Crackme: реверс-инжиниринг

В архиве 10 exe-файлов - консольных приложений, каждое из которых запрашивает пароль. Цель в том, чтобы найти и ввести правильный пароль, после чего получить сообщение Password OK!
Приложения созданы не мной, а неким IOLI. Приложения 32-битные, что тоже упрощают работу.
Приложения закрываются после выполнения, поэтому запускайте из cmd.

Собственно, вы можете использовать любой удобный вам инструмент: IDA Pro, Ghidra, Cutter, x32dbg и т.д. Т.е. можно как статически анализировать, а можно запустить отладчик и анализировать динамически.
Поскольку не будет вывода секретного сообщения при правильном вводе пароля и заранее известно, что выведется лишь Password OK!, то не вижу смысла в использовании всяких трюков, чтобы обойти проверку пароля всякими jmp и прочими инструкциями. Лучше тренироваться именно в поиске пароля, а не в его обходе.


Топовые декомпиляторы в простых случаях сразу отображают пароль, поэтому в таких случаях, чтобы было интересно, предлагаю все равно попробовать самостоятельно найти пароль, анализировав дизассемблерный код.

Что я имею в виду? Например, если открыть crackme0x03.exe в IDA Pro, то после декомпиляции мы сразу увидим пароль:



Декомпилятор Ghidra тоже сразу показывает пароль (в hex):



Чтобы было интересно, в таких простых случаях можно перейти в дизассемблерный вид и попытаться найти пароль самостоятельно:

Например, вот как выглядит это окно в IDA Pro. Я там специально добавил комментарии к некоторым строкам и разъяснил, как вычисляется этот пароль (но есть одна опечатка в одном комменте 528 вместо 582).



Для новичков в IDA Pro есть фича Auto Comments, которая включается в настройках. Но честно говоря, она мне не очень нравится.

В Cutter автокомментирование инструкций работает, имхо, лучше. Поэтому новичкам будет проще в Cutter самостоятельно разбирать логику вычисления пароля. Как видно на скриншоте, Cutter может автоматически комментировать каждую строчку, что довольно удобно:



Еще Cutter хорош тем, что на выбор там два декомпилятора, один из которых это декомпилятор от Ghidra (вполне неплохая альтернатива платного от Hex-Rays в IDA Pro). Собственно, этот же декомпилятор можно использовать и в самой Ghidra, но там нет автокомментирования.

***

В crackme0x04.exe пароль сразу не виден после декомпиляции.



Но и там нет ничего сложного, просто переходим в функцию check и сразу становится ясно, что на самом деле данное приложение принимает не один правильный пароль, а их может быть несколько. Т.е. любое число, где сумма цифр введенного числа равна 15.



crackme0x05.exe очень похож на предыдущее задание, только нужно еще вспомнить, как определяют четность чисел с помощью побитового AND.

***
Короче, если вам скучно и не знаете, чем заняться, то можете поиграться с этими файлами и ознакомиться с основами реверс-инжиниринга.

Вложения

crackme.zip (82.1 Кб, 16 просмотров)

0

Сие чудо перетащить на рабочий стол нельзя.

0

Сообщение от Наталья8 Сие чудо перетащить на рабочий стол нельзя.

Обычный false positive детект. Поэтому crack-me задачки лучше решать на виртуалке, отключив там бесполезный Microsoft Defender

0

Наталья8, это false positive.

https://www.virustotal.com/gui... ?nocache=1

кстати, защита винды находит Trojan:Win32/Wacatac.B!ml в любом хелловорлде, если его выложить в сеть и потом оттуда обратно скачать

8.46 MB

здоровенный, однако))

0

Сообщение от Royal_X здоровенный, однако))

Да, из-за шаблонного кода его раздуло немного

0

Сообщение от Custos Да, из-за шаблонного кода

Я так и понял. Ты, наверное, какую-то библу для обфускации использовал, которая в один клик генерит столько мусора, а нам тратить время, чтобы разбираться в этом мусоре)))

Добавлено через 26 минут

Сообщение от Custos найти и объяснить каким именно образом приложение показывает обычный MessageBox

особо не вникал, но по названиям функций во вкладке Imports IDA Pro, мне кажется, что используется exception-driven трюк. Читал когда-то про это.

Вместо прямого вызова MessageBoxW из user32.dll, программа искусственно генерирует исключение с помощью RaiseException. На винде через исключения возможны межмодульные вызовы.

Обработчик исключения ловит это событие, и внутри его кода (который уже скомпилирован в секции .text самого приложения) происходит динамическая загрузка user32.dll через LoadLibraryExW и вызов MessageBoxW через GetProcAddress

По этой причине в Imports не видно ни user32.dll, ни MessageBoxW.

В Imports прям кишат функции для динамической загрузки либ.

+ SetUnhandledExceptionFilter и UnhandledExceptionFilter указывают, что скорее всего используется именно этот трюк.

Ну а IsDebuggerPresent + наверняка еще VirtualProtect используются для антиотладочных проверок и подмены кода на лету.

Я прав?

0

Сообщение от Royal_X защита винды находит Trojan:Win32/Wacatac.B!ml

А настоящих троянов не бывает? Только false positive детект?
Там в восьми гб и чёрта прописать можно.

