सरल दरार की खोज (भाग 3)

नमस्ते, हब्रलुमि।

मैं अपने लेख श्रृंखला के तीसरे भाग को आपके लिए quackies के अध्ययन पर प्रस्तुत करता हूं। इस विषय में, हम आपसे कुछ पैकर्स के अनपैकिंग के बारे में बात करेंगे और जटिल रूप से एंटी-डीबगिंग विधियों पर काबू नहीं करेंगे।

1. मैनुअल अनपैकिंग

मेरे द्वारा आवश्यक उपकरणों से:

• 1. ओलीडबग
• 2. ऑली डंप प्लगिन
• 3. इम्प्रेस
• 4. पीई उपकरण
• 5. पयोद

सिद्धांत

एक पैक्ड प्रोग्राम निम्नानुसार काम करता है:

सबसे पहले, अनपैकर कोड लॉन्च किया जाता है, जो पैक्ड प्रोग्राम कोड को डिक्रिप्ट करना शुरू करता है। डिक्रिप्शन पूरा होने के बाद, ओईपी कार्यक्रम के लिए एक छलांग लगाई जाती है और फिर पहले से अनपैक किया गया प्रोग्राम कोड चलना शुरू हो जाता है।



अनपैकिंग एल्गोरिथ्म निम्नानुसार होगा:

1. RVA OEP का पता लगाएं।

2. प्रोग्राम को डंप करें।

3. आयात तालिका को पुनर्स्थापित करें।

4. प्रवेश बिंदु को मूल में बदलें।



तो, हमें जो OEP पता चाहिए वह सूत्र द्वारा गणना किया जाता है:

RVA OEP = VA OEP - ImageBase



, जहां:

Image Base मेमोरी का पता है जिसमें से प्रोग्राम को मेमोरी में लोड किया जाता है

OEP (ओरिजनल एंट्री पॉइंट) वह पता है, जहां से यदि यह पैक नहीं किया गया तो प्रोग्राम चलना शुरू हो जाएगा।

वर्चुअल एड्रेस (VA) - मेमोरी में आइटम का वर्चुअल एड्रेस

रिलेटिव वर्चुअल एड्रेस (RVA) - रिलेटिव वर्चुअल एड्रेस। पता ImageBase के सापेक्ष है।

ठीक है, उदाहरण के लिए, हमने OEP को 00301000 के बराबर पाया, और ImageBase को 00300000 के बराबर, फिर RVA OEP को 1000 के बराबर किया। ImageBase का मूल्य किसी भी हेडर एडिटर PE में देखकर पाया जा सकता है।

RVA OEP खोजने के बाद हमें डंप प्रोग्राम को हटाने की आवश्यकता है। डंप का अर्थ है - मेमोरी का क्षेत्र (भाग) या मेमोरी से डिस्क पर सेव की गई फाइल। डंप को हटाने का मतलब हार्ड ड्राइव पर वांछित मेमोरी क्षेत्र (आमतौर पर कार्यक्रम द्वारा कब्जा कर लिया गया) को बचाने के लिए है। परिणामस्वरूप, हमें अनपैक्ड प्रोग्राम मिलता है।

