Corso UIC Newbies 05 Guzura

From UIC

Corso UIC Newbies 05 Guzura

Infos
Author:	Guzura
Email:	Email
Website:	Home page
Date:	30/07/2000 (dd/mm/yyyy)
Level:
Language:	Italian
Comments:

Tools

• Softice oppure OllyDbg v1.10
• Una tabella dei caratteri ASCII con equivalenti in Hex

Link e Riferimenti

Questo è il Corso UIC Newbies n°05 disponibile alla pagina Corsi UIC Newbies

Introduzione

Devo proprio farla?.....Tecnicamente si, ne vale la chiarezza del tute :)))) NdQue

Notizie sul Programma

Crackme by Andreageddon

Essay

Lanciare il programma mi sembra il primo passo da fare...mmhhhhhmmmmm... Ci chiede un nome di 6 lettere e una password (non resisto devo provare un nome di 5 lettere...e becco del leim ignorante un pò la storia della mia vita) Dato che oggi sono svogliato e non ho voglia di usare solamente Sice decido di usarlo solo per individuare dove si trova lo schema di protezione e poi andare a studiarmi il disassemblato quindi digito il mio nick che è giusto di sei caratteri e una password a caso;apro Sice e imposto un bel BPX HMEMCPY esco e schiaccio Check; Sice salta fuori , F11 , F12 fino a che non vi trovate a Kernel.alloc (solitamente l' F12 successivo vi riporta al programma che ha generato il bpx, nel nostro caso il crackme), in realtà finite in una DLL del C++ (esattamente la MFC42) due F10 per uscire dalla ret e siete nel codice del crackme esattamente alla locazione :4017C0. In pratica il crackme chiama una funzione di questa DLL per prendere nome e password, ora abbiamo il punto da dove partire. Disassembliamo con IDA e andiamo a vedere la locazione per vedere quale funzione è stata utilizzata per prendere le stringhe e troviamo:

Bene abbiamo informazioni su cosa fà questa call e sappiamo che il secondo parametro è il buffer che riceverà i caratteri letti Un pò più sotto ci stà un'altra GetDlgItemTextA ovviamente per il seriale. La domanda da porsi è, da dove arriva il tutto (cioè questa è una call solitaria o è stata chiamata da un'altra che ha già fatto dei conti e altre pippate), possiamo aspettarci che sia solitaria perchè se guardate bene il codice sotto è chiaro che lo schema di protezione è tutto lì ma questo è un caso voluto solo dalla bontà d'animo di ANDRE' (per esempio avrebbe potuto innestarla in un'altra routine e quindi avremmo dovuto fare del backtrace, le possibilità sono infinite) In pratica ci basta risalire il codice fino a che non troviamo l'inizio della routine e iniziare l'analisi del codice, morale della favola troviamo questa roba (che vado a commentare):

E' ora del riassuntino: in pretica si prende il primo carattere del nick, lo si xora con tre valori diversi, e si tiene il valore in al, si prendono il primo e il secondo val del seriale li si manipolano e si mette il tutto in dl, si compara al con dl se tutto è ok si ricomincia con il secondo char del nick e il terzo e quarto valore del seriale (per i char del nick bisogna ricordarsi che cambiano i tre valori con cui si xora di volta in volta), se tutto va bene si controlla se il nick era lungo almeno 6 char (all'istruzione :0040184E) e qui sta una cosa che non mi aspettavo, si fa prima tutto l'algoritmo e poi si controlla se il nick era abbastanza lungo (dovreste aver capito che le verifiche si fanno in base ai valori in ebp-1 che possono essere CC,FF,DD e che vi indirizzano alle tre possibile MBoxA : giusto, sbagliato, corto), per inciso potreste mettere un nick lungo tre char, la password corrispondente, azzeccare tutti i controlli e alla fine cmq essere sbattuti fuori... Si vede bene che la password deve essere lunga il doppio del nick

Bien ora ci resta solo da trovare un algoritmo che dal nick ci permetta di risalire alla password Prima cosa, a ben guardare l'elaborazione fatta sui caratteri del nome è totalmente indipendente da quella fatta sul seriale quindi se il nostro scopo è trovare una password adeguata per il nostro nick possiamo sbattercene dei vari xor e segnarci soltanto il valore che via via sta in al prima del cmp della locazione :40182B (basta un bpx con Sice...) Con il mio nick "GuZuRa" vengono generati i seguenti valori :

per la G in al ho B9
per la u in al ho 8A
per la Z in al ho A6
per la u in al ho 88
per la R in al ho A8
per la a in al ho 9A

Bene, ora devo fare in modo che le elaborazioni sui primi due numeri del seriale diano in dl B9 e così via Per comodità riporto il pezzo di codice che manipola il seriale

