Résolution Synok's CrackMe 2 in 1

[MLT]

Cette résolution est assez facile. En terme de difficulté, elle peut être placée entre les tutoriels de ArK et mes 2 précédentes résolution.


La différence majeure avec les 2 résolutions précédentes, c'est que celui-ci est codé en C++ et le password est donné dans un fichier.

Caractéristiques du crackme:

Lien du crackme: http://crackmes.de/users/synok/crackme_2_in_1/
Difficulty: 2 - Needs a little brain (or luck)
Platform: Windows
Language: C/C++

Résolution

Nous exécutons le programme, nous avons le message suivant:

Code :

License function not patched

Donc nous en déduisons qu'une fonction doit être modifiée.

Nous ouvrons ollyDBG, et nous faisons clic droit > Search for > All referenced text strings.
Ensuite clic droit sur ASCII "License function not patched"

Nous arrivons ici:

Après analyse, nous voyons le jnz en 001B10DA, il suffit de le changer en JE ou JMP pour patcher la fonction.

Pour ma part j'ai enregistré la modification pour simplifier l'analyse.

Nous exécutons le programme avec la modification, il nous demande un login, ensuite il nous met (pour le name "maurice"):

Code :

1217117664License invalid!

Curieusement, il nous indique un numéro qui est la licence valide (Erreur de codage )

Maintenant tout ce passe ici :

D'abord, une boucle est présente, elle ne sert pas à grand chose, juste elle prend la longueur du pseudo est la multiplie par 0x29a.

Code :

001B11AB  |. 69F6 9A020000  IMUL ESI,ESI,29A                         ;  on multiplie la valeur esi par 29a (qui est la lg multiplié par 29a)
001B11B1  |. 8D8D C0FEFFFF  LEA ECX,DWORD PTR SS:[EBP-140]
001B11B7  |. E8 34010000    CALL CrackMe2.001B12F0
001B11BC  |. 0FAFF0         IMUL ESI,EAX                             ;  esi multiplié par l du pseudo dans esi
001B11BF  |. 6BF6 1C        IMUL ESI,ESI,1C                          ;  esi multiplié par 1c
001B11C2  |. D1E6           SHL ESI,1                                ;  esi << 1

Avec la ligne IMUL ESI,ESI,29A, on multiplie la longueur du pseudo par 0x29a qui a dejà auparavent été multiplié par 0x29a.
Pour résumé: longueur du pseudo * 0x29a * 0x29a.

Ensuite on multiplié la valeur acquise par la longueur du pseudo (IMUL ESI,EAX). Puis on multiplie le tout par 0x1C (IMUL ESI,ESI,1C).

Pour finir on décale de un bit vers la gauche (SHL ESI,1).

Et voilà, la valeur décimale de ce résultat est la licence valide. Elle doit être mis dans le fichier licence.dat sous forme décimale.

Voici le keygen:

Code PHP :

#include <stdio.h>
#include <stdlib.h>

int main(void)
{
    unsigned char login[20] ;
    int lg_login , licence;

    printf("Name : ") ;
    scanf("%s", login);
lg_login = strlen(login);


licence = lg_login * 0x29a ;
licence = licence * 0x29a ;
licence = lg_login * licence ;
licence = licence * 0x1c ;
licence = licence << 1 ;
printf("La licence est : %d" ,licence);

} 


[MLT]

J'ai oublié une phrase sur le tut, comme je ne peux pas éditer le message, je fais ma correction ici.

Après le screen 2, il y a un code copié. C'est ce code qui calcule la licence. Ce code est situé juste en dessous de la boucle qui calcule la longueur du pseudo.

Voilà

[Horgh]

Après analyse, nous voyons le jnz en 001B10DA, il suffit de le changer en JE ou JMP pour patcher la fonction.

C'est mal d'inverser les sauts, à chaque fois que quelqu'un fait ça un bébé phoque meurt poignardé sur la banquise.

[gruik]

à chaque fois que quelqu'un fait ça un bébé phoque meurt poignardé

c'était une erreur de donner des couverts aux pingouins, aujourd'hui on s'étonne que les ours aient des couteaux mais on sait pertinemment d'où viennent les armes...

[MLT]

C'est mal d'inverser les sauts

Qu'est ce que peut faire de mieux pour sauver les pingouins ?

[Loup]

@MLT

On leur balance 90 gilets de protections pour empêcher les vilain ours de les poignardés!

[MLT]

C'est à dire ? je peux pas le noper le saut ici.

[Loup]

Ah bah donc:

Qu'est ce que peut faire de mieux pour sauver les pingouins ?

[MLT]

tu parle de 90 donc j'ai traduit sa par "nop le saut" puisque 90 = nop :/

[Loup]

J'ai fait exprès! mais vu que "soit-disant" tu ne peux pas nopper:

Qu'est ce que peut faire de mieux pour sauver les pingouins ?

Mise à part, j'aime bien ta petite série de tuts, j'espère que tu vas continuer?
Mais augmente un petit peu le niveau car là c'est plus de la révision, enfin pour bcp sur ce forum je pense?

En tout cas Merci,

Kis.. euh ciao!

[ark]

@MLT, plutôt que d'inverser un saut, fait en sorte qu'il soit TOUJOURS pris.
donc en fonction du jump que c'est, soit tu nop, soit tu jmp.