DR.com客户端解密过程逆向分析

DR.com客户端解密过程逆向分析

说明：

Dr.com Client是城市热点提供的校园网认证平台，很多学校都用这个，例如，CQU、CQNU等等（不过我们家是用H3Com认证的，有点意思）。

离校前一天晚上三个人在宿舍密谋弄个关于Dr.com的猥琐东东出来，此破文是那个小东东的前期分析，主要解决如何从Dr.com加密文本中获得加密字符串后，自己实现解密函数进行解密分析，得到真正的密码。

此破文仅仅对客户端进行了跟踪，因为家里不可能连到网络中心，所以不涉及任何通信数据包截获解密的部分.此部分可参考Xfocus上某帖

参考文献：

Dr.com客户端认证研究 www.xfocus.net/bbs/index.php?act=ST&f=2&t=42694&page=1

探究Dr.COM Client内存显示明文密码漏洞 http://hack.77169.com/HTML/20080723140033.html

Dr.com3.46客户端密码文件解密过程 http://bbs.pediy.com/showthread.php?p=440464

此破文大部分参考自《Dr.com3.46客户端密码文件解密过程》，此文作者经过我社工后发现：

1、貌似是我老乡..郑州人好像..

2、貌似是我师兄、CQU计院研二..

以上均属社工猜测，可能与实际不符..。

正文：

工具、平台： WINXP SP1 + OllyICE + IDA + VS2008 + UltraEdit + EditPlus

Dr.com版本号：v3.482，其它版本大致通用

主要逆向了三部分，一是找到加密字符串所在文本并打开过程、二是密钥的生成过程、三是利用密钥对加密字符串的解密过程..

详细过程：

因为关于DR.com的解密逆向已经不少了，看了几篇paper后，大致有了思路，先小跟了下程序，一直跟到了那个要输入帐号密码的对话框，因为没有选择保存密码，所以没有发现文件操作部分..

大致熟悉初始化过程后，根据DRcom的内存明文显示密码问题下手，首先，用OD加载Drcom，搜索引用字符串：

从这点跟进，终于找到放密码的内存地址，这个地址是硬编码，不会变的..

经过分析发现

0x0041DB00是存放帐号的地址；0x41DB1B是存放密码的地址，在这两个字符串之间还有一段数据，因为目前用不到就没解，有兴趣的自己尝试..

0040CFA5 |. 8D7424 2C lea esi, dword ptr [esp+2C]

0040CFA9 |. BF 00DB4100 mov edi, 0041DB00 ; 20075440

0040CFAE |. 8A4424 47 mov al, byte ptr [esp+47]

在这里断下来，0x0041DB00果真是帐号吧.呵呵

下面提供一种相当猥琐的方法：

在内存上下断点，我在0x0041DB00内存位置下内存写入断点，当把20075440写入的时候就会触发，我大致跟了下，这个帐号是从同目录下的login2.dat里读出的..

在0x0041DB00下断的目的是为了分析读密码的文件流操作，如果只想逆向解密那部分，可以直接断在0x0041DB1B

下面单步几下来到对密码所在文件操作的部分：

UINT WINAPI GetSystemDirectory(

  __out  LPTSTR lpBuffer,

  __in   UINT uSize

);

lpBuffer装的是系统路径，usize为其长度，即eax,后面判断如果长度为0，就直接退出

---------------------------------------------------------------------------------------------------------------------------

以上代码组合出密码文件所在路径！

以上为三次strlen+strcat得到的字符串.把一些硬编码连接在一起就组合出了这个路径，里面存的就是加密后的密码.

0040F948 |. 50 push eax ; /hTemplateFile => NULL

0040F959 |. 50 push eax ; |Attributes => 0

0040F976 |. 6A 04 push 4 ; |Mode = OPEN_ALWAYS

0040F988 |. 50 push eax ; |pSecurity => NULL

0040F99E |. 50 push eax ; |ShareMode => 0

0040F9A6 |. 68 00000080 push 80000000 ; |Access = GENERIC_READ

0040F9AB |. 50 push eax ; |FileName

0040F9AE |. FF15 A0204100 call dword ptr [<&KERNEL32.CreateFileA>] ; \CreateFileA

我把所有的push整合后，出来了CreateFile的调用

HANDLE CreateFile(

  LPCTSTR lpFileName,

  DWORD dwDesiredAccess,

  DWORD dwShareMode,

  LPSECURITY_ATTRIBUTES lpSecurityAttributes,

  DWORD dwCreationDisposition,

  DWORD dwFlagsAndAttributes,

  HANDLE hTemplateFile

);

完全符合，参数从右到左压栈了！

调用最终返回一个文件句柄。

继续：

和我们平常写文件流操作完全一样，CreatFile后自然开始ReadFile（）

判断返回值eax，如果为0就是调用失败，函数退出

读完后CloseHandle（），不说了..

