CrackMe003：NAG窗口（4C法）和浮点计算

已于 2022-05-28 00:28:59 修改
阅读量545 收藏 1
点赞数
分类专栏： CrackMe160思路 文章标签： 安全
于 2022-05-21 16:47:07 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44531336/article/details/124899846
版权

下面是网上的160个CrackMe的部分逆向笔记，包括逆向思路、注册机实现和逆向中常用的知识整理

注意：逆向前一定要先操作一下软件，熟悉软件的运行现象；逆向一定要自己操作一遍，看是很难看会的（高手除外）

文章目录

CrackMe002和CrackMe003是同一个作者用VB写的小程序；CrackMe003多了一个NAG窗口，难度也不是很大

在这里插入图片描述

1.现象

运行软件，会先弹出一个NAG窗口，什么也不能操作，几秒钟后会弹出验证用户名和序列号的主窗口

要求：需要去掉NAG窗口和逆向出正确的序列号
在这里插入图片描述

2.NAG窗口破解

思路1：Timer思路(特殊场景)

前置知识

  • 基地址：PE文件加载到内存后被称为映像文件（Image File），映像文件优先载入的地址是由PE文件中的ImageBase决定（相对地址），默认是0x400000
  • 第一行代码地址：是由PE文件的AddressOfEntryPoint（即脱壳中的EP）决定，默认是0x01000

image-20220521150105221
因此，正常的程序在0x401000（= 0x400000 + 0x01000）开始执行第一行代码

  • 1.猜测

程序的NAG几秒钟后会自动消失，猜测可能是类似定时器的机制控制的

注意：逆向就是要大胆猜测，然后实验猜测是否正确？有时要实验很多种才会成功，其实这与调试程序bug是一样的思路

  • 2.实验

在内存窗口中，先定位到0x401000位置，然后Ctrl+B搜索Timer（Timer是VB程序默认的定时器变量），搜索结果如下：
image-2022032733943

VB中计时器的单位是ms，上图中0x1B58 = 7000ms = 7s；重新运行程序，看一看是不是大概7s时间，NAG窗口消失，发现果然是，说明猜测是正确的（可以说是运气好，但是只有逆向多了才会有这种好运气的）

  • 3.破解思路

因此，Timer思路就是将0x1B5改成一个很小的值（比如0x001）；现象就是NAG一闪而过，很难被捕捉到，给人的感觉就是NAG窗口被去掉了

  • 4.破解操作

    下面是破解的操作步骤

    • 1.OD加载程序，内存窗口中Ctrl+G，定位到0x401000
    • 2.Ctrl+B搜索Timer，修改计数器变量对应秒数为0x0001（要注意好大小端）

局限性：计时器默认名如果不是Timer，内存中搜索的方法就会失效

思路2：偏移4C思路（通用法）

VB程序启动顺序

VB程序的每个窗口都有启动顺序，这个顺序就保存在程序开始执行位置的偏移4C附近定义的一个结构体中

  • 当前顺序：现在程序中会先启动NAG窗口，后启动序列号验证窗口

  • 破解思路：如果找到启动顺序位置，将NAG窗口放在序列号验证窗口后面，自然就自动去除掉NAG窗口了（想法是好的，就是不知道怎么实现？继续看下面吧…）

下面是VB程序可能的框架：
在这里插入图片描述

VB涉及到的相关结构体：

//VBHeader结构定义
Signature               array[1..4] of char;        //00H，签名，必须为VB5！
LanguageDll             array[1..14] of char;       //06H，语言链接库名，通常为”*"或者vb6chsdll
...
AGUTTable               DWORD;                      //4CH，指针，指向Form GuI描述表,***关键位置***
...
    
