160个CrackMe之004

最新推荐文章于 2024-05-23 10:07:53 发布
最新推荐文章于 2024-05-23 10:07:53 发布
阅读量436 收藏 1
点赞数
分类专栏： 逆向分析
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/w_g3366/article/details/98348482
版权

160个CrackMe之004

环境和工具

Win10+x32dbg+PEID

程序分析

程序说明:没有按钮,错误没有提示,如果成功会出现一张照片.
1.先查壳:无壳.Delphi程序
2.尝试注册:

  • 用户名:123456789012 发现用户名最多12位
  • 注册码:abcdefghijk 注册码好像没有长度限制
    在这里插入图片描述
    目前就这些信息了,开始分析

分析过程

没什么头绪,先搜索字符串看看,发现注册成功字符串
在这里插入图片描述
定位过去,有一个跳转,但是这个跳转是往上跳的,继续向上找一找
在这里插入图片描述
很快发现又有两个跳转,0x0045803B处的跳转刚好跳过注册成功函数,这里应该就是关键跳转了,Nop掉验证一下
在这里插入图片描述
此处果然是关键跳转,出来一张漂亮小姐姐的照片,那么跳转之前的代码应该就是注册码的计算了.在这里插入图片描述
首先我们先看看此处跳转的判断条件,比较的是[esi+0x30C]与0x85,大致翻了翻,并没有发现有[esi+0x30C]的赋值,那我们就先不管他哪来的,先看看是什么吧.发现了两处需要关注的地方:
1.[esi+0x30C]+0:此处是0,等于0x85时注册成功
[esi+0x30C]+4:“黑头Sun Bird”
[esi+0x30C]+8:“dseloffc-012-OK”
[esi+0x30C]+C:“黑头Sun Bird”+“9”+“dseloffc-012-OK”+“15pb”,可能是注册码
2.堆栈窗口可以看到"15pb",这是用户名,"3415pb18"这里做了计算,得到新的字符串
在这里插入图片描述
验证一下我们的猜测:黑头Sun Bird9dseloffc-012-OK15pb是不是注册码,标志位不再是0了,变为了0x3E,但并不是0x85,没有猜对,那就老老实实从靠头分析吧

00457FCE  | 55                    | push ebp                            |
00457FCF  | 68 FD804500           | push <sub_4580FD>                   |
00457FD4  | 64:FF30               | push dword ptr fs:[eax]             |
00457FD7  | 64:8920               | mov dword ptr fs:[eax],esp          |
00457FDA  | 33DB                  | xor ebx,ebx                         |
00457FDC  | 8D55 F4               | lea edx,dword ptr ss:[ebp-0xC]      | [ebp-C]:"15pb"
00457FDF  | 8B86 D4020000         | mov eax,dword ptr ds:[esi+0x2D4]    | eax:sub_457FB6+75, [esi+2D4]:"聪A"
00457FE5  | E8 5EB3FCFF           | call <sub_423348>                   | 获取用户名并计算用户名长度
00457FEA  | 8B45 F4               | mov eax,dword ptr ss:[ebp-0xC]      | eax:sub_457FB6+75, [ebp-C]:"15pb"
00457FED  | E8 8ABBFAFF           | call <sub_403B7C>                   | 用户名长度
00457FF2  | 83C0 1E               | add eax,0x1E                        | eax:sub_457FB6+75
00457FF5  | 8D55 F8               | lea edx,dword ptr ss:[ebp-0x8]      | [ebp-8]:"34"
00457FF8  | E8 07FBFAFF           | call <sub_407B04>                   |
00457FFD  | FF75 F8               | push dword ptr ss:[ebp-0x8]         | local2
00458000  | 8D55 F0               | lea edx,dword ptr ss:[ebp-0x10]     | Loacl3
00458003  | 8B86 D4020000         | mov eax,dword ptr ds:[esi+0x2D4]    | eax:sub_457FB6+75, [esi+2D4]:"聪A"
00458009  | E8 3AB3FCFF           | call <sub_423348>                   |
0045800E  | FF75 F0               | push dword ptr ss:[ebp-0x10]        | [ebp-10]:"15pb"
00458011  | 8D55 EC               | lea edx,dword ptr ss:[ebp-0x14]     | [ebp-14]:"18"
00458014  | 8BC3                  | mov eax,ebx                         | eax:sub_457FB6+75
00458016  | E8 E9FAFAFF           | call <sub_407B04>                   | 返回值有变化
0045801B  | FF75 EC               | push dword ptr ss:[ebp-0x14]        | [ebp-14]:"18"
0045801E  | 8D45 FC               | lea eax,dword ptr ss:[ebp-0x4]      | eax:sub_457FB6+75, [ebp-4]:"3415pb18"
00458021  | BA 03000000           | mov edx,0x3                         |
00458026  | E8 11BCFAFF           | call <sub_403C3C>                   |
0045802B  | 43                    | inc ebx                             |
0045802C  | 83FB 13               | cmp ebx,0x13                        |
0045802F  | 75 AB                 | jne 0x457FDC                        | 循环对用户名做计算
00458031  | 81BE 0C030000 8500000 | cmp dword ptr ds:[esi+0x30C],0x85   |
0045803B  | 75 76                 | jne 0x4580B3                        | 跳过注册成功函数

