成都信息工程学院第八届信息安全大赛－－－crackme2的分析

crackme下载地址：

http://files.cnblogs.com/tk091/crackme2.7z

 

很习惯的，首先查壳，ASPack 2.12 -> Alexey Solodovnikov，很简单，一个esp定律就搞定，dump后再说。

dump后的文件下载：

http://files.cnblogs.com/tk091/dump.rar

运行后发现这个程序是反虚拟机的，反虚拟机的方式有很多，比如，通过特权指令来检测、利用IDT基址检测、利用LDT和GDT的检测方法、基于STR(Store Task Register)的检测方法、通过注册表检测虚拟机(是否安装了tools工具等)、基于时间差的检测方式(通过RDTSC)、利用虚拟硬件指纹检测(对MAC地址检查等)等。

 

通过分析发现，这个crackme是通过特权指令来检测虚拟机的，有两种方式去除，一种是不让它检测，一种是检测后什么都不干（默认会显示提示并两秒后自动退出）。

我们用IDA来看看程序大致的流程，其中有一部分是：

瞬间就看到了dwMilliseconds，毫秒嘛，那么就是检测到虚拟机后的动作了，我们让它跳过这个，也就是不处理这段程序。

进入main函数的起始：

1 0040C6D0 /> \55 push ebp

找到关键跳：

 1 0040CACF  |. /75 2C         jnz     short 0040CAFD

 2 0040CAD1  |. |8D8D 0CFBFFFF lea     ecx, dword ptr [ebp-4F4]

 3 0040CAD7  |. |51            push    ecx

 4 0040CAD8  |. |68 C80D4200   push    00420DC8                         ;  ASCII "%s",LF

 5 0040CADD  |. |E8 024EFFFF   call    004018E4

 6 0040CAE2  |. |83C4 08       add     esp, 8

 7 0040CAE5  |. |8BF4          mov     esi, esp

 8 0040CAE7  |. |68 D0070000   push    7D0                              ; /Timeout = 2000. ms

 9 0040CAEC  |. |FF15 F4624200 call    dword ptr [<&kernel32.Sleep>]    ; \Sleep

10 0040CAF2  |. |3BF4          cmp     esi, esp

11 0040CAF4  |. |E8 134AFFFF   call    0040150C

12 0040CAF9  |. |33C0          xor     eax, eax

13 0040CAFB  |. |EB 79         jmp     short 0040CB76                   ;  检测到虚拟机，跳转到程序退出的地方

上面的第一行就是关键跳，即是跳转到正常的代码，直接修改为jmp，然后保存即可。这样，程序执行到这里的时候就会直接跳过。

下面是去掉反虚拟机后的程序：

http://files.cnblogs.com/tk091/Anti-Anti-virtual.rar

下面是完整的反虚拟机的汇编代码：

反虚拟机代码

 1 00401400   > \55            push    ebp

 2 00401401   .  8BEC          mov     ebp, esp

 3 00401403   .  6A FF         push    -1

 4 00401405   .  68 68004200   push    00420068

 5 0040140A   .  68 E4204000   push    004020E4                         ;  SE 处理程序安装

 6 0040140F   .  64:A1 0000000>mov     eax, dword ptr fs:[0]

 7 00401415   .  50            push    eax

 8 00401416   .  64:8925 00000>mov     dword ptr fs:[0], esp

 9 0040141D   .  83C4 B4       add     esp, -4C

10 00401420   .  53            push    ebx

11 00401421   .  56            push    esi

12 00401422   .  57            push    edi

13 00401423   .  8965 E8       mov     dword ptr [ebp-18], esp

14 00401426   .  8D7D A4       lea     edi, dword ptr [ebp-5C]

15 00401429   .  B9 11000000   mov     ecx, 11

16 0040142E   .  B8 CCCCCCCC   mov     eax, CCCCCCCC

17 00401433   .  F3:AB         rep     stos dword ptr es:[edi]

18 00401435   .  C645 E4 01    mov     byte ptr [ebp-1C], 1

19 00401439   .  C745 FC 00000>mov     dword ptr [ebp-4], 0

20 00401440   .  52            push    edx

21 00401441   .  51            push    ecx

22 00401442   .  53            push    ebx

23 00401443   .  B8 68584D56   mov     eax, 564D5868

24 00401448   .  BB 00000000   mov     ebx, 0

25 0040144D   .  B9 0A000000   mov     ecx, 0A

26 00401452   .  BA 58560000   mov     edx, 5658

27 00401457   .  ED            in      eax, dx

28 00401458   .  81FB 68584D56 cmp     ebx, 564D5868

29 0040145E   .  0F9445 E4     sete    byte ptr [ebp-1C]

30 00401462   .  5B            pop     ebx

31 00401463   .  59            pop     ecx

32 00401464   .  5A            pop     edx

33 00401465   .  C745 FC FFFFF>mov     dword ptr [ebp-4], -1

34 0040146C   .  EB 14         jmp     short 00401482

35 0040146E   .  B8 01000000   mov     eax, 1

36 00401473   .  C3            retn

 