//AGUTTable结构定义（大小是0x50）
Signature                DWORD                    //00H，必须是50000000
FomID                    TGUID                    //04H，可能是以GUID方式命名的formID
Index                    BYTE                     //24H，窗体的序号，***关键位置***
Flag1                    BYTE                     //28H，第一个窗体的启动标志，可能是90 也可能是10
AGUIDescriptionTable     DWORD                    //48H，指针指向以“FFCC…“开始的FormGUI表
Flag3                    DWORD                    //4CH，意义不明

AGUTTable结构体中，偏移是0x24的Index就是启动顺序；索引到AGUTTable位置是通过VBHeader为基准，偏移0x4C；因此使用修改启动顺序的方法也叫4C思路

破解步骤

step 1.找VBHeader结构起始地址

OD加载程序，没有加壳的程序默认会停在OEP处，VB程序典型的OEP附近汇编如下，多调试几次VB程序自己就会发现

00401164   .- FF25 4CB14000   jmp     dword ptr ds:[40B14C]  ; MSVBVM50.EVENT_SINK_Release
0040116A   $- FF25 8CB14000   jmp     dword ptr ds:[40B18C]  ; MSVBVM50.ThunRTMain
00401170 > $  68 D4674000     push    4067D4				 ; 00401170是OEP指向地址，OD加载后会停在这行
00401175   .  E8 F0FFFFFF     call    0040116A               ; <jmp.&MSVBVM50.#100>
#说明：入口点处的push压入stack的数据就是VBHeader首地址，即VBHeader首地址是4067D4
step 2.找VBHeader中偏移4C处的内容

在内存窗口中，Ctrl+G，定位到4067D4地址，偏移4C处（AGUTTable结构）的内容是0x406868

在这里插入图片描述

step 3.更改窗口的启动顺序

内存窗口中，定位到0x406868，会发现2块类似的结构（AGUTTable结构），每块的大小是0x50个bytes，查看每块结构的偏移0x24处

  • NAG窗口：启动顺序是00，即第一个被程序加载的窗口

  • 序列号验证窗口：启动顺序是01
    在这里插入图片描述

去掉NAG窗口方法：直接将NAG窗口和序列号验证窗口的启动顺序互换，保存二进制修改

经验证，的确不再显示NAG窗口了；至此，NAG被去掉了，使用了2种方式，推荐使用第2种

3.序列号破解

这个程序与CrackMe002的逆向思路是一样的，暴力破解和直接通过函数栈帧找到正确序列号的逻辑在CrackMe002里有介绍，下面是总结的操作流程：

  • 1.先输入错误的用户名和序列号（test123/456）,根据错误弹窗里的字符串先找到调用弹窗的代码和关键跳转

  • 2.在关键跳转所在函数起始位置设置断点，反复调试函数起始位置和关键跳转之间的代码，分析根据用户名生成序列号的逻辑

笨方法，继续用上面的思路破解CrackMe003的序列号；为了写出注册机，下面将调试时发关键节点整理成了笔记（一定要自己操作一下，你才会知道下面说的是什么意思）

key 1.用户名生成临时序列号

调试中发现了如下计算临时序列号的公式：

临时序列号 = 用户名长度 * 0x15B38 + 用户名第一个字符的ASCII码，结果用十进制表示的字符串

示例：用户名test123对应的临时序列号（字符串）是622332（记住这个值，后面会用到）
image-2022032830668

key 2.连续3次浮点运算

用户名计算出临时序列号会经历3次浮点运算操作，操作套路基本一样（如果不熟悉浮点运算，通过单步调试观察栈帧，一样可以得到下面的结果）；下面直接给出了3次操作的截图

  • 第一次操作：622332 -> 622334
    在这里插入图片描述

  • 第二次操作：622334*3-2=1867000
    在这里插入图片描述

  • 第三次操作：1867000+15 -> 1867015
    在这里插入图片描述

注册机

经过上面key1和key2，很容易写出简单的注册机

#include "StdAfx.h"
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
int main() {
    char user_name[100] = {0};					//用户名
    printf("请输入用户名:");
    scanf_s("%s", user_name, 100);
    
	//计算序列号
    int user_serial = strlen(user_name) * 0x15B38 + user_name[0];//用户名计算临时序列号
	float serial = 0.0;
	serial = user_serial + 2.0;					//第一次操作
	serial = serial * 3.0 -2.0;					//第二次操作
	serial = serial + 15.0;						//第三次操作

    printf("用户名：%s, 对应的序列号：%f\n", user_name, serial);
    system("pause");
    return 0;
}

