> For the complete documentation index, see [llms.txt](https://backoftut.gitbook.io/intro-cracking-with-ollydbg-2/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://backoftut.gitbook.io/intro-cracking-with-ollydbg-2/ch-14.md). # Глава 14 Прежде всего я собираюсь объяснить, как решается крэкми, над которым мы начали работать в главе 13. ![](/files/-LmvTviEJLVwp0kLjutn) Это mielecrackme [\[ссылка\]](https://github.com/yutewiyof/intro-cracking-with-ollydbg/tree/3679d233f4d394747f712e9b6b09bc9c2a3cad80/.gitbook/assets/files/1/mielecrackme1.7z), загруженный в OllyDbg, и его точка входа. Посмотрим, какие функции API используются с помощью SEARCH FOR-NAME (LABEL) IN CURRENT MODULE. ![](/files/-LmvTvia-10tbjIl5DR1) Вот список найденных api-функций. ![](/files/-LmvTvit8mtQp42dJlAJ) Среди них указаны самые важные: GetWindowTextA, использующаяся при вводе серийного номера, lstrcmpA, которая встречалась в предыдущей главе и используется для сравнения строк, и MessageBoxA, отображающая сообщение о том, верен ли серийный номер или нет. Мы можем установить BPX на эти функции, чтобы произошла остановка, когда будет введён неверный серийный номер, но в данном случае, который весьма прост, можно сделать всё гораздо быстрее, если посмотреть СТРОКИ, используемые программой. ![](/files/-LmvTvj5jXWuS-EhLQkC) Выполнение SEARCH FOR – ALL REFERENCED TEXT STRINGS даёт нам список строк, которые использует крэкми. ![](/files/-LmvTvjIMAWprh1ChkZE) Здесь видим как строку, отображающуюся как в успешном случае, так и строку, показывающуюся в случае неудачи. Если сделаем на какой-нибудь из них двойной клик мышью, то окажемся в окрестностях MessageBoxA. Попробуем сделать двойной клик на "YOU ENTERED THE RIGHT PASSWORD" ("Вы ввели правильный пароль"). ![](/files/-LmvTvjbZ5CGg83MaF7G) Оказались в соответствующем месте. Сначала идёт GetWindowTextA, считывающая серийный номер, который мы напечатали, затем lstrcmpA, сравнивающая считанный номер с правильным, а затем, если они верны, MessageBoxA показывает "YOU ENTERED THE RIGHT PASSWORD", а если нет, то происходит переход к другому MessageBoxA, отображающему "YOU SHOULD TRY AGAIN, IT'S SO EASY" ("Попробуй ещё раз, это же так просто"). Установим BPX на вызове lstrcmpA, чтобы посмотреть, что она сравнивает. ![](/files/-LmvTvjqvzQeTtL__8oo) Запустим программу с помощью F9. ![](/files/-LmvTvjzbKxrW7MyfhGt) Выскочило окно ввода серийного номера. Введём в него что-нибудь вроде 989898. ![](/files/-LmvTvk62RriVAzwcNyd) Нажмём кнопку CHECK, чтобы сработал установленный нами BPX. ![](/files/-LmvTvkFidDYwgI1Q1fo) Видим, что OLLY показывает и параметры функции, которые являются двумя сравниваемыми строками, в данном случае сравниваются строки "989898" и "cannabis". Чтобы выполнить вызов этой API-функции, нажмём F8. ![](/files/-LmvTvkODhAQ9QWLQXQZ) В EAX помещается результат, равный FFFFFFFF или -1, а это означает, что строки не одинаковые. ![](/files/-LmvTvkYQSFW2vmTK291) В результате этого сравнения флаг Z неактивен и инструкция JNZ выполняет переход, т.к. флаг Z равен нулю (вспомним, что JNZ совершает переход, если флаг Z равен нулю, а JZ, наоборот, если флаг Z активен, т.