साधारण क्रैकमे का अध्ययन (भाग 2)

नमस्ते, हबरलुडी!

यह विषय क्रायकिमिस ( भाग 1 ) के अध्ययन पर लेखों की एक श्रृंखला का एक सिलसिला है। इस लेख में, हम पिछले लेख की तुलना में अधिक जटिल तरीके से क्रायकमिस को देखेंगे। एन्क्रिप्शन एल्गोरिथ्म में मुख्य कठिनाई होगी। हालांकि, सभी समान, कई लोगों के लिए यह बहुत सरल लगेगा।

सामग्री की जरूरत है

तो चलिए शुरू करते हैं।

उपकरणों में से, मैं केवल डीबगर का उपयोग करूंगा। वह दरार है।

ट्रायल रन

तो, परंपरागत रूप से, इसे डिबगर के बिना चलाएं, नकली डेटा दर्ज करें, और परिणाम देखें:



इस बार कोई मैसेज बॉक्स नहीं था। इसलिए हम GetDlgItemTextA फ़ंक्शन के लिए सभी कॉल पर ब्रेकडाउन डाल देंगे, क्योंकि यह वह है जो इस मामले में पाठ फ़ील्ड से डेटा के "निष्कर्षण" के लिए जिम्मेदार है।

अनुरेखण

ब्रेक लगाएं, प्रोग्राम चलाएं, नाम और क्रम संख्या दर्ज करें और सत्यापित करें पर क्लिक करें। हम देखते हैं कि ब्रेकडाउन ने काम किया। हम एक कदम आगे बढ़ाते हैं, जिससे फ़ंक्शन को निष्पादित करने की अनुमति मिलती है। फ़ंक्शन को निष्पादित किया गया था और पता 022F9C4 पर स्टैक पर डेटा (नाम) को धक्का दिया। हम दूसरे फ़ंक्शन कॉल तक कार्यक्रम का पता लगाते हैं। फ़ंक्शन को निष्पादित किया गया था और 022F8B4 पते पर स्टैक पर डेटा (हमारे धारावाहिक) को धकेल दिया था (मैंने यह डेटा उन तर्कों से सीखा है जो GetDlgItemTextA फ़ंक्शन पर जाते हैं)।

इसके अलावा, यहाँ इस कोड का टुकड़ा है:



हम पहले से ही एक नाम को संशोधित करने की प्रक्रिया से गुजर रहे हैं, जिसमें इसके प्रत्येक (नाम) ASIIII तालिका में एक बाद के चरित्र द्वारा प्रतिस्थापित किया गया है।

मुख्य कठिनाई

फिर सबसे दिलचस्प:



004015FF |> 8D45 F8 LEA EAX,DWORD PTR SS:[EBP-8]

00401602 |. 0385 14FFFFFF ADD EAX,DWORD PTR SS:[EBP-EC]

00401608 |. 83E8 70 SUB EAX,70

0040160B |. 0FBE10 MOVSX EDX,BYTE PTR DS:[EAX]

0040160E |. 8B85 10FFFFFF MOV EAX,DWORD PTR SS:[EBP-F0]

00401614 |. 31D0 XOR EAX,EDX

00401616 |. 0FBE4D EC MOVSX ECX,BYTE PTR SS:[EBP-14] // .

0040161A |. D3E0 SHL EAX,CL

0040161C |. 8B8D 14FFFFFF MOV ECX,DWORD PTR SS:[EBP-EC]

00401622 |. D3F8 SAR EAX,CL

00401624 |. 8985 0CFFFFFF MOV DWORD PTR SS:[EBP-F4],EAX

0040162A |. 8D85 10FFFFFF LEA EAX,DWORD PTR SS:[EBP-F0]

00401630 |. FF00 INC DWORD PTR DS:[EAX]

00401632 |. 8B85 0CFFFFFF MOV EAX,DWORD PTR SS:[EBP-F4]

00401638 |. 3385 10FFFFFF XOR EAX,DWORD PTR SS:[EBP-F0]

0040163E |. 894424 08 MOV DWORD PTR SS:[ESP+8],EAX

00401642 |. 8B85 0CFFFFFF MOV EAX,DWORD PTR SS:[EBP-F4]

