Crackme逆向分析365例-001

最新推荐文章于 2025-04-01 20:25:52 发布

simakuangbiao

最新推荐文章于 2025-04-01 20:25:52 发布

阅读量1.6k

点赞数 13

文章标签：笔记

本文链接：https://blog.csdn.net/SMKB_APT/article/details/146413021

版权

Crackme逆向分析365例-001

1、准备工作
2、针对cm001.exe文件进行爆破
3、针对cm001.exe文件进行追码
4、本次练习总结

重要提醒：本例所使用的Crackme本体安全性未知，请在虚拟机或沙盒环境中进行逆向练习！！！

说明：本篇逆向练习是表哥Crackme逆向分析365例系列的第1例（任务是：找到正确的用户名和密码），所使用的Crackme本体（原始文件名：[EASY] CrackMe.exe）来源已经无法考证；本次练习所需工具软件包括：十六进制编辑器HxD64（版本：2.5.0.0）、PE文件信息观察器ExeinfoPE（版本：0.0.8.8）、动态调试器x32dbg/x64dbg（版本：2025-03-03，已手动添加了Snowman插件）。

1、准备工作

1.1、将下载的Crackme本体解压到某个空白的文件夹下（最好是全英文路径），并确保能够正常运行（云盘下载已经附带了4个缺失的运行库，若在您的电脑上还是不能运行，请根据提示的库名在：https://cn.dll-files.com 网站查询下载并保存到与Crackme本体相同文件夹内。
1.2、复制Crackme本体文件[EASY] CrackMe.exe并重新命名为cm001.exe，保证原始Crackme本体文件的备份，逆向分析时仅针对cm001.exe。
1.3、启动ExeinfoPE.exe，加载cm001.exe，根据ExeinfoPE的分析数据，手动列出文件信息如下：

信息类型	简要描述
文件名称：	cm001.exe
文件类型：	64位控制台程序（需要使用x64dbg调试器进行分析）
编译器/链接器：	x64 Microsoft Visual C++ v14.34 - 2022
编译日期：	2023年
是否加壳：	无壳（不需要脱壳，可直接进行分析）
映像基地址：	0x140000000
PE头偏移地址：	0xF0（240字节）
是否具有重定位段（.reloc）：	有（需要修改文件属性标志字段，使其运行时不进行重定位）

1.4、启动HxD64.exe，加载cm001.exe，修改文件属性标志字段（从PE头偏移22个字节，文件头偏移处0x106），将其值从0x22修改为0x23并保存文件，这样的话，映像基地址将固定在0x140000000，方便本次练习场景重现，如下图所示：

1.5、运行cm001.exe文件，随便输入用户名和密码后，程序出错了（错误信息为：Wrong username or password.），如下图所示：

2、针对cm001.exe文件进行爆破

2.1、爆破思路：由于出现了错误信息，我们有理由相信，程序对输入的用户名和密码进行了某种计算，并且对计算结果进行了验证判断，并以此决定显示正确或错误信息。利用此思路，我们以当前出错信息加载指令为基点，通过向上或向下来查找到正确的条件转移指令，然后修改这条转移指令，使其忽略验证结果，直接显示正确信息。
2.2、启动x64dbg.exe，在菜单中打开【选项】窗口，在【事件】选项中仅选择【入口断点】（若已经配置好了，可省略此步骤）。现在点击【打开文件】按钮，加载cm001.exe文件，此时RIP指向了程序入口点地址：0x1400114EC，点击【内存布局】窗口，在【页面信息】列中找到cm001.exe的位置，手动列出相关段信息如下：

段名	段描述	虚拟地址范围
.text	代码段	0x140011000-0x140022000
.rdate	只读数据段	0x140022000-0x140028000

根据经验，出错信息很可能以字符串的形式存储在只读数据段中，我们需要在代码段中定位出加载出错信息字符串的指令地址。
2.3、点击【搜索字符串】按钮，在【引用】页面底部的搜索框中输入：wrong username or password进行过滤后，共找到1处指令地址：0x140018795。鼠标左键双击地址，转到【CPU】页面的相关位置，以此条指令为基准点（lea rdx,qword ptr ds:[140023908]），向上查找最接近的条件转移指令，其指令地址为：0x140018793（在本例中，其与基准点紧挨着），如下图所示：

