当前位置：Linux教程 - Linux - Linux下破解实战

Linux下破解实战

<-第二次
0x804eaaa <_start+17558>: movl %eax,%ebp
0x804eaac <_start+17560>: movl 0x806e9d4,%eax
0x804eab1 <_start+17565>: pushl %eax
0x804eab2 <_start+17566>: movl 0x10(%eax),%edx
0x804eab5 <_start+17569>: pushl %edx
0x804eab6 <_start+17570>: call 0x804a264 <-第三次
0x804eabb <_start+17575>: movl %eax,%ebx
0x804eabd <_start+17577>: movl %ebp,%edx
0x804eabf <_start+17579>: movl %ebp,%eax
0x804eac1 <_start+17581>: addl $0x18,%esp
0x804eac4 <_start+17584>: andl $0x3,%edx
0x804eac7 <_start+17587>: je 0x804eadf <_start+17611>
0x804eac9 <_start+17589>: jp 0x804eada <_start+17606>
0x804eacb <_start+17591>: cmpl $0x2,%edx
0x804eace <_start+17594>: je 0x804ead5 <_start+17601>
0x804ead0 <_start+17596>: cmpb %dh,(%eax)
....
(gdb) break *0x804ea96
Breakpoint 2 at 0x804ea96
(gdb) c
Continuing.

Breakpoint 2, 0x804ea96 in _start ()
(gdb) info reg eax
eax 0x8083dd0 134757840
(gdb) x/s 0x8083dd0
0x8083dd0: \"I007\"

看来 \"I007\" 放在 0x8083dd0, 这个地址还存放到了 0x806e584

(gdb) ni
....

到第三次调用fl_get_input完回到0x804eabb时,我们知道了输入的信息存在在哪

名称值地址
Name \"I007\" 0x8083dd0
Order number \"B123456789\" 0x809e850
Key \"87654321\" 0x809e880

以下的一些反汇编代码中会有一些注释, 主要说明是执行到这样地方时一些情况,
也不一步步的ni了..
(gdb) disass 0x804eabb 0x804ffff
Dump of assembler code from 0x804eabb to 0x804ffff:
0x804eabb <_start+17575>: movl %eax,%ebx (eax: 0x809e880->\"\"87654321\")

0x804eabd <_start+17577>: movl %ebp,%edx (ebp: 0x809e850->\"B123456789\"
)
0x804eabf <_start+17579>: movl %ebp,%eax
0x804eac1 <_start+17581>: addl $0x18,%esp
0x804eac4 <_start+17584>: andl $0x3,%edx
0x804eac7 <_start+17587>: je 0x804eadf <_start+17611> --
0x804eac9 <_start+17589>: jp 0x804eada <_start+17606> |
0x804eacb <_start+17591>: cmpl $0x2,%edx |
0x804eace <_start+17594>: je 0x804ead5 <_start+17601> |
0x804ead0 <_start+17596>: cmpb %dh,(%eax) |
0x804ead2 <_start+17598>: je 0x804eb05 <_start+17649> |
0x804ead4 <_start+17600>: incl %eax |
0x804ead5 <_start+17601>: cmpb %dh,(%eax) |
0x804ead7 <_start+17603>: je 0x804eb05 <_start+17649> |
0x804ead9 <_start+17605>: incl %eax |
0x804eada <_start+17606>: cmpb %dh,(%eax) |
0x804eadc <_start+17608>: je 0x804eb05 <_start+17649> |
0x804eade <_start+17610>: incl %eax |
|
以下检查Order number长度是否为10: |
0x804eadf <_start+17611>: movl (%eax),%edx <-
0x804eae1 <_start+17613>: testb %dh,%dl
0x804eae3 <_start+17615>: jne 0x804eaed <_start+17625>
0x804eae5 <_start+17617>: testb %dl,%dl
0x804eae7 <_start+17619>: je 0x804eb05 <_start+17649>
0x804eae9 <_start+17621>: testb %dh,%dh
0x804eaeb <_start+17623>: je 0x804eb04 <_start+17648>
0x804eaed <_start+17625>: testl $0xff0000,%edx
0x804eaf3 <_start+17631>: je 0x804eb03 <_start+17647>
0x804eaf5 <_start+17633>: addl $0x4,%eax
0x804eaf8 <_start+17636>: testl $0xff000000,%edx
0x804eafe <_start+17642>: jne 0x804eadf <_start+17611>
0x804eb00 <_start+17644>: subl $0x3,%eax
0x804eb03 <_start+17647>: incl %eax
0x804eb04 <_start+17648>: incl %eax
0x804eb05 <_start+17649>: subl %ebp,%eax
0x804eb07 <_start+17651>: cmpl $0xa,%eax
0x804eb0a <_start+17654>: jne 0x804ebe6 <_start+17874>