00401648 |. 894424 04 MOV DWORD PTR SS:[ESP+4],EAX

0040164C |. 8B85 10FFFFFF MOV EAX,DWORD PTR SS:[EBP-F0]

00401652 |. 890424 MOV DWORD PTR SS:[ESP],EAX

00401655 |. E8 36FCFFFF CALL craomaxx.00401290

0040165A |. 8985 08FFFFFF MOV DWORD PTR SS:[EBP-F8],EAX

00401660 |. 8B85 0CFFFFFF MOV EAX,DWORD PTR SS:[EBP-F4]

00401666 |. 3385 10FFFFFF XOR EAX,DWORD PTR SS:[EBP-F0]

0040166C |. 894424 08 MOV DWORD PTR SS:[ESP+8],EAX

00401670 |. 8B85 0CFFFFFF MOV EAX,DWORD PTR SS:[EBP-F4]

00401676 |. 894424 04 MOV DWORD PTR SS:[ESP+4],EAX

0040167A |. 8B85 10FFFFFF MOV EAX,DWORD PTR SS:[EBP-F0]

00401680 |. 890424 MOV DWORD PTR SS:[ESP],EAX

00401683 |. E8 2EFCFFFF CALL craomaxx.004012B6

00401688 |. 8985 04FFFFFF MOV DWORD PTR SS:[EBP-FC],EAX

0040168E |. 8B85 04FFFFFF MOV EAX,DWORD PTR SS:[EBP-FC]

00401694 |. 894424 04 MOV DWORD PTR SS:[ESP+4],EAX

00401698 |. 8B85 08FFFFFF MOV EAX,DWORD PTR SS:[EBP-F8]

0040169E |. 890424 MOV DWORD PTR SS:[ESP],EAX

004016A1 |. E8 34FCFFFF CALL craomaxx.004012DA

004016A6 |. 8985 00FFFFFF MOV DWORD PTR SS:[EBP-100],EAX

004016AC |. 8B85 00FFFFFF MOV EAX,DWORD PTR SS:[EBP-100]

004016B2 |. 2385 08FFFFFF AND EAX,DWORD PTR SS:[EBP-F8]

004016B8 |. 3385 04FFFFFF XOR EAX,DWORD PTR SS:[EBP-FC]

004016BE |. 8985 FCFEFFFF MOV DWORD PTR SS:[EBP-104],EAX

004016C4 |. 8B85 00FFFFFF MOV EAX,DWORD PTR SS:[EBP-100]

004016CA |. 894424 08 MOV DWORD PTR SS:[ESP+8],EAX

004016CE |. 8B85 04FFFFFF MOV EAX,DWORD PTR SS:[EBP-FC]

004016D4 |. 894424 04 MOV DWORD PTR SS:[ESP+4],EAX

004016D8 |. 8B85 08FFFFFF MOV EAX,DWORD PTR SS:[EBP-F8]

004016DE |. 890424 MOV DWORD PTR SS:[ESP],EAX

004016E1 |. E8 D0FBFFFF CALL craomaxx.004012B6

004016E6 |. 8985 F8FEFFFF MOV DWORD PTR SS:[EBP-108],EAX

004016EC |. 8B85 F8FEFFFF MOV EAX,DWORD PTR SS:[EBP-108]

004016F2 |. 894424 0C MOV DWORD PTR SS:[ESP+C],EAX

004016F6 |. 8B85 FCFEFFFF MOV EAX,DWORD PTR SS:[EBP-104]

004016FC |. 894424 08 MOV DWORD PTR SS:[ESP+8],EAX

00401700 |. 8B85 04FFFFFF MOV EAX,DWORD PTR SS:[EBP-FC]

00401706 |. 894424 04 MOV DWORD PTR SS:[ESP+4],EAX

0040170A |. 8B85 08FFFFFF MOV EAX,DWORD PTR SS:[EBP-F8]

00401710 |. 890424 MOV DWORD PTR SS:[ESP],EAX

00401713 |. E8 DCFBFFFF CALL craomaxx.004012F4

00401718 |. 8985 F4FEFFFF MOV DWORD PTR SS:[EBP-10C],EAX

0040171E |. 8B85 10FFFFFF MOV EAX,DWORD PTR SS:[EBP-F0]

