标 题: 【原创】WinDbg学习笔记(二)--字符串访问断点 作 者: gaorqing 时 间: 2009-07-25,21:39:04 链 接: http://bbs.pediy.com/showthread.php?t=94326 WinDbg学习笔记(二)--字符串访问断点 一、前言 本文是我自己学习WinDbg的过程,因为目标是逆向分析一个驱动文件,但现在对驱动开发的知识还不是很熟悉,所以先在用户级练习一下破解,熟悉一下操作。我选择的破解程序是《OllyDBG 入门系列(二)-字串参考》中的Crack3.exe,也模仿一下在OllyDbg破解的流程,在WinDbg实现一遍。
二、调试思想 《OllyDBG 入门系列(二)-字串参考》一文中是使用字符串参考来找到关键的地方,但是很可惜WinDbg没有字串参考的功能,不能直接模仿。虽然我不太知道OllyDbg得到字串参考的原理,不过我想一般的程序都会把要显示的字符串放在内存里。所以,猜想一下只要在内存里找到对应的字符串的位置,然后下内存访问断点,那么程序在要调用该字符串时就会被断下来。而在程序被断下来后一般都是在系统函数里,所以回到用户代码,在返回的地方附近就应该能找到关键的代码。下面利用Crack3.exe尝试一下。
三、调试步骤 1、先运行程序,熟悉一下程序的操作。运行Crack3.exe,界面如下:
![clip_image001 clip_image001](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282244466272.jpg)
点击一下“Register now”,就会弹出一个对话框:
![clip_image002 clip_image002](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282244551378.jpg)
我们这里就是从这个对话框里显示的字符串入手。
2、点击“Quit the CrackMe”退出Crack,然后启动WinDbg。【File】【Open Executable】 选择Crack3.exe。WinDbg载入程序后会自动中断下来:
![clip_image003 clip_image003](https://images.cnblogs.com/cnblogs_com/w413133157/201111/20111128224501717.jpg)
3、下入口断点 到这里,就会发现跟OllyDbg载入程序时不一样。为什么程序会停在系统代码区域里而不是在用户代码里?为什么入口地址不一样的?
其实我也是不太知道为什么会停在这里,不过大概这时Crack3已经载入内存里,只不过要等用户操作才进行下一步。 那怎样才能到程序的入口点? WinDbg里有个伪寄存器叫$exentry,里面记录了程序的入口点。所以我们只要在命令输入栏里输入 bp $exentry (bp就是用来下断点的命令,详细用法可以参考WinDbg的帮助文档) 在输入完命令并敲击Enter后,在命令输入行的前端一般会显示“*BUSY*”的字样。这时因为WinDbg要从目录或网站上找到对应的符号文件。如果网速慢的话可能会等好一阵子。如图:
![clip_image004 clip_image004](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282245037455.jpg)
在WinDbg找完符号文件后,就会变成:
![clip_image005 clip_image005](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282245138416.jpg)
什么,提示错误? 不过可以放心,这里不是说断点设置失败。我英文不太好,不过也可以大概理解说模块加载成功,但image00400000处的符号不能加载。这个对于我们没什么关系,因为我们调试的是没有源代码的程序,^_^。
这里也补充一下。要查看当前已经设置的断点,可以在命令栏输入 bl ,如图:
![clip_image006 clip_image006](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282245233913.jpg)
如图上所示,现在我们设置里一个断点,断点位置在 0041270。在00441270前的字母 e 代表断点是被激活的。而在最前面的0代表的是第0个断点,可以说是断点的编号。对于断点,还有其它经常用到的操作,例如: be 激活断点 bd 禁用断点 bc 删除某个断点 详细的用法和其它操作可参考WinDbg帮助文档(在索引里输入 user-space breakpoints)。
其实我们不一定要用到$exentry寄存器,因为我们自己也可以算出程序的入口地址。用Stud_PE或其它PE工具,找到ImageBase和EntryPoint,那么ImageBase+EntryPoint就是入口地址了。对于Crack3,情况就是00400000+00041270=00441270(注意是16进制)。
![clip_image007 clip_image007](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282245292828.jpg)
使用bp下断点: bp 00441270 得到的结果是一样的。
4、运行到入口点 按F5(或输入g),那么程序就会停在正式的入口点,如图:
![clip_image008 clip_image008](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282245362069.jpg) 现在貌似熟悉多了,终于回到用户代码了。
5、查找字符串 在步骤1我们运行程序时就记录了提示注册错误的字符串“Wrong Serial, try again!”,现在我们就要在内存找到该字符串的位置。
输入命令 s –a 00400000 L53000 “Wrong” 该命令的意思是以ASCII码形式在内存地址00400000往后53000个字节搜索字符串“Wrong”。 s,就是要调用查找的命令 -a,指定使用ASCII码的形式查找 00400000,指定要开始寻找的内存地址。 L53000,说明要在00400000往后的53000字节搜索。这个数值和00400000都可以从Stud_PE获得。00400000是程序的装入地址,而53000是映像的大小,也就是程序载入内存后占用的内存大小。使用这两个数值,基本上可以搜索到程序使用的整个内存范围。 “Wrong”,就不用多解释了,就是我们要寻找的字符串。不过WinDbg不支持模糊搜索,所以这里输入的字符串必定要完全正确。
具体用法可以参考帮助文档
最后,命令窗口输出:
![clip_image009 clip_image009](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282245418127.jpg) 表示在0044108c的地方找到我们想要的字符串。
6、下内存访问断点 WinDbg中,ba命令代表Break On Access,即访问时中断。 我们在命令行输入: ba r 1 0044108c
