逆向工程核心原理(1)逆向基础

最新推荐文章于 2023-04-09 17:14:04 发布
最新推荐文章于 2023-04-09 17:14:04 发布
阅读量939 收藏 5
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_30379221/article/details/129609937
版权

所有资源可以在官网下载

代码逆向工程

逆向分析法

静态分析

不执行代码，观察外部特征，获取其文件类型、大小、PE头、Import/Export API、字符串、是否运行时解压缩、注册信息、调试信息、数字证书、反汇编代码等

动态分析

在程序文件执行的过程中对代码进行分析。

一般首先静态分析,再进行动态分析。

逆向Hello World

代码如下：

#include<windows.h>
#include<tchar.h>
int _tmain(int argc,TCHAR *argv[])
{
	MessageBox(NULL, L"Hello World!", L"Muling", MB_OK);
	return 0;
}

调试器与汇编

分析二进制文件时，需要使用调试器(Debugger)的反汇编模块，将二进制代码转换为汇编代码。

调试HelloWorld.exe

目标

目标：调试HelloWorld.exe可执行文件，在汇编代码中找到main函数中的MessageBox函数的调用。

打开文件

Ollydbg打开，窗口如下：

image-20230308160553332
image-20230308160657713

调试器停下的位置为程序的入口地址。

image-20230308160849646

在入口点调用了0040270c函数，并跳转到了0040104f。

跟踪0040270c

F7(步进)进入0040270c

image-20230308161432584

右侧区域有Od提供的注释，红色是调用的API函数名称，这里看到的是VS自动添加的一些启动函数调用，F8步过即可。

直到RETN返回仍然没有看到main和MessageBox

跟踪0040104f

F7步入，如下：

image-20230308162040903

这个部分为VS启动函数部分，跟踪它们可以找到main的位置。

相同IDE生成的启动函数都大致相同，在熟悉后可以比较快速地找到启动函数并定位代码

不断跟踪，F7进入后Ctrl+F9退出尝试，找到调用了MessageBox的Main函数位置

image-20230309153140803

设置camp

  • 使用Goto(Ctrl+G)跳转指针到40104f,再使用F4运行到指标位置

  • F2设置BP，打开Alt+B可以看到BP列表，双击一个BP即可跳转到任一个断点(只是高亮位置移到该点)，也可直接调试，会自动停止在断点处。

  • 使用‘；’可以进行注释，右键->查找->注释可以查到注释的位置。

    image-20230309154144225 image-20230309154120667

  • 使用‘:’可以添加标签，

    如下为在40104f处添加标签

    image-20230309154607833 image-20230309154641666

    右键->查找->所有用户定义的标签可以查看标签

查找指定的代码

一般来说main函数不会出现在EP位置上，EP上一般是开发工具添加的一些启动函数。

代码执行法

在程序功能明确、代码量不大的情况下可以使用，逐条执行指令来找到需要查找的指令位置。

比如调用MessageBox的代码，一直按F8步过，一定会有一个指令执行后出现消息框。弹出消息对话框的函数为main函数。

字符串检索

右键->查找->所有被引用的字符串可以查看所有程序引用的字符串。

image-20230309161414518

双击”Hello World!”可以定位到MessageBox函数。

在内存Dump窗口使用Ctrl+G可以进一步查看004092A0处。

API检索法(1)：调用代码中设置断点

右键->查找->所有模块间调用

程序输出时，需要调用Win32 API，观察一个程序后，就可以大致了解其调用的APi函数有哪些。

比如程序跳出消息框，可以断定调用了MessageBox API。

这个方法可以找到程序调用的所有API列表。

image-20230309162338165

API检索法(2)：API代码中设置断点

右键->查找->所有

对于压缩器/保护器，列出API调用列表比较麻烦

image-20230309171606232

在这种情况下，可以在DLL代码库加载到进程内存后直接向DLL代码库添加断点。

API是操作系统提供的一系列函数，存放在C:\Windows\systems32文件夹内

所以程序执行操作时需要向OS提出请求使用API，然后API对应的DLL文件才会被加载进来。

(Alt+M)打开内存映射菜单，可以看到user32库被加载到了内存。

image-20230309172206119

使用查找所有模块中的名称可以列出被加载的DLL中的所有API，单击按名称排序，再键盘输入MessageBoxW可以找到MessageBox

image-20230309173105641

双击即可定位到其代码部分。

image-20230309173237760

在函数起始位置使用F2设置断点，然后继续执行，会自动停在这一行。

