'Reverse Engineering/Crack Me 시즌 1' 카테고리의 글 목록

'Reverse Engineering/Crack Me 시즌 1'에 해당되는 글 17건

2011.05.11 CrackMe 17
2011.03.17 CrackMe 16
2011.03.08 CrackMe 15
2011.03.06 CrackMe 14
2011.02.22 CrackMe 13
2011.02.21 CrackMe 12
2011.02.16 CrackMe 11
2011.02.15 CrackMe 10
2011.02.14 CrackMe 9
2011.02.10 CrackMe 8

CrackMe 17

이번 문제는

'이 프로그램은 몇 밀리세컨드 후에 종료되는가. 정답은 MD5로 변환'

프로그램을 실행하면

메세지 창이 뜨고 가만 있어도 얼마 뒤에는 자동으로 종료됩니다

올리디버거로 열어보면 아래와 같은 메세지 박스가 뜹니다

내용을 보면 compressed, encrypted라는 문구가 있는것으로 보아 패킹되어 있는것으로 생각되는데요. 프로그램을 peid로 보면 아래와 같습니다

EP Section이 UPX1인것으로 보아 UPX라는 툴로 패킹이 되어있음을 알 수 있는데요,
UPX는 오픈 툴이므로 인터넷의 공식 홈페이지(http://upx.sourceforge.net/)에서 다운 받아
언팩하면 됩니다. 언팩 방법은 'upx -d [upx로 패킹된 파일]' 로 언팩이 가능합니다

이제 언팩된 프로그램을 올리디버거로 열고 실행하면 원래 메세지 박스가 뜨지 않고 아래와 같은 메세지 박스가 뜨게 됩니다

뭔가 디버깅을 방지하는 내용이 추가되어 있는것 같은데요,
올리디버거로 다시 열고 문자열을 검색해 해당 위치로 가면

59CEA211.00445A7A를 호출한 뒤 리턴된 값을 비교해 메세지 박스를 띄울지 결정하는 것이 보입니다.(빨간 박스) 59CEA211.00445A7A 함수의 내용은 다음과 같습니다

IsDebuggerPresent 함수를 호출하는군요. IsDebuggerPresent 함수는 디버거 검색시 자주 사용되는 함수로 MSDN에서 원형을 찾아보면

BOOL WINAPI IsDebuggerPresent(void); 

이며 프로세스에 디버거가 붙어있을시 0이 아닌 값, 디버거가 안붙어있으면 0을 리턴합니다

현재 올리디버거로 열었으니 0이 아닌값이 리턴되겠죠?

그리고 위에서 봤던 빨간 박스에서 리턴값을 검사한 뒤에 아까 보았던 메세지 박스를 띄우는 부분으로 이동하겠죠



위의 빨간 박스의 'JE SHORT 59CEA211.004010D8'중에서 004010D8을 보면 아까의 메세지 박스 이후의 주소인것을 볼 수 있는데요, 그렇다면 명령어를 JE가 아닌 JMP로 바꿔버리면 메세지 박스를 띄우고 종료하는것이 아닌 원래의 코드를 탈것이라고 생각할 수 있습니다



해당 위치의 어셈블리 코드를 열어서 'JMP SHORT 59CEA211.004010D8'로 변경 뒤에 저장 후 다시 올리디버거로 엽니다



이제 원래의 문제를 생각해보면 메세지 박스를 띄우므로 관련 함수를 호출할것이라는 생각이 듭니다. 함수를 찾아 MessageBox 함수들에 전부 브레이크를 걸고 실행하다 보면 여기서 브레이크가 걸립니다

찾았네요. 그런데 아래를 보니 시간을 무한대로 줘서 WaitForSingleObject 함수를 호출하고 기다렸다가 어디선가에서 메세지를 받으면 핸들을 닫아버리는군요



그 어딘가를 찾아야 되는데 MessageBoxW 위쪽을 보면 몇개의 인자를 스택에 넣고 453C44를 호출 한 뒤에 메세지 박스를 호출한것으로 봐서 뭔가 작업을 한뒤에 메세지 박스를 호출하는 것 같은데 가장 눈에 띄는 40DDEE 부분의 코드를 보면 다음과 같습니다