अगला, हमें आयात तालिका को पुनर्स्थापित करने की आवश्यकता है। आयात तालिका अपने ऑपरेशन के दौरान कार्यक्रम द्वारा उपयोग किए जाने वाले कार्यों के बारे में जानकारी संग्रहीत करती है। प्रारंभ में, आयात तालिका उन पतों को संग्रहीत करती है जिन पर आयातित कार्यों के नाम फ़ाइल में स्थित हैं, अर्थात्। कार्यक्रम संचालन के दौरान उपयोग किए जाने वाले कार्य। जब कार्यक्रम शुरू होता है, तो ये पते (यह सभी मेमोरी में है) आयातित कार्यों के प्रत्यक्ष पते द्वारा ओवरराइट किए जाते हैं। इसे पुनर्स्थापित करना आवश्यक है क्योंकि उन कोशिकाओं में जो मूल रूप से ऑपरेटिंग सिस्टम के किसी भी संस्करण में कार्यों के प्रत्यक्ष पते प्राप्त करने के लिए उपयोग किए जाने वाले कार्यों के नाम के पते होते हैं, पहले से ही सिस्टम में इन कार्यों के पते से भरे होते हैं जिसमें प्रोग्राम को डंप किया गया था। इस मामले में, फ़ंक्शन के नामों के पते के बारे में जानकारी अब बहाल नहीं की जा सकती है, और इस तरह के कार्यक्रम को शुरू करते समय, पहले से रिकॉर्ड किए गए कार्यों के प्रत्यक्ष पते का उपयोग किया जाएगा। और यह ओएस के अन्य संस्करणों पर कार्यक्रम की अक्षमता की ओर जाता है।

और अंत में, OEP को पुनर्स्थापित करें। यह किसी भी पीई हेडर एडिटर का उपयोग करके किया जा सकता है।

यह संपूर्ण सिद्धांत है।

अभ्यास

इस लेख में हम दो पैकर्स पर विचार करेंगे। ये हैं UPX और ASPack। अन्य पैकर्स को अनपैक करना इन दोनों को अनपैक करने से बहुत अलग नहीं होगा।

UPX

नवीनतम संस्करण डाउनलोड करें। हम कुछ पैक करते हैं। डीबगर के नीचे इसे चलाएँ।

पैक्ड कोड के डिक्रिप्शन के दौरान, पैकर स्टैक का पूर्ण उपयोग करता है। स्वाभाविक रूप से, सही ढंग से काम करने के लिए पैक्ड प्रोग्राम के लिए, पैकर को स्टैक के प्रारंभिक मूल्य को बचाने की जरूरत है और फिर, अनपैकिंग के बाद, इसे पुनर्स्थापित करें। लगभग सभी पैकर्स में, जब वे ओईपी पर स्विच करने से पहले स्टैक को पुनर्स्थापित करते हैं, तो स्टैक में वैल्यू एस्प -4 पर पढ़ा जाता है।

इस प्रकार, ऑली में, हमने "घंटा एस्प -4" कमांड के साथ ब्रेकडाउन रखा। फिर कार्यक्रम चलाएं और देखें कि ब्रेक ने यहां काम किया:



00472176 . 8D4424 80 LEA EAX,DWORD PTR SS:[ESP-80] //

0047217A > 6A 00 PUSH 0 //

0047217C . 39C4 CMP ESP,EAX //

0047217E .^75 FA JNZ SHORT 111.0047217A //.

00472180 . 83EC 80 SUB ESP,-80

00472183 .^E9 386EFEFF JMP 111.00458FC0 // OEP







अगला, हम OEP के लिए प्रोग्राम का पता लगाते हैं (मोटे तौर पर बोलते हुए, हम OEP बन जाते हैं)। ऑली डंप प्लगइन का उपयोग करके, हम प्रोग्राम को डंप करते हैं।

अब यह सब आयात को बहाल करने के लिए है। हम अपने पैकेज्ड प्रोग्राम और इम्प्रेक चलाते हैं। ImpREC'a प्रक्रियाओं की सूची में हम अपना कार्यक्रम पाते हैं। RVA फ़ील्ड में, RVA OEP दर्ज करें (ऊपर वर्णित है कि इसे कैसे खोजें)। AutoSearch पर क्लिक करें। संदेश प्रकट होने के बाद, सबसे अधिक संभावना है कि कुछ पाया जाता है, गेट इम्पोर्ट्स पर क्लिक करें और यदि फ़ंक्शन सूची में दिखाई देते हैं, तो फिक्स डंप पर क्लिक करें और अपने डंप का चयन करें। यह सब प्रोग्राम अनपैक्ड है।

ASPack

कुछ बिंदु के अपवाद के साथ यहां सब कुछ समान है। दरार को स्थापित करने के बाद, हम यहां आते हैं:



