Crackme: реверс-инжиниринг

В архиве 10 exe-файлов - консольных приложений, каждое из которых запрашивает пароль. Цель в том, чтобы найти и ввести правильный пароль, после чего получить сообщение Password OK!
Приложения созданы не мной, а неким IOLI. Приложения 32-битные, что тоже упрощают работу.
Приложения закрываются после выполнения, поэтому запускайте из cmd.

Собственно, вы можете использовать любой удобный вам инструмент: IDA Pro, Ghidra, Cutter, x32dbg и т.д. Т.е. можно как статически анализировать, а можно запустить отладчик и анализировать динамически.
Поскольку не будет вывода секретного сообщения при правильном вводе пароля и заранее известно, что выведется лишь Password OK!, то не вижу смысла в использовании всяких трюков, чтобы обойти проверку пароля всякими jmp и прочими инструкциями. Лучше тренироваться именно в поиске пароля, а не в его обходе.


Топовые декомпиляторы в простых случаях сразу отображают пароль, поэтому в таких случаях, чтобы было интересно, предлагаю все равно попробовать самостоятельно найти пароль, анализировав дизассемблерный код.

Что я имею в виду? Например, если открыть crackme0x03.exe в IDA Pro, то после декомпиляции мы сразу увидим пароль:



Декомпилятор Ghidra тоже сразу показывает пароль (в hex):



Чтобы было интересно, в таких простых случаях можно перейти в дизассемблерный вид и попытаться найти пароль самостоятельно:

Например, вот как выглядит это окно в IDA Pro. Я там специально добавил комментарии к некоторым строкам и разъяснил, как вычисляется этот пароль (но есть одна опечатка в одном комменте 528 вместо 582).



Для новичков в IDA Pro есть фича Auto Comments, которая включается в настройках. Но честно говоря, она мне не очень нравится.

В Cutter автокомментирование инструкций работает, имхо, лучше. Поэтому новичкам будет проще в Cutter самостоятельно разбирать логику вычисления пароля. Как видно на скриншоте, Cutter может автоматически комментировать каждую строчку, что довольно удобно:



Еще Cutter хорош тем, что на выбор там два декомпилятора, один из которых это декомпилятор от Ghidra (вполне неплохая альтернатива платного от Hex-Rays в IDA Pro). Собственно, этот же декомпилятор можно использовать и в самой Ghidra, но там нет автокомментирования.

***

В crackme0x04.exe пароль сразу не виден после декомпиляции.



Но и там нет ничего сложного, просто переходим в функцию check и сразу становится ясно, что на самом деле данное приложение принимает не один правильный пароль, а их может быть несколько. Т.е. любое число, где сумма цифр введенного числа равна 15.



crackme0x05.exe очень похож на предыдущее задание, только нужно еще вспомнить, как определяют четность чисел с помощью побитового AND.

***
Короче, если вам скучно и не знаете, чем заняться, то можете поиграться с этими файлами и ознакомиться с основами реверс-инжиниринга.

Вложения

crackme.zip (82.1 Кб, 16 просмотров)

0

Сообщение от Royal_X я так понимаю, что тема особо не залетела,

Возни много. Пользы ноль.
Что ты такого собрался сделать в этой сфере что бы принести пользу миру.
Хоть самому себе.
Люди написавшие приложение герои, а ты, и ещё толпа тебе подобных, как бы уровнем пониже.

Добавлено через 5 минут
Если я обучившись по книжкам этой всей грамоте,
и следуя вашим советам, напишу себе защиту,
ни кому не составит труда её легко убрать.
Зачем работать?.

0

Сообщение от Наталья8 Что ты такого собрался сделать в этой сфере что бы принести пользу миру. Хоть самому себе.

Всегда хотел понимать ассемблер хотя бы на уровне любителя-хоббиста. Но никогда не имел желания, да и не было необходимости, писать приложения на ассемблере.
Так что, это просто альтернативный способ изучить ассемблер в более интересной манере.

Сообщение от Наталья8 Если я обучившись по книжкам этой всей грамоте, и следуя вашим советам, напишу себе защиту, ни кому не составит труда её легко убрать. Зачем мучиться.

Задроты, которые пишут книги, специально убивают будущих экспертов в зародыше. Они пишут много воды и специально пропускают самые важные нюансы. Наверное, не хотят иметь конкурентов.
Сейчас же в эпоху ИИ ни эти задроты, ни их книги не нужны. Если что-то не понимаешь, то ИИ так чётко распишет с примерами, что даже умственно отсталый чел всё сразу поймет.

0

Сообщение от sporta1982 трюк Heaven's Gate.