image-20230309173508549

此时，ESP=0019FF70,此值指向堆栈位置中存放返回地址值为00401014，也即调用此函数后的下一句。

image-20230309173800936

打补丁修改程序字符串

打补丁常常用于修复程序中的BUG/添加新功能，打补丁的对象可以是文件、内存、程序的代码、数据等

Ctrl+F2重新调试，F9执行到main函数位置。

直接修改字符串缓冲区

该方法操作简单，但对新内容的长度有限制

“Hello World!”保存在4092A0处，只要修改这段即可。

跳转后Ctrl+E打开编辑窗口，修改字符串即可。

image-20230310100825151

在Dump窗口，右键->复制到可执行文件即可将修改保存到exe文件中，在弹出的hex窗口中右键保存文件。

其他区域添加新字符串并传给消息函数

再次运行到main函数处。

在401007处有一条Push命令，将字符串传给消息函数。

再次找到HelloWorld处4092A0,往后一直拖，会看到一个未填充区域。

选择合适的位置如409F50处写入新字符串。

再转到代码401007处，空格打开汇编窗口，输入PUSH 409F50

image-20230310103428825
image-20230310103631084

小端序标记法

image-20230310104521988

IA-32寄存器

IA-32支持以下寄存器

通用寄存器

ESP指示栈顶位置，EBP指示栈的及地址，函数调用时用于保存ESP的值，返回时再还给ESP。ESI和EDI主要用于内存复制。

段寄存器

状态/控制寄存器

EFLAGS 标志寄存器image-20230310112826490image-20230310112845836

指令指针寄存器 EIP

栈

作用

  • 局部变量存储

  • 传参

  • 保存返回地址

特征

栈结构如下：

image-20230310132241127

ESP为栈顶指针，初始在栈底(高地址)，PUSH使ESP自减移到栈顶方向。

参数入栈

传参时，参数逆序入栈(相对C语言)，即从右向左

操作示例

  • OD打开stack.exe。初始时栈顶位置在0019FF74处
image-20230310215122098
  • 执行push 0x100,ESP=ESP-4,image-20230310215247583

栈帧

介绍

利用EBP访问栈内的局部变量、参数、函数返回地址等内容。

调用函数时，先将栈顶指针ESP赋给EBP，无论ESP如何变化，EBP不变，能方便访问到局部变量、参数、返回地址等值。

image-20230311231218136

调试stackframe.exe

//StackFrame.exe
#include<stdio.h>
long add(long a,long b)
{
    long x = a, y = b;
    return x + y;
}

int main(int argc,char* argv[])
{
    long a = 1, b = 2;
    printf("%d\n",add(a,b));
    return 0;
}

  • Ctrl+G到401000image-20230311233245555

  • 执行mov ebp,esp后，栈空间大致如下

image-20230311235135674

  • 可以右键->地址->相对于EBP，方便观察image-20230311235356400

  • call 时自动push返回地址并跳转，call后自动pop地址并跳转

abex crackme#2-VB文件

运行

image-20230312165952839

这个程序要求找出程序的序列号，输入Name和Serial，按Check，如下：

image-20230312170116323

VB文件

这个程序由VB编写而成，调试前需要先学习相关特征。

VB专用引擎

使用VB专用引擎MSVBVM60.dll。

比如VB代码中调用MsgBox()实现消息框，其真正调用的是MSVBVM60.dll中的rtcMsgBox(),该函数再调用user32.dll中的MessageBoxW()。

本地代码和伪代码

根据编译选项，VB文件可以编译为本地代码(N code)与伪代码(P code),本地代码使用易于调试的IA-32指令，而伪代码是解释性语言，使用VB引擎实现虚拟机并自解析指令。

要想准确解析VB伪代码，需要分析VB引擎并实现模拟器。

image-20230312170709633

事件处理程序

VB主要用于编写GUI程序，采用Windows的事件驱动方式工作，在main和WinMain中不存在用户代码，用户代码在各个事件处理程序中。

本程序的用于代码就在Check代码触发的事件处理程序内。

未文档化的结构体

VB中各种信息以结构体形式存在文件内部，这些结构体并没有被微软公开。

调试

image-20230312195534006

先push一个RT_MainStruct结构体的地址，然后call 调用401232处的JMP，跳转到VB引擎的主函数ThunRTMain()，push的值作为其参数。

间接调用

40123D处Call 401232调用ThunRTMain()函数，使用了间接调用，通过401232处的JMO跳转，而不是直接call MSVBVM60.dll中的ThunRTMain()函数。

