偶尔发个CrackMe的逆向~

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/lixiangminghate/article/details/82291607

朋友面试,和HR确认过眼神后,HR发了一个CrackMe给他,让他逆向后给出算法和答案。出于练手的目的(刚接触...),我把这个CM要过来,它长这样,嗯,丑陋的MFC工程:

先随便往文本框输入个值,点旁边的Button,得到显示结果的MessageBox:

朋友面逆向工程用的CM,可能会带壳吧?用peid查壳,什么都没发现,莫非真有壳?

想来这是我第一次做CM,怯场总不好吧,硬着头皮把CM拖进IDA,发现自己想多了:

1.字符串"error"随手可以找到,毫无隐瞒的存放在".rdata"区:

2.点击"Xref to"可以马上定位到对"error"的引用,更重要的,在"error"附近还能看到对字符串"ok"的引用。往上翻,可以看到call/cmp/jnz语句,应该先调用函数进行某种计算,将返回值同输入比较,相同就弹OK框,否则就弹error框。

看来这个CM也没有特别刁难我朋友,只是简单刷了一把投简历的。继续正题,cmp esi,eax中的esi来自哪?再往上看看,至少遇到三个GetDlgItemInt----从控件中获得值。正好UI上有3个Edit框,十有八九就是从它们这获得值。至于获得的是什么值,需要动态调试一把。

实不相瞒,Ollydbg我不会,那就上windbg,先搜索GetDlgItemInt,然后下函数断点既是:

当windbg中断时,查看第一帧调用栈,程序压入的返回地址是0x00331303,反汇编返回地址之后的代码,并再次下断点,用于获得函数返回值:

当程序从GetDlgItemInt返回时,获得的返回值是0x3039,16进制kanb看不懂,转换成10进制吧,恩,居然是第一个左上角的Edit框中的值:12345,呵呵。同样的手段,可以知道从左下角的Edit框获得的数值用来和后面call/cmp/jnz进行比较。只要获得call的返回值,就知道能产生OK消息框的数值了。

在exe的偏移0x1330处下断点,此时计算已经完成。(0x1330是IDA给出的偏移,IDA一般为32bit程序选择加载基址是0x00400000,把这个偏移加上程序在windbg中的基址,就得到运行时call calc的返回地址。PS:calc是我在IDA中修改的地址名,鬼知道真正的源码中这个函数叫啥)。windbg很诚实的告诉我,calc返回值是5040。呵呵,那就验证一下是否如此?

还真是...算是成功了吧。

后记,calc的算法还是有点复杂的,我用IDA的伪代码插件瞄了一眼,主体是4层循环,循环结束后又先后进行了2次阶乘和移位运算。我直接绕晕在里面,看来我还需要在算法还原上下大功夫。

展开阅读全文

没有更多推荐了,返回首页