命令的意思是在内存0044108c的位置下字节的读断点。命令中各元素的含义可以参考帮助文档,这里不啰嗦。 输入bl,查看断点使用情况:
![clip_image010 clip_image010](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282245446227.jpg)
7、按F5或输入命令g运行程序,点击“Register now”,程序被中断下来
![clip_image011 clip_image011](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282245545137.jpg)
可以看到,程序中断在系统代码区域。然后连续几次按 或Shift+F11,又或者在命令行输入gu,直到程序弹出注册失败的窗口。点击 确定,继续shift+F11,直到用户回到用户代码区域。
![clip_image013 clip_image013](https://images.cnblogs.com/cnblogs_com/w413133157/201111/20111128224603865.jpg)
到这里的话可能就需要借助IDA的帮忙了。因为在WinDbg的反汇编窗口里,跳转指令的调用不太明显,很难找出关键的跳转。而借用IDA,则可以很方便找出。如果不用IDA帮忙当然也可以,就是寻找起来可能稍微吃力点而已。 复制多一份Crack3.exe,再使用IDA,这样就不会影响到当前的调试。 用IDA载入Crack3的复件后,跳到0043d14b的地方(IDA不会用?那就随便看看IDA的一些教程,反正这里只用到IDA的一点点功能),如图:
![clip_image014 clip_image014](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282246107597.jpg)
什么,我们刚才进入的就是MessageBoxA?为什么WinDbg没有显示的?这也没办法,WinDbg本身就是这样,所以说结合IDA分析方便很多。其实也不能说WinDbg没提示,只要我们跟踪进MessageBoxA就知道了。下面实现一下: 重新载入Crack3,并在0043d146处(刚才调用MessageBoxA的地方)下断点,运行程序。点击“Register Now”后程序断了下来:
![clip_image015 clip_image015](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282246199082.jpg)
按 或F11,进入函数
![clip_image017 clip_image017](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282246263962.jpg)
看看,这里就不一样了,这里就可以提示是MessageBoxA了。
8、寻找关键跳转 在找到显示“Wrong Serial, try again!”的地方后,就尝试一下在代码附近有没有可以跳过显示这句提示的跳转指令。借用IDA,可以看到在当前函数里都没有一句跳转可以跳过提示,那么就说明当前函数整个都是注册错误后才调用的函数。 直接按 跳出当前函数
![clip_image018 clip_image018](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282247557583.jpg)
借助IDA查看:
![clip_image019 clip_image019](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282247581680.jpg)
可以看到原来有两处地方调用刚才显示注册失败的函数。所以,我们要找的就是寻找一些可以跳过这两个地方的跳转指令。 关于怎样寻找,只要看一下IDA的那些跳转流程线就会很容易得到结果。而在这里,我直接给出关键的跳转,它们分别是00440F39 的jnz 和00440F56 的jnz。只要把这两个位置的jnz指令nop掉,就可以爆破成功。
![clip_image020 clip_image020](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282248036658.jpg)
9、修改指令 按 重新载入Crack3,然后分别使用 bp 00440F39 bp 00440F56
在关键的跳转下断点。按 运行程序,点击“Register Now”,程序中断下来
![clip_image023 clip_image023](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282248188204.jpg)
现在就要修改这条指令。WinDbg提供命令a来修改指令。
简要用法是确认到当前要执行的指令, 首先,输入a,Enter 然后,输入要修改成的指令 最后,Enter,结束
在修改指令时要注意,修改后的指令占用的空间应该比原来的小,不然的话就会影响下面的指令。例如原来00440f39处的指令实际为 7551 ,占用两个字节,而我们修改后的指令占用空间必须小于或等于两个字节,多出的用90(nop)替代。这里我们要使用nop指令取代,也就是要替换成两个nop。
所以,我们接下来的操作是 在命令输入行: 输入a,Enter 输入nop,Enter 输入nop,Enter 直接Enter,结束
![clip_image024 clip_image024](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282248262819.jpg)
结果为:
![clip_image025 clip_image025](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282248298934.jpg)
00440F56处的指令采取的处理一样。最后按F5运行程序
![clip_image026 clip_image026](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282248436609.jpg)
提示注册成功。
到这里,就遇到一个问题。OllyDbg可以将修改后的指令保存到文件,而WinDbg怎么办?很遗憾,到现在我还没找到一个好的方法,不过可以根据要修改的地址,然后根据PE文件里的数据,算出对应的文件偏移,然后用Hex Workshop等工具把相应位置上的值改掉。这样貌似比较麻烦,不过也没办法,我能力就到这里。有人能提示一种更好的办法吗?
本文只是作为菜鸟的我初次接触WinDbg做的笔记,也是为了后面自己做驱动的逆向反汇编做准备。这里用到的破解方法不是很先进,不过就是为熟悉一下WinDbg的命令操作而已。
第一次发贴,见笑了,也请大家多多包涵,多多指教![clip_image027 clip_image027](https://images.cnblogs.com/cnblogs_com/w413133157/201111/201111282248498490.gif) 上传的附件 |