既然基准点地址（0x140018795）是显示错误信息的指令分支，那么可以合理推测，红线尽头所指的地址（0x1400187DC）就是显示正确信息的指令分支了，我们只要修改地址（0x140018793）处的指令，使其忽略条件判断，直接转移到地址（0x1400187DC）处，就可以完成本次的爆破过程。
2.4、鼠标左键单击地址（0x140018793），按空格键弹出汇编窗口，将je或jz修改为jmp，其余信息保持不变，然后按【确定】按钮使修改生效，如下图所示：

点击【补丁】按钮或Ctrl+P打开补丁窗口，点击【修补文件】按钮将修改另存为：cm001-已爆破.exe文件，如下图所示：

2.5、关闭所有程序，运行cm001-已爆破.exe文件，看看爆破效果如何，如下图所示：

效果很明显，同样的输入数据，不同的输出结果，说明爆破成功。注意：按照作者的原本意图，是要求破解出用户名和密码的，所以我们继续进行追码操作。

3、针对cm001.exe文件进行追码

3.1、思路：在上面的爆破过程中，我们已经定位出了显示成功信息的指令分支地址：0x1400187DC，所以我们可以从此地址进行反推，看看有哪些转移指令与此地址相关，从而推断出关键call，然后对这些关键call进行详细分析，理解其针对输入数据的计算逻辑以便追码。
3.2、重新启动x64dbg.exe，点击【打开文件】按钮，加载cm001.exe文件，此时RIP指向了程序入口点地址：0x1400114EC，按Ctrl+G打开地址转移窗口，输入：0x1400187DC，如下图所示：

然后按【确定】按钮，这时可通过左侧红线观察到指令调用来源路线有2条，在源头附件还发现了2个call指令（地址分别为：0x140018772和0x140018789），这2个指令就是关键call了，用鼠标左键分别点击这2个地址并按F2键下执行断点，如下图所示：

3.3、按F9键运行程序，然后在程序控制台界面上输入用户名（SMKB）和密码（123456789），回到调试器界面，这时已经中断在第1个关键call上（0x140018772），我们先看一下函数的参数是什么（64位程序规则，前4个参数通过rcx、rdx、r8、r9传递，多于4个的参数通过堆栈传递），鼠标右键分别点击寄存器（rcx和rdx），选择【在内存窗口中转到】（内存1和内存2），通过观察内存1和内存2窗口发现，rcx指向我们输入的用户名SMKB（偏移了8个字节），而rdx偏移8字节指向字符串kanyefan，（注意：其实真实指向的是某个结构指针，但也无所谓了，因为结构中包含了我们需要关注的字符串，能理解就行），据此推测，kanyefan可能就是我们要找的超级用户名，根据上图的红线逻辑判断，只要输入了超级用户名kanyefan，那么密码就可以随便写了。
3.4、按F9键继续运行，中断在第2个关键call上（0x140018789），使用上述同样的操作方法后，观察内存1和内存2窗口发现，rcx指向我们输入的密码123456789（偏移了8个字节），而rdx偏移8字节却指向了堆中的一个地址：0x529D70（此地址是动态分配的，每次运行各不相同，请使用您当前显示的地址），在内存2窗口中鼠标右键点击地址0x529D70，选择【在内存窗口中转到指定QWORD】（内存3），通过观察内存3窗口发现字符串kanyewestlover911，我们据此大胆推测，这就是我们要找的超级密码。
3.5、到此为止，已经不需要具体分析汇编代码了，可以确定：如果输入的用户名是kanyefan，那么密码可以随便了，否则，输入的密码必须是kanyewestlover911，在上述这2种情况下就不会出现错误信息了，我们试一试吧，如下图所示：

果然如此，看来作者是kanye west（坎耶-维斯特）的脑残粉啊。

4、本次练习总结

通过出错信息字符串来定位显示错误或正确信息的转移指令位置，然后修改此指令，使其忽略条件判断，直接转向显示正确信息的指令分支，从而完成爆破。
以显示正确信息的指令分支为起点，查找其指令调用源头地址，并在源头附近定位关键call，然后详细分析以便追码（本例未进行详细分析，而是根据经验，推测并查找出了超级用户名和超级密码）。

本次练习所需工具软件合集下载地址：https://www.123pan.com/s/egPeVv-rXvE3
Crackme本体下载地址：https://www.123pan.com/s/egPeVv-BnvE3
解压密码均为：SMKB

PS：本贴到此结束，若转载请保留全部信息，如果您感觉不错，请免费评分支持一下，期待我们在下一贴有缘再见。