코드의 설명은 주석을 참고해주시구요

여기서 중요한 부분은 'CMP EAX,DWORD PTR SS:[EBP+4]' 부분인데 [EBP+4]에 있는 0x27ED와 비교를 해서 EAX(경과시간)이 크면 버튼을 클릭한 효과를 발생시키는걸 볼 수 있습니다



따라서 원하는 밀리세컨드는 0x27ED, 10진수로 바꾸면 10221 밀리세컨드 입니다

이것을 MD5로 변환하면 문제가 원하는 답이 됩니다

저작자표시 비영리 변경금지

Posted by ratiel

CrackMe 16

이번 문제는 다음과 같습니다

Name이 Certlab일때 Password는 무엇인가
Password의 MD5 해쉬값을 구하라

문제는 다음과 같구요

Name에 Certlab, Password에 123456을 넣었더니 틀린 답이라고 나옵니다

저작자표시 비영리 변경금지

Posted by ratiel

CrackMe 15

이번 문제는 다음과 같습니다

정답은 무엇인가? MD5 값으로 구하라

문제를 보면 다음과 같고, 틀린 답을 입력하면 틀렸다는 메세지가 뜹니다

올리디버거로 열어보면 열리지 않을텐데요
제 컴퓨터가 윈도우7 64비트인데 올리로 여니 바로 죽어버리더군요.
VMWare로 실행한 윈도우 xp에선 아래와 같은 메세지가 떴습니다

그래서 PEID를 이용해 어떤 언어로 만들어졌는지 확인했더니

위와 같이 C#임을 확인할 수 있습니다
아마 올리디버거로는 C#으로 제작한 프로그램을 열 수 없는것 같습니다;

그럼 어떻게 하느냐, .NET Reflector 이라는 프로그램을 이용하면 의외로 간단히 풀 수 있습니다
.NET Reflector는 인터넷에서 검색하면 찾을 수 있으니 다운받으셔서 문제 파일을 열면 다음과 같이 나오게 됩니다

오른쪽에 보면 코드도 보이죠? 이 코드를 그대로 C# 콘솔 프로젝트에 복사해서 정답을 알아내면 끝입니다
C# 프로그램은 처음이라 클래스 부분을 어떻게 적용할지 잘 몰랐는데, 그 부분은 인터넷을 검색해보시면 될것 같구요, 대충 다음과 같이 하면 됩니다

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.IO;
using System.Security.Cryptography;

namespace answer
{
    class Program
    {
        static void Main(string[] args)
        {
            string plainText = "";
            string cipherText = "BnCxGiN4aJDE+qUe2yIm8Q==";
            string passPhrase = "^F79ejk56$\x00a3";
            string saltValue = "DHj47&*)$h";
            string hashAlgorithm = "MD5";
            int passwordIterations = 0x400;
            string initVector = "&!\x00a3$%^&*()CvHgE!";
            int keySize = 0x100;
            RijndaelSimple.Encrypt(plainText, passPhrase, saltValue,
                hashAlgorithm, passwordIterations, 
                initVector, keySize);
            plainText = RijndaelSimple.Decrypt(cipherText, passPhrase,
                saltValue, hashAlgorithm, passwordIterations, 
                initVector, keySize);
        Label_0056:
            Console.WriteLine("Please enter the password: ");
            if (Console.ReadLine() == plainText)
            {
                Console.WriteLine("Well Done! You cracked it!");
                Console.ReadLine();
            }
            else
            {
                Console.WriteLine("Bad Luck! Try again!");
                goto Label_0056;
            }