0

Наталья8, хз. Приложение запускал на виртуалке, но там не удобно работать. А на реальном девайсе делал только статический анализ, отладчик не запускал по соображениям безопасности.
К тому же, там его просто и не запустишь, в коде полно int 3 . Для x64dbg нужно спец. плагин ставить, который убирает антиотладочную защиту

0

Сообщение от Royal_X Вместо прямого вызова MessageBoxW из user32.dll, программа искусственно генерирует исключение с помощью RaiseException. На винде через исключения возможны межмодульные вызовы. Обработчик исключения ловит это событие, и внутри его кода (который уже скомпилирован в секции .text самого приложения) происходит динамическая загрузка user32.dll через LoadLibraryExW и вызов MessageBoxW через GetProcAddress

Неа, в этом легко убедиться, загрузив принудительно user32.dll при запуске CrackMe и поставив хуки на все возможные функции для отображения MessageBox, ни одна из них не будет вызвана

Сообщение от Royal_X Ну а IsDebuggerPresent + наверняка еще VirtualProtect используются для антиотладочных проверок и подмены кода на лету.

Тоже нет, стандартный примитивный IsDebuggerPresent (который просто является оберткой над чтением флага из PEB) давно никто не использует для обнаружения отладчиков.

Добавлено через 2 минуты

Сообщение от Royal_X Для x64dbg нужно спец. плагин ставить, который убирает антиотладочную защиту

Популярные решения типа ScyllaHide или TitanHide не помогут)

0

Custos, приложение весит в разы больше, чем user.dll. Наталья8 правильно говорит, что там и чёрта прописать можно)
Имхо, разбирать такой файл не интересно.
Тем более, хз какие там наработки используются. Возможно, там вообще использовалась профессиональная мощная либа для обфускации.
Не похож это на тренировочный крякми, который весит несколько килобайт.

0

Сообщение от Royal_X Custos, приложение весит в разы больше, чем user.dll. Наталья8 правильно говорит, что там и чёрта прописать можно) Имхо, разбирать такой файл не интересно.

Сделал новый вариант, уменьшил количество junk-кода и убрал защиту от отладки

Вложения

CrackMe_MessageBox.7z (77.0 Кб, 12 просмотров)

0

Сообщение от Custos Сделал новый вариант

защита винды уже не жалуется)

0

Custos, говоришь, что MessageBox не использовал, но, как по мне, это вылитый MessageBox из WinAPI. Кажется, ты врешь)



Сигнатура совпадает с функцией из WinAPI:

hWnd вполне может быть 0 (означает, что другое окно не владеет MessageBox), второй аргумент это содержимое MessageBox, третий аргумент - заголовок MessageBox, а четвертый uType это комбинация флагов, например,

MB_OK | MB_ICONINFORMATION это как раз 0x00000000L | 0x00000040L = 0x40 (64)

0

Сообщение от Royal_X Тем более, хз какие там наработки используются. Возможно, там вообще использовалась профессиональная мощная либа для обфускации.

Весь CrackMe - менее 30 строк кода
Сторонние решения не используются, используется только собственная либка winapi_utils, в которой я собрал в кучу разный инструментарий под Windows приложения и использую в своих разных проектах

Миниатюры

   

0

Сообщение от Royal_X Custos, говоришь, что MessageBox не использовал, но, как по мне, это вылитый MessageBox из WinAPI. Кажется, ты врешь)

У тебя теперь есть возможность поставить бряки на всех возможные MessageBox* функции в user32.dll и убедиться, что ни одна из них не вызывается)

Добавлено через 10 минут

Сообщение от Royal_X Сигнатура совпадает с функцией из WinAPI

Так и должно быть, в используемой библиотеке в пространстве имен mvcbox::winapi_utils:: polyfill собрана отдельная группа функций, которые представляют собой аналоги некоторых обычных WinAPI функций, но реализованы в обход стандартного WinAPI.

0

Сообщение от Custos mvcbox::winapi_utils:: polyfill собрана отдельная группа функций, которые представляют собой аналоги некоторых обычных WinAPI функций, но реализованы в обход стандартного WinAPI.

Custos, хочешь сказать, что это твой велосипед по мотивам WinAPI?

Добавлено через 4 минуты

Сообщение от Custos убедиться, что ни одна из них не вызывается

да я уже в Process Explorer от Руссиновича проверил

0

Сообщение от Royal_X Custos, хочешь сказать, что это твой велосипед по мотивам WinAPI?

Одна из задач, для которой предназначается либа, это предоставить собственную реализацию самых часто используемых WinAPI функций. Это сделано для того, чтобы затруднить попытки их "перехвата" user space инструментами, так как первое, что обычно идут хукать, это системные либки.

0

Сообщение от Custos но реализованы в обход стандартного WinAPI

а в чём был смысл так делать? почему используешь ntdll.dll и kernel32.dll, но не хочешь user32.dll. Ты ведь для чего-то писал свою либу. Почему решил обойти именно user32.dll?

Добавлено через 44 секунды

Сообщение от Custos Это сделано для того, чтобы затруднить попытки их "перехвата" user space инструментами, так как первое, что обычно идут хукать, это системные либки.

ок, увидел твой ответ

0

Сообщение от Royal_X почему используешь ntdll.dll и kernel32.dll

Тоже не используется) То, что ты видишь в импортах ntdll.dll и kernel32.dll, это зависимости CRT потрохов и не используются для реализации winapi_utils:: polyfill::... функций

0

Custos, IDA Pro 9.4 бета вышла. Xrefs Graph вроде улучшения получил. Подожду выхода стабильной версии. Я даже на 9.3 SP2 не обновлялся, жду сразу 9.4

0

Сообщение от Royal_X IDA Pro 9.4 бета вышла. Xrefs Graph вроде улучшения получил.

Более свежая версия ничего нового не покажет для текущего CrackMe

0