验证结果如下，说明整个逆向的思路和注册机是正确的

在这里插入图片描述

如果你是第一次逆向浮点运算，可以看一下我以前整理的浮点汇编的笔记（直接粘贴在下面了）；如果想学一下C++代码逆向成汇编的典型特征，推荐看《C++反汇编与逆向分析》；如果是大牛，可以直接忽略下面

4.扩展：浮点类型的汇编

CrackMe003的生成序列号算法使用了浮点的相关运算，下面简要介绍逆向中浮点类型的相关知识

C++中，32位操作系统中2种浮点数据类型：

  • 单精度（float）：内存中占用4个bytes
  • 双精度（double）：8个bytes

浮点类型的编码就不详细介绍了，对于逆向来说，只要知道基本格式（符号位 + 指数部分 + 科学计数法中的位数部分）就行，下面主要介绍一下浮点数指令

浮点寄存器

  • 区别：普通数据类型操作使用的是通用寄存器（eax、ecx等），浮点数据类型操作使用的是浮点寄存器（ST0 ~ ST7）

  • stack实现：浮点寄存器是通过使用栈（stack）来实现的，共8个栈空间组成（ST0 ~ ST7），且每个浮点寄存器占用8个bytes，浮点寄存器使用类似于入栈和出栈的操作

  • 使用顺序：每次操作的都是ST0，从而影响其他浮点寄存器（ST1 ~ ST7）

    • 入栈：如果ST0中没有数据，直接放进ST0；如果ST0中有数据，ST7数据丢弃，依次将ST6数据放入ST7，…，ST0数据放入ST1，新数据放入ST0
    • 出栈：执行相反操作

常用浮点指令

指令使用方法说明
fld/fildfld/fild PUSH_DATA将浮点数/整数PUSH_DATA压入ST0中
fst/fistfst/fist POP_ADDR将ST0中的数据以浮点/整数形式存入POP_ADDR地址中
fstp/fistpfstp/fistpPOP_ADDR相对于fst/fist，会多执行一次出栈操作
fldz、fld1fldz、fld1将0.0、1.0压入ST0中
faddfadd addr将addr地址内的数据与ST0做加法，结果存入ST0中
fcomfcom addr将addr地址内的数据与ST0进行实数比较，影响对应标志位
ftstftst比较ST0是否是0.0，影响对应标志位

说明：以p结尾的指令基本都会执行一次出栈操作；其他运算指令与普通指令类似，只需要在指令前面加一个f即可

示例

Debug版本的浮点操作示例（C++代码与反汇编代码对应）

#include "stdafx.h"
#include <windows.h>
int main(int argc, char* argv[])
{
;---生成栈帧和stack上分配部分空间的初始化代码--- 
	int test_int = 3;
0096B65E  mov         dword ptr [test_int],3  	

	float test_float = (float)test_int;			//通过ST0做中转，将int转成float类型
0096B665  fild        dword ptr [test_int] 						;将整数test_int压入ST0中 
0096B668  fstp        dword ptr [test_float]  					;将ST0中的数据以浮点的形式存入test_float,且ST0中数据出栈

	printf("test_float=%f", test_float);		//float数据通过ST0中转后，放入stack上预留好空间
0096B66B  fld         dword ptr [test_float] 					;将浮点数test_float压入ST0中  
0096B66E  sub         esp,8  									;浮点数作为变参函数的参数，需要转换成双精度浮点存储在stack上
0096B671  fstp        qword ptr [esp] 							;将ST0中的数据以浮点的形式存入eap执行的地址,且ST0中数据出栈 
0096B674  push        offset string "test_float=%f" (9BDC7Ch)  
0096B679  call        @ILT+4360(_printf) (96A10Dh)  
0096B67E  add         esp,0Ch  

	test_int = (int)test_float;
0096B681  fld         dword ptr [test_float] 					;将浮点数test_float压入ST0中  
0096B684  call        @ILT+2085(__ftol2_sse) (96982Ah)  		;调用_ftol函数进行浮点数转换
0096B689  mov         dword ptr [test_int],eax  

	return 0;
0096B69D  xor         eax,eax  
}

简要结论：

  • 1.通过ST0寄存器实现整数和浮点数的转换

  • 2.float类型的浮点数占用4个bytes空间，但是在实际处理时都是按照8个bytes方式进行处理

  • 3.浮点数作为参数，不能直接压入stack中；因为push指令只能传4个bytes大小，会出现数据损失（printf以整数方式输出浮点数会出现错误的根因）；作为返回值也有类似的处理

