跳转到帖子

游客您好，欢迎来到黑客世界论坛！您可以在这里进行注册。

赤队小组-代号1949（原CHT攻防小组）在这个瞬息万变的网络时代，我们保持初心，创造最好的社区来共同交流网络技术。您可以在论坛获取黑客攻防技巧与知识，您也可以加入我们的Telegram交流群 共同实时探讨交流。论坛禁止各种广告，请注册用户查看我们的使用与隐私策略，谢谢您的配合。小组成员可以获取论坛隐藏内容！

TheHackerWorld官方

病毒分析与防护 反汇编工具的使用 修改输出 crackme3.exe注册

RenX6
RenX6
在 木马病毒分析

精选回复

发布于

反汇编工具的使用

【实验目的】

  1. 熟悉动态分析工具OllyDBG的界面和常用模块

  2. 熟悉静态分析工具IDA的界面和常用模块

  3. 掌握使用OllyDBG分析修改可执行文件的方法

【实验原理】

1OD界面

ok0prtiaay54103.jpg

a. 反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、机器码、反汇编代码、注释。

b. 寄存器窗口：显示当前所选线程的 CPU 寄存器内容

c. 信息窗口：显示反汇编窗口中选中的第一个命令的参数及一些跳转目标地址、字串等

d. 数据窗口：显示内存或文件的内容。右键菜单可用于切换显示方式。

e. 堆栈窗口：显示当前线程的堆栈。

2OD使用

（1） 快捷键

a) F2：设置断点
b) F9：运行
c) F8：单步步过
d) F7：单步步入
e) F4：运行到选定位置
f) CTRL + F9：执行到返回
g) CTRL + F2：重新开始
h) ALT + F9：执行到用户代码

（2） 查找可执行文件中所有字符串：

在“反汇编窗口”单击鼠标右键，选择“查找”选项可查看可执行文件反汇编代码的“所有参考文本字串”

（3） 修改某个内存地址的数据：

在“数据窗口”按“Ctrl+G”，可查找某个内存地址的值。

在“数据窗口”，选中要修改的数据，单击鼠标右键，选择“二进制”选项 的“编辑”项，可修改数据值。

在“数据窗口”，单击鼠标右键，选择“复制到可执行文件”选项，再选择 “保存文件选项”

  1. OD的使用

https://www.bilibili.com/video/BV1cE411f7sE?p=1

【实验内容】

参看《课3-实验步骤》

1使用VC 6.0 编写win32 控制台程序

Hello world，得到可执行文件hello.exe

a) 创建新的工程hello：Win32 Console Application

m1n0njcoql34104.png

b) 创建CPP源文件

dqjmxzbfsxd4106.png

c) 写入代码

#include<iostream> //cout头文件
#include "windows.h" //syeten头文件
using namespace std;
VOID displasy(bool bhello)
{
	if (bhello)
		cout<<"Hello World!\n";
	else
		cout<<"Reverse Me!\n";
}
int main(int argc, char* argv[])
{
	bool bFlag=true ;
	displasy(bFlag);
	system("pause"); //系统命令pause,在屏幕输出press any key
	return 0;
}

2更改输出

将hello.exe的输出由“Hello World！”改为“Reverse Me！”

  1. 在反汇编窗口，单击鼠标右键。查找所有

h53nm5hstc04108.png

  1. 在弹出的对话框中R框，单击鼠标右键，选择‘查找文本’。查找“Hello World”

qf5venvnwxb4110.png

  1. 在弹出的对话框中，单击鼠标右键，选择‘查找文本’。查找“Hello World”

zf10moj4auv4112.png

跳转到对应位置

bdhrj144lre4113.png

  1. 双击进入

bglflxa3qki4115.png

  1. 反汇编窗口，选中’Hello World’所在的行，单击鼠标右键-分析-从模块中删除分析。删除掉 OD的分析结果。

qbecm3fjhcu4116.png

  1. 反汇编窗口，选中’Hello World’所在的行，单击鼠标右键-分析—分析代码

o5u5o3lg1ex4118.png

修改代码

直接修改内容

本方式直接修改字符内容，

  1. 从反汇编窗口找到字符串Hello World在内存中的地址，复制地址43402C，后点取消

io3hkoovb324119.png

  1. 在内存窗口，查找地址。CtrL+G弹出查找内存地址的窗口。

n15mpbvj3jy4120.png

  1. 修改内存中的数据

wwpaiouowku4121.png

  1. 此处需要保证修改前后占用空间大小相同，原末尾的0A前移，最后填充00
p0vw42uyxz04122.png 修改前
修改后 qpytu4oqmoj4123.png
  1. 选中修改的数据，右键选择复制到可执行文件

