【吾爱破解2014CrackMe大赛】【第一组】

浅唱小男人

    首先我的第一想法是搜索ASCII码，第一感觉发现没有什么提示。
  然后想到对MessageBox下断点，然后运行程序，输入用户名和假码，点击注册，发现并没有断下来。
  查了下，此程序是VC的，想下按钮事件，sub eax,0a,也没有找到

然后返回去去看搜索的ASCII码，找找看。
将error处上面临近的跳转下断。
每个error处都下上断点。
点击运行程序，输入用户名和假码，点击register，发现断下来了，单步跟踪一下
找到这里

[Asm] 纯文本查看 复制代码

?

1 2 3 4 5 6 7

0040285F    8D4C24 6C       lea ecx,dword ptr ss:[esp+0x6C] 00402863    51              push ecx                                ; 假码 00402864    8B4C24 18       mov ecx,dword ptr ss:[esp+0x18] 00402868    8D5424 3C       lea edx,dword ptr ss:[esp+0x3C]         ; 用户名 0040286C    52              push edx 0040286D    51              push ecx 0040286E    FFD0            call eax                                ; 这里进去应该就是判断+算法

跟入call eax
继续单步，发现到了这里，单步完后，程序跑起来了，提示注册失败

[Asm] 纯文本查看 复制代码

?

1 2 3

10001E9D    8B55 08         mov edx,dword ptr ss:[ebp+0x8] 10001EA0    52              push edx 10001EA1    E8 9AFEFFFF     call 10001D40

发现此时的ebx为刚才输入的假码
接着跟入这个CALL，发现了惊喜：

[Asm] 纯文本查看 复制代码

?

1 2 3 4 5 6 7 8 9

10001DF3    837D FC 08      cmp dword ptr ss:[ebp-0x4],0x8 10001DF7    75 1C           jnz short 10001E15 10001DF9    8B45 08         mov eax,dword ptr ss:[ebp+0x8] 10001DFC    6A 40           push 0x40 10001DFE    68 1C880010     push 0x1000881C                         ; ASCII "吾爱破解2014CrackMe大赛" 10001E03    68 38880010     push 0x10008838                         ; ASCII "恭喜你，注册成功,请提交答案到答题区吧!" 10001E08    50              push eax 10001E09    FF15 E0700010   call dword ptr ds:[0x100070E0]          ; user32.MessageBoxA 10001E0F    5F              pop edi

下断点运行到此处

[Asm] 纯文本查看 复制代码

?

1	10001DF7   /75 1C           jnz short 10001E15;将这里nop掉

运行程序，发现成功~

发现这样不能保存文件，又没有什么办法，个人认为作者先定义了些常量，然后把所有信息交给api处理
第一次玩这个，如果有错误，请不吝赐教{:1_931:}

ximo

第一：发帖没有加权限，规则里明确说明发帖需要加权限，警告一次。
第二：没有提交爆破后的文件。
因此，该答案无效。继续加油。

浅唱小男人

忘了加阅读权限了，找不到编辑的地方

浅唱小男人

ximo 发表于 2014-10-22 14:47
第一：发帖没有加权限，规则里明确说明发帖需要加权限，警告一次。
第二：没有提交爆破后的文件。
因此， ...

好的，我继续研究下

浅唱小男人

重新发一贴，一开始的答案不符合规则
  首先我的第一想法是搜索ASCII码，第一感觉发现没有什么提示。

然后想到对MessageBox下断点，然后运行程序，输入用户名和假码，点击注册，发现并没有断下来。

查了下，此程序是VC的，想下按钮事件，sub eax,0a,也没有找到

然后返回去去看搜索的ASCII码，找找看。
将error处上面临近的跳转下断。

每个error处都下上断点。运行的时候再去掉无用的断点。

点击运行程序，输入用户名和假码，点击register，发现断下来了，单步跟踪一下
找到这里

[Asm] 纯文本查看 复制代码

?

1 2 3 4 5 6 7

0040285F    8D4C24 6C       lea ecx,dword ptr ss:[esp+0x6C] 00402863    51              push ecx                                ; 假码 00402864    8B4C24 18       mov ecx,dword ptr ss:[esp+0x18] 00402868    8D5424 3C       lea edx,dword ptr ss:[esp+0x3C]         ; 用户名 0040286C    52              push edx 0040286D    51              push ecx 0040286E    FFD0            call eax                                ; 这里进去应该就是判断+算法

跟入call eax
继续单步，发现到了这里，单步完后，程序跑起来了，提示注册失败

[Asm] 纯文本查看 复制代码

?