至此，CrackMe003逆向完了，想学逆向就尽量不要爆破掉程序就完事，尽量多学点里面的基础知识

5.参考

磨刀砍柴Debug
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
160个crakeme之003AfKayAs.2爆破与算法分析及4C法去掉NAG
iqiqiya的博客
04-09 647
本文分成两部分 一部分是爆破与算法分析 第二部分是4C法去掉启动时的NAG 第一部分：爆破   查壳 无壳VB程序 载入OD点击否还是搜索字符串（用来定位关键代码的最直接方式） 双击 you get it 字符串进入反汇编窗口 先大致分析下结构 向上一直翻 会找到段首的（这里也可以直接在je处下断点 不过为保险起见 建议段首下个断点）  下好断点后 不要急 F8单步慢...
CrackMe:CrackMe 4乐趣
05-16
路径脚本： 运行cmd.bat（需要修改路径） 所需工具： nasm - Famous assembler. alinker - To link DOS stub. linker - Microsoft linker to generate PE file and replace DOS stub. ...bochs - To emulate and ...
CrackMe-003
熊猫在路上
01-20 317
逆向学习 工具 OllyDbg(OD)：https://www.52pojie.cn/thread-350397-1-1.html PEID：https://www.52pojie.cn/thread-170387-1-1.html Exeinfo PE：https://www.52pojie.cn/thread-437586-1-1.html 樱花补丁制作工具：https://www.52po...
crackme -003
Fiverya的博客
10-19 174
点开运行 F12暂停 k打开堆栈 直接选择00408722右键显示调用 可以看到 报错的字符串 再向上查找可以发现正确的字符串 关键点就在于这个je判断（ZF = 1跳转） 在je下断点 修改ZF的值 单步步过步过步过……美滋滋~ VB程序有个特点-入口点处都是一个PUSH指令,然后一个CALL指令，看JMP 后面跟的MSVBVM50，应该是VB5.0编写的。(如...
逆向分析CrackMe系列——CrackMe003
草草君
08-28 810
逆向分析CrackMe系列——CrackMe004 本次进行CrackMe003的逆向分析，前面分析的crackme难度都是一颗星，这次来试试两颗星的 (￣▽￣)* (本系列的CrackMe资源均来自我爱破解网). 1.运行程序，发现先出现一个小的nag提示面，然后弹出主程序框： 2. 先拿PEID检查一下，用VB编写，无壳： 3. 先绕过nag窗口，第一次除nag,该过程参考大佬分析 至于为什么要除nag窗口，个人认为在用OD打开未去nag的程序时，很难找到相关的字符串或者其他的有效信息；当然也
crackme003
weixin_52971884的博客
04-03 93
一、CrackMe2.exe基本信息 1.1运行情况 1.2 32为程序，UPX壳 二、脱壳 2.1工具脱壳 将附件拉里面即可 2.2OD手脱壳 首先F8单步执行，然后在ESP右键下硬件断点，最后F9进行执行 这个位置就是程序入口点（OEP），下面部分进行右键分析–》从模块中删除分析，再然后就可以脱壳了（右键用OD脱壳调试进程） 三、OD打开分析脱壳后的程序 搜索字符串在成功的函数头下断 如果输入和12011982相同，就执行成功 四、破解方法 3直接修改JCC指令 目的使跳转执行 1、将j
CrackMesAndKeygens:CrackMe和KeyGens
05-28
CrackMesAndKeygens CrackMe和KeyGens
Lame-CrackMe:me脚crackMe
05-24
Lame-CrackMe me脚crackMe
CrackMe003-AfKayAs.2
02-20
用于学习软件逆向和软件破解的Crack Me可执行文件，含破解后的文件。
crackme:解密这个。 打赌你不能
07-02
Crackme - 简单的解密挑战 如果您知道秘密，只需推送一个拉取请求。