至于后面的分析，就难了，我加了些注释，希望能够继续分析

 1 0040CAFD      BA 01000000   mov     edx, 1

 2 0040CB02  |.  85D2          |test    edx, edx

 3 0040CB04  |.  74 6E         |je      short 0040CB74                  ;  跳到 结束

 4 0040CB06  |.  8D85 5CFBFFFF |lea     eax, dword ptr [ebp-4A4]

 5 0040CB0C  |.  50            |push    eax                             ;  0012FADC  please input password:

 6 0040CB0D  |.  68 74004200   |push    00420074                        ;  ASCII "%s       "

 7 0040CB12  |.  E8 CD4DFFFF   |call    004018E4

 8 0040CB17  |.  83C4 08       |add     esp, 8                          ;  恢复堆栈

 9 0040CB1A  |.  8D8D FCFBFFFF |lea     ecx, dword ptr [ebp-404]

10 0040CB20  |.  51            |push    ecx                             ;  输入scanf

11 0040CB21  |.  68 6C0D4200   |push    00420D6C                        ;  ASCII "%s"

12 0040CB26  |.  E8 894DFFFF   |call    004018B4                        ;  输入的信息保存在堆栈中

13 0040CB2B  |.  83C4 08       |add     esp, 8

14 0040CB2E  |.  8D95 FCFBFFFF |lea     edx, dword ptr [ebp-404]

15 0040CB34  |.  52            |push    edx

16 0040CB35  |.  E8 CB44FFFF   |call    00401005                        ;  可能的关键call

17 0040CB3A  |.  83C4 04       |add     esp, 4

18 0040CB3D  |.  8945 FC       |mov     dword ptr [ebp-4], eax          ;  这两句相当于test   eax，eax

19 0040CB40      837D FC 00    cmp     dword ptr [ebp-4], 0

20 0040CB44      75 16         jnz     short 0040CB5C                   ;  进行判断

21 0040CB46  |.  8D85 C4FBFFFF |lea     eax, dword ptr [ebp-43C]

22 0040CB4C  |.  50            |push    eax

23 0040CB4D  |.  68 C80D4200   |push    00420DC8                        ;  ASCII "%s",LF

24 0040CB52  |.  E8 8D4DFFFF   |call    004018E4                        ;  调用printf函数

25 0040CB57  |.  83C4 08       |add     esp, 8

26 0040CB5A  |.  EB 16         |jmp     short 0040CB72

27 0040CB5C  |>  8D8D 90FBFFFF |lea     ecx, dword ptr [ebp-470]        ;  这里是正确信息保存的位置

28 0040CB62  |.  51            |push    ecx

29 0040CB63  |.  68 C80D4200   |push    00420DC8                        ;  ASCII "%s",LF

30 0040CB68  |.  E8 774DFFFF   |call    004018E4

31 0040CB6D  |.  83C4 08       |add     esp, 8

32 0040CB70  |.  EB 02         |jmp     short 0040CB74                  ;  结果正确，跳出循环

33 0040CB72  |>^ EB 89         \jmp     short 0040CAFD                  ;  重新开始判断

算法分析始终是个大难题。

程序的分析就大致这样吧。

勿在浮沙筑高台，还是回去好好学基础吧。

 

－－－－－2012-5-2－22：10－－－－－－－－－继续分析－－－－－－－－－－

通过52的几个大牛的帮助，搞到了真码（真码为：lEpynapmoi），任何我用IDA继续调试

 1 int __cdecl sub_40BA10(const char *szKey)

 2 {

 3   char v2; // [sp+Ch] [bp-50h]@1

 4   int v3; // [sp+4Ch] [bp-10h]@2

 5   int i; // [sp+50h] [bp-Ch]@11

 6   int v5; // [sp+54h] [bp-8h]@7

 7   size_t ilength; // [sp+58h] [bp-4h]@1

 8 

 9   memset(&v2, 0xCCCCCCCCu, 0x50u);

10   ilength = strlen(szKey);

11   if ( ilength == 10 )

12   {

13     if ( szKey[1] == 69 )

14     {

15       if ( *szKey == SomeString[(signed int)ilength % 24] )

16       {

17         v5 = 2 * (signed int)ilength % 24;

18         if ( v5 > 24 )

19           v5 -= 24;

20         if ( szKey[2] == SomeString[v5] )

21         {

22           v5 = 0;

23           for ( i = 3; i <= 8; ++i )

24           {

25             v5 = szKey[2] + v5 - 65;

26             if ( v5 > 24 )

27               v5 %= 24;

28             if ( szKey[i] != SomeString[v5] )

29             {

30               printf("%c", SomeString[v5]);

31               v3 = 0;

32               return unknown_libname_1();

33             }

34           }

35           v5 = 0;

36           for ( i = 0; i < 9; ++i )

37             v5 += szKey[i];

38           v5 /= 9;

39           v3 = szKey[9] == (char)v5;

40         }

41         else

42         {

43           v3 = 0;

44         }

45       }

46       else

47       {

48         v3 = 0;

49       }

50     }

51     else

52     {

53       v3 = 0;

54     }

55   }

56   else

57   {

58     v3 = 0;

59   }

60   return unknown_libname_1();

61 }

这个crackme没有上面算法，只有上面的这个，IDA显示SomeString为： UIT_SYC_Flowers_Company

这样，分析就完成了。