DR.com客户端解密过程逆向分析

DR.com客户端解密过程逆向分析

说明：

Dr.com Client是城市热点提供的校园网认证平台，很多学校都用这个，例如，CQU、CQNU等等（不过我们家是用H3Com认证的，有点意思）。

离校前一天晚上三个人在宿舍密谋弄个关于Dr.com的猥琐东东出来，此破文是那个小东东的前期分析，主要解决如何从Dr.com加密文本中获得加密字符串后，自己实现解密函数进行解密分析，得到真正的密码。

此破文仅仅对客户端进行了跟踪，因为家里不可能连到网络中心，所以不涉及任何通信数据包截获解密的部分.此部分可参考Xfocus上某帖

参考文献：

Dr.com客户端认证研究 www.xfocus.net/bbs/index.php?act=ST&f=2&t=42694&page=1

探究Dr.COM Client内存显示明文密码漏洞 http://hack.77169.com/HTML/20080723140033.html

Dr.com3.46客户端密码文件解密过程 http://bbs.pediy.com/showthread.php?p=440464

此破文大部分参考自《Dr.com3.46客户端密码文件解密过程》，此文作者经过我社工后发现：

1、貌似是我老乡..郑州人好像..

2、貌似是我师兄、CQU计院研二..

以上均属社工猜测，可能与实际不符..。

正文：

工具、平台： WINXP SP1
+ OllyICE + IDA + VS2008 + UltraEdit + EditPlus

Dr.com版本号：v3.482，其它版本大致通用

主要逆向了三部分，一是找到加密字符串所在文本并打开过程、二是密钥的生成过程、三是利用密钥对加密字符串的解密过程..

详细过程：

因为关于DR.com的解密逆向已经不少了，看了几篇paper后，大致有了思路，先小跟了下程序，一直跟到了那个要输入帐号密码的对话框，因为没有选择保存密码，所以没有发现文件操作部分..

大致熟悉初始化过程后，根据DRcom的内存明文显示密码问题下手，首先，用OD加载Drcom，搜索引用字符串：

从这点跟进，终于找到放密码的内存地址，这个地址是硬编码，不会变的..

经过分析发现

0x0041DB00是存放帐号的地址；0x41DB1B是存放密码的地址，在这两个字符串之间还有一段数据，因为目前用不到就没解，有兴趣的自己尝试..

0040CFA5 |. 8D7424 2C
lea esi, dword ptr [esp+2C]

0040CFA9 |. BF 00DB4100
mov edi, 0041DB00 ; 20075440

0040CFAE |. 8A4424 47
mov al, byte ptr [esp+47]

在这里断下来，0x0041DB00果真是帐号吧.呵呵

下面提供一种相当猥琐的方法：

在内存上下断点，我在0x0041DB00内存位置下内存写入断点，当把20075440写入的时候就会触发，我大致跟了下，这个帐号是从同目录下的login2.dat里读出的..

在0x0041DB00下断的目的是为了分析读密码的文件流操作，如果只想逆向解密那部分，可以直接断在0x0041DB1B

下面单步几下来到对密码所在文件操作的部分：

UINT WINAPI GetSystemDirectory(

  __out  LPTSTR lpBuffer,

  __in   UINT uSize

);

lpBuffer装的是系统路径，usize为其长度，即eax,后面判断如果长度为0，就直接退出

—————————————————————————————————————————

以上代码组合出密码文件所在路径！

以上为三次strlen+strcat得到的字符串.把一些硬编码连接在一起就组合出了这个路径，里面存的就是加密后的密码.

0040F948 |. 50 push eax ; /hTemplateFile => NULL

0040F959 |. 50 push eax ; |Attributes => 0

0040F976 |. 6A 04 push 4 ; |Mode = OPEN_ALWAYS

0040F988 |. 50 push eax ; |pSecurity => NULL

0040F99E |. 50 push eax ; |ShareMode => 0

0040F9A6 |. 68 00000080 push 80000000 ; |Access = GENERIC_READ

0040F9AB |. 50 push eax ; |FileName

0040F9AE |. FF15 A0204100 call dword ptr [<&KERNEL32.CreateFileA>] ; \CreateFileA

我把所有的push整合后，出来了CreateFile的调用

HANDLE CreateFile(

  LPCTSTR lpFileName,

  DWORD dwDesiredAccess,

  DWORD dwShareMode,

  LPSECURITY_ATTRIBUTES lpSecurityAttributes,

  DWORD dwCreationDisposition,

  DWORD dwFlagsAndAttributes,

  HANDLE hTemplateFile

);

完全符合，参数从右到左压栈了！

调用最终返回一个文件句柄。

继续：

和我们平常写文件流操作完全一样，CreatFile后自然开始ReadFile（）

判断返回值eax，如果为0就是调用失败，函数退出

读完后CloseHandle（），不说了..

看看ReadFile出来了什么:

EDX指向esp+8，就是堆栈中的字符串的显示

堆栈中的字符串

看一下文件中真是这个字符串么:

打开C:\WINDOWS\system32\micsystem.bin

果真如此，哈哈！

读出的内容已经压栈了，应该是下面那个call的一个参数，call
00401D00

这个很明显，解密函数到了！

F7单步进去：

这里是计算密钥的函数，可惜Dr.com公司接口留的不错，只是没有利用，这个函数永远返回定值：0x75B9，以为它的参数字符串是硬编码，汗..

