2011年成都信息工程学院第二季极客大挑战逆向第三题Game破文

【文章标题】: 2011年成都信息工程学院第二季极客大挑战逆向第三题Game破文
【文章作者】: JoyChou
【软件名称】: Game
【软件大小】: 176KB
【下载地址】: http://www.cnblogs.com/Joy7/admin/Files.aspx
【加壳方式】: 无壳
【保护方式】: 注册码保护
【编写语言】: Microsoft Visual C++ 5.0 [Debug]
【使用工具】: PEiD,OD,IDA
【操作平台】: XP SP3
【软件介绍】: 一个简单的猜数字游戏
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
首先用PEiD查壳，VC++写的。
运行下看看，程序叫直接猜数，随便输入123456，然后显示try again
接下来用OD载入，查找again字符串。这个没有对提示信息隐藏，能用OD插件搜索到。
也没可以敏感的API函数下断，例如 bp MessageBoxA
这里菜鸟就用消息跟踪吧。效果和上面一样。主要是起个抛砖引玉的作用。

首先F9运行，输入假码后，不点击“我猜”按钮，然后在OD菜单栏查看窗口，这“我猜”按钮处右键设置ClassProc消息断点

  1 再选择202，再点击“我猜”按钮，程序就断下来了，不过是在系统领空，接着ALT+F9，就可以返回到程序领空
  2 00401113 |. 6A 10 push 10 ; /Count = 10 (16.)
  3 00401115 |. 8D45 EC lea eax,dword ptr ss:[ebp-14] ; |
  4 00401118 |. 50 push eax ; |Buffer
  5 00401119 |. 68 E9030000 push 3E9 ; |ControlID = 3E9 (1001.)
  6 0040111E |. 8B4D 08 mov ecx,dword ptr ss:[ebp+8] ; |
  7 00401121 |. 51 push ecx ; |hWnd
  8 00401122 |. FF15 C4A24200 call dword ptr ds:[<&USER32.GetDlgItemTextA>>; \GetDlgItemTextA
  9 00401128 |. 3BF4 cmp esi,esp
 10 0040112A |. E8 91030000 call Game.004014C0
 11 0040112F |. 8D55 EC lea edx,dword ptr ss:[ebp-14] ; 假码
 12 00401132 |. 52 push edx ; 假码入栈
 13 00401133 |. E8 D7FEFFFF call Game.0040100F
 14 00401138 |. 83C4 04 add esp,4
 15 0040113B |. 85C0 test eax,eax
 16 0040113D |. 74 21 je short Game.00401160
 17 0040113F |. 8BF4 mov esi,esp
 18 00401141 |. 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
 19 00401143 |. 68 3C204200 push Game.0042203C ; |key:
 20 00401148 |. 68 2C204200 push Game.0042202C ; |is your input
 21 0040114D |. 8B45 08 mov eax,dword ptr ss:[ebp+8] ; |
 22 00401150 |. 50 push eax ; |hOwner
 23 00401151 |. FF15 C8A24200 call dword ptr ds:[<&USER32.MessageBoxA>] ; \MessageBoxA
 24 00401157 |. 3BF4 cmp esi,esp
 25 00401159 |. E8 62030000 call Game.004014C0
 26 0040115E |. EB 1F jmp short Game.0040117F
 27 00401160 |> 8BF4 mov esi,esp
 28 00401162 |. 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
 29 00401164 |. 68 24204200 push Game.00422024 ; |try:
 30 00401169 |. 68 1C204200 push Game.0042201C ; |again
 31 0040116E |. 8B4D 08 mov ecx,dword ptr ss:[ebp+8] ; |
 32 00401171 |. 51 push ecx ; |hOwner
 33 00401172 |. FF15 C8A24200 call dword ptr ds:[<&USER32.MessageBoxA>] ; \MessageBoxA