看看ReadFile出来了什么:

EDX指向esp+8，就是堆栈中的字符串的显示

堆栈中的字符串

看一下文件中真是这个字符串么:

打开C:\WINDOWS\system32\micsystem.bin

果真如此，哈哈！

读出的内容已经压栈了，应该是下面那个call的一个参数，call 00401D00

这个很明显，解密函数到了！

F7单步进去：

这里是计算密钥的函数，可惜Dr.com公司接口留的不错，只是没有利用，这个函数永远返回定值：0x75B9，以为它的参数字符串是硬编码，汗..

但还是跟进去看一下吧：

上面是我结合其它文章和自己的分析给出的，个别地方注释是早期留得，有点错误.

上面这个函数都比较简单，里面有个call 0x00402040，这个函数调用更简单，代码如下：

00402040  /$  8B4C24 04     mov     ecx, dword ptr [esp+4]
00402044  |.  B8 01000000   mov     eax, 1
00402049  |.  3BC8          cmp     ecx, eax
0040204B  |.  7C 05         jl      short 00402052
0040204D  |>  03C0          /add     eax, eax
0040204F  |.  49            |dec     ecx
00402050  |.^ 75 FB         \jnz     short 0040204D
00402052  \>  C3            retn

还原出来大致是int Fun(int n),返回2的n次幂

给出C实现：

int Fun(int num)
{
    if (num==0)
    {
        return 1;
    }
    int sum = 1;
    for (int i=0;i<num;i++)
    {
        sum <<= 1;
    }
    return sum;
}

对照下即可明白！

加上此函数，就可得到那个得到密钥的函数

原型

int Decode(char* pch)

C实现：

int decode(char* pch)
{
    int len = strlen(pch);
    char ch;
    int num = 0;
    int si = 0;
    int bx = 0;
    for (int i=0;i<len;i++)
    {
        ch = *(pch+i);
        int temp = Fun(si)*ch;
        num ^= temp;
        temp = Fun(bx)*ch;
        num ^= temp;
        si = (si+0x07)%0x13;
        bx = (bx+0x0d)%0x17;
    }

    return num;
}

然后综合分析自己写个得到密钥DEMO：

1 #include <iostream>
2 #include <string.h>
3 using namespace std;
4
5 int Fun(int num)
6 {
7     if (num==0)
8     {
9         return 1;
10     }
11     int sum = 1;
12     for (int i=0;i<num;i++)
13     {
14         sum <<= 1;
15     }
16     return sum;
17 }
18
19 int decode(char* pch)
20 {
21     int len = strlen(pch);
22     char ch;
23     int num = 0;
24     int si = 0;
25     int bx = 0;
26     for (int i=0;i<len;i++)
27     {
28         ch = *(pch+i);
29         int temp = Fun(si)*ch;
30         num ^= temp;
31         temp = Fun(bx)*ch;
32         num ^= temp;
33         si = (si+0x07)%0x13;
34         bx = (bx+0x0d)%0x17;
35     }
36
37     return num;
38 }
39
40 int main()
41 {
42     char* constr = "TblRefreshCurMonthServiceUse";
43     int num = decode(constr);
44     num ^= 0x18901;
45     num %= 0x188B9;
46
47     cout<<num<<endl;
48
49 }

由于参数是个常量字符串，结果自然也是常量：30317

这段代码明显在浪费时间..

接着分析：

上面的分析已经比较清楚了，看下这个函数：

_atoi()，是一个系统CRT函数，还是Dr.COM的人懒，传的参数又是两个常数，这个_atoi()代码不超过10行，本来是很容易逆向的，但是里面的wait和leave指令不懂，自己实现的_atoi()结果不对，所以放弃，还是用直接调用系统本身的方法..

整个解密过程到此算是逆向的差不多了，自己根据反汇编代码可以写出解密函数，还有一种更猥琐的方法，我正在试验中，写个dll远程注入到ishare_user.exe中，直接调用drcom本身就可以完成一切功能..这个方法配合一些歪门邪道有点用处的..