401232处的JMP如下：

4010A0为IAT(导入地址表)区域，包含MSVBVM60.ThunRTMain()函数的实际地址。

RT_MainStruct

该结构体在401E14处。

image-20230312200307086

虽然微软没有公布，但在国外有逆向高手完成了对其的分析。

该结构体用于获取程序运行需要的所有信息。

ThunRTMain

进入主函数，如下：

image-20230312200455692

内存地址完全不同，因为这里是MSVBVM60.dll的地址区域。

分析crackme

  • 检索字符串image-20230312200849332

  • 双击 wrong serial可以转到代码，这种代码一般分为两个部分，即序列号正确和错误两种，判断后通过跳转输出正确/错误的消息框。

image-20230312200927413
  • 向上拖动代码，可以找到条件转移代码
image-20230313125030999
  • 此处调用了__vbaVarTstEq()函数，比较(TEST)返回值AX后，如果AX为0，则跳转到输出正确消息，否则不跳转输出错误消息。
image-20230312201257150

  • 该函数为字符串比较函数，前面两个push语句应当是传参，即被比较的字符串。

  • F4运行到403329处，输入字符串，点击check。edx=0019F1AC,eax=0019F1BC

    image-20230312201516074

  • dump区转到19f1AC。类似于C++中的stringg类型，VB中的字符串使用可变长度的字符串类型。(字符串对象)
image-20230312202532432
  • 两串内容只有中间4个字节不同，推断这串是地址。使用右键->长型->ASCII数据地址，可以对地址对应的字符串进行显示。

可以看出EDX(EBP-0x44)为正确serial值，而EAX(EBP-0x34)为用户输入serial值。

  • 如下，输入serial即可

    image-20230312204626709

Serial生成算法

预测代码

如果win32 API程序，应当有如下步骤：

  • 读取Name字符串(GetWindowText、GetDlgItemText 等API)

  • 启动循环，对字符运算

VB代码也应当是类似的原理。所以可以从代码开始处(指check回调函数的开始)调试，找到读取name字符串的部分，紧接着就会出现加密循环。

找到name读取代码

由于需要调用API函数，所以可以以call指令为主要注意对象。可以注意到如下call语句。

image-20230312225356326

先将ebp-0x88的位置赋给edx，然后将此地址作为参数传入，调试跳过该call后会发现ebp-0x88位置出现name，判断此call为name读取函数。

找到加密循环

书上并没有详细说明加密循环的部分是如何找出来的，所以对于书上的这部分，我并没有太理解，以下是自己的分析过程。

既然是循环，肯定会有一个向上的jmp过程，主要找到符合这种特征的指令即可。翻找jmp指令，可以看到4032A0处有一个jmp向上跳转。

image-20230315124526833

看看跳转到的部分，可以看到jmp到的位置为test 接jmp,这段主要判断eax是否为0，如果为0就跳到前面那个jmp的后一条指令，这样的指令完美符合循环的特征。可以判断4032A0为循环末尾，403197为循环判断部分。

image-20230315124632639

后面不会啦~

函数调用约定

主要函数调用约定如下：

  • cdecl
  • stdcall
  • fastcall
  • this
  • naked

cdecl

C语言中常用的调用方式，调用者处理栈。使用push从右至左传参。

cdecl方式好处在于可以传递长度可变的参数(如printf)。

stdcall

常用于win32 API，被调用者处理栈。参数传递方式相同。在C语言中需要在函数前添加“_stdcall”关键字以使用stdcall方式编译。

image-20230315105742309

RETN 8表示返回后pop8个字节，将ESP增加到合适的大小。

fastcall

被调用者平衡栈。ECX、EDX传递第1、2个参数，其他参数与stdcall相同。常用于内核程序，这种调用方式比较快。

this

被调用者平衡栈。ECX传递this，其余参数相同。C++成员函数常用。

naked

被调用者平衡栈。传参方式相同。使用此调用方式，编译器自动为函数生成如下的进入和退出代码。

PUSH EBP
MOV EBP,ESP
......
POP EBP
RET 8

CRACKME

程序分析

  • 打开exe，弹出消息框

    image-20230315133331048

要求去除所有的nag(大概就是消息框吧)并取得注册码。

  • 点击确定，界面如下：

    image-20230315133419767

  • 随意输入，如下

    image-20230315133504477

去除消息框

观察

  • 先尝试去除消息框，查找所有的代码间调用。这个一般调用rtcMsgBox(从外面的dll文件再到熟悉的启动函数可以判断是vb程序),可以找到三个调用。右键选择在每个rtcMsgBox上设置断点，直接F9运行，调试器自动停止，这个点(402CFE)就是msgbox的位置。需要注意窗口主界面有一个“Nag?”按钮，可以尝试再次F9运行，发现它执行跳转到402CFE，所以只需要对一个进行修改。
image-20230315135320442

