逆向工程核心原理-逆向基础（基于Ollydbg201与Hello World的逆向调试）

逆向工程核心原理-逆向基础

调试器与汇编语言

我们编写的源码经过编译转化为exe可执行文件，而exe则是二进制文件，在分析二进制文件时，为了更好地理解它，我们通过调试器进行反汇编处理，将二进制代码转化为汇编语言指令代码

OllyDbg的使用

窗口界面布局

• 代码窗口：默认用于显示反汇编代码，还用于显示各种注释，标签，分析代码时显示循环等信息
• 寄存器窗口：实时显示CPU寄存器的值，还可以用来修改寄存器
• 数据窗口：用于显示进程的内存地址，也可以用来修改内存地址
• 栈区窗口：实时显示ESP寄存器指向的进程栈内存，并且允许修改

而代码窗口中的内容又有以下布局：

004011A0	E8 6715000	CALL 0040270C
进程的虚拟内存地址	x86 CPU指令	反汇编代码	此部分空出为注释区，可自己添加

EP（EntryPoint）：指的是可执行代码的入口点

常用的快捷键

快捷键	描述
CTRL+F2	终止当前进程，重新开始调试
F7	执行一句操作码，遇到call将会跳转进入函数
F8	执行一句操作码，遇到call执行函数，但是不会进入函数
CTRL+F9	一直在函数内部运行，直到retn指令跳出（和F8的区别在于，此指令是执行发起指令时所在函数的return，F8就是一个简单的跳过功能
CTRL+G	移动到指定地址，用来查看代码或内存（运行状态下不可用）
F4	执行到光标位置，直接跳转到要调试的地址
；	为当前位置填写注释
：	为当前位置填写标签
F2	设置或者取消断点
F9	一直运行，存在断点则停止在断点处
*	显示当前EIP指针的位置
-	显示上一个光标的位置
Enter	若存在call或者jmp则跟踪并显示相关地址
ALT+B	显示存在的断点列表

标记/进入特定地址的方法

• 使用CTRL+G后在 enter expression to follow对话框中输入对应的地址即可
• 在调试时，在需要标记的地址处设置断点，然后F9执行到断点处即可，在断点列表中双击也可以跳转到相应位置
• 设置注释在指定语句中，寻找注释可以在右键菜单search for中找到all user comment中看到添加的所有注释，双击可以到达注释位置
• 在指定位置添加标签，后在右键菜单search for中找到中user defined labls（目前的201版本貌似找不到这个功能了）看到添加的所有注释

快速查找指定代码

• 代码执行法

我们已知目标可执行文件调用了MassageBox的API，则我们只需要执行到目标API中的函数即可，我们通常的思路是，按F7或者F8执行程序，遇到call或者jmp指令就使用F7执行进入函数（遇到非目标函数ctrl+F9)或者enter查看函数内容，非目标函数则使用-回到原来的的位置，按F8继续调试（留意可能的API调用或程序内容）

• 字符串检索法

在ollydbg的右键菜单中使用search for中的all referenced strings其中内容是其在调试之初对程序使用的字符串和API都将被摘录出来成为列表

• API检索法

在程序运行后，我们可以根据运行效果，猜测运行时调用了哪些API，可以直接使用ALL intermodular calls查看调用的所有API，不过在文件受到压缩或保护后，ollydbug就无法列出API列表了，此时我们要进行调试我们需要为加载进内存中的DLL代码库设置断点

压缩器（运行时压缩器）：它可以将可执行文件的代码，数据，资源压缩，但是其压缩完成后仍是一个可执行文件

保护器：保护器具有压缩功能，并且还添加了反调试，反模拟，反转储，可有效保护进程

API的实现：API实际上是系统提供的一系列函数，他们位于系统提供的DLL库中，我们的程序进行的一系列操作必须通过系统的API向系统提出请求，系统才会将对应DLL文件加载到应用程序的进程内存

我们可以在ollydbg的view菜单（也可以ALT+M）中找到memory map打开内存映射窗口，看到程序请求的DLL库列表等，为了找到调用的API，我们使用search for中的name选项在其中寻找对应API，双击即可定位到该位置，注意是本可执行程序的name列表，有时候选定了一个地址name列表可能会是对应的DLL库中的name列表

修改程序中字符串

修改程序中的字符串有两种方式：

• 修改字符串的缓冲区

我们在定位字符串后，找到字符串所在内存地址，然后在数据窗口查找该地址，然后选中要修改的字符串部分，使用ctrl+e进行快速编辑该字符串即可修改，需要注意，如果修改后字符串长度大于原有字符串，可能会导致程序后面的数据被覆盖，此时就有可能发生内存错误（不建议比原有字符串长），并且在修改时一定要注意unicode字符串的结尾是NULL占据两个字节。

如果要保存文件，我们则应该在数据窗口选中修改后的字符串，右键找到edit中的Copy to executable或Copy all modifications to executable，进入新的界面中选中save file，然后根据提示保存即可，在文件命名处要加上exe的可执行文件扩展名

注意：可执行文件在保存时一般会给字符串留出更多空间，所以有时候以更长的字符串覆盖也不会出问题

• 在其他内存区域建立字符串，并传递给API

这种方法实际上是利用了一个特性，应用程序被加载到内存有一个最小内存分配大小，即使程序大小未达到分配内存大小，其他的内存也会被分配，并且以NULL填充

我们可以利用填充为NULL的内存，在其中添加需要的字符串，最后在传递字符串到API处，将PUSH的地址修改成我们修改处的地址起始点即可（选中对应指令后按空格键即可通过Assemble窗口修改）

逆向尝试

首先我们自己写一个和作者一摸一样的程序，尝试逆向它：

#include "windows.h"
#include "tchar.h"


int _tmain(int argc, TCHAR* argv[]) {

	MessageBox(NULL, L"Hello World",
		L"This is a test file",
		MB_OK);

	return 0;

}

修改字符缓冲区

首先我们通过all referenced strings找到我们的对应字符串（可以看到我这里字符串地址是B22100和B22128），然后打上断点过后按F9执行到断点处，然后在数据窗口找到字符串内存：

进行修改（注意keep size选项，保证修改不会超过范围），第一处改为测试通过，第二处改为大写字母：

调试后修改成功：

保存文件：

在其他区域建立字符串

我们重新调试文件，然后找到字符串，在填充为NULL的内存区域加入字符串内容（如下我们在283020处建立新字符串）：

改变字符串载入地址：

进行调试，修改成功：

注意：此修改方法保存的可执行文件无法正常运行，当可执行文件加载进入内存时，通常来讲进程的内存仍然存在，但是对应的文件偏移并不存在，所以无法正常运行

文件偏移

文件偏移是指在计算机中对文件进行访问时，当前位置与文件开头之间的距离。每个文件都可以看作是一系列字节的集合，文件偏移表示从文件开头到当前位置所经过的字节数。

文件偏移常用于读取和写入文件的特定位置。通过设置文件偏移，可以确定下一个要读取或写入的位置，以便在文件中执行精确的操作。

在大多数编程语言和操作系统中，文件偏移以字节为单位进行计量。初始文件偏移通常为0，表示从文件的开头开始。随着读取或写入操作的进行，文件偏移会自动增加，指向下一个要操作的位置。

文件偏移对于处理文件的不同部分非常有用。通过更改文件偏移，可以在文件中前后移动，查找和更新特定位置的数据，或者追加新数据到文件末尾。

需要注意的是，在某些情况下，文件偏移可能以其他单位（如块或记录）进行计量，这取决于使用的文件系统或应用程序的要求。