以下检查Key的长度是否为8:
0x804eb10 <_start+17660>: movl %ebx,%edx
0x804eb12 <_start+17662>: movl %ebx,%eax
0x804eb14 <_start+17664>: andl $0x3,%edx
0x804eb17 <_start+17667>: je 0x804eb2f <_start+17691> -
0x804eb19 <_start+17669>: jp 0x804eb2a <_start+17686> |
0x804eb1b <_start+17671>: cmpl $0x2,%edx |
0x804eb1e <_start+17674>: je 0x804eb25 <_start+17681> |
0x804eb20 <_start+17676>: cmpb %dh,(%eax) |
0x804eb22 <_start+17678>: je 0x804eb55 <_start+17729> |
0x804eb24 <_start+17680>: incl %eax |
0x804eb25 <_start+17681>: cmpb %dh,(%eax) |
0x804eb27 <_start+17683>: je 0x804eb55 <_start+17729> |
0x804eb29 <_start+17685>: incl %eax |
0x804eb2a <_start+17686>: cmpb %dh,(%eax) |
0x804eb2c <_start+17688>: je 0x804eb55 <_start+17729> |
0x804eb2e <_start+17690>: incl %eax |
0x804eb2f <_start+17691>: movl (%eax),%edx <-
0x804eb31 <_start+17693>: testb %dh,%dl
0x804eb33 <_start+17695>: jne 0x804eb3d <_start+17705>
0x804eb35 <_start+17697>: testb %dl,%dl
0x804eb37 <_start+17699>: je 0x804eb55 <_start+17729>
0x804eb39 <_start+17701>: testb %dh,%dh
0x804eb3b <_start+17703>: je 0x804eb54 <_start+17728>
0x804eb3d <_start+17705>: testl $0xff0000,%edx
0x804eb43 <_start+17711>: je 0x804eb53 <_start+17727>
0x804eb45 <_start+17713>: addl $0x4,%eax
0x804eb48 <_start+17716>: testl $0xff000000,%edx
0x804eb4e <_start+17722>: jne 0x804eb2f <_start+17691>
0x804eb50 <_start+17724>: subl $0x3,%eax
0x804eb53 <_start+17727>: incl %eax
0x804eb53 <_start+17727>: incl %eax
0x804eb54 <_start+17728>: incl %eax
0x804eb55 <_start+17729>: subl %ebx,%eax
0x804eb57 <_start+17731>: cmpl $0x8,%eax
0x804eb5a <_start+17734>: jne 0x804ebe6 <_start+17874>

检查Order nuber是否为\"I000000000\":
0x804eb60 <_start+17740>: movl %ebp,%esi (ebp:0x809e850->\"B123456789
\")
0x804eb62 <_start+17742>: movl $0x805b9a6,%edi (0x805b9a6->\"I000000000
\")0x804eb67 <_start+17747>: movl $0xb,%ecx
0x804eb6c <_start+17752>: cld
0x804eb6d <_start+17753>: xorl %eax,%eax
0x804eb6f <_start+17755>: repz cmpsb %ds:(%esi),%es:(%edi)
0x804eb71 <_start+17757>: je 0x804eb77 <_start+17763>

