Radare2进阶之破解

Myth丶恋晨 2022-12-25 00:54 251阅读 0赞

文章重点基于\[CrackerMe03\]。这是R2 CrackerMe系列的典型的一个，算是CrackerMe系列的一个分水岭。在前面介绍破解，主要是通过修改字节码的方式，当然所有的CrackerMe都可以使用此方式。不过，这篇文章介绍一些其他的方式，主要是基于代码逻辑进行破解以及使用Emulator进行破解。

### CrackerMe00 ###

现说一个最简单的CrackeMe00。  
查看字符串信息 `rabin2 -z crackme0x00`  
![在这里插入图片描述][20201129123944440.png_pic_center]通过字符串信息，大概推断密码是250382。运行程序，输入250382，**Pass！**  
![在这里插入图片描述][20201129124102350.png_pic_center]

### CrackerMe01 ###

继续CrackeMe01。  
查看字符串信息 `rabin2 -z ./crackme0x01`,没有什么有价值的信息。  
![在这里插入图片描述][20201129124351471.png_pic_center]使用Radare2进行反汇编main函数：`pdf @ sym.main`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]分析汇编代码可知就是对0x149a和输入内容进行比较。**Pass！**  
![在这里插入图片描述][20201129125043104.png_pic_center]看汇编可能不太方便，那就使用decompiler，**类似IDA中的F5功能**。`pdg @ sym.main`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]这里使用了radare2ghidra插件，还有pdz使用的插件是retDec。当然还有radare默认的decompiler命令pdc，这个效果不太好。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]

### CrackerMe02 ###

继续CrackeMe02。  
查看字符串信息 `rabin2 -z ./crackme0x02`,没有什么有价值的信息。  
![在这里插入图片描述][20201129130235104.png_pic_center]使用Radare2进行反汇编main函数：`pdf @ sym.main`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]这个看起来比较麻烦了。使用decompiler看一下 `pdg @ sym.main`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]目测密码是0x52b24。**Pass！**  
![在这里插入图片描述][20201129131528528.png_pic_center]  
再介绍一种破解方法，基于Radare2里面的一个非常强大的功能**ESIL** and **Emulation**。后面文章会详细介绍这个强大的功能，在很多情况下上可以取代动态调式。

> ESIL stands for ‘Evaluable Strings Intermediate Language’. It aims to describe a Forth-like  
> representation for every target CPU opcode semantics. ESIL representations can be  
> evaluated (interpreted) in order to emulate individual instructions  
> For partial emulation (or imprecise full emulation) radare2 uses its own ESIL intermediate  
> language and virtual machine

1.  初始化ESIL VM `aei`
2.  初始化ESIL VM Memory(Stack) `aeim`
3.  初始化 ESIL VM IP `aeip`
4.  运行 `aesu addrerss`

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]通过最后的结果可以判断出var\_ch的值是338724，也就是密码。**这是在基本不知道逻辑的情况下获取到最终的结果。加密解密不正符合这种情况!**

### CrackerMe03 ###

#### 查看功能 ####

典型的crackeMe003类型题目，输入密码，判断密码是否正确。前面的So easy，来个有难度的。  
![在这里插入图片描述][20201129100116126.png_pic_center]

#### 查看字符串信息 ####

使用rabin2使用`rabin2 -z crackme0x03`

![在这里插入图片描述][20201129100653261.png_pic_center]好像没有什么特别有用的信息。

#### 使用Radare2进行分析 ####

通过分析，主要的判断逻辑放在了sym.test这个函数。`pdf @ sym.test`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]  
查看sym.shift函数 `pdf @ sym.shift`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]可以看出，最终的输出是在这个函数进行打印的。

decompiler看一下. `pdg @ sym.shift`。推测这个函数是通过输入参数，构造最终的打印结果。核心算法是`sub al, 0x3`  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 8]通过以上的代码，大致可以对断除在sym.test中的两个判断必然有一个会打印密码正确的信息。于是可以推测，如果传能给sym.test的两个参数一致，则会打印密码正确的信息。从decompiler中可以知道其中一个参数是0x52b24，于是可以就此推断密码是0x52b24。换成十进制的试下，**Pass**  
![在这里插入图片描述][20201129140759640.png_pic_center]

### 写在最后 ###

CrackerMe系列总共有10个，后续会把剩余的6个的破解过程更新上。

### 公众号 ###

更多逆向方面的内容，欢迎关注我的微信公众号:无情剑客。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 9]  
技术交流群:  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5peg5oOF5YmR5a6iQnVybmluZ1Rlbmc_size_20_color_FFFFFF_t_70_g_se_x_16_pic_center]

[20201129123944440.png_pic_center]: /images/20221120/6f860e6de9874cd281c609bae5a98560.png
[20201129124102350.png_pic_center]: https://img-blog.csdnimg.cn/20201129124102350.png#pic_center
[20201129124351471.png_pic_center]: https://img-blog.csdnimg.cn/20201129124351471.png#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center]: https://img-blog.csdnimg.cn/20201129124821610.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[20201129125043104.png_pic_center]: https://img-blog.csdnimg.cn/20201129125043104.png#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 1]: https://img-blog.csdnimg.cn/20201129125309622.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 2]: https://img-blog.csdnimg.cn/20201129125622874.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[20201129130235104.png_pic_center]: https://img-blog.csdnimg.cn/20201129130235104.png#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 3]: https://img-blog.csdnimg.cn/20201129130816608.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 4]: https://img-blog.csdnimg.cn/20201129131409860.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[20201129131528528.png_pic_center]: https://img-blog.csdnimg.cn/20201129131528528.png#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 5]: https://img-blog.csdnimg.cn/20201129133032374.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[20201129100116126.png_pic_center]: https://img-blog.csdnimg.cn/20201129100116126.png#pic_center
[20201129100653261.png_pic_center]: https://img-blog.csdnimg.cn/20201129100653261.png#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 6]: https://img-blog.csdnimg.cn/20201129140347615.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 7]: https://img-blog.csdnimg.cn/20201129134729391.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 8]: https://img-blog.csdnimg.cn/2020112913490364.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[20201129140759640.png_pic_center]: https://img-blog.csdnimg.cn/20201129140759640.png#pic_center
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ_size_16_color_FFFFFF_t_70_pic_center 9]: https://img-blog.csdnimg.cn/20201129141034699.png?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2hlbGxvd29ybGRkbQ==,size_16,color_FFFFFF,t_70#pic_center
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBA5peg5oOF5YmR5a6iQnVybmluZ1Rlbmc_size_20_color_FFFFFF_t_70_g_se_x_16_pic_center]: https://img-blog.csdnimg.cn/f604ca2ec180456087a9fa1d8da5ba51.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBA5peg5oOF5YmR5a6iQnVybmluZ1Rlbmc=,size_20,color_FFFFFF,t_70,g_se,x_16#pic_center