}
    }

public class RijndaelSimple
    {
        public static string Decrypt(string cipherText, 
            string passPhrase, string saltValue, string hashAlgorithm,
            int passwordIterations, string initVector, int keySize)
        {
            byte[] bytes = Encoding.ASCII.GetBytes(initVector);
            byte[] rgbSalt = Encoding.ASCII.GetBytes(saltValue);
            byte[] buffer = Convert.FromBase64String(cipherText);
            byte[] rgbKey = new PasswordDeriveBytes(passPhrase, 
                rgbSalt, hashAlgorithm, passwordIterations).
                GetBytes(keySize / 8);
            RijndaelManaged managed = new RijndaelManaged();
            managed.Mode = CipherMode.CBC;
            ICryptoTransform transform = 
                managed.CreateDecryptor(rgbKey, bytes);
            MemoryStream stream = new MemoryStream(buffer);
            CryptoStream stream2 = new CryptoStream(stream, transform,
                CryptoStreamMode.Read);
            byte[] buffer5 = new byte[buffer.Length];
            int count = stream2.Read(buffer5, 0, buffer5.Length);
            stream.Close();
            stream2.Close();
            return Encoding.UTF8.GetString(buffer5, 0, count);
        }

public static string Encrypt(string plainText, 
            string passPhrase, string saltValue, string hashAlgorithm,
            int passwordIterations, string initVector, int keySize)
        {
            byte[] bytes = Encoding.ASCII.GetBytes(initVector);
            byte[] rgbSalt = Encoding.ASCII.GetBytes(saltValue);
            byte[] buffer = Encoding.UTF8.GetBytes(plainText);
            byte[] rgbKey = new PasswordDeriveBytes(passPhrase, 
                rgbSalt, hashAlgorithm, passwordIterations).
                GetBytes(keySize / 8);
            RijndaelManaged managed = new RijndaelManaged();
            managed.Mode = CipherMode.CBC;
            ICryptoTransform transform = 
                managed.CreateEncryptor(rgbKey, bytes);
            MemoryStream stream = new MemoryStream();
            CryptoStream stream2 = new CryptoStream(stream, transform,
                CryptoStreamMode.Write);
            stream2.Write(buffer, 0, buffer.Length);
            stream2.FlushFinalBlock();
            byte[] inArray = stream.ToArray();
            stream.Close();
            stream2.Close();
            return Convert.ToBase64String(inArray);
        }
    }
}

그리고 디버깅해서 답을 찾아보면 답은 Leteminman 임을 아실 수 있을 것입니다. 한번 넣어보죠

문제에서 원하는건 MD5로 변환이였죠? 따라서 답은 718070d944de096f3a6696b077e4e2ce 입니다

저작자표시 비영리 변경금지

Posted by ratiel

CrackMe 14

번 문제는 다음과 같습니다

Key값이 154C-6505-D2ADD0F3-A223-2870 일때 Name은 무엇인가

힌트 : Name은 두 자리

Name의 MD5 해쉬값(대문자)를 구하라

문제를 보면 다음과 같고, 틀리면 아무런 메세지로 나오지 않습니다

올리디버거로 열고, 문자열 부분을 한번 살펴보면 다음과 같습니다

정답 메세지를 나타내는 것같은 부분이 있고, 그 근처의 코드를 보면

위와 같은데 빨간색 함수를 통과하고 파란색 부분인 call 00404c3c 직전의 레지스터를 보면

이렇게 되어 있는것으로 보아 빨간색으로 표시된 함수에서 key 값을 만들고, 파란색 표시된 함수에서 비교를 하는것이라고 예상이 됩니다

빨간색 함수 안으로 들어가보면

저 부분의 loop를 만나게 되는데요. 여기서 제가 입력한 name(지금은 123)을 이용해서 key 값을 만들게 됩니다. 우선 여기서의 결과 값을 보면

마지막 연산으로 MOV EDX, ESI로 보아 결과는 EDX에 저장됨을 알 수 있습니다 연산 후 EDX의 값은

보시는대로 C63EE190 입니다. 저 코드 뒤에 연산을 더 하는 부분이 있는데 그 부분은 우선 건너 뛰고, 두번째 그림에서 보았던 파란색 박스의 call 00404c3c 까지 진행 후 레지스터를 보죠

EAX의 값은 제가 입력한 key 값이고, EDX의 값은 계산된 key 값인데 계산된 key 값의 4자리를 보면 아까의 C63EE190의 'C63E' 부분과 똑같죠?