方法一

  • 可以运行msgbox函数试试，观察寄存器：

这样可以知道msgbox传入了0x14字节的参数。

  • 空格修改汇编，如下。nop是为了填补空缺，因为原来的call占用5字节，而add指令占用3字节，为了不影响后面的指令，必须填补这两字节的空缺。

  • 这样修改后，msgbox会被越过，且栈会平衡，但仍然有一个问题，就是返回值并没有处理。msgbox会使用eax返回1，表示用户按下确定，这里并没有处理eax，导致返回值为0，所以程序会在运行时认为按下了否，程序自动退出。

    大家可能会想到这样的代码：

    add esp,0x14
mov eax,1

    这个代码是可行的，但是由于代码长度只有5，所以添加一个mov指令会超出这个限制，导致后面的代码被侵占。

方法二

  • 直接向上翻找到函数入口，修改push ebp

    image-20230315143002263

  • 这个0x4可以由两个地方确定，一个是函数末尾使用了retn 0x4，一个是返回地址处的call前后esp变化了0x4。

  • 这样修改后直接跳过该函数的执行过程，消息框自然就被去除了。

找到注册码

  • 查找所有引用字符串，可以找到“Yep”image-20230315152830773

这个应当是注册码输入正确时执行的指令。

  • 向前找到je

    image-20230315152933346

这个jmp指令应当为对注册码正确与否的判断。

这里要求di！=si，可以向上继续寻找，

  • 在前面有个strcmp函数，其push 的两个参数分别为“I'mlena151”和用户输入的注册码(ebp-0x58)。基本可以猜测注册码即为“I'mlena151”。
牧凌
关注
  • 0
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
逆向工程核心原理
weixin_30270815的博客
04-07 4983
关于逆向工程 代码逆向工程，是逆向工程在软件领域的应用。使用RCE、RE、逆向工程等简称。 分析逆向工程的方法有静态分析法和动态分析法。 静态分析法：是在不执行代码文件情形下，对代码静态分析的方法。不执行代码，而是观察代码外部特征，获取文件类型、大小、PE头信息、导入导出API、内部字符串、是否运行时解压缩、注册信息、调试信息、数字证书等信息。使用反汇编工具查看内部代码、分析代码结构也属于静态分析。 动态分析法：程序文件执行过程中对代码进行动态分析。通过调试获得代码流，获得内存状态。通过动态分析法可以观察文
逆向实战 2#去除程序注册、正版校验，绕过联网校验
weixin_48066554的博客
01-08 4489
逆向实战 2#去除程序注册、正版校验，绕过联网校验 文章目录逆向实战 2#去除程序注册、正版校验，绕过联网校验环境 & 工具去除注册行为分析过程分析效果检验去除联网校验行为分析过程分析效果检验去除完整性（正版）校验行为分析过程分析效果分析 慢慢难起来了，直接猛男落泪 在国家包吃包住的路上又艰难迈进一小步【doge】 省流助手：啰嗦至极菜鸡学习笔记，多图警告 环境 & 工具 win xp 32位 吾爱破解版ollydbg 去除注册 行为分析 首先拖进PEiD查壳，发现未加壳 点击注册，出
逆向工程源码.zip
10-07
逆向工程核心原理一书的源代码，有需要的朋友可以下载。
逆向工程核心原理源代码
qq_39249347的博客
08-08 2089
链接：https://pan.baidu.com/s/1qvXbeE9AIZyTpVTKIIyuGA 提取码：zofw
游戏逆向_DLL注入技术
douluo998的博客
04-09 3556
DLL注入技术: 是将一个Dll文件强行加载到目标进程中，比如把外挂dll模块注入到游戏进程，这样做的目的在于方便我们通过这个DLL读写目标进程指令或内存数据，（例如 HOOK游戏函数过程或篡改游戏内存数据实现外挂功能），或以被注入进程的身份去执行一些操作等。全系统注入的优点：利用系统机制实现的全系统进程注入，可绕过比如游戏进程自身的防注入保护机制。比如远线程注入游戏可能会被拦截，但输入法注入，游戏很难拦截。
逆向工程核心原理----2019.8.28早上
ins_Digger的博客
08-28 215
早起傻一天， 字节序 大端序和小端序 学过汇编一般都能看懂是什么意思。 大端序：就是按着顺序来排列（看起来比较直观），但如果按高地位来分的话。大端序就是 数据的高位放在内存的低位；数据的低位放在内存的高位。 小端序：看上去是反正来放。但是按高地位来分的话。小端序就是数据的高位放在内存的高位；数据的低位放在内存的低位。 在逆向的学习过程中大部分都是小端序。 后面的两章就是在讲win32的寄存器和栈...
