|
作者:vifun http://bbs.pediy.com/ - t, E0 y# L U
工具：& `% u- _, ]7 q& Y3 L
OllyDbg 1.10 % @8 T- Z/ |3 R5 _/ w# G
B% |1 X/ K# P( U- T% y9 M; L
crackme： 1 ]8 e3 m( r; K) K( B7 B! _. w* ^
___crakme/download">http://www.crackmes.de/users/zionz/crackmes/zi___crakme/download / z3 c2 o C) I
总结： * I, {/ P, e6 Q& P4 \4 G9 w e
1. 不要一开始就用工具，先试运行一下，感觉一下可疑的地方，获取一些重要的信息，如错误提示。 ' g0 B" w/ q: [/ c" z
2. 从内存中查找字符串，输入的信息肯定在内存中的，一定找得到！ ' Z8 a$ X, k+ { Z$ e, S$ i
3. 大部分软件是等字符串全部输入了再处理的，内存跟踪，死盯着它！
5 }5 ?+ x9 Z& j& h# e4. 有些程序是把字符串复制几份放不同地方的，每次被断的时候可以考虑重新搜索一次内存，在所有找到的字符串上下断点。
1 C5 Z6 p9 i5 ?+ y& ]2 ]5. 后发先致，先从最后一次读取入手，先分析最后的处理算法，以免在前面一直浪费时间还影响信心。 ; W9 |2 w3 J/ w) P+ d. O$ [
6. 细心、耐心、信心！！
0 L. q( j5 Y1 e" p为什么先写总结呢？个人觉得这次破解的体会比获得的知识更重要。这个crackme难度不大，但能给刚入门的cracker一点启示。
7 ?5 y% M0 |0 N) y
8 ^# h; { V! y5 m提议：
+ V4 x: M5 b# w" g; y作为老鸟，或许感到很多事是必然的，但对我等菜鸟就不是那么明确了。以后破解文章能不能不单是过程的记录（比如突然冒出一个来到这里），最好还能是一种思想的启示（为什么你要来这里，怎么使你来这里）。
: s! a- M: G- o" S& j% W: F% P9 d最好再加上破解时间，因为一篇文章，看起来那么几百字，感觉像3、5分钟就破完一个程序一样，给初学者信心比较大的打击："怎么我破了整天都没有搞定呢？"。加上时间，大家就可以看出差距了："原来××牛人都用了半天，我还不太蠢^_^"。 4 Z! X. m, K, H0 Z( i
老鸟看到这里就基本上不用看下去了，下面的破解实在是见笑^_^ 2 m0 |, j: z0 D/ f; Q( x! n7 ?- M, C
, I$ k i h! C7 ]( q9 s C
正文：
6 h7 t" i. I' r0 E3 E( }有感于自己也曾经是菜菜鸟（现在是菜鸟^_^），也碰到过不少菜菜鸟级的问题，藉完成一简单破解之际，特发此文，谈谈菜菜鸟最想问的问题－－"为什么这样做啊"，"为什么决定来这里看看"，希望能给未来的菜鸟一点教益。老鸟如果看烦了，小的先陪个罪^_^
8 E" ]* l* h+ e7 x- v% F昨天在http://www.crackmes.de/ 随手down了个解决了的crackme（___crakme">http://www.crackmes.de/users/zionz/crackmes/zi___crakme）打算学习学习外国人的先进经验（我也是菜鸟啊），没想到两方案都是违背了作者初衷的，自己破吧！
0 _* I! h' m7 x- i先运行一下那个crackme（还是有个总体的印象好，不要什么都不清楚就用工具破解）。好了，发现是命令行界面的，随便输个号进去，回车，显示"WRONG SERIAL"（注意大小写，这个很重要，把提示都记准确一点）。
* ~3 F5 F+ K! H# Q' `. w用OD试着打开，发现没有壳也没有压缩的（这个不用问为什么了吧，OD正常分析通过了）。在代码窗口右击，选"Search for"，"All referenced text strings"，待OD弹出text string窗口后，再右击这个窗口里面随便一处，选"search for text"，输入WRONG（全大写，跟提示一样），把Case sensitive和Entire scope选上，按ok。OD提示找不到。好了，这样找不到，试试那样吧：搜索内存，[Alt+M]打开Memory map窗口，右击选中"Search"，在ASCII中输入WRONG，同样将Case sensitive和Entire scope选上，按ok。好了这次有了！向上滚动看看上文（通常都要上下结合的啦），发现了
6 e7 d; I! t' Y8 |+ F1016CD75 45 4E 54 45 52 20 53 45 52 49 41 ENTER SERIA
: B7 a* u; h: M! _, c! x1016CD85 4C 20 54 4F 20 43 4F 4E 54 49 4E 55 45 3A 00 41 L TO CONTINUE:.A, |& V9 u% @* W" @& s
1016CD95 58 39 34 33 00 57 45 4C 4C 20 44 4F 4E 45 21 00 X943.WELL DONE!.