к. равен 1). ![](/files/-LmvTvkkReV5w449gUeK) Раз мы делаем переход, то получаем сообщение с ошибкой, но зато теперь мы знаем, что сравнение происходит со словом "cannabis", то есть это и есть верный серийный номер. Снова продолжим выполнение программы. ![](/files/-LmvTvkxZVX0E5LoWZlf) Нажав на "ОК", снова вернёмся в окно ввода серийного номера и напечатаем правильный – "cannabis". ![](/files/-LmvTvl9szNBjgJnSdrz) Нажмём кнопку CHECK, и срабатывает BPX. ![](/files/-LmvTvlMqkqljiXyvZ3b) Видим, что будут сравниваться две одинаковые строки. Жмём F8, чтобы выполнить вызов API-функции.. ![](/files/-LmvTvlZA49OtkcRfuOx) Обе строки были равны, и в EAX был сохранён результат функции – ноль, что активирует флаг Z. ![](/files/-LmvTvlfOJAlFo7Nk5Ix) И поэтому JNZ не будет совершать переход. ![](/files/-LmvTvlrrHAfLLnj4JYQ) А раз так, то как только мы продолжим выполнение программы, отобразится окошко, сообщающее о том, что мы ввели верный серийный номер. ![](/files/-LmvTvm3nQVOcug2H3Kh) Это и есть решение крэкми из главы 13. Хе-хе, серийным номером является слово "cannabis". Продолжим дальше и рассмотрим более сложные случаи с жёстко заданным серийным номером, чем те, что мы рассматривали ранее. В следующем случае уже не производится прямого сравнения серийного номера с введённой строкой. Откроем крэкми crackmeeasy [\[ссылка\]](https://github.com/yutewiyof/intro-cracking-with-ollydbg/tree/3679d233f4d394747f712e9b6b09bc9c2a3cad80/.gitbook/assets/files/14/crakmeeasy.7z) в OllyDbg. ![](/files/-LmvTvmFKu061SgC6GE7) Мы уже знаем, как посмотреть используемые API-функции. В списке также есть GetDlgItemTextA, на который мы и установим BPX. ![](/files/-LmvTvmP74sKIUkuK_Qx) В commandbar’е напечатаем: ![](/files/-LmvTvmZ5XuLMUlLD72L) Теперь запустим программу с помощью F9, и откроется окно ввода серийного номера. ![](/files/-LmvTvmhtSO6obXNy_uz) Напечатаем неверный серийный номер. ![](/files/-LmvTvmq57_bI8Z1sxif) Кликнем по кнопке "Check" и попадём на вызов нужной нам функции. ![](/files/-LmvTvn-r_XwRhCDIU6w) Посмотрим, какие параметры в стеке. ![](/files/-LmvTvn9P4w8NsP208QV) Здесь видим буфер, в котором сохраняется неправильный серийный номер, отметим эту строку, затем правый клик мышью и FOLLOW IN DUMP. ![](/files/-LmvTvnKQYtcZsjDm6u0) Буфер пуст, так как функция ещё не запустилась, поэтому выберем DEBUG-EXECUTE TILL RETURN. ![](/files/-LmvTvnS8oF2ZCMAURDg) Это приведёт к выполнению функции, которое остановится на инструкции RET. ![](/files/-LmvTvncZA3HafuHGIzR) Нажмём F7, чтобы вернуться в программу. ![](/files/-LmvTvnn0Te_jCpzyMiK) И видим, что в буфере окажется введенный нами неверный серийный номер. ![](/files/-LmvTvnye61aBzTf91qu) Здесь мы также видим большую процедуру, делающую что-то с какой-то строкой в виде числа. Кому-нибудь пришла мысль, что это правильный серийный номер? Я знаю, что нет, хе-хе. ![](/files/-LmvTvo98DoXmdPOqEz3) Здесь в EAX помещается число 401222, которое является адресом, указывающем на строку, содержащую число-константу. ![](/files/-LmvTvoJd0OOod9bE3HM) ![](/files/-LmvTvoVxwnWrwfUE0oD) На следующей строке, где EAX равен 401222: ``` MOV EDX,DWORD PTR DS:[EAX] ``` Это, на самом деле, всё равно, что: ``` MOV EDX,DWORD PTR DS:[401222] ``` ![](/files/-LmvTvoh0DhI0Nd1y5Ws) То есть содержимое памяти по адресу 401222 перемещается в 401222. Олли показывает, что это первые 4 байта числа 10445678951. ![](/files/-LmvTvovJaBJeZQZDHf0) Выполнение строки с помощью F7 перемещает их в EDX (они всегда перемещаются в регистр в порядке, обратном тому, как они располагались в памяти). ![](/files/-LmvTvp7nU270llT5lwf) На следующей строке байты, находящиеся в EDX, перемещаются в `[EBP-30]`. ![](/files/-LmvTvpKLKq1hf1sJTuD) Из пояснений Олли видно, что `[EBP-30]` на моей машине – это 240f9e4. Поищем это значение в DUMP’е. ![](/files/-LmvTvpVVQfEQbhCbW16) ![](/files/-LmvTvphw8fp8iIxeZAB) F7 копирует байты, находящиеся в EDX. ![](/files/-LmvTvptBLliHxCYJKZG) После чего ![](/files/-LmvTvq4CdCz-FUJQ9K5) в EDX перемещаются следующие 4 байта