2015 逆向工程核心原理 程序源码 资源
06-07
2015 逆向工程核心原理 程序源码 资源
逆向分析核心原理示例和源代码
01-15
逆向工程核心原理的代码和实例，其中都是全面的，是我自己找到的，网上总是有假的所以想让别人可以收到
《逆向工程核心原理》学习笔记（七）：反调试技术
闵行小鱼塘
05-28 1982
继续学习《逆向工程核心原理》，本篇笔记是第七部分：反调试技术，包括一些静态反调试技术和动态反调试技术
逆向工程核心原理 小结
逆向工程核心原理 学习小结
05-21 1944
首先，先说明我在阅读和动手过程中的第一个问题。1.如果要跟着书上的过程进行调试，并且你是用的是VS,那么建议你关闭C/C++优化。因为优化后的.exe会省略很多细节，不利于小白进行分析。具体关闭细节如下：在解决方案资源管理器中选中项目名称，——》右键点击“”属性“”选择“”C/C++“”选择优化关闭即可，再次运行调试，并用ollydbg调试即可。...
逆行工程核心原理pdf、代码以及编译好的测试软件
02-08
超清的pdf，连代码都可以看清楚，而且目录很完整。里面附带了所有例子的源代码，怕有人无法搭建编译环境，所以还添加了代码编译好的程序。
《逆向工程核心原理》学习总结（一） - 基本调试技巧
attack_eg的博客
06-30 1268
设置调试标记的四种技巧很多时候，当我们调试到程序的一个关键点时，想要将它记录下来，以方便下次调试可以继续从此处开始。在《逆向》书中提出了四种技巧： 设置断点（F2） 添加注释（；），右键Search for\User defined comment可查找 设置标签（:），利用Search for\User defined labels 可查找 goto 命令（ctrl+g），运行到目标地址 快速查找
Mybatis框架:逆向工程,运行原理(底层原码分析)
入梦镜
06-04 1297
逆向工程 逆向工程就是根据你的表,自动来创建相应的POJO,mapper接口,sql映射文件 主要看官方文档的说明的例子,这里给个例子 XML配置文档 <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE generatorConfiguration PUBLIC "-//mybatis.org//DTD MyBatis Generator Configuration 1.0//EN" "http://mybatis.org/dtd/my
VB程序逆向反汇编常见的函数(修改版)
LindaXu1220的博客
06-17 590
VB程序逆向常用的函数 1) 数据类型转换: a) __vbaI2Str 将一个字符串转为8 位（1个字节）的数值形式(范围在 0 至 255 之间) 或2 个字节的数值形式(范围在 -32,768 到 32,767 之间)。 b)__vbaI4Str 将一个字符串转为长整型(4个字节)的数值形式(范围从-2,147,483,6482,147,483,...
【逆向工程核心原理：API钩取】
qq_42363151的博客
04-04 505
运用在windows10 32bit Debug/Release。64bit参数结构、寄存器名字不同，需要修改才能使用。
idea 逆向工程生成
最新发布
09-07
逆向工程生成是指通过逆向工程的方法，利用已有的产品或系统为基础，重新生成出新的创意或设计。逆向工程是一种技术手段，通过分析、还原和理解已有的产品或系统的工作原理和设计思路，从而为新的创意或设计提供参考或借鉴。 逆向工程生成的过程通常包括以下几个步骤： 1. 收集资料：通过收集相关的产品或系统的文档、图纸、关键技术等资料，了解产品或系统的基本原理和功能。 2. 分析分解：对收集到的资料进行深入分析和解剖，还原产品或系统的结构、模块和功能。 3. 理解核心技术：通过对关键技术的研究和分析，理解产品或系统的核心技术和创新点。 4. 创意生成：基于对已有产品或系统的分析和理解，结合自身的创意和设计思路，生成新的创意或设计方案。 5. 验证和改进：将生成的创意或设计方案进行验证和改进，考虑产品的可行性、可生产性和可市场化。 通过逆向工程生成，可以快速有效地生成新的创意或设计方案。它可以帮助设计师和创意人才在创作过程中找到灵感和方向，并为他们提供了更多借鉴和参考的资源。同时，逆向工程生成也可以避免重复发明轮子，节省了时间和精力。 逆向工程生成不仅可以应用于产品设计领域，还可以用于软件和硬件开发、工业设计、建筑设计等多个领域。通过逆向工程生成，我们可以发掘已有产品或系统的潜力，提升产品的竞争力和创新力。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值