Dobbiamo subito notare una cosa la shl bl,4 impone che dopo l'istruzione bl sia uno dei seguenti valori : 00 (nel caso bl fosse 10),10 (nel caso bl fosse 01), 20, 30, 40, 50, 60, 70, 80, 90 e basta quindi siamo per forza obbligati ad avere dl uguale a 09; come lo otteniamo? Dl è ottenuto sottraendo al valore ASCII del secondo char del seriale il valore 30 quindi il char che mi interessa sarà caratterizzato dal rispettivo hex 39h che guardacaso è il carattere 9 ma c'è un piccolo inghippo che non ci permette di usare il carattere 9 come secondo nel seriale; una volta sottratto 30 viene fatto un cmp con 09 (nostro caso) quindi non saltiamo e di conseguenza togliamo ancora un 7 al valore: tenendo presente questo il char che ci interessa sarà caratterizzato da 09+30+07=40h che corrisponde al carattere "@" (carino no?) e così abbiamo risolto il secondo carattere ma anche tutti i 9 che sono presenti tra i vari valori di al Vediamo ora il primo char del seriale, ricordando la shl bl,4 possiamo optare per uno tra i seguenti valori da avere prima dell'istruzione stessa: 0B, 1B, 2B, 3B, ...,9B teorici ma se guardate bene il programma non vi permette di usare le minuscole nel seriale quindi solo alcuni delle possibili scelte sono utilizzabili ma noi cerchiamo la strada più breve da percorrere... E' ora abbastanza chiaro che il char che mi serve come primo ha equivalente hex uguale a 0B+30+07=42h (lo 07 ci va ancora perchè se avete capito cosa succede sapete che nell'algoritmo non viene tolto 07 solo se il char è 0,1,..., 8 ; da 9 in su tolgo 7); a 42h corrisponde nella tavola ASCII proprio il carattere "B" maiuscolo (tutto torna); quindi i miei primi due caratteri del seriale saranno B@ Analogamente i secondi due saranno 8A il primo generato da 08+30 (07 non viene tolto nell'algoritmo) che corrisponde al char "8" e il secondo da 0A+30+07 che corrisponde proprio ad "A" maiuscolo In questa maniera il gioco è fatto perchè

Il primo al = B9h a cui corrispondono i due char B@
Il secondo al = 8Ah a cui corrispondono i due char 8A
Il terzo al = A6h a cui corrispondono i due char A6
Il quarto al = 88h a cui corrispondono i due char 8
Il quinto al = A8h a cui corrispondono i due char A8
Il sesto al = 9Ah a cui corrispondono i due char @A

Be il giochino è chiaro quindi a GuZuRa corrisponde la password B@8AA688A8@A

Vale la pena (almeno per me) di fare un'ulteriore nota, password e nick sono elaborati in parti di codice separate che non interferiscono tra loro (nel senso che non xoro un valore coi valori dell'altro o cose simili) quindi il crackme è attaccabile anche in un altra maniera partendo dalla password per risalire poi ad un nick che genera proprio quella password (anche perchè i valori con cui xorate i char del nick sono noti) Per far questo bisogna tenere presente alcune accortezze: 1) password di partenza lunga almeno 12 char e pari (per avere un nick di sei caratteri almeno), 2) tenere presente che non è detto che il char a cui si risale sia un carattere alfanumerico (potrebbe essere un * o un ? o qualsiasi altro char ASCII), 3)se prima potevo sbattermene degli xor (mi segnavo solo il valore di al finale) ora devo xorare 3 volte, 4) è molto più facile se la password contiene solo questi char 1,2,3,4,5,6,7,8,@,A,B,C,D,E,F perchè in al troveremo sempre dei numeri Hex (anche se questa non è una limitazione effettiva)

Vediamo un esempio per chiarire; scelgo la password C@D1CEC@D1CE:
in al dovremo avere al primo giro C9 (al posto della @ l'algoritmo mette 9), al secondo giro D1, al terzo CE e così via Diamo un'occhiata al codice e segnamoci i valori con cui viene xorato ogni char del nick e vediamo che

il primo char del serialeè xorato con 10h poi con 11h e poi con FFh
il secondo char invece con 12h,13h,FEh
il terzo con 14h,15h,FDh
il quarto con 16h,17h,FCh
il quinto con 18h,19h,FBh
il sesto con 20h,21h,FAh

(per password più lunghe dovreste segnarvi anche i valori seguenti...)

Eravamo rimasti a volere al = C9: questo valore viene ottenuto nell'algoritmo dopo tre xor con i rispettivi valori (sopra) e come ci insegna il buon Que per ottenere il valore originale ci basta rixorare per gli stessi valori quindi prendiamo C9 e lo xoriamo per 10h poi 11h poi FFh ottenendo il valore 37h a cui corrisponde il carattere ASCII "7" che sarà il primo char del nick (al contrario infatti 37 xorato con 10, 11, FF da C9 ce farà il paio con C@ del seriale...) Alla stessa maniera ottenete gli altri 5 char del nick e quindi ottenete il seguente nick 7.24+5 a cui corrisponde la password C@D1CEC@D1CE Con questo vi saluto Byez GuZuRa

Ultima cosa il KeyGenerator: può essere compilato con il tasm5 e funziona in questa maniera: intanto va bene solo per nick lunghi 6 caratteri (ma se guardate è facilmente estendibile a patto che vi cerchiate i valori con cui si xorano i char dopo il sesto...); prende un singolo carattere alla volta e vi da fuori i rispettivi due caratteri del seriale però al posto dei 9 del seriale dovrete inserire @; l'output di uscita è questo:

Nick (di 6 caratteri) G B9 u 8A Z A6 u 88 R A8 a 9A quindi dopo ogni lettera vi appaiono i due caratteri del seriale corrispondenti

Non vi spaventate della lunghezza del programma perchè sono solo istruzioni ripetute 6 volte cambiando i valori di xor

KeyGen5Newbies (Non lo commento perchè se avete letto questo tut e quelli di BONU$ sul tasm è una cazzata)

Note Finali

La morale è sempre quella fai merenda con i tarallucci che sono sempre i più buoni...

Ringraziamenti particolari vanno a tutti quelli che su #crack-it rispondono alle mie domande (un pò leim certe volte, scusatemi cercherò di migliorare)

Disclaimer