称IDA（Interactive Disassembler），是
探索Delphi奥秘：「Delphi 反编译三剑客」工具集全方位解读
最新发布
gitblog_09757的博客
09-06 369
探索Delphi奥秘：「Delphi 反编译三剑客」工具集全方位解读 delphi反编译三剑客.rar项目地址:https://gitcode.com/open-source-toolkit/21688 在这个软件逆向工程日益重要的时代，有一套工具因其强大的功能和专门针对Delphi程序设计而名声大噪——那就是广受好评的“Delphi 反编译三剑客”。本文将带您领略这套工具的独特魅力，深入探讨其...
BUUCTF-Reverse：新年快乐 + 加壳与脱壳
_Co1a
11-20 1495
题目地址：https://buuoj.cn/challenges#%E6%96%B0%E5%B9%B4%E5%BF%AB%E4%B9%90 用IDA打开文件： 怎么可能才两个函数，猜测加了壳，直接查： 1、将文件拖进exeinfope（或者PEiD）查壳： 发现是upx壳——》拖入kaliLinux脱壳：upx -d 文件名 unpack “upx.exe -d” from http://upx.sf.net or any UPX/Generic unpacker 32位文件 脱壳，网上找脱壳机，
iOS应用逆向工程实战指南(第2版)
"iOS应用逆向工程(第2版) - 沙梓社吴航著" 本书《iOS应用逆向工程(第2版)》深入探讨了iOS应用的逆向工程，旨在帮助读者理解并掌握iOS系统的底层机制、工具使用以及逆向分析技术。作者吴航通过理论结合实践的方式，...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值