这段代码分析完,发现虽然对用户名做了一定的计算,得到一个字符串"3115pb18"(上面提到的),但是跟比较的地方[esi+0x30C]一点关系都没有,而且esi+0x30C明显是一个申请内存的地址,尝试下APIVirtualAlloc断点,发现esi总是等于申请空间地址+0x18E4,也就是说[esi+0x30C]=[申请空间地址+0x18E4+0x30C]
在这里插入图片描述
在这里插入图片描述
申请空间地址=0x02260000,在0x02265934处下硬件写入断点
在这里插入图片描述
尝试了几次后发现,随便输入的注册码,标志位一值是0,输入字符串黑头Sun Bird9dseloffc-012-OK15pb标志位会变为0x3E,在标志这里下硬件写入断点
在这里插入图片描述
试了几次发现一直是0x3E,用Delphi的DarkDe工具,这个程序单击和双击响应事件,分别分析下
在这里插入图片描述
单击响应事件代码

00457FB8  | 55                    | push ebp                             |
00457FB9  | 8BEC                  | mov ebp,esp                          |
00457FBB  | B9 04000000           | mov ecx,0x4                          | ecx:EntryPoint
00457FC0  | 6A 00                 | push 0x0                             |
00457FC2  | 6A 00                 | push 0x0                             |
00457FC4  | 49                    | dec ecx                              | ecx:EntryPoint
00457FC5  | 75 F9                 | jne 0x457FC0                         |
00457FC7  | 51                    | push ecx                             | ecx:EntryPoint
00457FC8  | 53                    | push ebx                             |
00457FC9  | 56                    | push esi                             | esi:EntryPoint
00457FCA  | 8BF0                  | mov esi,eax                          | esi:EntryPoint
00457FCC  | 33C0                  | xor eax,eax                          |
00457FCE  | 55                    | push ebp                             |
00457FCF  | 68 FD804500           | push <sub_4580FD>                    |
00457FD4  | 64:FF30               | push dword ptr fs:[eax]              |
00457FD7  | 64:8920               | mov dword ptr fs:[eax],esp           |
00457FDA  | 33DB                  | xor ebx,ebx                          |
00457FDC  | 8D55 F4               | lea edx,dword ptr ss:[ebp-0xC]       | edx:EntryPoint
00457FDF  | 8B86 D4020000         | mov eax,dword ptr ds:[esi+0x2D4]     |
00457FE5  | E8 5EB3FCFF           | call <sub_423348>                    | 获取用户名并计算用户名长度
00457FEA  | 8B45 F4               | mov eax,dword ptr ss:[ebp-0xC]       |
00457FED  | E8 8ABBFAFF           | call <sub_403B7C>                    | 用户名长度
00457FF2  | 83C0 1E               | add eax,0x1E                         |
00457FF5  | 8D55 F8               | lea edx,dword ptr ss:[ebp-0x8]       | edx:EntryPoint, [ebp-8]:@BaseThreadInitThunk@12
00457FF8  | E8 07FBFAFF           | call <sub_407B04>                    |
00457FFD  | FF75 F8               | push dword ptr ss:[ebp-0x8]          | local2
00458000  | 8D55 F0               | lea edx,dword ptr ss:[ebp-0x10]      | Loacl3
00458003  | 8B86 D4020000         | mov eax,dword ptr ds:[esi+0x2D4]     |
00458009  | E8 3AB3FCFF           | call <sub_423348>                    |
0045800E  | FF75 F0               | push dword ptr ss:[ebp-0x10]         | [ebp-10]:@BaseThreadInitThunk@12+24
00458011  | 8D55 EC               | lea edx,dword ptr ss:[ebp-0x14]      | edx:EntryPoint
00458014  | 8BC3                  | mov eax,ebx                          |
00458016  | E8 E9FAFAFF           | call <sub_407B04>                    | 返回值有变化
0045801B  | FF75 EC               | push dword ptr ss:[ebp-0x14]         |
0045801E  | 8D45 FC               | lea eax,dword ptr ss:[ebp-0x4]       |
00458021  | BA 03000000           | mov edx,0x3                          | edx:EntryPoint
00458026  | E8 11BCFAFF           | call <sub_403C3C>                    |
0045802B  | 43                    | inc ebx                              |
0045802C  | 83FB 13               | cmp ebx,0x13                         |
0045802F  | 75 AB                 | jne 0x457FDC                         | 循环对用户名做计算
00458031  | 81BE 0C030000 8500000 | cmp dword ptr ds:[esi+0x30C],0x85    |
0045803B  | 75 76                 | jne 0x4580B3                         | 跳过注册成功函数
0045803D  | 33DB                  | xor ebx,ebx                          |