owcrktpcoim4124.png

  1. 再次右键即可保存

    1nggyrskd4m4125.png

  2. 效果正确

a5pnr0tgp0n4127.png

修改代码逻辑

znwgtzpsel54129.png

对于此部分代码，我们可以修改逻辑

00401172  je      short 00401188
00401174  push    0043402C                         ;  ASCII "Hello World!",LF
00401179  push    offset std::cout
0040117E  call    00401096
00401183  add     esp, 8
00401186  jmp     short 0040119A
00401188  push    0043401C                         ;  ASCII "Reverse Me!",LF
0040118D  push    offset std::cout
00401192  call    00401096

je 相等跳转，与之相对的是jne不等跳转

双击修改指令

3ppnklnizhi4130.png

此处OD自动更改为jnz指令, if(ZF!=0)则跳转,所以说这两条指令完全没区别

e2sqbwifcxp4131.png

复制到可执行

nx5vc5d3nd34132.png

保存文件

22uhxnn0vvy4133.png

也可以实现

1u0mwda3t354135.png

3使用OD找到crackme3.exe的注册码

打开程序直接点击，发现弹窗Beggar off!内容为Wrong Serial,try again!。

absqchhhbww4136.png

使用OD打开程序，右键查找，所有文本模式。

0r5vlt3qzhk4137.png

再右键查找对应字符串Wrong Serial,try again!。

qae4hi02xc34138.png

并在此处发现大量预留字符串

00440EDC   mov ecx, 00440FC8    ;ASCII "No Name entered"
00440EE1   mov edx, 00440FD8    ;ASCII "Enter a Name!"
00440F08   mov ecx, 00440FE8    ;ASCII "No Serial entered"
00440F0D   mov edx, 00440FFC    ;ASCII "Enter a Serial!"
00440F2F   mov edx, 00441014    ;ASCII "Registered User"
00440F4C   mov edx, 0044102C    ;ASCII "GFX-754-IER-954"
00440F5A   mov ecx, 0044103C    ;ASCII "CrackMe cracked successfully"
00440F5F   mov edx, 0044105C    ;ASCII "Congrats! You cracked this CrackMe!"
00440F74   mov ecx, 00441080    ;ASCII "Beggar off!"
00440F79   mov edx, 0044108C    ;ASCII "Wrong Serial,try again!"
00440F8E   mov ecx, 00441080    ;ASCII "Beggar off!"
00440F93   mov edx, 0044108C    ;ASCII "Wrong Serial,try again!"
00440FC8   ascii "No Name entered",0
00440FD8   ascii "Enter a Name!",0
00440FE8   ascii "No Serial entere"
00440FF8   ascii "d",0
00440FFC   ascii "Enter a Serial!",0
00441014   ascii "Registered User",0
0044102C   ascii "GFX-754-IER-954",0
0044103C   ascii "CrackMe cracked "
0044104C   ascii "successfully",0
0044105C   ascii "Congrats! You cr"
0044106C   ascii "acked this Crack"
0044107C   ascii "Me!",0
00441080   ascii "Beggar off!",0
0044108C   ascii "Wrong Serial,try"
0044109C   ascii " again!",0
004410A9   mov ecx, 004410C8    ;ASCII "Have a nice day"
004410AE   mov edx, 004410D8    ;ASCII "Mail Name/Serial to [email protected] !"
004410C8   ascii "Have a nice day",0
004410D8   ascii "Mail Name/Serial"
004410E8   ascii " to acidbytes@gm"
004410F8   ascii "x.net !",0
00441270   push ebp                     ;(初始 CPU 选择)
00441276   mov eax, 00441160    ;UNICODE "!"
00441293   mov edx, 004412D0    ;ASCII "Crackers For Freedom CrackMe v3.0"
004412D0   ascii "Crackers For Fre"
004412E0   ascii "edom CrackMe v3."
004412F0   ascii "0",0