расскажите про это , многие меня упрекают что в своей манере пишу и требую от кого-то что-то...

Я думаю многим будет интересно...

0

Сообщение от sporta1982 расскажите про это

полагаю, что ИИ лучше расскажет

короче, я сам ничего не подозревал вчера. Открываю IDA Pro, а там какой-то красный JUMPOUT. Уже подозревал что-то неладное, но пока еще не знал, что такое. Автор крякми объяснил, что просто IDA типа не смогла правильно декомпилировать.
Когда там в коде в регистре AL оказалось магическое число 0x33, то решил дальше поисследовать, что там оно делает.
Я еще до того, как нашел пароль, начал подозревать в анти-отладочном механизме https://www.cyberforum.ru/cpp-... st17747837

Оказалось, что 0x33 с формированием пароля не имеет никакого отношения.

Манипулируя регистром CS через дальний прыжок можно прыгать между режимами.
сегментный регистр CS =0x23 процессор в 32-битном режиме
сегментный регистр CS = 0x33 процессор в 64-битном режиме

И это магическое число 0x33 как раз было для перехода в 64-битный режим.

А прикол был в том, что приложение было 32-битным и оно запускалось только в x32dbg, но с 32-битного отладчика толку не было. Естественно, нужно было запускать 64-битный отладчик. Но x64dbg, очевидно, не работает с 32-битными приложениями. Хз, возможно, есть плагины, с помощью которых он будет работать. Но чистый x64dbg отказывался запускать этот крякми.
Наверное, трюк Heaven's Gate был использован, чтобы не использовать x64dbg.

***
Я не стал тратить время на анти-анти-отладочные методы, просто взял другой отладчик.
Пароль я потом вытащил из регистра R8, который есть только в 64-битном режиме. См. https://learn.microsoft.com/ru... #registers

Если кто-то хочет повторить мое решение, то подсказываю, что я ставил брекпойнт на 0x401445

- запускаешь приложение
- вводишь любой мусорный пароль
- тормозишь на 0x401445
- смотришь в регистр R8

Т.е. крякми взламывается одним брекпойнтом.

С этой задачей справляются многие отладчики, но лично я предпочитаю WinDbg. В IDA Pro можно его тоже выбрать, он есть там в списке. И, кстати, если выбрать этот отладчик, то пароль можно найти и в IDA. Однако, я предпочитаю саму программу WinDbg из Microsoft Store.
На первый взгляд, покажется, что фич/кнопочек у него мало, но там его мощь проявляется, когда работаешь с консолью. Это очень крутой отладчик, который в отличие от остальных поддерживает даже режим ядра.
Например, в WinDbg, hardware-брекпойнт типа execute с размером 1 ставится командой:
Поскольку значение регистра R8 будет в hex, то чтобы увидеть в десятичном формате (собственно, пароль, который нужно ввести), вместо r r8 пишем:
это выведет
либо можно вывести во всех форматах, в том числе, десятичном
что выведет

0

сейчас бы сейчас специалиста по расширенному режиму процессору x86 он бы вы дюлей вставил, но я так мимо проходил...
какой еще CS...

0

Сообщение от Royal_X в WinDbg, hardware-брекпойнт типа execute с размером 1 ставится командой

я тут не намеренно усложняю вещи, а в WinDbg действительно нужно делать это через консоль. Тыканьем по интерфейсу можно лишь установить software брекпойнт. Однако, WinDbg поддерживает большое количество разнообразных брекпойнтов с самыми разными параметрами. Но они устанавливаются через команды в консоли.

0

это user mode)) какой нахер cs

0

sporta1982, хочешь сказать, что в user mode (ring 3) нет cs?

0

либо я чего то не знаю , как так то

Добавлено через 2 минуты
ну я не знаю может за 20 лет чего то изменилось...

0

Сообщение от sporta1982 вы же syscall используете...

Все вызовы API для взаимодействия с ОС в конечном итоге заканчиваются системным вызовом.
Здесь нюанс немного в другом - каким путем вы к этому syscall придете: ntdll manual mapping, direct syscall по зашитым SSN таблицам под каждую версию винды, direct syscall с парсингом SSN из текущей системной ntdll, и так далее. Все ограничивается лишь больной фантазией того, кто это будет реализовывать.

Сообщение от sporta1982 ну и в принципе если бы нашелся вдохновенный человек кто то мог бы написать блог , о том что можно написать приложение с использованием того же syscall

Куча материала по этой теме, нужно лишь поискать. Можете еще поискать материалы по разбору VMProtect, автор этого протектора очень любит абузить direct syscall.