0046F416 75 08 JNZ SHORT Test_Com.0046F420

0046F418 B8 01000000 MOV EAX,1

0046F41D C2 0C00 RETN 0C

0046F420 68 C08F4500 PUSH Test_Com.00458FC0 // OEP

0046F425 C3 RETN // OEP







शेष प्रक्रिया समान है।

क्रैकमिस को अनपैक करना

यहाँ यह दरार है।

जैसा कि ऊपर वर्णित है अनपैक। सब कुछ पूरी तरह से अनपैक्ड है। (संदर्भ के लिए, ओईपी = 00401000)। उसके बाद, हम GetDlgItemTextA फ़ंक्शन को कॉल पर ब्रेक निचोड़ते हैं, इसे शुरू करते हैं, नकली पास दर्ज करते हैं, बटन पर क्लिक करें और यहां प्राप्त करें:



00401206 . E8 1B060000 CALL <JMP.&user32.GetDlgItemTextA> //

0040120B . 8B35 00604000 MOV ESI,DWORD PTR DS:[406000]

00401211 . 81C6 7F010300 ADD ESI,3017F

00401217 . 81EE 66060000 SUB ESI,666

0040121D . 81F6 ADDE0000 XOR ESI,0DEAD

00401223 . BB 33604000 MOV EBX,dddddddd.00406033

00401228 . C0E0 03 SHL AL,3 // !

0040122B . 83F8 78 CMP EAX,78 // !

0040122E . 0F85 9A050000 JNZ dddddddd.004017CE // ""







EAX में हमारे पास दर्ज पासवर्ड की लंबाई है। SHL अल, 3 कमांड के साथ, हम 3 से बाईं ओर AL मान की एक तार्किक पारी करते हैं और, आदर्श रूप से, हमें 78 प्राप्त करना चाहिए। हम रिवर्स शल प्रक्रिया करेंगे। यह स्थान 78.3 = 0F = 15 वैध पासवर्ड की लंबाई है। फिर मैंने किसी बिंदु पर बहुत लंबे समय के लिए पता लगाया और रास्ते में मुझे कई विरोधी डिबगिंग चालें आईं:



004012B0 0F31 RDTSC //

004012B2 8BC8 MOV ECX,EAX

004012B4 0F31 RDTSC //

004012B6 2BC8 SUB ECX,EAX

004012B8 F7D1 NOT ECX

004012BA 81F9 00500000 CMP ECX,5000

004012C0 -7F FE JG SHORT crackme2.004012C0 //







आरडीसीटीएस निर्देश ईएएक्सएक्स पर लौटता है, अंतिम प्रोसेसर रीसेट के बाद से घड़ी चक्र की संख्या दर्ज करता है। उपरोक्त कोड में, हम इस निर्देश पर दो कॉल देखते हैं और फिर एक निश्चित संदर्भ मूल्य के साथ उनके आउटपुट में अंतर की तुलना करते हैं। तथ्य यह है कि जब प्रोग्राम को डिबगर के बिना निष्पादित किया जाता है, तो घड़ी का अंतर छोटा होगा, और जब यह डीबगर के नीचे होगा तो अंतर बड़ा होगा। आपको ऐसे कई क्षण मिलेंगे, बस उन्हें पैच करें या झंडे बदलें। जब आप अगले क्षण का पता लगाते हैं:



0040126A 0F31 RDTSC

0040126C 8BC8 MOV ECX,EAX

0040126E 0F31 RDTSC

00401270 2BC8 SUB ECX,EAX

00401272 F7D1 NOT ECX

00401274 81F9 00500000 CMP ECX,5000

0040127A 7C 05 JL SHORT crackme2.00401281

0040127C -E9 139C04EC JMP EC44AE94

00401281 EB 0D JMP SHORT crackme2.00401290







0040127C पर ध्यान दें। यहाँ एक छलांग एक बिना पते के लिए बनाई गई है, इसलिए साहसपूर्वक 00401281 पर संक्रमण को पैच करें। ऐसे कई क्षण होंगे। निम्न कोड के लिए ट्रेस:



004014F1 0FB613 MOVZX EDX,BYTE PTR DS:[EBX] ; EBX, EDX

004014F4 B9 08000000 MOV ECX,8

004014F9 AC LODS BYTE PTR DS:[ESI] ; EAX -

004014FA 24 01 AND AL,1 ; and 1

004014FC 74 04 JE SHORT crackme2.00401502

004014FE D0E2 SHL DL,1

00401500 72 08 JB SHORT crackme2.0040150A

00401502 D0E2 SHL DL,1

00401504 0F82 BF020000 JB crackme2.004017C9 ;

0040150A ^E2 ED LOOPD SHORT crackme2.004014F9

0040150C 43 INC EBX

0040150D 58 POP EAX

0040150E 48 DEC EAX

0040150F 0F84 9A020000 JE crackme2.004017AF

00401515 50 PUSH EAX

00401516 ^EB D9 JMP SHORT crackme2.004014F1







मैंने इस पल के बारे में बहुत लंबे समय तक सोचा। यह पता चला कि यह एक पासवर्ड जनरेशन प्रक्रिया है। यही है, पासवर्ड प्रोग्राम में स्पष्ट में संग्रहीत नहीं है। पूरे पीढ़ी में AL 1 या 0. मान लेता है, इसलिए पासवर्ड बनाने और सभी मानों को लिखने के लिए पूरी प्रक्रिया का पता लगाया है, मुझे द्विआधारी मूल्यों का एक बड़ा तार मिला है (सुविधा के लिए मैंने इसे दशमलव प्रणाली में अनुवादित किया है):



119 101 108 108 100 111 110 101 85 102 105 110 100 109 101







यह देखते हुए कि हर आठ अक्षर (एक डबल लाइन में, और मैं दशमलव में परिवर्तित हो गया, इसलिए यहां प्रत्येक वर्ण को एक स्थान के साथ बनाया गया है), तब उत्पन्न किया गया था जब हमने EDX में हमारे दर्ज पासवर्ड का एक निश्चित वर्ण डाल दिया था, हम कह सकते हैं कि ऊपर की रेखा है वैध पासवर्ड। इसे रीकोड करके "वेलडोनेउन्तेमेमे" निकला।

2. कुछ डिबगिंग के तरीके

बहुत सारे एंटी-डिबगिंग तरीके हैं, इस लेख से शुरू करके हम उन्हें बारी-बारी से सरल से जटिल विश्लेषण करेंगे।

तो, crackmes.de पर बस एक विशेष दरार है, जिसे एंटीऑली कहा जाता है। इसे डाउनलोड करें, इसे चलाएं और निम्न विंडो देखें:







यहाँ वे हमें बताते हैं कि कुछ भी नहीं मिला और हम कामयाब रहे। अब हमें इस बात का अंदाजा है कि "अच्छा" संदेश कैसा दिखता है। हम ओलियम में क्रायकिम को लोड करते हैं और हम निम्नलिखित देखते हैं:







त्रुटि इस तथ्य के कारण होती है कि ऑली ने हमारी दरार के हेडर का विश्लेषण किया, उसमें त्रुटियां पाईं (हेडर)। लेकिन यह निश्चित है। हम पीई एडिअर में अपनी दरार को लोड करते हैं और वैकल्पिक हेडर टैब पर जाते हैं। मेरा ध्यान NumberOfRVAandSize, कोड के आधार और डेटा मापदंडों के आधार के "बहुत बड़े" मूल्य के लिए आकर्षित किया गया था। आमतौर पर, NumberOfRVAandSize = 0x00000010, कोड का आधार = 00001000, डेटा का आधार = 00002000। इन मापदंडों को "सामान्य" में बदलें और डीबगर के नीचे दरार को चलाएं। अब अपमानजनक संदेश दिखाई नहीं देता (वह है, यह बना रहता है, लेकिन विश्लेषण को प्रभावित नहीं करता है) और हम सुरक्षित रूप से दरार का विश्लेषण कर सकते हैं। तो यह पहली डिबेटिंग ट्रिक थी।