00401724 |. 890424 MOV DWORD PTR SS:[ESP],EAX

00401727 |. E8 F8FBFFFF CALL craomaxx.00401324

0040172C |. 8985 10FFFFFF MOV DWORD PTR SS:[EBP-F0],EAX

00401732 |. 8B85 0CFFFFFF MOV EAX,DWORD PTR SS:[EBP-F4]

00401738 |. 890424 MOV DWORD PTR SS:[ESP],EAX

0040173B |. E8 E4FBFFFF CALL craomaxx.00401324

00401740 |. 8985 0CFFFFFF MOV DWORD PTR SS:[EBP-F4],EAX

00401746 |. 8B85 08FFFFFF MOV EAX,DWORD PTR SS:[EBP-F8]

0040174C |. 890424 MOV DWORD PTR SS:[ESP],EAX

0040174F |. E8 D0FBFFFF CALL craomaxx.00401324

00401754 |. 8985 08FFFFFF MOV DWORD PTR SS:[EBP-F8],EAX

0040175A |. 8B85 04FFFFFF MOV EAX,DWORD PTR SS:[EBP-FC]

00401760 |. 890424 MOV DWORD PTR SS:[ESP],EAX

00401763 |. E8 BCFBFFFF CALL craomaxx.00401324

00401768 |. 8985 04FFFFFF MOV DWORD PTR SS:[EBP-FC],EAX

0040176E |. 8B85 00FFFFFF MOV EAX,DWORD PTR SS:[EBP-100]

00401774 |. 890424 MOV DWORD PTR SS:[ESP],EAX

00401777 |. E8 A8FBFFFF CALL craomaxx.00401324

0040177C |. 8985 00FFFFFF MOV DWORD PTR SS:[EBP-100],EAX

00401782 |. 8B85 F4FEFFFF MOV EAX,DWORD PTR SS:[EBP-10C]

00401788 |. 890424 MOV DWORD PTR SS:[ESP],EAX

0040178B |. E8 94FBFFFF CALL craomaxx.00401324

00401790 |. 8985 F4FEFFFF MOV DWORD PTR SS:[EBP-10C],EAX ; |

00401796 |. 8B85 F4FEFFFF MOV EAX,DWORD PTR SS:[EBP-10C] ; |

0040179C |. 894424 1C MOV DWORD PTR SS:[ESP+1C],EAX ; |

004017A0 |. 8B85 00FFFFFF MOV EAX,DWORD PTR SS:[EBP-100] ; |

004017A6 |. 894424 18 MOV DWORD PTR SS:[ESP+18],EAX ; |

004017AA |. 8B85 04FFFFFF MOV EAX,DWORD PTR SS:[EBP-FC] ; |

004017B0 |. 894424 14 MOV DWORD PTR SS:[ESP+14],EAX ; |

004017B4 |. 8B85 08FFFFFF MOV EAX,DWORD PTR SS:[EBP-F8] ; |

004017BA |. 894424 10 MOV DWORD PTR SS:[ESP+10],EAX ; |

004017BE |. 8B85 0CFFFFFF MOV EAX,DWORD PTR SS:[EBP-F4] ; |

004017C4 |. 894424 0C MOV DWORD PTR SS:[ESP+C],EAX ; |

004017C8 |. 8B85 10FFFFFF MOV EAX,DWORD PTR SS:[EBP-F0] ; |

004017CE |. 894424 08 MOV DWORD PTR SS:[ESP+8],EAX ; |

004017D2 |. C74424 04 7840>MOV DWORD PTR SS:[ESP+4],craomaxx.004040>; |ASCII "C%dr%do%dm%da%dx%dX"

004017DA |. 8D85 18FFFFFF LEA EAX,DWORD PTR SS:[EBP-E8] ; |

004017E0 |. 890424 MOV DWORD PTR SS:[ESP],EAX ; |

004017E3 |. E8 C8070000 CALL <JMP.&msvcrt.sprintf> ; \sprintf

004017E8 |. C785 14FFFFFF >MOV DWORD PTR SS:[EBP-EC],0

004017F2 |> 8D85 18FFFFFF /LEA EAX,DWORD PTR SS:[EBP-E8] ; |

004017F8 |. 890424 |MOV DWORD PTR SS:[ESP],EAX ; |

004017FB |. E8 D0070000 |CALL <JMP.&msvcrt.strlen> ; \strlen

00401800 |. 3985 14FFFFFF |CMP DWORD PTR SS:[EBP-EC],EAX

00401806 |. 73 2A |JNB SHORT craomaxx.00401832

00401808 |. 8D45 F8 |LEA EAX,DWORD PTR SS:[EBP-8]