双击响应事件代码

;关键就三行代码
00457EF5  | 83BE 0C030000 3E      | cmp dword ptr ds:[esi+0x30C],0x3E    | 如果是3E则不跳转,改为0x85
00457EFC  | 75 0A                 | jne 0x457F08                         |
00457EFE  | C786 0C030000 8500000 | mov dword ptr ds:[esi+0x30C],0x85    |
00457F08  | 33DB                  | xor ebx,ebx                          |

分析完代码,双击事件会先判断[esi+0x30C]标志位是否为0x3E,是的话将标志位改为0x85,此时再单击图片就显示出来了,这里要注意,如果单击事件里有断点,则无法触发双击事件.

算法分析

多试几次会发现:注册码格式: 黑头Sun Bird+数字+dseloffc-012-OK+用户名

  • 用户名:15pb
  • 注册码:黑头Sun Bird9dseloffc-012-OK15pb

分析一下注册码有何特点:

  • 黑头Sun Bird :常量字符串
  • dseloffc-012-OK: 常量字符串
  • 用户名
  • 数字(关键就是这个数字是怎么来的?)

分析chkcode响应事件代码

00457C66  | 8BB3 F8020000         | mov esi,dword ptr ds:[ebx+0x2F8]    | 用户名长度
00457C6C  | 83C6 05               | add esi,0x5                         | 用户名长度+5
00457C6F  | FFB3 10030000         | push dword ptr ds:[ebx+0x310]       | [ebx+310]:"黑头Sun Bird"

[ebx+0x2F8]这个一开始也不确定,多换几个用户名观察下就可以确定是用户名长度了.注册码中的数字其实就是(用户名长度+5)