Сообщение от Royal_X С этой задачей справляются многие отладчики, но лично я предпочитаю WinDbg.

Не справляются. На сегодняшний день WinDbg - единственный отладчик, который может нормально отлаживать такой код, который переключается между разными режимами.
Фактически этот CrackMe был рассчитан на то, чтобы подловить тех, кто привык использовать популярные инструменты типа x64dbg/etc , для которых полно разных anti-anti-debug плагинов для обмана anti-debug детектов, и т.д.
Добавив anti-debug трюки можно сломать WinDbg, но так как это базовый CrackMe, то я не стал это делать

0

sporta1982, я ж это всё узнал вчера. Как я понял, cs используется и в 64-битном режиме user mode. Но, возможно, я не так понял.
Я читал в инете статьи про Heaven's Gate, там было про cs и селекторы режимов. Но я не утверждаю, что прав.

0

каждое приложение в windows работает в своем пространстве, мультизадачность и так далее ... у вас есть 64 бит процессор ... так и рассчитывайте 2^64 бит.

0

Сообщение от Royal_X Я читал в инете статьи про Heaven's Gate, там было про cs и селекторы режимов.

Рекомендую почитать в целом о WoW64. Можно начать с этой статьи https://wbenny.github.io/2018/... rnals.html

1

Сообщение от Custos Не справляются. На сегодняшний день WinDbg - единственный отладчик, который может нормально отлаживать такой код, который переключается между разными режимами.

нативный отладчик Rizin тоже умеет, я вчера проверял

0

Сообщение от Custos Рекомендую почитать в целом о WoW64. Можно начать с этой статьи https://wbenny.github.io/2018/... rnals.html

во уже лучше

0

Сообщение от Custos Рекомендую почитать в целом о WoW64

так о коротко не могли бы вы сейчас ответить про cs и утверждения sporta1982?

Добавлено через 3 минуты

Сообщение от sporta1982 во уже лучше

что лучше? когда что-то знаешь, то уверенно про это можешь говорить. Но что за выпады типа

Сообщение от sporta1982 какой нахер cs

если сам не уверен в своей правоте и пишешь потом, что может ты это и не знаешь, 20 лет прошло

Мне как начинающему нужна только истина, поэтому если не уверен, то лучше промолчи.

из статьи по ссылке Custos

x86 on x64 Entering 32-bit mode jmp fword ptr[reg] - a “far jump” that not only changes instruction pointer (RIP), but also the code segment register (CS). This segment usually being set to 0x23, while 64-bit code segment is 0x33 Far jump is used most of the time for the transition, mainly because it’s faster. iret on the other hand is more powerful, as it can change CS, SS, EFLAGS, RSP and RIP all at once.

0

Сообщение от Royal_X так о коротко не могли бы вы сейчас ответить про cs и утверждения sporta1982?

В современном Windows user mode он почти не используется для "адресации сегмента кода" в старом DOS-смысле. Его главная роль - хранить селектор кодового сегмента, через который процессор понимает:
- В каком privilege level выполняется код (user mode / ring 3 или kernel mode / ring 0)
- Какой тип кода сейчас исполняется (32-bit compatibility code или 64-bit long-mode code)
- Какие проверки защиты применяются при control transfer (jmp far, call far, iret, exception return, syscall/sysret-переходы и т.д)

0

господе вы идею windows знаете? каждый процесс работает в своем адресном пространстве. ну что ерундой то заниматься.
Почитайте про защищённый режим , который появился в процессоре x386. Я здесь неуверенно себя чувствую потому что я в математике ни хрена не понимаю, да и глядя на ваш статус. Да и самооценка у меня так себе....

0

Сообщение от Custos Его главная роль - хранить селектор кодового сегмента

а я разве не про это писал? я cs упоминал в контексте хранения селекторов

Сообщение от Royal_X Я читал в инете статьи про Heaven's Gate, там было про cs и селекторы режимов.

и опять же, повторюсь, что читал про это в какой-то статье буквально вчера. Ну всякое могло быть, например, я мог не так понять и т.д.

Но если и вы подтверждаете мои слова, то не понимаю выпадов эксперта sporta1982

0

Сообщение от Royal_X а я разве не про это писал? я cs упоминал в контексте хранения селекторов

Это скорее развернутый ответ для sporta1982 на его вопрос

Сообщение от sporta1982 это user mode)) какой нахер cs

Добавлено через 1 минуту

Сообщение от Royal_X Но если и вы подтверждаете мои слова, то не понимаю выпадов эксперта sporta1982

Учитывая, что он первый раз узнал о существовании WoW64 из этого сообщения, то тут возникают вопросики о его "экспертности"

0