डिबगिंग के तहत क्रायकिमिस चलाना, हम एक "बुरा" संदेश देखते हैं:







कार्यक्रम का विश्लेषण करने के बाद, हमें एंटी-डीबगिंग कोड का एक भाग मिलता है:



00401010 |. FFD7 CALL EDI // GetTickCount

00401012 |. 6A 00 PUSH 0

00401014 |. 68 34214000 PUSH AntiOlly.00402134

00401019 |. 8BF0 MOV ESI,EAX

0040101B |. FF15 DC204000 CALL DWORD PTR DS:[4020DC] //FindWindowA

00401021 |. 85C0 TEST EAX,EAX

00401023 |. 75 04 JNZ SHORT AntiOlly.00401029

00401025 |. 884424 0F MOV BYTE PTR SS:[ESP+F],AL

00401029 |> FF15 04204000 CALL DWORD PTR DS:[402004] //IsDebuggerPresent







तो, पहला GetTickCount फ़ंक्शन है। यह फ़ंक्शन मिलीसेकंड में सिस्टम की शुरुआत के बाद से गुजरे समय को लौटाता है। तथ्य यह है कि इस फ़ंक्शन के लिए एक और कॉल है। इसके अलावा, निम्नलिखित कोड में, इन कार्यों को करने के परिणामस्वरूप प्राप्त मूल्यों के बीच का अंतर मापा जाता है। यह दूसरी डिबेटिंग ट्रिक थी।

इसके बाद FindWindowA के लिए एक कॉल आता है, जो ओलीडबग शीर्षक के साथ एक विंडो खोजता है। और अंत में, IsDebuggerPresent के लिए एक कॉल, जो केवल इस बात की जांच करता है कि प्रोग्राम डीबग किया जा रहा है या नहीं। यदि हां, तो Eax 1 में, यदि नहीं तो 0।

यहाँ जाँच की जाती है कि क्रिकमिसिस आचरण करता है:



0040102F |. 85C0 TEST EAX,EAX // IsDebuggerPresent

00401031 |. 75 02 JNZ SHORT AntiOlly.00401035 // 00401035

00401033 |. 32DB XOR BL,BL // BL

00401035 |> FFD7 CALL EDI // GetTickCount

00401037 |. 2BF0 SUB ESI,EAX

00401039 |. 83FE 64 CMP ESI,64 //

0040103C |. 76 0D JBE SHORT AntiOlly.0040104B // ok 0040104B

0040103E |. A1 44204000 MOV EAX,DWORD PTR DS:[402044]

00401043 |. 50 PUSH EAX

00401044 |. 68 3C214000 PUSH AntiOlly.0040213C

00401049 |. EB 3F JMP SHORT AntiOlly.0040108A // ok

0040104B |> 84DB TEST BL,BL

0040104D |. 74 14 JE SHORT AntiOlly.00401063 // IsDebuggerPresent

0040104F |. 8B15 44204000 MOV EDX,DWORD PTR DS:[402044]

00401055 |. A1 60204000 MOV EAX,DWORD PTR DS:[402060]

0040105A |. 52 PUSH EDX

0040105B |. 68 3C214000 PUSH AntiOlly.0040213C

00401060 |. 50 PUSH EAX

00401061 |. EB 2E JMP SHORT AntiOlly.00401091

00401063 |> 807C24 0F 00 CMP BYTE PTR SS:[ESP+F],0 // FindWindow

00401068 |. 74 15 JE SHORT AntiOlly.0040107F







मुझे लगता है कि अब यह स्पष्ट हो गया है कि रजिस्टरों को कहाँ पैच या एडिट करना है।

आपका ध्यान के लिए बहुत बहुत धन्यवाद।