安全矩阵

 找回密码
 立即注册
搜索
查看: 4490|回复: 0

x64dbg入门之工具使用实战

[复制链接]

991

主题

1063

帖子

4315

积分

论坛元老

Rank: 8Rank: 8

积分
4315
发表于 2020-7-6 19:35:32 | 显示全部楼层 |阅读模式
原文链接:x64dbg入门之工具使用实战               



0x0 环境
1. x64dbg
2. 看雪找的一个serial.exe3. Windows 10



0x1 主要内容
本文通过分析一个非明码比较的序列号保护程序,展示x64dbg的常见用法以及逆向的基本思路,在实战中讲解x64dbg的一些用法:
1. 字符串搜索
2. 反汇编界面基本操作
3. 软件断点
4. 函数断点
5. 常见窗口介绍


0x2 分析

1. 分析程序功能
这程序就长这样:


在help里面可以找到一个注册功能,注册界面如下:


输入正确的用户名和密码即可注册成功,当然,如果输入错误,会弹出一个messagebox显示错误信息。

2. 查壳


可以看出,目标程序是使用汇编写的,貌似没壳。
3. 分析目标程序
将目标程序用x64dbg(实际上是x32dbg)打开,看看x64dbg的界面,这里常用的窗口都使用红字标注出来了:

字符串搜索功能,我们可以通过x64dbg的字符串搜索功能来查看内存中加载的字符串,具体操作步骤为:CPU(反汇编)窗口->鼠标右键->搜索->选择模块(根据个人需求选择,一般选择当前模块,前提是得先执行到主模块)->字符串。


我们单步到主模块(单步调试快捷键和od一样,F7单步步入,F8单步步过),字符串搜索得到如下结果,可以看到很明显的字符串:


双击该字符串即可跳到反汇编窗口中相应位置。


下软件断点,运行程序,观察是何处调用了该代码(鼠标点击相应行,按下F2即可快速使用软件断点),下软件断点后,地址处会变为红色,断点窗口能看到相应信息。




让程序运行起来(快捷键F9),输入注册信息,点击确认,等待命中软件断点。
可以看到,程序的EIP指向了我们的软件断点,此时信息框信息为失败。



单步步过,一直走到返回ret,即可查看上层代码。
可以看到,源程序是使用了2个处理函数,分别对用户名和密码进行了运算,用户名运结果放到了eax中,密码运算结果放在ebx中,比较二者运算结果是否相同,决定调用注册成功函数还是注册失败函数。(由于此时只是介绍工具使用,故不展示算法分析部分,大致流程为eax = F1(用户名),ebx = F2(注册码),cmp eax,ebx



这时候,我们使用x64dbg的代码修改功能,将对应的注册失败验证跳过,即可完成破解:将0x401243处的je 0x40124C改为jmp 0x40124C(双击代码行即可修改)。


保存到文件(反汇编窗口右键->补丁->修补文件)。


现在,验证我们的破解成果吧:


可以看到,已经破解成功了,当然,完美的破解应当是写出注册机,这里只是展示工具使用,主要不是展示逆向,所以暂时不写注册流程。
0x3 知识总结


1. 相应界面的查看:CPU(反汇编)窗口、寄存器窗口、内存窗口、栈窗口

2. 常用快捷键:F2下软件断点、F7单步步入、F8单步步过、F9运行程序
3. 常用功能:
  • 字符串搜索:CPU反汇编窗口->鼠标右键->搜索->选择模块(根据个人需求选择,一般选择当前模块,前提是得先执行到主模块->字符串。
  • 保存修改到文件:反汇编窗口右键->补丁->修补文件。














回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-3-29 05:21 , Processed in 0.015275 second(s), 18 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表