 34 00401178 |. 3BF4 cmp esi,esp //返回到这，向上看就懂了
 35 
 36 
 37 F7进入00401133 这个关键call
 38 00401320 /> \55 push ebp
 39 00401321 |. 8BEC mov ebp,esp
 40 00401323 |. 83EC 58 sub esp,58
 41 00401326 |. 53 push ebx
 42 00401327 |. 56 push esi
 43 00401328 |. 57 push edi
 44 00401329 |. 8D7D A8 lea edi,dword ptr ss:[ebp-58] ; HDg
 45 0040132C |. B9 16000000 mov ecx,16
 46 00401331 |. B8 CCCCCCCC mov eax,CCCCCCCC
 47 00401336 |. F3:AB rep stos dword ptr es:[edi]
 48 00401338 |. C645 EC 00 mov byte ptr ss:[ebp-14],0
 49 0040133C |. 33C0 xor eax,eax
 50 0040133E |. 8945 ED mov dword ptr ss:[ebp-13],eax
 51 00401341 |. 8945 F1 mov dword ptr ss:[ebp-F],eax
 52 00401344 |. 8945 F5 mov dword ptr ss:[ebp-B],eax
 53 00401347 |. 66:8945 F9 mov word ptr ss:[ebp-7],ax
 54 0040134B |. 8845 FB mov byte ptr ss:[ebp-5],al
 55 0040134E |. 8B4D 08 mov ecx,dword ptr ss:[ebp+8] ; 假码
 56 00401351 |. 51 push ecx ; 假码入栈
 57 00401352 |. E8 A9010000 call Game.00401500 ; 计算假码长度返回给eax，这里就不进去了
 58 00401357 |. 83C4 04 add esp,4
 59 0040135A |. 8945 FC mov dword ptr ss:[ebp-4],eax ; ebp-4为假码长度
 60 0040135D |. C745 E8 01000>mov dword ptr ss:[ebp-18],1 ; i=i+2,i初始化为1
 61 00401364 |. EB 09 jmp short Game.0040136F
 62 00401366 |> 8B55 E8 /mov edx,dword ptr ss:[ebp-18]
 63 00401369 |. 83C2 02 |add edx,2
 64 0040136C |. 8955 E8 |mov dword ptr ss:[ebp-18],edx
 65 0040136F |> 8B45 E8 mov eax,dword ptr ss:[ebp-18]
 66 00401372 |. 3B45 FC |cmp eax,dword ptr ss:[ebp-4]
 67 00401375 |. 7D 17 |jge short Game.0040138E ; eax大于等于假码长度就跳出循环
 68 00401377 |. 8B4D 08 |mov ecx,dword ptr ss:[ebp+8] ; ebp+8指向假码
 69 0040137A |. 034D E8 |add ecx,dword ptr ss:[ebp-18] ; 取偶数位，也就是s[1],s[3],s[5]数组表示
 70 0040137D |. 0FBE11 |movsx edx,byte ptr ds:[ecx] ; 依次给edx
 71 00401380 |. 83FA 32 |cmp edx,32 ; 和2比较
 72 00401383 |. 74 07 |je short Game.0040138C ; 相等就跳
 73 00401385 |. 33C0 |xor eax,eax
 74 00401387 |. E9 B4000000 |jmp Game.00401440 ; 跳向错误
 75 0040138C |>^ EB D8 \jmp short Game.00401366
 76 
 77 所以程序先处理偶数位，要求就是每位偶数位都是2，下面就是处理奇数位，但是处理奇数位的时候用了一个反汇编代码比较多的表示方法
 78 
 79 a % 2 == 0，当然0，2，4，6等余数都是0，所以表示的是奇数。
 80 
 81 if(a % 2 == 0)
 82 {
 83 //do something
 84 }
 85 对应的汇编指令比较多些
 86 
 87 Assembly code
 88 
 89 00A31395 mov eax,dword ptr [a] 
 90 00A31398 and eax,80000001h 
 91 00A3139D jns main+34h (0A313A4h) 
