用OllyDbg做破解

朋友所托，要帮忙破解一个MFC的小程序，他急等着用 （背景：几个人合伙创业，其中一个负责写这个有点小核心的项目，为了巩固自己的”地位“搞的小把戏，给加了密，要用必须通过他 - 我艹~~~）。

虽说自己搞C++比较多，相对来讲native一点，但是对于汇编与破解，了解相当有限，去年这朋友也找过我，因为当时刚换公司比较忙，是求助另外一好友才搞定的。这次还是自己花点时间研究研究吧。工具吗，用windbg貌似只能看，softice与ollydbg之间，选择了ollydbg。

一、基础知识

ollydbg是一个动态反汇编分析调试工具，其功能强大的令人发指，而且居然还是免费的，其官方地址为：http://www.ollydbg.de/，下载与介绍都在上面。

要用ollydbg做破解，最好先过一遍下面的知识点：

  1. 了解汇编语言的基本结构，特别是函数的调用与返回，参数传递等，可以参考这篇文章：反汇编深入分析函数调用， 简短却又清晰，切中要点，我配合visualstudio的反汇编窗口执行了几遍，基本掌握了其结构。(我自己也维护了一个分析：https://gist.github.com/2904354)
    另外，Intel这三大卷：Intel® 64 and IA-32 Architectures Software Developer Manuals也是非常经典的参考资料，没必要读，但不理解时可以查查，尤其是第一卷中的基本结构介绍和第二卷的指令集介绍。
  2. OllyDbg入门完全教程(完美排版)， 非常详尽的介绍了ollydbg的各个组成部分及功能，40来页的内容，花一个小时过一遍就可以了。
  3. OD入门系列图文详细教程-破解做辅助起步，通过一个例子详细解释了破解的全过程，非常有用。其中文中用到的看雪《加密与解密》书中的程序crackme可以在这里下载到：http://download.csdn.net/detail/tokey003/3672236

二、实例操作

先是一个非常简单的helloworld程序，源码如下：

 1 #include <cstdio>
 2 #include <windows.h>
 3 
 4 #pragma comment(lib, "user32.lib")
 5 
 6 void printHelloWorld(int a)
 7 {
 8         MessageBox(NULL, "Hello, World", "Greetings", MB_ICONWARNING);
 9 }
10 
11 int main()
12 {
13         bool bMsgBox = false;
14         if(bMsgBox)
15         {
16             printHelloWorld(10);
17         }
18         else
19         {
20             printf("Hello, World");
21         }
22 }

该程序总是在console输出"Hello, World"，现在要修改其binary，使其总是弹出一个MessageBox。

编译并使用ollydbg打开，因为我知道要传一个参数10到printHelloWorld函数中去，可以肯定会有一个指令：PUSH 0A，关键代码在其附近，在反汇编窗口搜索定位：

可以看到，在PUSH 0A前面是一个条件判断，对应源代码中的那个判断，于是不难推出，Mov BYTE PTR SS:[LOCAL.1+3],0就是给bool型变量bMsgBox赋值的指令，0就是false。

于是，在这里双击该指令，把0改成1，运行便看到程序弹出了messagebox。

注意，为了保存修改过的可执行文件，你需要：

  • 右键-Edit-Copy to executable, 弹出该二进制文件的内容窗口
  • 右键 - Save file

三、破解

需要破解的程序，其行为是：在任何一台机器上使用该程序，你需要输入一个授权码，该授权码由特定程序通过系统信息产生，其工作流程为：

  1. 在客户电脑上运行该程序，获取系统信息（一个字符串）
  2. 将该字符串发给授权人，他有一个工具会产生授权码，并发给使用者
  3. 使用者输入该授权码，程序验证，如通过则可使用。

单从行为上分析，突破口在于授权验证这一步，该程序要验证输入的授权码是否正确，也就是说它肯定知道正确的验证码，也就是说由系统信息产生授权码的算法也是内置在客户程序这边的，我们只不过需要一个办法把它读出来。

该验证步骤是：获取系统信息，并个根据该信息产生正确的授权码，然后从某文本文件读入用户输入的验证码，对两者进行对比，如果成功，则弹出一个messagebox：output(true)， 否则就是output(false)。根据以上信息，设置以下断点：

  • 菜单View-executable modules - show names，找到ReadFile和MessageBoxA，打上断点
  • 在反汇编窗口右键，Search for - all referenced strings， 找到output字符串，并设断点

有了这几个断点，你就可以在运行中观察寄存器/栈/内存等内容，以及汇编指令来了解整个程序的运作机理。多走几遍，多观察思考，适当添加断点与注释。特别注意哪些条件测试指令与call指令，确定其行为后继续跟进去。

这样，就找到了其内部获取系统信息的函数调用，与根据系统信息算出授权码的函数调用，从而得到了正确的授权码，结束。

当然，要做的好一点的话，还可以：

  • 分析其授权码产生函数的算法，自己写一个产生器
  • 或者，动态修改其可执行文件，将其产生的授权码用一个MessageBox输出。

但对于第一项，这需要阅读很多汇编代码，我没时间；对于第二项，需要插入对windows API函数的调用，这比简单的修改一个指令要复杂，暂时还不会，也不打算仔细研究。毕竟，是朋友所托，完成任务即可，不打算仔细研究 - 我还有很多其他重要的事情要做。

四、技巧总结

  • 你可以通过猜测可能调到的Windows API函数，设置断点作为突破口
  • 你也可以通过可能reference到的字符串设置断点
  • 查到指令也是一个方法，但估计不是很有用 - 在没有源代码的情况下你很难预测一个特殊的指令被调用到了
  • 选中指令后，你可以右键-help on command来查到汇编指令帮助
  • 你可以双击汇编指令进行修改
  • 你可以添加注释 - 在一个漫长的破解过程中，记下你发现的是蛮重要的
  • 选中指令后，你可以看到其跳转关系
  • 我还很初级，这个强大的工具有更多技巧去发现。
posted @ 2012-06-10 15:11  lzprgmr  阅读(23483)  评论(1)  编辑  收藏  举报

黄将军