分析完成

初识逆向
关注
专栏目录
CrackMe004 - ajj.1
02-23
用于学习软件逆向和软件破解的Crack Me可执行文件，含破解后的文件。
160个crackme之004
Neu_webin的博客
08-02 1050
还是下定决心好好做一波crackme 逆向的新手，写个博客记录一下自己的学习经历和crack思路 ---------------------------------------------------华丽丽的分割线------------------------------------------------- 0X00  首先查壳，观察到没有壳并且是delphi语言编写的 还是打开软件，
微信HOOK之二叉树获取信息 201-12-25
weixin_44183918的博客
12-25 1128
微信获取二叉树信息
【CrackMe】160道CrackMe--001 Acid burn 做完这160个练习题，90%的软件你就能搞定了
L2510408497的博客
07-10 922
160道题目网盘链接 链接：https://pan.baidu.com/s/15bqvffOLM6V5bff98DkT6w 提取码：3hc6
CrackMe006 | 160个crackme精解系列（图文+视频+注册机源码）
weixin_34365635的博客
01-29 519
作者：逆向驿站微信公众号：逆向驿站知乎：逆向驿站 crackme006,依然是delphi的，而且没壳子，条线比较清晰，算法也不难，非常适合新入门的来练习.快过年了，Crackme系列年前就停更在006吧，祝大家新年666 ,年后继续 准备 【环境和工具】 win7/xp虚拟机环境 CrackMe006（aLoNg3x.1.exe）...
新160个CrackMe算法分析.chm
09-12
我制作的《新160个CrackMe算法分析》视频的配套文件，内含全部课件及评分。
适合破解新手的160个crackme练手.rar
08-12
适合破解新手的160个crackme练手
适合破解新手的160个crackme练手.zip
06-03
适合破解新手的160个crackme练手.chm，结合ollydbg等工具可以很好的掌握
160个crackme练手.rar
08-23
分享一个逆向练手资源集——160个CrackMe，适合新手练习使用。
160个Crackme024之Opcode加密1
08-03
2. ebx为指向用户名的指针 3. 将eax和ebx的内容相加 结果保存在eax 4. 然后用户名左移1位 5. 检测用户名是否到了结尾，即循环次数为用户名的
逆向破解之160个CrackMe —— 010-011
weixin_30312563的博客
08-16 200
CrackMe —— 010 160 CrackMe 是比较适合新手学习逆向破解的CrackMe的一个集合一共160个待逆向破解的程序 CrackMe:它们都是一些公开给别人尝试破解的小程序，制作 crackme 的人可能是程序员，想测试一下自己的软件保护技术，也可能是一位 cracker，想挑战一下其它 cracker 的破解实力，也可能是一些正在学习破解的人，自己编一些小程序给自...
逆向思维学习——160个CrackMe第一个
weixin_44473826的博客
12-04 520
适合新手的160个CrackMe第一个，用户名长度小于4时的爆破方式
精心打造的160个CrackMe挑战：提升你的逆向工程技能
最新发布
gitblog_00075的博客
05-23 544
精心打造的160个CrackMe挑战：提升你的逆向工程技能 项目地址:https://gitcode.com/TonyChen56/160-Crackme 项目介绍 这个开源项目是一个独特的学习资源，它提供了一套由160个精心设计的CrackMe题目。CrackMe是一种小软件，通常用于测试或展示程序保护机制，玩家需要通过逆向工程找到破解的方法。每一个CrackMe都封装在一个独立的文件夹中，包含...
Crackme004-CKme（OD版本）
weixin_60363168的博客
11-03 312
Crackme004-AfKayAs（OD版本）~ 包含注册码算法分析
逆向破解之160个CrackMe —— 021
weixin_30312563的博客
08-30 182
CrackMe —— 021 160 CrackMe 是比较适合新手学习逆向破解的CrackMe的一个集合一共160个待逆向破解的程序 CrackMe:它们都是一些公开给别人尝试破解的小程序，制作 crackme 的人可能是程序员，想测试一下自己的软件保护技术，也可能是一位 cracker，想挑战一下其它 cracker 的破解实力，也可能是一些正在学习破解的人，自己编一些小程序给自...
CrackMe009：VB Decompiler第一次登场
可乐松子的博客
05-23 3053
下面是网上的160个CrackMe的部分逆向笔记，包括逆向思路、注册机实现和逆向中常用的知识整理 注意：逆向前一定要先操作一下软件，熟悉软件的运行现象；逆向一定要自己操作一遍，看是很难看会的（高手除外） CrackMe009：VB Decompiler第一次登场 连续的4个CrackMe都是同一个作者编写的，都是VB程序；其中CrackMe008使用的是关键字符串思路，是最简单的一个；CrackMe009多了一个用户名 1.现象 需要输入正确的用户名和key程序才能破解成功 2.查看程序基本信息
CrackMe001：关键字符串思路
可乐松子的博客
05-20 524
下面是网上的160个CrackMe的部分逆向笔记，包括逆向思路、注册机实现和逆向中常用的知识整理 注意：逆向前一定要先操作一下软件，熟悉软件的运行现象 CrackMe001：关键字符串思路 1.现象 运行软件，发现有2个地方需要破解，一个是序列号/用户名，另一个是单独的序列号 2.序列号逆向 step 1.错误提示 OD启动程序，F9，随机输入一个序列号，验证，出现错误对话框 step 2.关键字符串 根据错误提示的字符串Try Again!!，在OD里搜索一下，看看能不能发现线索？ 找到了一个可
crackme160的解题步骤
03-30
对于一个CrackMe来说，解题的步骤会因题目难度和设计而有所不同。下面是一般情况下的解题步骤： 1. 分析题目和二进制文件：首先，需要了解题目的背景和目的，以及二进制文件的类型和结构。可以使用反汇编器、调试器等工具，深入了解二进制文件的代码逻辑和控制流程。 2. 寻找关键函数和代码逻辑：在分析代码时，需要寻找与题目相关的关键函数和代码逻辑，例如密码验证函数、加密/解密函数等。 3. 破解密码验证：如果CrackMe的目的是验证输入的密码是否正确，那么需要破解密码验证函数。可以使用反汇编器或调试器来跟踪密码验证函数的执行过程，找到输入密码的地方，并尝试修改密码验证函数的代码，以绕过验证。 4. 破解加密/解密：如果CrackMe的目的是加密/解密某些数据，那么需要破解加密/解密函数。可以使用反汇编器或调试器来跟踪加密/解密函数的执行过程，找到加密/解密算法的关键代码，并尝试修改算法代码，以破解加密/解密。 5. 编写破解程序：最终目的是编写一个破解程序，用于自动化破解CrackMe。可以使用汇编语言、C/C++等编程语言来编写破解程序，实现自动化破解CrackMe的功能。 需要注意的是，解题过程中需要遵守法律和道德准则，不得在未经授权的情况下盗用他人知识产权。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值