Continuer en reverse engeneering

Bienvenue à tous, ce tuto est la suite de mon premier cours (ici)

Cette fois, on va apprendre a retrouver un numéro de série généré a partir d'un nom.
Pour ce faire, on va se servir des registres, visibles sur OllyDBG (si vous ne voyez pas où ils se situent, relisez le premier cours ! ) et surtout, on va faire un vrai boulot d'analyse de code, j'espère que vous êtes prêts !

Ce cours est un exemple, tout n'est pas comme ça dans la vie, ce crackme est vraiment facile comparé a ce que vous pourrez trouver plus tard si vous continuez dans cette voie. Il vous faudra souvent réfléchir a comment le programmeur a voulu sécuriser son programme... Vous rencontrerez des algorithme bien plus compliqués, avec chiffrement... Tout ça pour vous dire que ce n'est qu'avec la pratique que l'on progresse.

1) Le matos !

Bah comme pour le premier tuto, on se servira de OllyDBG.
Et comme exemple, ce crackme
Et pour faire un keygen, j'utiliserais le langage C, et donc un IDE pour ce langage, mais si vous préférez un autre langage, ne vous gênez pas

2) Here we go !

Pour commencer, on ouvre notre petit crackme pour voir de quoi il est question.
On note (ou retiens, si vous avez la flemme :p) les messages d'erreurs de ce que nous voulons modifier.
Bon, allez, on ouvre OllyDBG maintenant !
Le programme est assez court, vous n'aurez aucun mal a retrouver vos messages d'erreur préférés, mais vous pouvez tout de même faire un clic droit -> search for -> all referenced text strings.

Bon, alors on obtient ce code :


On nous demande notre nom, il est ensuite enregistré dans DWORD PTR SS:[ESP+14]

Donc, là, si vous voulez mettre un nom de moins de 2 ou plus de (0F)h soit 15 caractères, ben on va se démerder avec nos connaissances de base ! (J'en profite pour attirer votre attention sur le JA et le JBE, qui signifient respectivement "saute si inférieur ou égale" et "saute si supérieur ou égale")
Ici, plusieurs solutions, soit on nop tout (bande de barbares, je vous vois venir !) sinon, pour être un peu plus fin, on remplace le JA et le JBE par des JMP 00401397 (pour se retrouver juste après tout ce beau monde)

Ensuite, on trouve du code...

Puis on nous demande notre sérial, qui se trouve finalement enregistré dans EAX.
Puis arrive ces lignes :



On voit que en 004013F9 on retrouve le message de validation.
C'est donc cette ligne que l'ont va modifié pour bypasser le sérial... Mais, ce n'est pas le but de ce cours ! (Enfin, faites le si ça vous amuse.)

Le CMP nous donne ici une information importante, "DWORD PTR SS:[ESP+78]" -> nous indique où est stocké le véritable sérial.

Remontons un peu plus haut dans le code, nous y avons trouvé ceci :
Et bien ça mes cher amis, c'est l'algorithme qui nous génère le sérial a partir de notre nom.
Bon, analysons le !

Déjà, on peut voir qu'il est composé d'une boucle :

(00401397 étant l'adresse du début de la boucle)

En jetant un rapide coup d'œil plus haut dans le code, on peut observer cette ligne :


L'instruction MOV permet de déplacer une source vers une destination. On l'utilise comme ceci : MOV destination, source. (en assembleur, les instructions sont lues a "l'envers" c'est a dire qu'on a la destination avant la source.)
Içi, on va donc mettre la valeur 0 dans DWORD PTR SS:[ESP+7C]

Au tout début de l'algorithme, on peut voir que la valeur de DWORD PTR SS:[ESP+7C] est déplacée dans le registre EAX.

Ensuite, on récupère la première lettre (BYTE récupère un octet) du nom entré dans AL. Puis, l'instruction MOVSX va permettre au programme de changer le type de la chaine récupérer. C'est un peu compliqué, je ne le détaillerai pas ici, mais sachez juste que dans ce cas présent, on se retrouvera avec la valeur décimale du code ASCII de la lettre sélectionnée.



Ensuite, cette valeur hexa est récupérée et placée dans DWORD PTR SS:[ESP+78] grâce a l'instruction ADD (bah oui, ça ne fait qu'ajouter, additionner)
Puis, le programme incrémente DWORD PTR SS:[ESP+7C] qui est finalement passé dans EAX.
On place ensuite la lettre suivante du nom (BYTE PTR SS:[ESP+EAX+14]) dans AL.
On a ensuite un TEST. Pour que le JNZ suivant saute, il faudra que AL et la valeur 0. Or, la seule façon pour qu'il atteigne le 0, c'est d'arriver en fin de chaine, en effet, lorsque l'on enregistre une chaine, celle ci ce termine OBLIGATOIREMENT par un caractère NULL ; qui vaut 00 en hexa.

Donc, pour résumer, le programme parcours le nom entré, et additionne la valeur ASCII de chaque lettres.

On peut donc trouvé notre sérial !!

HOP HOP HOP, minute ! Je sais pas si vous avez remarqués, mais n'oublions pas cette ligne : ADD DWORD PTR SS:[ESP+78],0A410
On ajoute la valeur (0A410)h a la valeur précédemment calculée... N'oubliez pas une ligne ! C'est toujours très important ! bon, cette valeur vaut 42000 en décimal.

Le sérial sera donc composé de : Valeur ASCII de chaque lettres additionnés + 42000

Bon, ben maintenant, vous prenez une table ASCII, votre calculatrice Windows pour convertir l'hexa en décimal. Et vous trouvez le sérial pour votre nom !

Ou alors... si vous êtes flemmards, vous codez un keygen...

Allez ! Au boulot !



ça y est ?
bon, je vous passe le code de mon keygen en C... Mais j'espère bien que vous m'avez codé ça, parce que c'est pas bien compliqué ! :p



Voilà, c'est la fin de ce tuto, c'était plus une analyse de code qu'une manipulation, mais j'espère que ça vous a plut ! Sachez cependant que vous pouvez placer des breakpoint (en appuyant sur f2) sur les lignes de vos choix afin de pouvoir observer ce qu'il se passe dans les registres. Attention, une opération n'est faite qu'une fois passé a la ligne suivante.
Si vous avez des questions, des remarques, etc, faites m'en part !

Voilà maintenant, je vous conseille grandement de pratiquer, mangez du crackme !!