170531 逆向-CrackMe之007
1625-5 王子昂 总结《2017年5月31日》 【连续第242天总结】
A.CrackMe（7）
B.这次挑战一下2星的程序
拖入PEiD，无壳，Delphi编写的。
跟昨天的是同一个作者，同样分多关、隐藏按钮的套路
不过这次OK是直接显示的，虽然也有Cancella
这次比昨天的难，反而有文本字符串了，直接搜索就能找到相应位置
不过有好用的Dede干嘛不用呢，还能方便地直接标出API的名字
拖入Dede，一共有三个事件，分别响应cancella、register和again
again还不知道是啥，按照昨天的顺序，先跟cancella试试吧
找到事件，往下翻几步就看到了熟悉的test ax,ax和jz 这里大概就是关键跳转了，爆破之
弹出了两个框，“GREAT！"和”LAMER“
前者很明显是恭喜的意思，但是LAMER我百度了一下，除了最多的是一个服装品牌，百度翻译说是蹩脚的、差劲的意思
嗯？而且成功以后只有弹窗，没有任何变化
虽然很奇怪，但是上上下下都翻了几遍也没看到别的路径了只好先这样
同样，找到register的地址，判断方法相同，爆破后register按钮消失，出现了"...again"按钮
此时Name的框变成了灰色无法输入状态，看样子两次的Name是不允许改变的啊
同样，在Dede中找到again事件的地址，爆破，全部消失露出了Logo。
值得一提的是，因为register存在内层的一个关键call，我刚开始爆破内部call的时候，后面尝试点击again居然也直接通过了
后面才发现again事件和register事件代码完全一样，调用的是同一个函数（call）
算法：
先是cancella
跟进去有两次关键跳转，跟昨天相似
最外部通过test ax,ax来判断是否为0；然后第二层再一个test
跟到关键call里面以后，进行了一番非常复杂的计算。但是核心的只有长度比较和字符串ASCII比较
只要取两个字符相同的、长度都大于4的字符串即可
输入后反应与爆破相同
然后看register
跟进去，在关键call中耐着性子读每行代码
首先是一个复杂的双层嵌套循环，对每个字符，都与整个字符串的所有ASCII码相乘一遍，然后再乘以一个数，最后全部累加起来。这个数在多次运行的情况下都是0，那么最终求和就全是0了。
求和结果与0做异或运算，应该是取反的效果
修正：与一个小伙伴讨论，又去查找了一下，该段代码应为abs绝对值函数的优化汇编
若为正数，dx为0，xor 0和sub 0的结果都不变
若为负数，dx为-1，xor -1为取反，sub -1为+1，即求该负数的补码，即求相反数
综上是为绝对值函数
（原代码为mov eax,ebx
cdq
xoreax,edx
subeax,edx)
感觉在bx作为累加和恒为正的前提下，dx一定为0，则做异或运算和作差的结果应该就是取反吧
再除以0xA2C2A，保留余数
然后拿出code转换成整型的值，用除以0x59的商+除以0x50的余数+1，与之前的数比较，相等则通过
之前说了Name的最终求和为0，最后的余数也为0。而Code的结果有一个+1，除非是造成溢出才有可能得到0。然而作为32位除法的商和余数，似乎无法使得结果出现FFFFFFFF。那么就需要找出之前一直为0的数是怎么回事了
向上跟踪，发现这个数的路径是ds:[0x445830]→eax→edi，跟到0x445830的地址，附近全是空的，压根不在数据存储附近
有点懵逼了，上下再看看代码，突然发现之前还有一处出现了mov ds:[0x445830],eax的语句。这不就是我梦寐以求的来源吗，赶紧看看附近：喔，原来它只在对Code转化成整型却为0时才会触发。此时会弹出一个错误窗口“YOU MUST INSERT A VALID LONG INTEGER VALUE IN THE CODE EDITOR..."，然后会将Code的ASCII送入一个call中，算出值送入0x445830的内存区
那还等什么，输一个字母再跟进去呗：首先长度要大于5，然后取每个字符的ASCII除以0x11，余数+1后乘上前一个字符的ASCII，进行一个（长度-1）的循环。加上0x37B的固定数，除以0x7148的余数再取绝对值，即为之前算法用到的数了。
总结一下，在这个算法中，一个Name需要搭配两次Code,分别为字母A和数字N；最终需要满足f3[ f1(Name) , f2(A) ]=f4(N)的关系
again和register是一样的算法，将之前得到的数再输入一遍即可
之后看了一下之前参考的52破解论坛的CrackMe系列的writeup，发现他没有找到0x445830的位置，就卡着了╮(╯_╰)╭
不过后面跟帖里有人给出了正解，跟我想的差不多
C.明日计划
CrackMe(8)