 92 00A3139F dec eax 
 93 00A313A0 or eax,0FFFFFFFEh 
 94 00A313A3 inc eax 
 95 00A313A4 text eax,eax
 96 00A313A7 jne main+40h (0A313B0h) 
 97 
 98 如果这样处理
 99 if(a & 0x1 == 1)
100 {
101 //do something
102 }
103 对应的汇编指令好少啊~
104 
105 Assembly code    
106 
107 002D1395 mov eax,dword ptr [a] 
108 002D1398 and eax,1 
109 002D139B je main+34h (2D13A4h)
110 相比之下，我想出题者肯定是想增加下难度而已。菜鸟再次飘过~~下面继续分析奇数位~~
111 
112 接下来的代码就是将奇数位放在ebp-14，这里菜鸟就不仔细分析了，有时候可以直接步过看结果，猜测算法，大大减少了分析代码的时间
113 0040138E |> \C745 E8 00000>mov dword ptr ss:[ebp-18],0 ; i=0
114 00401395 |. EB 09 jmp short Game.004013A0
115 00401397 |> 8B45 E8 /mov eax,dword ptr ss:[ebp-18]
116 0040139A |. 83C0 01 |add eax,1 ; i++
117 0040139D |. 8945 E8 |mov dword ptr ss:[ebp-18],eax
118 004013A0 |> 8B4D E8 mov ecx,dword ptr ss:[ebp-18]
119 004013A3 |. 3B4D FC |cmp ecx,dword ptr ss:[ebp-4] ; i和假码长度比较
120 004013A6 |. 7D 2A |jge short Game.004013D2 ; 大于等于就跳
121 004013A8 |. 8B55 E8 |mov edx,dword ptr ss:[ebp-18]
122 004013AB |. 81E2 01000080 |and edx,80000001 ; edx=i^80000001
123 004013B1 |. 79 05 |jns short Game.004013B8 ; SF=0就跳
124 004013B3 |. 4A |dec edx
125 004013B4 |. 83CA FE |or edx,FFFFFFFE
126 004013B7 |. 42 |inc edx
127 004013B8 |> 85D2 |test edx,edx
128 004013BA |. 75 14 |jnz short Game.004013D0
129 004013BC |. 8B45 E8 |mov eax,dword ptr ss:[ebp-18]
130 004013BF |. 99 |cdq
131 004013C0 |. 2BC2 |sub eax,edx
132 004013C2 |. D1F8 |sar eax,1
133 004013C4 |. 8B4D 08 |mov ecx,dword ptr ss:[ebp+8]
134 004013C7 |. 034D E8 |add ecx,dword ptr ss:[ebp-18]
135 004013CA |. 8A11 |mov dl,byte ptr ds:[ecx]
136 004013CC |. 885405 EC |mov byte ptr ss:[ebp+eax-14],dl
137 004013D0 |>^ EB C5 \jmp short Game.00401397
138 004013D2 |> 8D45 EC lea eax,dword ptr ss:[ebp-14]
139 
140 下面就是处理奇数位~~
141 004013D2 |> \8D45 EC lea eax,dword ptr ss:[ebp-14]
142 004013D5 |. 50 push eax ; 奇数位入栈处理
143 004013D6 |. E8 2AFCFFFF call Game.00401005 ; 这个call很重要，进去看看
144 004013DB |. 83C4 04 add esp,4
145 004013DE |. 85C0 test eax,eax ; eax返回应该不为0
146 004013E0 |. 74 2D je short Game.0040140F ; 跳向失败，不让它跳
147 004013E2 |. 8D4D EC lea ecx,dword ptr ss:[ebp-14]
148 004013E5 |. 51 push ecx
149 004013E6 |. E8 1AFCFFFF call Game.00401005 ; 和上面call一样，也就是处理两次
150 004013EB |. 83C4 04 add esp,4
151 004013EE |. 85C0 test eax,eax ; eax返回应该不为0