числа-константы. ![](/files/-LmvTvqGB-PGmC_5F2Rh) Пояснения Олли показывают, что `[eax+4]` содержат 401226, и выполнение инструкции с помощью F7 перемещает следующие 4 байта в EDX. ![](/files/-LmvTvqTM-rdvMe7Z37x) И копируется продолжение того, что копировалось ранее. ![](/files/-LmvTvqgCF1bOznKUU5R) В действительности происходит вот что: этот номер копируется по 4 байта в другую часть памяти. ![](/files/-LmvTvqtQkx80ekLagPe) И наконец копируются последние 4 байта. ![](/files/-LmvTvr5iMF3eXn9Vo_y) Наконец-то номер скопирован полностью. Видим, что чуть ниже находится вызов функции memset. Посмотрим её параметры с помощью OllyDbg. ![](/files/-LmvTvrHQZCCNajW6Pmx) Здесь три значение (n, c и s). * s – начальный адрес * n – количество байтов, которых нужно заполнить требуемым значением * c – значение, которым будет заполняться указанная область памяти ![](/files/-LmvTvrTF1iEPcoYqwmS) В стеке находятся вышеуказанные параметры: область памяти по адресу 240f9f0 продолжительностью в 8 байт должна быть заполнена нулями. ![](/files/-LmvTvrdQr9pmjbGqH9x) Выполнив эту функцию с помощью F8, мы видим, что указанная нами область памяти действительно была заполнена нулями. Ещё ниже находится вызов lstrlen, которая считает длину строки, адрес которой задаётся непосредственно до вызова самой функции. ![](/files/-LmvTvrok2o9tYSYQx86) В стеке находятся следующие параметры: ![](/files/-LmvTvs-ZfxUp_COov_P) То есть будет вычислена длина строки, которая начинается по адресу 240f9E4, что является адресом уже известного нам числа, хех. F8, и происходит выполнение strlen, а в EAX возвращается длина строки. ![](/files/-LmvTvsBP_SZTq-6wHvq) Видим, что размер равен 0B, то есть 11 в десятиричной системе, что является длиной нашего номера. ![](/files/-LmvTvsNHzbew4BETKVI) Здесь LEA перемещает в EDX значение EAX минус 1, то есть 0A. На следующей строке происходит сравнение 0A с содержимым `[EBX-10]`, то есть с нулём. ![](/files/-LmvTvs_SMec20lEHSBP) И раз ноль меньше чем 0A, то переходим на 401360. ![](/files/-LmvTvsmZxqT4WOt5gLr) На следующей строке в EAX помещается указатель на наш неверный серийный номер, и поэтому когда нажмём на F7, то EAX будет указывать на "98989898". ![](/files/-LmvTvsyqPGNLW8rJevi) На следующей строке перемещаем в EDX ноль. ![](/files/-LmvTvt9fPBmC99ydP6o) ![](/files/-LmvTvtJZrzElcAO9T3k) На следующей строке ![](/files/-LmvTvtSyE_gByk6Nq2N) Так как EAX указывает на начало неверного серийного номер, прибавляем к нему EDX (который изначально равен нулю) для создания цикла, каждый увеличивает значение EDX на 1 (1, 2, 3 и т.п.), чтобы получить все байты неверного серийного номера по одном в указанном цикле. ![](/files/-LmvTvtbPkMS5PPy4c7r) Как мы уже знаем, MOVSX переместит байт в EDX и если он положителен, то заполняет остаток регистра нулями, а если отрицателен – ‘F’. В данном случае первый байт неверного серийного номера переместится в EDX и выполнение строки покажет, что EDX стал равным 39. ![](/files/-LmvTvtldTwZ776GE1fl) Следующая строка с LEA. ![](/files/-LmvTvtwi1s9NA5z2xyy) EDX равен 39, вычитаем из него 14 и с помощью LEA помещаем результат непосредственно в EAX. ![](/files/-LmvTvu8-JOSQgdXx8_I) То есть в результате произведённых операций получили 39 (шестнадцатиричное значение первого символа моего серийного номера), отняли от него 14 и результат, равный 25, поместили в EAX. ![](/files/-LmvTvuLFUvHhMyO_aIQ) Следующая строка перемещает значение, находящееся по адресу EBP-30 (на моей машине равное 240f9E4, и оно указывает на начало номера-константы), в EDX. ![](/files/-LmvTvuY0WxM4kARZneA) Нажмём F7. ![](/files/-LmvTvujUOKme3bqQ7nR) EDX