0x804eb73 <_start+17759>: sbbl %eax,%eax
0x804eb75 <_start+17761>: orb $0x1,%al
0x804eb77 <_start+17763>: testl %eax,%eax
0x804eb79 <_start+17765>: jne 0x804ebd1 <_start+17853> -
... |
... |
0x804ebd1 <_start+17853>: pushl %eax (eax:0xffffffff) <-
0x804ebd2 <_start+17854>: pushl $0x806e9ac (0x806e9ac:0x00000000)
0x804ebd7 <_start+17859>: pushl %ebx (ebx:0x809e880->\"87654321\")
0x804ebd8 <_start+17860>: pushl %ebp (ebp:0x809e850->\"B123456789\")
0x804ebd9 <_start+17861>: call 0x8055978
^____这里很可疑

0x804ebde <_start+17866>: movl %eax,0x806e574
0x804ebe3 <_start+17871>: addl $0x10,%esp
0x804ebe6 <_start+17874>: movl 0x806e574,%edx
0x804ebec <_start+17880>: testl %edx,%edx
0x804ebee <_start+17882>: je 0x804ec62 <_start+17998>
...
0x804ec62 <_start+17998>: movl 0x806e9d4,%eax
0x804ec67 <_start+18003>: pushl %eax
0x804ec68 <_start+18004>: movl (%eax),%edx
0x804ec6a <_start+18006>: pushl %edx
0x804ec6b <_start+18007>: call 0x804a474
0x804ec70 <_start+18012>: pushl $0x1
0x804ec72 <_start+18014>: pushl $0x8059017
0x804ec77 <_start+18019>: pushl $0x805ba6c (0x805ba6c->\"Check
registration information and try again\")
0x804ec7c <_start+18024>: pushl $0x805ba99 (0x805ba99->\"Incorrect
registration information!\")
0x804ec81 <_start+18029>: call 0x804a790 <_start+380> (警告框出现)
.......

到注册信息不对的警告框出现,只有一个函数调用比较可疑:
0x804ebd9 call 0x8055978
而且调用结束后还有一个比较跳转的动作, 那么我们就跟踪进去看看
(gdb) break *0x8055978
Breakpoint 3 at 0x8055978
(gdb) c
Continuing.

Breakpoint 3, 0x8055978 in whereError ()
(gdb) disass 0x8055978 0x805ffff
Dump of assembler code from 0x8055978 to 0x805ffff:
0x8055978 : subl $0x8,%esp
0x805597b : pushl %ebp
0x805597c : pushl %edi
0x805597d : pushl %esi
0x805597e : pushl %ebx
0x805597f : movl 0x1c(%esp,1),%ebp (0x809e850)
0x8055983 : movl 0x20(%esp,1),%esi (0x809e880)
0x8055987 : movl 0x24(%esp,1),%ebx (0x806e9ac)
0x805598b : testb $0x1,(%ebx)
0x805598e : je 0x80559c0 -
..... |
0x80559c0 : pushl %eax <
0x80559c1 : leal 0x18(%esp,1),%eax
0x80559c5 : pushl %eax (eax:0xbffff70c)
0x80559c6 : pushl $0x8060cbb (0x8060cbb->\" %x\")
0x80559cb : pushl %esi (esi:0x809e880->\"87654321\")
0x80559cc : call 0x804a294
0x80559d1 : movl %eax,%edi(此时0xbffff70c->0x87654321)
0x80559d3 : addl $0x10,%esp
0x80559d6 : cmpl $0x1,%edi
0x80559d9 : je 0x8055a01 -
..... |
0x8055a01 : testb $0x1,(%ebx) <-
0x8055a04 : je 0x8055a3a -
..... |
0x8055a3a : pushl %ebp(ebp:0x809e850->\"B123456789\") <-
0x8055a3b : pushl $0x0
0x8055a3d : call 0x80561d9
^______会不会去算正确的Key?

