OllyDbg 使用笔记 （三）
OllyDbg 使用笔记 （三）
参考
书：《加密与解密》
视频：小甲鱼 解密系列 视频
reverseME.exe 下载地址：http://pan.baidu.com/s/1c0fBgi8
reverseMe.exe 破解
这个reverseMe会读取密钥文件来注册。
加载，观察注解，我们可以发现几个关键的地方
0040105C . 6A 00 push 0 ; /hTemplateFile = NULL 0040105E . 68 6F214000 push 0040216F ; |Attributes = READONLY|HIDDEN|SYSTEM|ARCHIVE|TEMPORARY|402048 00401063 . 6A 03 push 3 ; |Mode = OPEN_EXISTING 00401065 . 6A 00 push 0 ; |pSecurity = NULL 00401067 . 6A 03 push 3 ; |ShareMode = FILE_SHARE_READ|FILE_SHARE_WRITE 00401069 . 68 000000C0 push C0000000 ; |Access = GENERIC_READ|GENERIC_WRITE 0040106E . 68 79204000 push 00402079 ; |FileName = "Keyfile.dat" 00401073 . E8 0B020000 call <jmp.&KERNEL32.CreateFileA> ; \CreateFileA 00401078 . 83F8 FF cmp eax, -1 0040107B 75 1D jnz short 0040109A 0040107D . 6A 00 push 0 ; |/Style = MB_OK|MB_APPLMODAL 0040107F . 68 00204000 push 00402000 ; ||Title = " Key File ReverseMe" 00401084 . 68 17204000 push 00402017 ; ||Text = "Evaluation period out of date. Purchase new license" 00401089 . 6A 00 push 0 ; ||hOwner = NULL 0040108B . E8 D7020000 call <jmp.&USER32.MessageBoxA> ; |\MessageBoxA 00401090 . E8 24020000 call <jmp.&KERNEL32.ExitProcess> ; \ExitProcess 00401095 . E9 83010000 jmp 0040121D 0040109A > 6A 00 push 0 ; /pOverlapped = NULL 0040109C . 68 73214000 push 00402173 ; |pBytesRead = reverseM.00402173 004010A1 . 6A 46 push 46 ; |BytesToRead = 46 (70.) 004010A3 . 68 1A214000 push 0040211A ; |Buffer = reverseM.0040211A 004010A8 . 50 push eax ; |hFile 004010A9 . E8 2F020000 call <jmp.&KERNEL32.ReadFile> ; \ReadFile 004010AE . 85C0 test eax, eax 004010B0 . 75 02 jnz short 004010B4 004010B2 . EB 43 jmp short 004010F7 004010B4 > 33DB xor ebx, ebx 004010B6 . 33F6 xor esi, esi 004010B8 . 833D 73214000>cmp dword ptr [402173], 10 004010BF . 7C 36 jl short 004010F7 004010C1 > 8A83 1A214000 mov al, byte ptr [ebx+40211A] 004010C7 . 3C 00 cmp al, 0 004010C9 . 74 08 je short 004010D3 004010CB . 3C 47 cmp al, 47 004010CD . 75 01 jnz short 004010D0 004010CF . 46 inc esi 004010D0 > 43 inc ebx 004010D1 .^ EB EE jmp short 004010C1 004010D3 > 83FE 08 cmp esi, 8 004010D6 . 7C 1F jl short 004010F7 004010D8 . E9 28010000 jmp 00401205
004010F5 . /EB 00 jmp short 004010F7 004010F7 > \6A 00 push 0 ; |/Style = MB_OK|MB_APPLMODAL 004010F9 . 68 00204000 push 00402000 ; ||Title = " Key File ReverseMe" 004010FE . 68 86204000 push 00402086 ; ||Text = "Keyfile is not valid. Sorry." 00401103 . 6A 00 push 0 ; ||hOwner = NULL 00401105 . E8 5D020000 call <jmp.&USER32.MessageBoxA> ; |\MessageBoxA 0040110A . E8 AA010000 call <jmp.&KERNEL32.ExitProcess> ; \ExitProcess 0040110F . E9 09010000 jmp 0040121D
00401205 > \6A 00 push 0 ; |/Style = MB_OK|MB_APPLMODAL 00401207 . 68 00204000 push 00402000 ; ||Title = " Key File ReverseMe" 0040120C . 68 DE204000 push 004020DE ; ||Text = "You really did it! Congratz !!!" 00401211 . 6A 00 push 0 ; ||hOwner = NULL 00401213 . E8 4F010000 call <jmp.&USER32.MessageBoxA> ; |\MessageBoxA 00401218 . E8 9C000000 call <jmp.&KERNEL32.ExitProcess> ; \ExitProcess 0040121D > C3 retn
我们可以由 0040106E 得出 密钥文件是Keyfile.dat
如果没有发现Keyfile.dat ，函数返回eax=-1，0040107b 的 jnz 就不会跳转，接着执行。
如果Keyfile.dat存在，就会跳转到0040109A处。
0040109A～004010A9 是读取文件函数不用管，如果读取出错就会跳到004010F7。
004010B2～004010D8 就是计算Keyfile.dat对不对。
我们可以知道，最终目的是为了要程序跳转到00401205处，可以发现，就是要使004010D8 运行
运行尝试修改004010B2～004010D8 中的跳转，时jmp 00401205 运行。
暴力破解
通过上面的分析，
我们先把0040107B 的 jnz short 0040109A改成 jmp short004010D8即可。
分析密钥
看004010B4～004010D8的代码
先比较密钥长度是不是大于10，如果大于10接着运行。
发现004010C1～004010D1这是一个循环，在一个一个的比较密钥文件的字符是不是 ASCII 47，用esi记录循环的次数直到读取到ASCII 0 为止。
循环结束，判断esi是否大于8，大于则jmp 00401205。
所以我们新建Keyfile.dat，用记事本写如 GGGGGGGGGGGGGGGG0 即可。