여기서 name은 네번째 그림에 있던 연산을 수행해서 앞의 2바이트가 '154c'가 나오는것이 name임을 파악할 수 있습니다

이건 수작업으로 하기엔 너무 시간이 걸려서 간단하게 코드를 짜봤는데요. 내용은 다음과 같습니다
그리고 실행해보면 다음과 같이 이름은 CT임을 알 수 있구요

문제는 MD5 해쉬 값을 구하는 거였죠?

CT의 MD5 값을 구하면 112C61A276D0376F2F6B25DD3A337B1D 입니다

저작자표시 비영리 변경금지

Posted by ratiel

CrackMe 13

이번 문제는 다음과 같습니다

Key를 구한 후 입력하게 되면 성공메세지를 볼 수 있다

이때 성공메세지 대신 Key 값이 나오도록 하려면 파일을 HaxEdit로 연다음

0x??? ~ 0x??? 영역에 Key 값을 overwrite 하면 된다

Key값과 주소 영역을 찾으시오

문제를 보도록 하죠

틀린 답을 누르고 'Check'를 누르면 아무런 반응이 없습니다

저작자표시 비영리 변경금지

Posted by ratiel

CrackMe 12

이번 문제는 다음과 같습니다

Nag창을 구성하는 OPCODE Byte 수는?

Nag창을 없애려고 할 때 Nag창이 있는 곳에 어떤 API를 호출해야 하는가

프로그램을 실행시키면 다음 세 창이 순차적으로 뜹니다

그럼, 시작하겠습니다

저작자표시 비영리 변경금지

Posted by ratiel

CrackMe 11

이번 문제는

Serial 을 구하시오

입니다. 문제를 보시면 다음과 같고

123456을 입력하면 입력창이 Mal Cracker!!! 로 바뀌고 메세지가 뜹니다

저작자표시 비영리 변경금지

Posted by ratiel

CrackMe 10

이번 문제는 아래와 같습니다

컴퓨터에 로그인한 사용자의 이름은 Certlab 이다

Serial을 구한 후 CRC-32로 변환하시오

그놈의 CRC-32 변환ㅋ

Serial 찾는데까지만 하겠습니다. 우선 문제를 열면 다음과 같구요

123456을 입력해보면 에러 메세지가 뜹니다

에러 메세지로 문자열 검색을 한 뒤, 점프 하는 부분으로 올라가면 다음과 같은 코드를 볼 수 있습니다

빨간색 부분을 보시면 lstrlenA를 호출하고 0E와 CMP 비교 뒤에 JNZ를 이용하는것을 보아 딱 14자리의 시리얼을 요구하는 것을 알수 있습니다.

그리고 lstrcpyA와 lstrcatA를 통해 VaZoNeZ를 두개 붙여 'VaZoNeZVaZoNeZ'를 만든고
GetUserNameA를 호출해 유저의 이름을 얻어오는것을 알 수 있습니다

하늘색 부분은 나중에 설명하구요, 우선 CMP문 통과를 위해 시리얼을 '12345678901234'의 14자리를 입력하고 GetUserNameA 호출 다음까지 진행하겠습니다

호출하면 위와 같은데요, 제 유저 이름은 namduk 이군요(제 이름이기도 합니다ㅎㅎ)
그런데 문제를 보면 '컴퓨터에 로그인한 사용자의 이름은 Certlab 이라고 되어 있습니다
그럼 namduk을 Certlab으로 변경해야되겠죠?
밑에 MOV EDI, 00403224 부분을 보면 00403224에 GetUserNameA의 결과가 들어있는것을 알수 있습니다. 메모리를 검색하면 다음과 같구요

위 내용을 아래와 같이 변경합니다

그럼 아래와 같이 바뀐것을 확인할 수 있습니다

그리고 이제 아까 보셨던 파란색 부분을 통해 VaZoNeZVaZoNeZ과 Certlab을 이용하여 시리얼을 생성하게 되는데요, 그리 어렵지 않은 내용이니 천천히 살펴보시면 이해하실 수 있으실듯 합니다. 문제의 목적은 시리얼을 구하는 내용이니 루프 아래에 bp를 걸고 run을 하면 다음과 같은 내용이 보입니다