Corso UIC Newbies 06 Spinone

From UIC

Corso UIC Newbies 06 Spinone

Corso UIC Newbies 06 Spinone
Author:	Spinone
Email:	Email
Website:	Home page
Date:	16/06/2001 (dd/mm/yyyy)
Level:
Language:	Italian
Comments:

Tools

• Softice oppure OllyDbg v1.10

Link e Riferimenti

Questo è il Corso UIC Newbies n°06 disponibile alla pagina Corsi UIC Newbies

Introduzione

Proverò a commentare la soluzione di questo crackme molto simpatico............. come il suo autore :)))))).

Notizie sul Programma

Un crackme multilivello didatticamente molto valido (bravo André!!) che ci fà prendere gradatamente dimestichezza con le chiavi di registro di windows.

Essay

Innanzitutto vorrei fare i complimenti all'autore, non è facile scrivere crackme per i newbies anche xchè spesso si danno per scontate delle conoscenze che invece non sono tali. Il programma è facilmente reversabile con l'aiuto del Regmon, ma ho voluto appositamente usare solo il Sice perchè credo che cosi facendo si e costretti a ragionare maggiormente sulle Api. Apriamo il programma e sulle info subito Andrea ci ammonisce dal patchare il proggy. Premiamo il pulsante relativo al primo livello e...... ci prendiamo del "Lamah" sul muso! Bene...anzi male! apriamo Softice, settiamo un Bpx messageboxA e vediamo che succede. Chiudiamolo, nuovamente clic sul pulsante e Sice poppa all'Api messageboxA, pigiamo F12 per uscire dalla funzione e ci ritroviamo nella MFC2.DLL. Sarà sufficiente steppare fino al ret per arrivare finalmente nel programma "Sesto" ( ve ne accorgerete dal nome sulla barra del Sice in basso a destra.) e precisamente all'indirizzo 401567:

Come vedete siamo atterrati sotto una call che se viene eseguita è quella che vi sbatte in faccia la nag; quindi vuol dire che qualcosa precedentemente è andato storto. Proviamo a vedere cosa spulciando il codice un pò più sù.......... Vi accorgerete che poco prima c'è la chiamata all'Api "RegOpenKey". Cosa fa di bello quest'Api? beh.......un po' di fantasia.......apre il registro di windows per la ricerca di chiavi. Dovete sapere che prima di eseguire la chiamata all'Api è necessario passare alla funzione alcune informazioni (parametri). Queste ultime vengono passate (o fissate in memoria) attraverso una serie di istruzioni "push". Tenete a mente che il penultimo push prima della chiamata RegOpenKey contiene la locazione dove è memorizzato il nome della chiave da ricercare nel registro.

E' sufficiente quindi andare in Sice, dare il comando "d 404094", (senza le apicine) per veder apparire nella finestra dati in caratteri ASCII il nome della chiave che verrà ricercata. Nel nostro caso l'autore del crackme è un po megalomane (come tutti i coders e reverser :))) e la chiave si chiama: Andreageddon

Se la chiave verrà trovata il valore ritornato in eax sarà zero, il test sara positivo ed il jz successivo verrà effettuato portandovi ad un altro punto del proggy. Viceversa se il risultato in eax è diverso da zero e la chiave non è stata trovata, il programma continuerà verso la prossima call, che è quella della nag "Lamah". Allora dobbiamo solamente creare la chiave AndreaGeddon per superare il primo livello?.....si certo...apriamo il registro con regedit e....azzo quanti gruppi di chiavi!! dove la creamo??? Humm....oltre alla possibilità di farvi aiutare da Regmon che potrà rivelare la chiave che il proggy tenta di aprire, potete anche rilevarlo attraverso i famosi parametri passati prima della call RegOpenKeyExeA. Infatti in questo caso il gruppo di chiavi è definito dall'ultimo push all'indirizzo 401545 : push 80000001. Questo valore corrisponde al gruppo HKEY_CURRENT_USER. E' lì che la chiave va creata............avete fatto? si.... eccovi le prime congratulazioni.. Uff...e questa è andata! A proposito visto che sono andato a rivedermi la guida all'Api vi farà comodo sapere che:

Passiamo al 2° livello. questa volta cliccando sul 2° pulsante, di ritorno dalla MessageboxA si atterra nel programma all'indirizzo 4016CC. Guardiamo cosa avviene prima. Risalendo fino a ritrovare la chiamata RegOpenkeyexeA potremo accorgerci che all'indirizzo 4015F3 la funzione viene messa in ESI e poi abbiamo il solito passaggio dei parametri con la serie di push. Anche qui il penultimo indirizzo pushato contiene il nome della chiave che verrà ricercata. Digitiamo in Sice D 404308 e troveremo nella datawindow: AndreaGeddon\1 questo vuol dire che verrà cercata la chiave AndreaGeddon e poi la sottochiave 1 e se trovate dovremmo passare di livello. Proviamo...creamo la sottochiave 1 e..........ci ribecchiamo di nuovo del "Lamah". Azz ma cosa è successo!!??? ritorniamo in Sice, settiamo un Bpx all'inizio della routine all'indirizzo 4015F0 e steppiamo

Dunque come potete vedere dalle istruzioni, viene cercata la sottochiave AndreaGeddon\1', il primo test è positivo ma il programma continua e ci ritroviamo di fronte ad una serie di push prima della call ESI alla RegOpen.... Questa volta il push della locazione di memoria 4042D4 salva ancora una chiave che verrà ricercata : 'AndreaGeddon\1\2 e che se non trovata....nisba. Ok creamo anche la "2" e proviamo.........."Lamah" (ma sulla buona strada)....ecchepalle!!! Ripercorrendo la routine ci accorgiamo che il proggy continua ancora ed, anche in questo caso, il penultimo push salva un'ulteriore sottochiave: AndreaGeddon\1\2\4'. Creiamo anche la "4" e... Pam!!........"Cool".... si passa al terzo.

Eseguendo la stessa procedura anche per questo nuovo livello, questa volta approderemo all'indirizzo 40176D. Spostatevi più sù e settate un bpx al 401729 che è l'inizio della routine. Steppando riusciremo ad individuare facilmente i famosi push che passano i parametri prima della chiamata all'Api. Questa volta la locazione di memoria dove viene salvato il nome della chiave è la 4044E4 e lì potremo ritrovare: AndreaGeddon\WhatIsTheMatrix. Riapriamo il regedit e creamo sotto AndreaGeddon questa sottochiave........Senza molta convinzione proviamo a vedere........infatti una nag ci comunica che non siamo gli eletti! Ritorniamo in Sice e steppiamo.

potremo vedere che il primo test all'indirizzo 401756 è positivo ed il jz successivo è eseguito. Andando avanti ci imbattiamo in un'altra serie di push.......controlliamo il penultimo ed alla locazione 404444 leggeremo in ASCII: WelcomeToTheRealWorld. qui cominceremo a pensare che il gioco si stia facendo monotono e che sia sufficiente creare ancora quest'ultima sottochiave, invece no!.... se lo fate non otterrete nulla.

Infatti se avete fatto un po' di attenzione avrete visto che questa volta non è la classica call RegOpenKey ad essere chiamata, ma bensì la RegQueryValue. Questa a differenza della prima, legge anche il valore attribuito ad una chiave. Pertanto WelcomeToTheRealWorld non e una chiave ma bensi il nome di un valore.Ok, apriamo regedit ed alla chiave WhatIsTheMatrix clicchiamo con il destro ed alla voce "nuovo" invece di scegliere chiave ci viene posto il dilemma: Stringa, Valore binario, Valore Dword..... Cosa scegliamo??.....beh anche questa volta ci viene in aiuto l'analisi dei push eseguiti prima della call. Infatti il tipo di valore lo deduciamo dal push 00 all'indirizzo 401787. Se viene passato il parametro 00 che è uguale a NULL, vuol dire che il tipo di valore puo' essere di qualsiasi tipo (03 =binario, 04=Dword). per comodità scegliamo il tipo stringa e creamo il nome WelcomeToTheRealWorld. Bene a questo punto proviamo..... dovrebbe funzionare...........macché.... niente da fare ancora, è cambiata la nag che ci segnala che dovremmo essere vicini ma..... ancora nulla. Ritorniamo in Sice, questa volta vedremo che il test all'indirizzo 401795 è positivo quindi il prog. salta la call alla nag e ci porta a 4017AE.

