使用OllyDbg从零开始Cracking-13第十三章-硬编码序列号寻踪-Part1.pdfVIP

第十三章-硬编码序列号寻踪-Part1 我觉得寻找序列号是最难的工作之一,特 别是当我们遇到了强力的加密算法的时候 ,找序列号就更难了,我们先从简单的情况 开始,慢慢的延伸到复杂的情况,逐步锻炼 我们寻找序列号的能力。 这个部分我们专门讨论硬编码序列号,所 谓的硬编码序列号就是不依赖于用户名来 生成,总是由固定的字符和数字构成的固 定不变的字符串,这种序列号通常比较容 易找到,因此,我们从这种类型开始介绍, 先看几个简单的,然后再看复杂的。 我们一共有4个练习的例子,本章是两个简 单的例子,下一章是两个复杂点的例子。 首先第一个最简单的CrackMe名为Leccion _13_HARDCODED_1(原名称西班牙文,英文 名称译为:Lesson_13_Hardcoded_1),我们 用OD加载它。 作为最简单的硬编码序列号的例子,正确 的序列号是作为全局字符串出现在程序中 的,我们一起来看一看。 想要找到所有的全局字符串,我们在反汇 编窗口中单击鼠标右键选择-Search for- All referenced text strings。 结果如下: (Mal Muy MAL:西班牙文译为:错误) 这里,我们可以看到 “FIACA”这个字符串 ,这个字符串可能就是序列号,但是我们不 推荐在右侧的字符串列表中肉眼定位序列 号,原因有二: 1.我们这个程序,只有两行,但是有的程序 ,有成千上万行,尝试肉眼逐一查找简直就 是疯了,虽然当前这种情况,我们一眼就可 以看出来正确的序列号,但是如果有千上 万行的话,肉眼看就是不可取的了。 2.有些程序故意放置一些假的序列号在字 符串列表中,当我们把这个序列号当做正 确的序列号就恰恰中了作者的陷阱。较为 妥当的做法是检查序列号的正确性。 首先通过在反汇编窗口中单击鼠标右键选 择-Search for-Name(label) in current module来查看API函数列表。 程序中用了一些API函数,其中有几个我们 比较熟悉。 GetDlgItemTextA获取用户输入的序列号, MessageBoxA提示输入的序列号正确,错误 与否。我们给这两个API函数设置断点。 单击鼠标右键选择-Toggle breakpoint o n import或者在命令栏中输入bp GetDlgI temTextA,bp MessageBoxA。 好了,按F9键,运行CrackMe。 (Verficar西班牙文译为:验证,Salir译为 :取消) 我们在序列号窗口中随便输入一个人名, 比如说narvajita。 单击Verificar (验证)按钮,可以看到断在 了我们刚刚设置的断点处。 从堆栈中可以看出我们断在了GetDlgItem TextA处,该函数用于获取用户输入的序列 号,并且该函数的Buffer参数是用于存放 获取到的序列号的缓冲区首地址,这里,缓 冲区的首地址为403010。 我们在该参数上单击鼠标右键选择-Follo w in Dump定位到缓冲区在数据窗口中的 位置。 当前缓冲区为空,因为该API函数还没有执 行。 我们选择主菜单中项Debug-Execute till return执行到函数返回。 现在我们到了RET指令处。 该函数将用户输入的序列号保存到了缓冲 区中。 我们按F7键单步返回到主程序中。 这里我们可以看到比较和条件跳转指令, 两个分支分别为提示Mal Muy MAL (错误) 的消息框和提示Muy BIEN (正确)的消息框 。 很明显,401087是其中一个分支。通常我 们可以通过修改程序流程来达到爆破的目 的,但是这里我们是要找到序列号,所以我 们还是一起来看看程序是怎么比较的吧。 401066地址处的指令将403010地址处的DW ORD内容保存到EBX中,我们在该语句上单 击鼠标右键选择-Follow in Dump-Memory address定位403010在数据窗口中的位置 。 提示窗口中我们可以看到7672616E,在403 010开始的内存单元中是倒序存放的,(小 端存储我们前面章节已经介绍过),这4个 字节是错误的序列号,被保存到EBX中。 按F7键单步,来到下一条指令处。 这里,我们看到该指令将EBX (包含了我们 刚刚输入的错误序列号的前4个字节)的值 与403008内存单元中的内容进行比较。跟 之前操作一样我们在数据窗口中转到4030 08处。 我们可以看到该指令将”FIACA”的前4个 字节与我们输入的序列号的前4个字节进 行