解密过程代码：

1 #include <iostream>
2 #include <string.h>
3 #include<Windows.h>
4 using namespace std;
5
6 void Decode(char* pch)
7 {
8     int key = 0x75B9,sum =0;
9     char* code = new char[1024];
10     int len = strlen(pch);
11     for (int i=0;i<len;i++)
12     {
13         char ch = pch[i];
14         if (ch>=0x20&&ch<=0x7e)
15         {
16             sum += key;
17
18             int st0 = 0,dst = 0;
19             double d310 = 96.00000000000000;
20             double d318 = 9.946586828729721e-06;
21
22             HINSTANCE LibHandle;
23             LibHandle=LoadLibrary(L"msvcrt.dll");
24             void* _ftol;
25             _ftol =(void*)GetProcAddress(LibHandle,"_ftol");
26             st0 = sum%0x188B9;
27             __asm
28             {
29                 fild st0;
30                 fmul d318;
31                 fmul d310;
32                 call _ftol;
33                 mov  dst,eax
34             }
35             dst=(ch-dst-0x20)%0x5f;
36             if(dst<0)  dst=dst+0x5F;
37             code[i]=dst+32;
38         }
39     }
40     code[len] = '\0';
41     cout<<code<<endl;
42 }
43
44 int main()
45 {
46     char* pch = "Pk-Jf!:_u";
47     Decode(pch);
48
49     return 0;
50 }

DR.com客户端解密过程逆向分析相关推荐

android判断密码字符串,逆向分析苏宁易购安卓客户端加密到解密获取明文密码（附demo验证） | WooYun...
第一次花这么长时间测一个漏洞(主要时间都花在写demo上了...),求加精 1.苏宁易购Android最新版客户端使用的是通过本地xml文件和db方式存储用户登录凭证的. (1)/data/data/ ...
Android逆向分析案例——某点评APP登陆请求数据解密
今天,七夕,单身23载的程序汪,默默地写着博客~ 上一次的逆向分析案例中讲了如何去分析某酒店的APP登陆请求,为了进一步学习如何逆向分析以及学习其他公司的网络传输加解密,本次案例将继续就登陆请求的数据 ...
逆向分析及修复稀土掘金iOS版客户端闪退bug
感觉是要搞个<逆向分析及修复app>系列的节奏啊故事概要大家好,我又来了.上次给大家分享了<逆向及修复最新iOS版少数派客户端的闪退bug>,@了一些iOS界的大神,没想到 ...
2021-09-28 微博扫码登录获取cookie，附带账号密码js逆向解密过程
一.前言作者:tiezhu 本人和账号作者是朋友,以后将会公用此账号发布文章,也是一个学习爬虫的小白此篇文章仅供学习交流,切勿用于其他用途,否则后果自负! 二.过程分析需要使用的库 import ...
Dubbo Spring Cloud 逆向分析服务注册事件变化的处理过程
这篇介绍了如何从接收事件的方法逆向推出完整的事件处理过程,这个方法适合在解决具体问题或学习源码时,倒着把处理过程理顺. 起因原来用的 Spring Boot + Dubbo 开发架构,在架构中有一个 ...
APP逆向分析之XX音乐客户端下载歌曲权限绕过
很长一段时间没有做逆向分析相关的研究了,最近看了一部电影,电影有首插曲名字叫不见不散,那是相当的好听啊,打开XX音乐,准备下载,额-.弹出付费才能下载-.为了一首歌,开一个包月服务,显然不是我这个搞过 ...
拿走不谢！固件逆向分析过程中的工具和技巧（上）
将固件逆向分析,然后再将逆向分析后的内容转换为有用的东西,这个过程对于所有人来说都是一个耗时又耗力的过程.有时即使文件出现在你面前,你也无能为力,比如你可能会面临专有(几乎没有文档记录)的文件格式.奇 ...
某奇迹私服 S18 客户端木马逆向分析
很多年没玩游戏了,近期无意中发现,近20年前玩过的奇迹游戏,现在竟然还比较火.所以下载下来再玩下吧,没成想杀毒软件报客户端里有木马,遂脱壳逆向分析后,记录如下: 警告:客户端中包含木马文件,脱壳后的木 ...
2021-09-29 微博扫码登录获取cookie，附带账号密码js逆向解密过程（完结）
一.前言作者:tiezhu 接下来就是微博的js逆向了,这里需要使用到WebStorm WebStorm下载本文章仅供学习研究,如若侵犯到贵公司权益请联系229456906@qq.com第一时间进 ...

DR.com客户端解密过程逆向分析

DR.com客户端解密过程逆向分析相关推荐

最新文章

热门文章