152 004013F0 |. 74 17 je short Game.00401409 ; 跳向失败，不让它跳
153 004013F2 |. 8D55 EC lea edx,dword ptr ss:[ebp-14]
154 004013F5 |. 52 push edx
155 004013F6 |. E8 05010000 call Game.00401500 ; 计算ebp-14指向字符串的长度，再IDA里可以直接看到strlen这个函数名字
156 004013FB |. 83C4 04 add esp,4
157 004013FE |. 83F8 04 cmp eax,4 ; 和4比较
158 00401401 |. 74 04 je short Game.00401407 ; 不相等就跳向失败
159 00401403 |. 33C0 xor eax,eax
160 00401405 |. EB 39 jmp short Game.00401440 ; 跳向失败
161 00401407 |> EB 04 jmp short Game.0040140D ; 长度等于4就跳向这
162 00401409 |> 33C0 xor eax,eax
163 0040140B |. EB 33 jmp short Game.00401440
164 0040140D |> EB 04 jmp short Game.00401413 ; 再跳到这
165 0040140F |> 33C0 xor eax,eax
166 00401411 |. EB 2D jmp short Game.00401440
167 00401413 |> 0FBE45 EC movsx eax,byte ptr ss:[ebp-14] ; 再到这，取奇数第一位
168 00401417 |. 0FBE4D ED movsx ecx,byte ptr ss:[ebp-13] ; 奇数第二位
169 0040141B |. 3BC1 cmp eax,ecx
170 0040141D |. 7E 1F jle short Game.0040143E ; 跳向失败，故第一位应该大于第二位
171 0040141F |. 0FBE55 ED movsx edx,byte ptr ss:[ebp-13]
172 00401423 |. 0FBE45 EE movsx eax,byte ptr ss:[ebp-12] ; 奇数第三位
173 00401427 |. 3BD0 cmp edx,eax
174 00401429 |. 7D 13 jge short Game.0040143E ; 跳向失败，故第二位应该小于第三位
175 0040142B |. 0FBE4D EE movsx ecx,byte ptr ss:[ebp-12]
176 0040142F |. 0FBE55 EF movsx edx,byte ptr ss:[ebp-11] ; 奇数位第四位
177 00401433 |. 3BCA cmp ecx,edx
178 00401435 |. 75 07 jnz short Game.0040143E ; 跳向失败，故第三位应该等于第四位
179 00401437 |. B8 01000000 mov eax,1
180 0040143C |. EB 02 jmp short Game.00401440
181 0040143E |> 33C0 xor eax,eax ; 目的就是跳过这代码，使eax不等于0
182 00401440 |> 5F pop edi
183 00401441 |. 5E pop esi
184 00401442 |. 5B pop ebx
185 00401443 |. 83C4 58 add esp,58
186 00401446 |. 3BEC cmp ebp,esp
187 00401448 |. E8 73000000 call Game.004014C0 ; 没用call
188 0040144D |. 8BE5 mov esp,ebp
189 0040144F |. 5D pop ebp
190 00401450 \. C3 retn
191 
192 这F7进入004013D6 这个call，很关键的call，
193 也就是输入的要求：首先输入的数字必须满足
194 假码的第三位=第三位-第二位，结果加上0x30，最后的结果必须和第一位相等，然后依次循环，即a[3]-a[2]=a[1]
195 等价于第三位=第一位+第二位
196 运行一次，减少一位
197 要运行2次，最后和4比较，故奇数位是6位
198 比如：
199 1235 call一次 变成112 ，就是后者减去前者
200 如果第二次就是 01
201 
202 00401200 /> \55 push ebp
203 00401201 |. 8BEC mov ebp,esp
204 00401203 |. 83EC 44 sub esp,44
205 00401206 |. 53 push ebx
206 00401207 |. 56 push esi
207 00401208 |. 57 push edi
208 00401209 |. 8D7D BC lea edi,dword ptr ss:[ebp-44]