указывает на начало номера-константы. ![](/files/-LmvTvuwvqkPm3djgQOl) Далее видим, что в ECX перемещается сначала значение равное нулю, а затем при каждом новом проходе оно увеличивается, чтобы ECX+EDX указывали на разные байты номера-константы. ![](/files/-LmvTvv61ozf6JHEf2Fq) Здесь видим, что ECX теперь содержит ноль, а EDX указывает на начало номер, поэтому в данном случае в EDX будет помещён первый байт номера, дополнительная информация о котором выводится в пояснении OllyDbg. ![](/files/-LmvTvvH6M3ZMkhMWFSS) Пояснение говорит, что 31 соответствует ‘1’ в кодировке ASCII, что является первой цифрой номера-константы. ![](/files/-LmvTvvTGISOA40-yLSD) Здесь мы дошли до сравнение, где участвуют: ![](/files/-LmvTvveewtN723MmQPy) В EAX находится значение 25 (значение первого байта неверного серийного номера (39), от которого было отнято значение 14), а в EDX первый байт номера-константы или 31. А потому видим, что ``` CMP EAX,EDX ``` на самом деле является CMP (ПЕРВЫЙ БАЙТ НЕПРАВИЛЬНОГО СЕРИЙНИКА– 14), ПЕРВЫЙ БАЙТ НОМЕРА-КОНСТАНТЫ ``` CMP 25,31 ``` И поскольку разность между этими двумя операндами равна нулю, то флаг Z не активируется и выполняется переход JNZ. Мы вводили неверный серийный номер, а сравнение может дать верный результат, если будет введён правильный серийный номер, чтобы сравниваемые значения были верны. CMP (ПЕРВЫЙ БАЙТ ПРАВИЛЬНОГО СЕРИЙНИКА– 14), 31 Это и есть условие, при котором сравниваемые значения будут равны. ПЕРВЫЙ БАЙТ ПРАВИЛЬНОГО СЕРИЙНИКА-14 = ПЕРВЫЙ БАЙТ НОМЕРА-КОНСТАНТЫ Поэтому ПЕРВЫЙ БАЙТ ПРАВИЛЬНОГО СЕРИЙНИКА = ПЕРВЫЙ БАЙТ НОМЕРА-КОНСТАНТЫ + 14 ![](/files/-LmvTvvqP_S4NIZG1MAJ) ПЕРВЫЙ БАЙТ ПРАВИЛЬНОГО СЕРИЙНИКА = 31 + 14 ПЕРВЫЙ БАЙТ ПРАВИЛЬНОГО СЕРИЙНИКА = 45, что соответствует "E" в ASCII. То есть первая буква серийного номера равна E. Эта побайтовая проверка повторяется в цикле до конца. ПЕРВЫЙ БАЙТ ПРАВИЛЬНОГО СЕРИЙНИКА = ПЕРВЫЙ БАЙТ НОМЕРА-КОНСТАНТЫ + 14 ВТОРОЙ БАЙТ ПРАВИЛЬНОГО СЕРИЙНИКА = ВТОРОЙ БАЙТ НОМЕРА-КОНСТАНТЫ +14 ТРЕТИЙ БАЙТ ПРАВИЛЬНОГО СЕРИЙНИКА = ТРЕТИЙ БАЙТ НОМЕРА-КОНСТАНТЫ +14 Вот таким образом. Применим этот алгоритм для каждого байта, прибавляя 14 и получая значение байта, соответствующее верному серийному номеру. ``` 31 30 34 34 35 36 37 38 10445678 39 35 31 00 00 00 00 00 951..... ``` ``` 31 + 14 = 45 это буква **E** в ASCII 30 + 14 = 44 это буква **D** в ASCII 34 + 14 = 48 это буква **H** в ASCII 34 + 14 = 48 это буква **H** в ASCII 35 + 14 = 49 это буква **I** в ASCII 36 + 14 = 4A это буква **J** в ASCII 37 + 14 = 4B это буква **K** в ASCII 38 + 14 = 4C это буква **L** в ASCII 39 + 14 = 4D это буква **M** в ASCII 35 + 14 = 49 это буква **I** в ASCII 31 + 14 = 45 это буква **E** в ASCII ``` Поэтому правильный серийный номер следующий: `EDHHIJKLMIE` Введём его в окне серийного номера, убрав предварительно все точки останова. ![](/files/-LmvTvw2fPKlvlX0fLUU) Нажмём "Check". ![](/files/-LmvTvwEXptHQpX-dvnZ) Мы рассмотрели как выполняется цикл сравнения, как формировались значения, как последовательно перебирались байты номера-константы и неверного серийного номера и исходя из чего выдавалось сообщение о корректности или некорректности введённого серийного номера. Этот крэкми не такой простой как предыдущий, но думаю, что вам полезно попрактиковаться, чтобы играть в эти игры лучше. Ок, прилагаю к этой части крэкми "Splish" [\[ссылка\]](https://github.com/yutewiyof/intro-cracking-with-ollydbg/tree/3679d233f4d394747f712e9b6b09bc9c2a3cad80/.gitbook/assets/files/14/Splish.7z), попробуйте найти серийный номер, захардкоденный в нём. \[C] Рикардо Нарваха, пер. Aquila