1 2 3

10001E9D    8B55 08         mov edx,dword ptr ss:[ebp+0x8] 10001EA0    52              push edx 10001EA1    E8 9AFEFFFF     call 10001D40

发现此时的ebx为刚才输入的假码
接着跟入这个CALL，发现了惊喜：

[Asm] 纯文本查看 复制代码

?

1 2 3 4 5 6 7 8 9

10001DF3    837D FC 08      cmp dword ptr ss:[ebp-0x4],0x8 10001DF7    75 1C           jnz short 10001E15 10001DF9    8B45 08         mov eax,dword ptr ss:[ebp+0x8] 10001DFC    6A 40           push 0x40 10001DFE    68 1C880010     push 0x1000881C                         ; ASCII "吾爱破解2014CrackMe大赛" 10001E03    68 38880010     push 0x10008838                         ; ASCII "恭喜你，注册成功,请提交答案到答题区吧!" 10001E08    50              push eax 10001E09    FF15 E0700010   call dword ptr ds:[0x100070E0]          ; user32.MessageBoxA 10001E0F    5F              pop edi

下断点运行到此处

[Asm] 纯文本查看 复制代码

?

1	10001DF7   /75 1C           jnz short 10001E15;将这里nop掉

运行程序，发现成功~

发现这里的跳转修改掉之后，不能在此保存文件，故想到将在主线程中的代码copy出来，放到CrackMe模块的没有用的地方
复制是将该CALL的整个段都复制。
首先跟入这个段  

[Asm] 纯文本查看 复制代码

?

1	0040286E    FFD0            call eax

将整段代码二进制复制

找到一处空白处选择二进制粘贴，为了解释方便现起名为段1

然后跟入

[Asm] 纯文本查看 复制代码

?

1	10001EA1    E8 9AFEFFFF     call 10001D40

同上复制到一处空白处，起名段2

好了，现在弄一下修复一下段1和段2这两个段之间的逻辑关系

段1中的源代码call 10001D40本是跳转到段2的 ，现在段2的段首地址改变，故改成

[Asm] 纯文本查看 复制代码

?

1	call 段2首地址

然后更改程序让程序进入段1， 源程序是call eax， eax为段1的原来的首地址，现在首地址改变，故应该更改eax，所以找到call eax上的最近的call，

[Asm] 纯文本查看 复制代码

?

1 2 3 4 5 6 7 8

00402838    56              push esi 00402839    8D4424 20       lea eax,dword ptr ss:[esp+0x20] 0040283D    E8 7EEAFFFF     call CrackMe1.004012C0 00402842    85C0            test eax,eax 00402844    75 19           jnz short CrackMe1.0040285F 00402846    8B4424 14       mov eax,dword ptr ss:[esp+0x14] 0040284A    6A 10           push 0x10 0040284C    68 98B44000     push CrackMe1.0040B498                  ; 吾爱破解2014CrackMe大赛

跟随进0040283D    E8 7EEAFFFF     call CrackMe1.004012C0

将该段改为：

[Asm] 纯文本查看 复制代码

?

1 2	Mov eax,段1首地址 Retn  0x4

保存一下文件，

复制出来的两个段

[Asm] 纯文本查看 复制代码

?

001 002 003 004 005 006 007 008 009 010 011 012 013 014 015 016 017 018 019 020 021 022 023 024 025 026 027 028 029 030 031 032 033 034 035 036 037 038 039 040 041 042 043 044 045 046 047 048 049 050 051 052 053 054 055 056 057 058 059 060 061 062 063 064 065 066 067 068 069 070 071 072 073 074 075 076 077 078 079 080 081 082 083 084 085 086 087 088 089 090 091 092 093 094 095 096 097 098 099 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131 132 133 134 135 136 137 138