209 0040120C |. B9 11000000 mov ecx,11
210 00401211 |. B8 CCCCCCCC mov eax,CCCCCCCC
211 00401216 |. F3:AB rep stos dword ptr es:[edi]
212 00401218 |. C745 FC 00000>mov dword ptr ss:[ebp-4],0
213 0040121F |. EB 09 jmp short Game.0040122A
214 00401221 |> 8B45 FC /mov eax,dword ptr ss:[ebp-4]
215 00401224 |. 83C0 01 |add eax,1
216 00401227 |. 8945 FC |mov dword ptr ss:[ebp-4],eax
217 0040122A |> 8B4D 08 mov ecx,dword ptr ss:[ebp+8] ; 指向奇数位假码
218 0040122D |. 034D FC |add ecx,dword ptr ss:[ebp-4] ; 循环变量
219 00401230 |. 0FBE51 02 |movsx edx,byte ptr ds:[ecx+2]
220 00401234 |. 85D2 |test edx,edx ; 读取前4个
221 00401236 |. 74 2C |je short Game.00401264
222 00401238 |. 8B45 08 |mov eax,dword ptr ss:[ebp+8]
223 0040123B |. 0345 FC |add eax,dword ptr ss:[ebp-4]
224 0040123E |. 0FBE08 |movsx ecx,byte ptr ds:[eax] ; 取s[0]
225 00401241 |. 8B55 08 |mov edx,dword ptr ss:[ebp+8]
226 00401244 |. 0355 FC |add edx,dword ptr ss:[ebp-4]
227 00401247 |. 0FBE42 02 |movsx eax,byte ptr ds:[edx+2] ; 取s[2]
228 0040124B |. 8B55 08 |mov edx,dword ptr ss:[ebp+8]
229 0040124E |. 0355 FC |add edx,dword ptr ss:[ebp-4]
230 00401251 |. 0FBE52 01 |movsx edx,byte ptr ds:[edx+1] ; 取s[1]
231 00401255 |. 2BC2 |sub eax,edx ; s[2] = s[2]-s[1]
232 00401257 |. 83C0 30 |add eax,30 ; s[2]+0x30
233 0040125A |. 3BC8 |cmp ecx,eax ; ecx必须等于eax，以后依次循环
234 0040125C |. 74 04 |je short Game.00401262
235 0040125E |. 33C0 |xor eax,eax
236 00401260 |. EB 7E |jmp short Game.004012E0
237 00401262 |>^ EB BD \jmp short Game.00401221
238 00401264 |> 8B45 08 mov eax,dword ptr ss:[ebp+8] ; 假码
239 00401267 |. 0345 FC add eax,dword ptr ss:[ebp-4]
240 0040126A |. 0FBE48 01 movsx ecx,byte ptr ds:[eax+1] ; s[3]
241 0040126E |. 8B55 08 mov edx,dword ptr ss:[ebp+8]
242 00401271 |. 0355 FC add edx,dword ptr ss:[ebp-4]
243 00401274 |. 0FBE02 movsx eax,byte ptr ds:[edx] ; s[2]
244 00401277 |. 2BC8 sub ecx,eax
245 00401279 |. 83C1 30 add ecx,30
246 0040127C |. 8B55 08 mov edx,dword ptr ss:[ebp+8]
247 0040127F |. 0355 FC add edx,dword ptr ss:[ebp-4]
248 00401282 |. 0FBE42 FF movsx eax,byte ptr ds:[edx-1]
249 00401286 |. 2BC8 sub ecx,eax ; 使得ecx=0
250 00401288 |. 85C9 test ecx,ecx
251 0040128A |. 74 04 je short Game.00401290 ; 不跳就错误了
252 0040128C |. 33C0 xor eax,eax
253 0040128E |. EB 50 jmp short Game.004012E0