160个CrackMe 003 Afkayas.2
风城
05-26 599
CrackMe 003是002的加强版，我们看看加强在哪里。 OD运行，发现提示代码可能显示会出现问题，有压缩，用PEDI查一下， 发现程序并没有壳，这样即使有压缩，我们也可以手动脱掉。 首先，伪码检测： 进入OD，查找参考文本字符串，之后Call进去 向上大致查看一下程序的流程，然后找到函数的头部，F2下断，注意这个函数有点长 F9跑起来，输入我们的伪码，开始单步调试
Crackme003-AfKayAs（OD版本）
weixin_60363168的博客
11-03 179
Crackme003-AfKayAs（OD版本）~ 包含注册码算法的分析
去VB程序NAG窗口方法-4C法
迪迦 • 奥特曼
10-07 576
去除VB程序的程序启动时的NAG窗口，基本原理就是寻找到每珍具窗口的启动顺序，再改变窗口的启顺序就可以了。 具体实列如下： 当程序启动时，会出现一个NAG窗口，如下所示： OD载入程序：EP处 VB程序有个特点-入口点处都是一个PUSH指令,然后一个CALL指令，看JMP 后面跟的MSVBVM50，应该是VB5.0编写的。(如果不是这种情况的话,那么该程序可能被加过壳)， PUSH将要压入堆栈的...
破解练习-CRACKME003
qq_67271037的博客
02-14 102
nag。
吾爱破解160个crackme之003
foyjog的研究生涯
07-31 696
这个破解其实只是再之前的基础上对算法做了一定增加而已，仔细分析汇编代码，可以将name和注册码的关系写出来。 第一步，找到破解入口。 往上找出整个函数出来。寻到函数的入口处。 然后根据代码一行一行的进行跟踪和分析。 这一段是将输入的字符串进行长度的获取，然后再将长度乘以15B38，接着加上输入的name的第一个字符。 这一段答案+2 这一段*3-2 这一段+15 最后得出答案的结构为
crackme160 003 writeup
qq_44661192的博客
04-14 178
查壳 无壳 用od载入 运行 输入假码 运行结束后 输入假码点击关闭 出现堆栈窗口 点击最后一个 msgbox 是对话框messagebox函数 右键showcall跟入 发现附近代码出有je跳转 应该也是书迷用户名密码如果正确运行 不正确的话会跳转 直接用nop爆破填充 右键二进制 用nop填充 运行成功 ...
关于去掉vb中的nag窗口
vbsourcecode的专栏
09-22 1295
1、用vbexplore打开exe文件，在属性窗口查看nag窗口的timer空间的interval属性，记录下来，比如是7000，转换为16进制后为1B58。 2、用WinHex打开exe文件，搜索581B（注意要把高低位颠倒来搜）。找到了注意看其前面是否有timer字符（ascii模式下），若有，十有八九，这就是vb的exe中存timer的interval的位置，我破解的exe文件摘抄一段如下
逆向技巧 去Nag窗口
Safedebug的博客
11-14 1418
很多软件都有烦人的nag窗口，经过调试了一些程序，发现暂时有两个技巧， 第一个技巧，就是暂停以后，看堆栈用回溯法，回溯到程序领空，然后判断 关键地方，找到函数头，然后retn返回就好了 第二个技巧，还是暂停，暂停以后，直接跟跟踪返回到程序领空，然后判断 nag窗口的显示函数，找到函数头，直接retn也可以了 最近发现bc++的创建窗口有点蛋疼，特别里面带了异常，只要修改了一个地方 导致
清除NAG窗口的简单方法
weixin_33860147的博客
09-28 242
一些程序如果没有注册的话，软件作者会让程序在每次启动或者程序使用过程中频繁弹出NAG窗口，非常讨厌，对于一般程序我们可以通过简单的反汇编工具进行消除。 具体操作方法见附件动画。 转载于:https://blog.51cto.com/pauloy/102643...
OD逆向crackme
最新发布
09-02
使用内存断点和普通断点，可以在程序执行过程中捕获关键的代码位置，帮助我们找到CrackMe程序的OEP（Original Entry Point），即程序的入口点。 在 [安全攻防进阶篇] 中还有关于逆向分析两个CrackMe程序的详细教程...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值