0 c8 a: Q) m1 V8 N4 O1016CDA5 57 52 4F 4E 47 20 53 45 52 49 41 4C WRONG SERIAL 5 i, M F$ Q4 h j9 }4 r
呵呵，很多字符串哦！AX943是什么，难道就是......按[F9]允许，然后输入AX943，成功了！ " r1 z3 l1 v3 {
两个外国人的方案都是到此为止了。如果是破解应用软件，到此也的确够了。此crackme的作者明确表示要求通过任意序列号（Note: Consider it cracked if it accept any serial, not finding the right one.）因此我们继续！ % t; O9 c) K( v+ V, o- R
[Ctrl+F2]重新开始，按[F9]运行，出现了提示输入的界面。输个好记并且不容易在内存中存在的字符串，我这里输的是QWERTYUIOP（键盘第一行字母，都大写的）。回到OD，依然[Alt+M],然后[Ctrl+B]调出搜索窗口，输入QWERTYUIOP，按ok。很快OD就找到了 ( @* N; C) E9 q0 |2 `, e
00A5D321 51 57 45 52 54 59 55 49 4F 50 00 0D F0 AD BA QWERTYUIOP..瓠?
3 s2 _0 {7 R7 Z& B: K3 W! f右击51（就是那个Q），选"Breakpoint"，"Memory，on access"，这样当crackme读取这个序列号的时候就被中断了。回到crackme，按回车，OD把它中断在 3 N! B4 u, K# F& R. I+ ~9 P
10045B7E 0FBE00 MOVSX EAX,BYTE PTR DS:[EAX]
! a6 i9 b& s, Z! u9 j. m先不要急，继续[F9]运行，看看它要被读多少次（为什么这样呢，因为很多时候序列号都要被重复读取的，但重要的比较或者运算很可能在最后那次才出现，否则，最后一次读来干嘛就很值得怀疑了）
/ n( e0 `% ~. q+ d6 ?5 @好了，让它运行都结束，出现WRONG SERIAL（当然的结果，浪费少少时间不要紧），发现一共读了5次！我决定从最后一次入手！！（前几次很可能是一些验空串、去空格等预处理）
9 A a$ [1 Q* E' ?再一次[Ctrl+F2],再一次输入QWERTYUIOP，查找，并下断点，运行。跳过前4次的中断，我们来到最后那次读取的地方，是
7 w. v* \2 M; E1 q! h5 A8 ^6 e) [, |10004DEB F3:A6 REPE CMPS BYTE PTR ES:[EDI],BYTE PTR DS:[ESI]
: b7 t0 h, y& e8 n一看知道是比较了，右边寄存器的窗口还显示出 G5 a1 ~$ _* O3 ?) \% P) \
ESI 00A5D321 ASCII "QWERTYUIOP"! b& z3 a0 @) ` F8 M
EDI 00A59FC1 ASCII "AX943"
0 W4 j- l6 ~2 s8 A$ M& {, m+ i为了通过任意序列号，暴力改下面的跳转吧！
) S; X' V( p7 T' d4 Q x# T1 F10004DED 74 05 JE SHORT Zi__Crac.10004DF4 : t4 k4 e1 {! _0 H. ?