254 00401290 |> C745 FC 00000>mov dword ptr ss:[ebp-4],0
255 00401297 |. EB 09 jmp short Game.004012A2
256 00401299 |> 8B4D FC /mov ecx,dword ptr ss:[ebp-4]
257 0040129C |. 83C1 01 |add ecx,1
258 0040129F |. 894D FC |mov dword ptr ss:[ebp-4],ecx
259 004012A2 |> 8B55 08 mov edx,dword ptr ss:[ebp+8]
260 004012A5 |. 0355 FC |add edx,dword ptr ss:[ebp-4]
261 004012A8 |. 0FBE42 01 |movsx eax,byte ptr ds:[edx+1]
262 004012AC |. 85C0 |test eax,eax
263 004012AE |. 74 22 |je short Game.004012D2
264 004012B0 |. 8B4D 08 |mov ecx,dword ptr ss:[ebp+8]
265 004012B3 |. 034D FC |add ecx,dword ptr ss:[ebp-4]
266 004012B6 |. 0FBE51 01 |movsx edx,byte ptr ds:[ecx+1] ; s[1]
267 004012BA |. 8B45 08 |mov eax,dword ptr ss:[ebp+8]
268 004012BD |. 0345 FC |add eax,dword ptr ss:[ebp-4]
269 004012C0 |. 0FBE08 |movsx ecx,byte ptr ds:[eax] ; s[0]
270 004012C3 |. 2BD1 |sub edx,ecx ; s[1]-s[0]
271 004012C5 |. 83C2 30 |add edx,30 ; s[1]+0x30
272 004012C8 |. 8B45 08 |mov eax,dword ptr ss:[ebp+8]
273 004012CB |. 0345 FC |add eax,dword ptr ss:[ebp-4]
274 004012CE |. 8810 |mov byte ptr ds:[eax],dl ; 将计算结果覆盖之前的奇数
275 004012D0 |.^ EB C7 \jmp short Game.00401299
276 004012D2 |> 8B4D 08 mov ecx,dword ptr ss:[ebp+8]
277 004012D5 |. 034D FC add ecx,dword ptr ss:[ebp-4]
278 004012D8 |. C601 00 mov byte ptr ds:[ecx],0 ; 最后一位置为0，即少一位
279 004012DB |. B8 01000000 mov eax,1
280 004012E0 |> 5F pop edi
281 004012E1 |. 5E pop esi
282 004012E2 |. 5B pop ebx
283 004012E3 |. 8BE5 mov esp,ebp
284 004012E5 |. 5D pop ebp
285 004012E6 \. C3 retn

最后就是算法总结：
首先输入的数字必须满足
假码的第三位=第三位-第二位，结果加上0x30，最后的结果必须和第一位相等，然后依次循环，即a[3]-a[2]=a[1]

即第三位-第二位=第一位，依次循环等价于第三位=第一位+第二位
call sub_401005看懂这个函数很关键啊,运行一次，减少一位
要运行2次，最后和4比较，故奇数位6位
1235 call一次变成112 ，就是后者减去前者
如果第二次就是 01

最后覆盖后的结果（奇数是4位）必须满足：
第一位应该大于第二位
第二位应该小于第三位
第三位应该等于第四位

看懂所有算法后，我们就可以试着猜了
第一次肯定从0开始，011235 一次10112 再一次就不对了
继续猜~~从1开始，112358 依次01123 再一次就是1011，刚好符合题意。运行下ok。搞定~~
然后注册码就是——121222325282

--------------------------------------------------------------------------------
【经验总结】
菜鸟第一次写破文，写得很乱，自己也不怎么会，只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
经验就是需要耐心吧，OD结合到IDA用效果会更好，对有些简单算法的反汇编代码应该熟悉。

--------------------------------------------------------------------------------
【版权声明】: 本文原创于JoyChou 转载请注明作者并保持文章的完整, 谢谢!

2012年06月09日 1:52:54