00408E18      00            db 00 00408E19      55            push ebp 00408E1A      8BEC          mov ebp,esp 00408E1C      8B4D 0C       mov ecx,dword ptr ss:[ebp+0xC] 00408E1F      E8 DC81BF0F   call 10001000 00408E24      85C0          test eax,eax 00408E26      75 1A         jnz XCrackMe.00408E42 00408E28      8B45 08       mov eax,dword ptr ss:[ebp+0x8] 00408E2B      6A 10         push 0x10 00408E2D      68 1C880010   push 0x1000881C 00408E32      68 80880010   push 0x10008880 00408E37      50            push eax 00408E38      FF15 E0700010 call dword ptr ds:[0x100070E0]          ;  USER32.MessageBoxA 00408E3E      5D            pop ebp 00408E3F      C2 0C00       retn 0xC 00408E42      53            push ebx 00408E43      E8 1888BF0F   call 10001660 00408E48      8B5D 10       mov ebx,dword ptr ss:[ebp+0x10] 00408E4B      8BC3          mov eax,ebx 00408E4D      8D50 01       lea edx,dword ptr ds:[eax+0x1] 00408E50      8A08          mov cl,byte ptr ds:[eax] 00408E52      40            inc eax 00408E53      84C9          test cl,cl 00408E55    ^ 75 F9         jnz XCrackMe.00408E50 00408E57      2BC2          sub eax,edx 00408E59      75 1B         jnz XCrackMe.00408E76 00408E5B      8B4D 08       mov ecx,dword ptr ss:[ebp+0x8] 00408E5E      6A 10         push 0x10 00408E60      68 1C880010   push 0x1000881C 00408E65      68 9C880010   push 0x1000889C 00408E6A      51            push ecx 00408E6B      FF15 E0700010 call dword ptr ds:[0x100070E0]          ;  USER32.MessageBoxA 00408E71      5B            pop ebx 00408E72      5D            pop ebp 00408E73      C2 0C00       retn 0xC 00408E76      8B55 08       mov edx,dword ptr ss:[ebp+0x8] 00408E79      52            push edx 00408E7A      E8 11000000   call CrackMe.00408E90 00408E7F      83C4 04       add esp,0x4 00408E82      5B            pop ebx 00408E83      5D            pop ebp 00408E84      C2 0C00       retn 0xC 00408E87      00            db 00 00408E88      00            db 00 00408E89      00            db 00 00408E8A      00            db 00 00408E8B      00            db 00 00408E8C      00            db 00 00408E8D      00            db 00 00408E8E      00            db 00 00408E8F      00            db 00 00408E90      55            push ebp 00408E91      8BEC          mov ebp,esp 00408E93      83EC 08       sub esp,0x8 00408E96      56            push esi 00408E97      33F6          xor esi,esi 00408E99      57            push edi 00408E9A      33C9          xor ecx,ecx 00408E9C      8D6424 00     lea esp,dword ptr ss:[esp] 00408EA0      B8 4FECC44E   mov eax,0x4EC4EC4F 00408EA5      F7E1          mul ecx 00408EA7      C1EA 02       shr edx,0x2 00408EAA      6BD2 0D       imul edx,edx,0xD 00408EAD      8BC1          mov eax,ecx 00408EAF      2BC2          sub eax,edx 00408EB1      40            inc eax 00408EB2      C704CD 50E800>mov dword ptr ds:[ecx*8+0x1000E850],0x1 00408EBD      8904CD 54E800>mov dword ptr ds:[ecx*8+0x1000E854],eax 00408EC4      41            inc ecx 00408EC5      83F9 68       cmp ecx,0x68 00408EC8    ^ 72 D6         jb XCrackMe.00408EA0 00408ECA      E8 F187BF0F   call 100016C0 00408ECF      E8 0C89BF0F   call 100017E0 00408ED4      8BC3          mov eax,ebx 00408ED6      8D50 01       lea edx,dword ptr ds:[eax+0x1] 00408ED9      8DA424 000000>lea esp,dword ptr ss:[esp] 00408EE0      8A08          mov cl,byte ptr ds:[eax] 00408EE2      40            inc eax 00408EE3      84C9          test cl,cl 00408EE5    ^ 75 F9         jnz XCrackMe.00408EE0 00408EE7      2BC2          sub eax,edx 00408EE9      A8 01         test al,0x1 00408EEB      74 21         je XCrackMe.00408F0E 00408EED      68 34880010   push 0x10008834 00408EF2      68 24100000   push 0x1024 00408EF7      53            push ebx 00408EF8      E8 CA8FBF0F   call 10001EC7 00408EFD      8BC3          mov eax,ebx 00408EFF      83C4 0C       add esp,0xC 00408F02      8D50 01       lea edx,dword ptr ds:[eax+0x1] 00408F05      8A08          mov cl,byte ptr ds:[eax] 00408F07      40            inc eax 00408F08      84C9          test cl,cl 00408F0A    ^ 75 F9         jnz XCrackMe.00408F05 00408F0C      2BC2          sub eax,edx 00408F0E      D1E8          shr eax,1 00408F10      C745 F8 05000>mov dword ptr ss:[ebp-0x8],0x5 00408F17      8975 FC       mov dword ptr ss:[ebp-0x4],esi 00408F1A      8BF8          mov edi,eax 00408F1C      74 47         je XCrackMe.00408F65 00408F1E      8BFF          mov edi,edi 00408F20      0FBE0473      movsx eax,byte ptr ds:[ebx+esi*2] 00408F24      8D4D F8       lea ecx,dword ptr ss:[ebp-0x8] 00408F27      51            push ecx 00408F28      0FBE4C73 01   movsx ecx,byte ptr ds:[ebx+esi*2+0x1] 00408F2D      E8 7E8CBF0F   call 10001BB0 00408F32      8D55 FC       lea edx,dword ptr ss:[ebp-0x4] 00408F35      52            push edx 00408F36      E8 258DBF0F   call 10001C60 00408F3B      46            inc esi 00408F3C      83C4 08       add esp,0x8 00408F3F      3BF7          cmp esi,edi 00408F41    ^ 72 DD         jb XCrackMe.00408F20 00408F43      837D FC 08    cmp dword ptr ss:[ebp-0x4],0x8 00408F47      90            nop 00408F48      90            nop 00408F49      8B45 08       mov eax,dword ptr ss:[ebp+0x8] 00408F4C      6A 40         push 0x40 00408F4E      68 1C880010   push 0x1000881C 00408F53      68 38880010   push 0x10008838 00408F58      50            push eax 00408F59      FF15 E0700010 call dword ptr ds:[0x100070E0]          ;  USER32.MessageBoxA 00408F5F      5F            pop edi 00408F60      5E            pop esi 00408F61      8BE5          mov esp,ebp 00408F63      5D            pop ebp 00408F64      C3            retn 00408F65      8B4D 08       mov ecx,dword ptr ss:[ebp+0x8] 00408F68      6A 10         push 0x10 00408F6A      68 1C880010   push 0x1000881C 00408F6F      68 60880010   push 0x10008860 00408F74      51            push ecx 00408F75      FF15 E0700010 call dword ptr ds:[0x100070E0]          ;  USER32.MessageBoxA 00408F7B      5F            pop edi 00408F7C      5E            pop esi 00408F7D      8BE5          mov esp,ebp 00408F7F      5D            pop ebp 00408F80      C3            retn