Comincia una routine dove vengono mossi dei byte in AL e CL che poi vengono confrontati. In CL viene messo inizialmente 54 che in ASCII è la lettera T, il confronto fallisce xchè AL=0 (non abbiamo inserito alcun dato). Supponendo che il confronto fosse positivo il jnz che ci porta verso la nag non avverrebbe ( lo possiamo simulare invertendo il flag Z). Viene verificato se EDI(contatore dei cicli) è = a 7, altrimenti viene incrementato ed il ciclo si ripete. Possiamo eseguire tutte le iterazioni annotando tutte le volte le lettere che vengono caricate in CL oppure, visto che i byte caricati in CL sono memorizzati nella locazione EDI+ESP+18, se controllate con il solito comando "d edi+esp+18" leggerete la stringa "Trinityy". Chiaro no!!??........apriamo regedit ed al nome WelcomeToTheRealWorld inseriamo il valore Trinityy.........e saremo eletti!!!

Siamo all'ultimo livello. Questa volta la nag ci fà cadere nell'oblio. Solita procedura e.......atterriamo all'indirizzo 401871 spostiamoci + sù e settiamo il bpx all'inizio della routine precisamente su 401842. Steppiamo fino alla serie di push che ormai conosciamo bene e li troveremo che il penultimo salva la chiave AndreaGeddon\Sergej\Rachmaninov

Creamo le nuove chiavi e potremo così continuare verso la call RegQueryValue

Per l'ultima volta leggiamo in memoria qual'è il nome del valore che verrà aperto dall'Api RegQueryValue. Vedremo che è QualBuonvento................creamolo scegliendo il tipo "stringa" e potremo procedere verso l'algoritmo che valuterà se il dato letto in Qualbuovento è correto. Per comodità ho inserito preventivamente il valore Spin0.

Dunque vediamo di chiarire cosa fa questa prima routine La locazione della stringa letta dall'Api viene messa in Esi. l'istruzione rpz scasb fa un conteggio dei byte che la compongono (+1 per il carrage return) il risultato è poi messo in ecx che se uguale a 0 (nessun dato rilevato) setta il flag Z che fa eseguire il jz a 4018DC e........siamo fuori. Viceversa il programma continua:

Come avete intuito viene messo in al il byte della stringa letta dall'Api al quale verrà poi aggiunto il valore della sua posizione che ha la seguente logica: posizione 1° byte: dl = 0
posizione 2° byte: dl = 1
posizione 3° byte: dl = 2
posizione 4° byte: dl = 3
.............................. ..............................

il risultato dell'addizione viene messo nella stessa locazione di memoria del byte trattato che verrà quindi sovrascritto. Il ciclo si ripete sino a quando il contatore in dl sarà = a cl che contiene il n° di char che compone la stringa. vediamo come l'agoritmo continua a trattare la nostra stringa:

Intuito qualcosa?.....vediamo.....dopo aver nuovamente eseguito il conteggio dei byte della stringa quest'ultimi, di volta in volta puntati (l'incremento di edx sposta il puntatore al byte sucessivo) vengono messi in al e poi addizionati a bl secondo il seguente schemino:

1° ciclo in bl = valore 1° byte+0
2° ciclo in bl = valore 2°byte+(0+1°)
3° ciclo in bl = valore 3°byte+(0+1°+2°)
4° ciclo in bl = valore 4°byte+(0+1°+2°+3°)
................................................

Alla fine il risultato è confrontato con il valore D1 quindi per poter registrare il programma e necessario soddisfare questa unica condizione ed il gioco è fatto!! Proviamo a ricercare un valore che dopo le manipolazioni dia come risultato D1. Inseriamo come valore 1234 e monitoriamo in Sice il risultato.....eccolo bl=D0 vicinissimo!!!! sostituiamo l'1 con un 2 e con il valore 2234 diventiamo....."Mister Cracker". Non ho provato altre combinazione ma ritengo che non debba essere difficile trovarne altre........Buon divertimento

Note Finali

Bene anche questo tute è finito. Un saluto a tutti i ragazzi della UIC ma un ringraziamento speciale và a Quequero TinMan ed AndreGeddon che si sbattono come dei matti x fare i corsi x noi newbies totali. Ciauzzzzzzzzz

Disclaimer