0x8055a42 : movl %eax,%esi (eax:0x8eee5816)
0x8055a44 : addl $0x8,%esp
0x8055a47 : testb $0x1,(%ebx)
0x8055a4a : je 0x8055a7a -
..... |
0x8055a7a : movl 0x14(%esp,1),%edx <-
0x8055a7e : cmpl %esi,%edx
(edx:0x87654321,这是我输入的Key
它在与0x8eee5816比较???)
0x8055a80 : jne 0x8055ab9 -
.... |
0x8055ab9 : testb $0x1,(%ebx) <-
0x8055abc : je 0x8055aec -
.... |
0x8055aec : xorl %eax,%eax <-
0x8055aee : popl %ebx
0x8055aef : popl %esi
0x8055af0 : popl %edi
0x8055af1 : popl %ebp
0x8055af2 : addl $0x8,%esp
0x8055af5 : ret

0x8055a7e处的比较说明, 很有可能函数0x80561d9就是在依照我输入的Order
number算正确的Key,而后比较结果,所以不妨先用 8EEE5816 做Key试一试.

结果,8EEE5816果然就是正确的Key, mtv检查正确后在$HOME目录中产生一个
.mtvrc文件, 以后每次使用都会自动读出.mtvrc中的注册信息并检查..

还可以据0x80561d9函数写出注册机:

(gdb) disass 0x80561d9 0x805624e
Dump of assembler code from 0x80561d9 to 0x805624e:
0x80561d9 : pushl %edi
0x80561da : pushl %esi
0x80561db : pushl %ebx
0x80561dc : movl 0x14(%esp,1),%edi
0x80561e0 : movl 0x10(%esp,1),%edx
0x80561e4 : xorl %ebx,%ebx
0x80561e6 : movl %edi,%eax
0x80561e8 : movl %edi,%esi
0x80561ea : andl $0x3,%eax
0x80561ed : je 0x8056205
0x80561ef : jp 0x8056200
0x80561f1 : cmpl $0x2,%eax
0x80561f4 : je 0x80561fb
0x80561f6 : cmpb %ah,(%esi)
0x80561f8 : je 0x8056229
0x80561fa : incl %esi
0x80561fb : cmpb %ah,(%esi)
0x80561fd : je 0x8056229
0x80561ff : incl %esi
0x8056200 : cmpb %ah,(%esi)
0x8056202 : je 0x8056229
0x8056204 : incl %esi
0x8056205 : movl (%esi),%eax
0x8056207 : testb %ah,%al
0x8056209 : jne 0x8056213
0x805620b : testb %al,%al
0x805620d : je 0x8056229
0x805620f : testb %ah,%ah
0x8056211 : je 0x8056228
0x8056213 : testl $0xff0000,%eax
0x8056218 : je 0x8056227
0x805621a : addl $0x4,%esi
0x805621d : testl $0xff000000,%eax
0x8056222 : jne 0x8056205
0x8056224 : subl $0x3,%esi
0x8056227 : incl %esi
0x8056228 : incl %esi
0x8056229 : subl %edi,%esi
0x805622b : cmpl %esi,%ebx
0x805622d : jnl 0x8056248
0x805622f : movb (%ebx,%edi,1),%al
0x8056232 : incl %ebx
0x8056233 : andl $0xff,%eax
0x8056238 : pushl %eax
0x8056239 : pushl %edx
0x805623a : call 0x8055b58
0x805623f : movl %eax,%edx
0x8056241 : addl $0x8,%esp
0x8056244 : cmpl %esi,%ebx
0x8056246 : jl 0x805622f
0x8056248 : popl %ebx
0x8056249 : movl %edx,%eax
0x805624b : popl %esi
0x805624c : popl %edi
0x805624d : ret

0x8055b58处的函数太长了, bbs不让我发..:( 砍掉了

由这个程序的破解可以看出, linux下的破解并不困难, 只是gdb有点不太方便
有时会有点小毛病(比如ni有时也会跟到函数中), 不过用多了就习惯了.

发布人:netbull 来自:LINUX开发者联盟

站点导航

赞助商链接