按照上面的原理找到

[Asm] 纯文本查看 复制代码

?

1 2 3 4 5 6 7

00408F3F      3BF7          cmp esi,edi 00408F41    ^ 72 DD         jb XCrackMe.00408F20 00408F43      837D FC 08    cmp dword ptr ss:[ebp-0x4],0x8 00408F47      90            nop 00408F48      90            nop 00408F49      8B45 08       mov eax,dword ptr ss:[ebp+0x8] 00408F4C      6A 40         push 0x40

这几句代码 将原来的那个jnz跳转nop掉即可，保存爆破文件。

附上爆破文件

Cracked.rar (78.05 KB, 下载次数: 21)

2014-10-22 17:02 上传

点击文件名下载附件

第一次玩这个，如果有错误，请不吝赐教{:1_931:}

我是用户

win7下运行失败，请重新修改。

Hmily

@浅唱小男人 不要发多个主题，我把你帖子合并了。

浅唱小男人

我是用户 发表于 2014-10-22 17:08
win7下运行失败，请重新修改。

刚才看了一下，win7运行失败的原因是作者在编译的时候选择了随机地址，导致win7的基址不是00400000，所以导致了此程序的某些call定位不正确，
有影响的为这种CALL

[Asm] 纯文本查看 复制代码

?

1 2 3 4

10001E41    8BEC            mov ebp,esp 10001E43    8B4D 0C         mov ecx,dword ptr ss:[ebp+0xC] 10001E46    E8 B5F1FFFF     call 10001000 10001E4B    85C0            test eax,eax

解决办法是自定义了一个CALL

[Asm] 纯文本查看 复制代码

?

1 2	009E8E19    B8 00000010     mov eax,0x10000000                      ; 自定义CALL 009E8E1E    C3              retn

[Asm] 纯文本查看 复制代码

?

1 2 3

009E8E29    E8 EBFFFFFF     call CrackMe.009E8E19                   ; 自己做的call 10001000 009E8E2E    05 00100000     add eax,0x1000 009E8E33    FFD0            call eax

附上win7可运行版本， 通用.zip (83.15 KB, 下载次数: 18)

2014-10-23 11:30 上传

点击文件名下载附件

L4Nce

硬编码导致，xp下测试内存错误

ximo

最后成绩：0分
评委评价：爆破无效。
谢谢参与，请继续加油。