但还是跟进去看一下吧：

上面是我结合其它文章和自己的分析给出的，个别地方注释是早期留得，有点错误.

上面这个函数都比较简单，里面有个call
0x00402040，这个函数调用更简单，代码如下：

00402040  /$  8B4C24 04     mov     ecx, dword ptr [esp+4]
00402044  |.  B8 01000000   mov     eax, 1
00402049  |.  3BC8          cmp     ecx, eax
0040204B  |.  7C 05         jl      short 00402052
0040204D  |>  03C0          /add     eax, eax
0040204F  |.  49            |dec     ecx
00402050  |.^ 75 FB         \jnz     short 0040204D
00402052  \>  C3            retn

还原出来大致是int Fun(int
n),返回2的n次幂

给出C实现：

int Fun(int num)
{
    if (num==0)
    {
        return 1;
    }
    int sum = 1;
    for (int i=0;i<num;i++)
    {
        sum <<= 1;
    }
    return sum;
}

对照下即可明白！

加上此函数，就可得到那个得到密钥的函数

原型

int Decode(char* pch)

C实现：

int decode(char* pch)
{
    int len = strlen(pch);
    char ch;
    int num = 0;
    int si = 0;
    int bx = 0;
    for (int i=0;i<len;i++)
    {
        ch = *(pch+i);
        int temp = Fun(si)*ch;
        num ^= temp;
        temp = Fun(bx)*ch;
        num ^= temp;
        si = (si+0x07)%0x13;
        bx = (bx+0x0d)%0x17;
    }

    return num;
}

然后综合分析自己写个得到密钥DEMO：

1 #include <iostream>
2 #include <string.h>
3 using namespace std;
4
5 int Fun(int num)
6 {
7     if (num==0)
8     {
9         return 1;
10     }
11     int sum = 1;
12     for (int i=0;i<num;i++)
13     {
14         sum <<= 1;
15     }
16     return sum;
17 }
18
19 int decode(char* pch)
20 {
21     int len = strlen(pch);
22     char ch;
23     int num = 0;
24     int si = 0;
25     int bx = 0;
26     for (int i=0;i<len;i++)
27     {
28         ch = *(pch+i);
29         int temp = Fun(si)*ch;
30         num ^= temp;
31         temp = Fun(bx)*ch;
32         num ^= temp;
33         si = (si+0x07)%0x13;
34         bx = (bx+0x0d)%0x17;
35     }
36
37     return num;
38 }
39
40 int main()
41 {
42     char* constr = “TblRefreshCurMonthServiceUse“;
43     int num = decode(constr);
44     num ^= 0x18901;
45     num %= 0x188B9;
46
47     cout<<num<<endl;
48
49 }

由于参数是个常量字符串，结果自然也是常量：30317

这段代码明显在浪费时间..

接着分析：

上面的分析已经比较清楚了，看下这个函数：

_atoi()，是一个系统CRT函数，还是Dr.COM的人懒，传的参数又是两个常数，这个_atoi()代码不超过10行，本来是很容易逆向的，但是里面的wait和leave指令不懂，自己实现的_atoi()结果不对，所以放弃，还是用直接调用系统本身的方法..

整个解密过程到此算是逆向的差不多了，自己根据反汇编代码可以写出解密函数，还有一种更猥琐的方法，我正在试验中，写个dll远程注入到ishare_user.exe中，直接调用drcom本身就可以完成一切功能..这个方法配合一些歪门邪道有点用处的..

解密过程代码：

1 #include <iostream>
2 #include <string.h>
3 #include<Windows.h>
4 using namespace std;
5
6 void Decode(char* pch)
7 {
8     int key = 0x75B9,sum =0;
9     char* code = new char[1024];
10     int len = strlen(pch);
11     for (int i=0;i<len;i++)
12     {
13         char ch = pch[i];
14         if (ch>=0x20&&ch<=0x7e)
15         {
16             sum += key;
17
18             int st0 = 0,dst = 0;
19             double d310 = 96.00000000000000;
20             double d318 = 9.946586828729721e-06;
21
22             HINSTANCE LibHandle;
23             LibHandle=LoadLibrary(L“msvcrt.dll“);
24             void* _ftol;
25             _ftol =(void*)GetProcAddress(LibHandle,“_ftol“);
26             st0 = sum%0x188B9;
27             __asm
28             {
29                 fild st0;
30                 fmul d318;
31                 fmul d310;
32                 call _ftol;
33                 mov  dst,eax
34             }
35             dst=(ch–dst–0x20)%0x5f;
36             if(dst<0)  dst=dst+0x5F;
37             code[i]=dst+32;
38         }
39     }
40     code[len] = \’\0\’;
41     cout<<code<<endl;
42 }
43
44 int main()
45 {
46     char* pch = “Pk-Jf!:_u“;
47     Decode(pch);
48
49     return 0;
50 }

DR.com客户端解密过程逆向分析

DR.com客户端解密过程逆向分析的更多相关文章

随机推荐

热门专题

目录导航