IDA动态调试解RC4

本篇博客所有内容，均学习于无名侠大佬在bilibili的视频：https://www.bilibili.com/video/BV1WQ4y1X7TY

LazyIDA熊猫版：https://github.com/P4nda0s/LazyIDA

实验文件下载：https://github.com/P4nda0s/SycRevLearn

原理分析：

有一些算法的加密与解密是相同的算法过程，例如 RC4、部分简单的异或算法等。

测试方法：

1.设置算法输入数据A

2.获取算法输出数据B

3.设置算法输入数据为B (上一步结果代入)

4.获取算法输出数据 B'，对比 B' 与 A 的值，若相等则该算法加密解密是同一段代码。

通俗来讲，就是输入A输出B，输入B输出A。

拿视频中的题目来分析：

  sub_85F057(v14);//反调试
  puts("Welcome!! give me your flag:\n");
  do
  {
    v8 = j_j_j___fgetchar();
    if ( v8 == 10 )
      break;
    input[index++] = v8;
  }
  while ( (int)index < 44 );
  if ( index >= 0x200 )
    j____report_rangecheckfailure();
  input[index] = 0;
  len = j__strlen(input);
  sub_85CEFB((int)v13, (int)v14, len);
  for ( i = 0; i < 256; ++i )
    v12[i] = v13[i];
  fun1((int)v13, (int)input, len);//加密函数
  for ( j = 0; j < 44; ++j )
  {
    if ( v7[j] == input[j] )
      ++v10;
  }
  if ( v10 == 44 )
    puts("Yes, u right!\n");
  else
    puts("no no no\n");
  system("pause");
  return 0;
}

啥也不要分析，主要看fun1((int)v13, (int)input, len);

input是我们输入的，这个函数会将我们的input进行加密。

  for ( j = 0; j < 44; ++j )
  {
    if ( v7[j] == input[j] )
      ++v10;
  }

然后在通过这里进行比较。

根据for语句可以得知，flag的长度可能是44，这里为什么说是可能呢，如果是逐字节加密，就是我们输入的每一个字符加密后都是一个字符，那么flag的长度肯定是44，如果我们的输入，一个字符加密成了两个字符，那么我们输入的flag的长度就是22，因为这里并不确定，所以只能猜测是44。

程序有反调试，我尝试将反调试给nop掉，但是发现反调试似乎又与加密代码有着一定的关系，我尝试了，没能理清楚反调试和加密代码的关系，所以这里和视频中的一样，还是带着反调试来分析，这里用IDA附加运行中的程序就行，因为已经执行完反调试的那句代码了。

测试是否加密与解密是相同的算法

在加密函数处断下

先输入：aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa

查看input的值

再F8单步步过，查看此时加密后的input

用插件将数据提取出来

[+] Dump 0xCFF1BC - 0xCFF1E8 (44 bytes) :
D62DE6F797244F2EA92DDDA37904C885B9E4E8D90B325F9908C07B804E134AC497DA7562D0AD31C558C3BBF6

可以看到我们输入的44个a被加密成了上述数据

这次我们将上述数据进行输入，看执行之后是否可以还原成44个a

上述数据存在不可见字符，不能从命令框里直接输入，这里需要用到Paste Data来改栈上的数据。

这次我们先输入41个b

通过Paste Data将数据改成D62DE6F797244F2EA92DDDA37904C885B9E4E8D90B325F9908C07B804E134AC497DA7562D0AD31C558C3BBF6

再F8单步步过，查看此时加密后的input

可以看到数据恢复成了41个a

  fun1((int)v13, (int)input, len);//加密函数
  for ( j = 0; j < 44; ++j )
  {
    if ( v7[j] == input[j] )
      ++v10;
  }
  if ( v10 == 44 )
    puts("Yes, u right!\n");
  else
    puts("no no no\n");
  system("pause");