这里我们选择"CrackMe cracked successfully"处，双击进入查看汇编代码。

发现使用了众多jnz即不等跳转。以及call调用了众多函数。其很有可能是通过函数进行判断。

u2tzzvdcdiz4139.png

动态调试

向上拉去，到合适的地方打下断点F2,运行至此F9，在弹出的额程序中我们随意（随着梁意）输入，并点击Resgister now随后F8逐步执行。

hyyqy1ua0jy4140.png

在这一步我们发现用户名已经被放入内存

00440ECF   call    00420E20

0019F854   0223F008  ASCII "SKPrimin"

ow1pbxdwluo4141.png

在下一步发现直接跳转。

CMP结果 ZF
目的操作数 < 源操作数 0
目的操作数 > 源操作数 0
目的操作数 = 源操作数 1

jnz结果不为零（或不相等）则转移，根据ZF标志位进行判断。

两句结合效果是进行用户名非空判断，输入非空则会进行下一步判断

00440ED4   cmp     dword ptr [ebp-4], 0 
00440ED8   jnz     short 00440EF2

fw13qlzevkp4142.png

继续F8单步步过，发现接收了序列号，两次接收输入都调用了00420E20函数

c5ubdtsmgz44143.png

同样是进行序列号是否为空的判断。

i5vks0b0hat4144.png

接下来为了以探究究竟，我们在下一个00420E20函数F7单步步入，发现是个三参数入栈的操作。推测可能是scanf函数

ppitikf1g5g4145.png

随后F8直到返回主程序，发现在调用了00403B2C函数之后便大幅度跳转，直到push 0。

33ihyfskpwj4146.png

在运行就直接结束咧。

skiqcuutdc34148.png

至此我们可以肯定00403B2C函数暗藏玄机，Ctrl + F2重新开始。

探究具体函数

熟练地找到字符串，双击进入，熟练地打断点、F9运行至此，同样是随机输入，点击Resgister now，F7单步步入。

但这一次我们选中到00403B2C，F4运行到选定的位置，F7步入。

nawaflve0tn4149.png

进入后发现是个复杂的程序

je指令是是在(ZF=0)时进行跳转，也就是相等的时候跳转。

则刚进来就执行的这段代码，是比较eax，edx是否相等

00403B33     39D0          cmp     eax, edx
00403B35     0F84 8F000000 je      00403BCA

bfr41xgbebl4150.png

而敲好在其执行前，eax和eax刚刚被赋值，故其相当于比较输入的值与00441014 内存位置的值

00440F2C       mov     eax, dword ptr [ebp-4]
00440F2F       mov     eax, 00441014                    ;  ASCII "Registered User"

而此处正是字符串"Registered User"

00441014   ascii "Registered User",0

avehyuak0h44151.png

至此我们得知，输入的用户名必须是"Registered User"。

同样的方式重新出发。Resgister now

j22yxx01abh4152.png

这一次直奔序列号部分，发现调用同一个函数

10b1br3w5oe4153.png

而这次我们可以看出，正是在此，由于比对结果不正确，变跳过了"Congrats! You cracked this CrackMe!"部分。

dccc2lmusyx4154.png

而0044102C的内容为"GFX-754-IER-954"。

w5uiukx12mp4155.png

接下来，我们单独打开程序。输入Registered User和GFX-754-IER-954。可以看到，成功注册！

ngdka0lf4xu4157.png

【小结或讨论】

  • 本次实验是对反汇编工具的一次综合使用，先是使用OD静态修改了字符串参数，或是一条指令。熟悉了OD的基本操作以及快捷键。

  • 随后动态调式开始找寻注册码，有了上一次的经验，这次我们直接一字符串为切入点，很快找到了相关的代码段，进过一些处理便开始动态调试。

  • 动态调试的过程中单步步入、单步步过、运行到此等一些功能灵活搭配，步入一些关键函数查找代码之间的逻辑关系。步过一些不关紧要的函数，加快进程。

  • 本次也是对汇编语言的一次运用，JE、JNZ的关系和含义等等，一些跳转指令也是破译代码含义的关键。

创建帐户或登录后发表意见

转到主题列表

最近浏览 0

  • 没有会员查看此页面。