原来是相等就跳，我把74改为EB，无条件跳转！ ) C/ s% k" m! C2 ?' o( `3 I
运行crackme，还是WRONG SERIAL！应该是跳转后还有判断吧...... ) b1 Y% }$ w! K# K$ e
再次运行，跟踪，来到10004DED，无条件跳转后，按[F8]跟下去，很快就发现又有比较了
# v5 v' w d D$ q4 c) k0 f* z! L! |& c10004DFB 3BD6 CMP EDX,ESI * U# Z) J+ P$ v4 ]
代码窗口下面还有提示：
$ H: F( Z% \2 ~% c; ^7 `ESI=00000005
* M7 j* y! F8 C1 v. B1 TEDX=0000000A
0 D2 r2 C! L, Q- G想一下，5应该是AX943的长度，0A就是QWERTYUIOP的长度10，好，继续改跳转 & A: w( J- [+ W; n
10004DFD 73 05 JNB SHORT Zi__Crac.10004E04
$ N7 h5 K: T7 p- r4 ?- N将73改为EB，无条件跳转！ : }* X! d: y3 h$ R; D
细想原来的JNB这个指令有可疑，为什么不是JNE呢，难道下面还有JB指令？继续[F8]跟！ # w0 ?3 Y0 C5 F/ F% x# |
果然没有错，很快又来一个比较了 7 ?' ^- G9 U) p4 z& i
10004E06 3BD6 CMP EDX,ESI
' }/ D: r" b/ {0 c5 R0 X而且下面紧接的是
* s8 v% L/ N7 I9 R+ _0 d10004E08 0F95C0 SETNE AL 7 w6 f9 Z1 f8 r& ]; q
呵呵，终于来"NE"了（不相等就怎么怎么样）！！
7 A: A& M% j, y& y6 E3 R再看下面
/ J) o/ {0 n- s10004E0B 8BF0 MOV ESI,EAX- B9 y- c: V0 p) i4 o
10004E0D 85DB TEST EBX,EBX) \8 n& y: F' |7 S2 i9 }
10004E0F BF 38AD1210 MOV EDI,Zi__Crac.1012AD38- b1 T# v0 G& t8 U
10004E14 74 33 JE SHORT Zi__Crac.10004E496 Q' [3 d( }+ b0 T: y0 A
10004E16 8BCB MOV ECX,EBX
( i6 L; v$ k2 ~+ ?' J10004E18 E8 03FCFFFF CALL Zi__Crac.10004A20
6 e9 E* m& _! p1 Q+ p, I& Y9 Q0 M$ x# X
ESI和EAX装的就是比较的结果，然后就是一个CALL！！决不能让你存！！改掉！！目的是要ESI的数值无条件是0（使10004E06处的比较结果一定相等）。考虑到10004E0B的指令有2字节，改为 % F N2 d/ p; a# a: x! r
10004E0B 33F6 XOR ESI,ESI " l# J7 i7 {6 A( t
运行......全部通过了^_^ : j/ t# q7 d2 I1 s# U7 K- a
以后用16进制编辑器怎么改就不用多说了，基本工具使用的问题。 . x) Y- q& z& k) |9 p' H9 s
菜鸟一个，有意见或建议请不吝赐教，共同进步 : ) & z( l- W( t9 W7 c2 s8 G; k
. d# {% D$ |- J# ]破解用时：18分钟 : (
3 E7 Q& e6 a D& ~
0 [9 \/ j; ?$ k
5 R; H1 [& k( j) L8 H& H, d" ] | 
IP卡
狗仔卡
发表于 2005-1-20 14:38
转播
淘帖
分享
收藏
支持
反对
微信
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
抢沙发
显身卡