0040180B |. 0385 14FFFFFF |ADD EAX,DWORD PTR SS:[EBP-EC]

00401811 |. 2D E0000000 |SUB EAX,0E0

00401816 |. FE00 |INC BYTE PTR DS:[EAX]

00401818 |. 8D45 F8 |LEA EAX,DWORD PTR SS:[EBP-8]

0040181B |. 0385 14FFFFFF |ADD EAX,DWORD PTR SS:[EBP-EC]

00401821 |. 2D E0000000 |SUB EAX,0E0

00401826 |. FE00 |INC BYTE PTR DS:[EAX]

00401828 |. 8D85 14FFFFFF |LEA EAX,DWORD PTR SS:[EBP-EC]

0040182E |. FF00 |INC DWORD PTR DS:[EAX]

00401830 |.^EB C0 \JMP SHORT craomaxx.004017F2

00401832 |> 8B45 08 MOV EAX,DWORD PTR SS:[EBP+8]

00401835 |. 894424 08 MOV DWORD PTR SS:[ESP+8],EAX







यहाँ संख्याओं से मिलकर आठ क्रमों का निर्माण होता है। अगला, उनमें से छह, तर्क के साथ स्प्रिंटफ फ़ंक्शन का उपयोग करते हुए सी% ड्र%% डीएम% दा% डीएक्स% डीएक्स, ऐसी लाइन बनाते हैं (एन एक अनुक्रम है) -

C p1 r P2 o p3 m p4 a p5 x p6 X

फिर एक ऐसी प्रक्रिया है जो ASCII तालिका में अगले एक चरित्र के साथ इस विशाल रेखा के प्रत्येक चरित्र को प्रतिस्थापित करती है (क्षमा करें, लेकिन मुझे नहीं पता कि इसे अलग तरीके से कैसे समझा जाए)। उदाहरण के लिए, एक प्रतीक A बन गया C, वहाँ 1 बन गया 3, और इसी तरह। और परिणाम एक समाप्त, वैध सीरियल है।

मुश्किल यह है कि ये लाइनें लगभग बेतरतीब ढंग से बनती हैं। यही है, यहाँ हम एक पारंपरिक नाम संशोधन नहीं देखते हैं, बल्कि रजिस्टरों और स्टैक में निहित पतों का एक संशोधन करते हैं। नाम की लंबाई के आधार पर पते में परिवर्तन होता है, इसलिए समान लंबाई वाले नामों में एक ही धारावाहिक होगा यदि यह कुछ यादृच्छिक मूल्य के लिए नहीं है, जिसके गठन का सिद्धांत मुझे समझ में नहीं आता है (यह टिप्पणी की गई है)। ऊपर दिए गए कोड पर मेरे द्वारा टिप्पणी नहीं की गई है, क्योंकि इसमें मुख्य रूप से गणितीय कार्य शामिल हैं जिन्हें समझना मुश्किल नहीं है।

उदाहरण

उदाहरण का नाम - Myname

एक सीरियल का एक उदाहरण E99696 ;: 2t5284; 342q87 ;: 6458o696924: c3995: 68326z432575 ;: 22Z;



उदाहरण name2 - नाम

सीरियल उदाहरण 2 - E73872238t9: 5274: q; 5257262o; 2752558c3: 72987622z3: 575886 :: Z

उदाहरण केवल यादृच्छिक मान के कारण आपके लिए काम नहीं कर सकते हैं।



यहाँ एक अनसुलझी keygenmy का ऐसा उदाहरण है।



PS अगला लेख अधिक दिलचस्प होगा। मैं आपको मैनुअल अनपैकिंग और अधिक जटिल एन्क्रिप्शन एल्गोरिदम के बारे में बताऊंगा।