FAIRE UN SELFBRUTEFORCE. mars le 28/04/2008 pour

Transcription

1 FAIRE UN SELFBRUTEFORCE mars le 28/04/2008 pour

2 I INTRODUCTION voilà la tête du crackme matrix.exe: et les instructions --> trouver un serial de 9 chiffres. L'auteur précise que c'est un challenge Mathématique et que les lois de sarus peuvent nous aider... Avec un crackme comme ça, le serial ne se fishe pas --> il est vérifié par un calcul la solution pour éviter les maths et les équations, c'est de bruteforcer ce crackme Ici, ce crackme se prete assez bien au bruteforce car le serial comporte uniquement des chiffres (il a donc que 10 possibilités par caractères) et en petit nombre (9) --> ça nous fait donc au total 10 puissance 9 possibilités --> si le serial avait été composé de chiffres ou de lettres, cela n'aurait pas été possible de brutforcer dans un temps raisonable... d'abord, qu'est ce qu'un bruteforce: c'est un programme qui teste tous les serial possibles pour trouver le bon serial II LA THEORIE On réalise notre bruteforce en trois étapes: 1) au lieu de rendre la main au prog quand il nous dit que notre serial n'est pas valide, on le redirige vers notre routine de bruteforce. On fait cette redirection avant l'affichage du message d'erreur, comme ça on gagne du temps 2) Notre routine de bruteforce modifie ensuite le serial en l'augmentant de 1 par exemple 3) Pour reessayer ce nouveau serial on redirige le code vers le debut de la routine de verification. (juste aprés la fonction getdlgitemtexta)

3 Notre bruteforce consiste donc en une espece de grande boucle et on quitte cette boucle, uniquement si on obtient le message de réussite qu'est ce qu'on met dans la routine de bruteforce? le principe c'est juste d'augmenter notre serial de 1 et de le tester --> si on obtient le message d'erreur, on augmente encore d'un le serial et on teste à nouveau et ainsi de suite... Le seul probleme, c'est que le serial qu'on a récuperé en mémoire aprés le getdlgitemtexta n'est pas à proprement parler un chiffre, mais du texte.--> on peut pas se contenter seulement d'un «inc serial»... oui, mais comment au augmente nos chiffres? notre serial est codé en ASCII. Ainsi, le chiffre 1 correspond à la valeur ascii hexadecimal 31 si on veut augmenter notre chiffre de 1, il suffit donc d'augmenter le code ascii de 1 Code ASCCI en hexadecimal Symbole Code ASCCI en hexadecimal A : B ; C < D = E > F? Symbole

4 voilà comment se presente notre serial si on saisi il y a des 30 partout --> pour passer de 0 a 1 on augmente le code ascii et on le passe de 30 à 31. Si on augmente le premier chiffre plusieurs fois, on arrive à Que se passe t'il si on augmente d'un encore une fois? Le code ascii aprés 39 est 3A qui correpond au caractère «:» «:» ne fait pas partie des caractères possibles pour ce crackme donc quand notre premier caractère est egal à 3A, on le remplace par 30 et on augmente le deuxieme caractère d'un ( ) --> de cette façon on simule en quelque sorte le passage des unités aux dizaines. On applique la même methode pour le troisieme, quatrieme, cinquieme, sixieme, huitieme, neuvieme chiffre du crackme. A la fin du bruteforce, au aura donc pu tester tous les nombres de a III LA PRATIQUE Pour réaliser notre bruteforce, il nous faut donc plusieurs choses: l'adresse du début de la routine de vérification du serial et le buffer l'adresse de fin de la routine de vérification du serial un espace pour écrire notre routine de bruteforcing début de la routine de vérification du serial On voit que le serial est recuperé par la fonction GetDlgItemTextA et elle met notre serial dans le buffer (ici EBX). Quand on rentre un serial (byte [ebx] <> 0) on saute directement a l'adresse 407CF8 (ligne grisée). Pour notre bruteforce, on va donc utilisée cette adresse 407CF8 comme debut de routine de vérification du serial adresse de fin de routine de vérification du serial

5 la, on a un saut conditionnel sur la premiere ligne qui décide d'afficher soit le message de reussite (God Cracker, hmmm matematician) ou le message d'erreur (Bad Cracker) A la ligne 407F99 (ligne grisée), c'est le message d'erreur qui va s'afficher --> on va donc se servir de cette ligne comme fin de routine de verification du serial et rediriger le code vers notre bruteforce par un jmp debutroutinebruteforce espace pour ecrire notre routine de bruteforce a la fin du prog, on a pas mal d'espace libre --> on va chosir de commencer notre routine de bruteforce à la ligne 4081C4 (ligne grisée) résumé on a dont tous les elements pour faire ce bruteforce: le buffer ou est stocké le serial : ebx l'adresse du debut de la routine de verif du serial 407CF8 l'adresse de fin de la routine de verif du serial 407F99 l'adresse de debut de notre routine de bruteforce 4081C4 IV LA ROUTINE DE BRUTEFORCE title bruteforce.386.model small, stdcall option casemap :none.code start: inc byte ptr [ebx] ; augmente le 1er caractere d'un (ebx est le buffer) cmp byte ptr [ebx], 3Ah ; test si le code ascii du 1er caractere est 3A ; si c'est pas le cas --> c'est ok on teste le serial mov byte ptr [ebx], 30h ; sinon on met le code ascii 30 dans le 1er caractere inc byte ptr [ebx+1] ; et on augmente le 2eme caractere d'un cmp byte ptr [ebx+1], 3Ah ; test si le 2eme caractere est 3A ; si caractere compris entre 0 et 9 --> jmp essai mov byte ptr [ebx+1], 30h ; sinon on met 0 dans le 2eme caractere du serial inc byte ptr [ebx+2] ; et on augmente le 3eme caractere d'un cmp byte ptr [ebx+2], 3Ah

6 mov byte ptr [ebx+2], 30h inc byte ptr [ebx+3] cmp byte ptr [ebx+3], 3Ah mov byte ptr [ebx+3], 30h inc byte ptr [ebx+4] cmp byte ptr [ebx+4], 3Ah mov byte ptr [ebx+4], 30h inc byte ptr [ebx+5] cmp byte ptr [ebx+5], 3Ah mov byte ptr [ebx+5], 30h inc byte ptr [ebx+6] cmp byte ptr [ebx+6], 3Ah mov byte ptr [ebx+6], 30h inc byte ptr [ebx+7] cmp byte ptr [ebx+7], 3Ah mov byte ptr [ebx+7], 30h inc byte ptr [ebx+8] cmp byte ptr [ebx+8], 3Ah jmp essai essai: mov eax, 00407CF8h ; met l'adresse 407CF8 (debut de la verif serial) dans eax jmp eax ; saute en 407CF8 end start voilà la routine de bruteforce, contenue dans le fichier bruteforce.asm j'ai commenté uniquement les deux premiers blocs --> le principe est le même pour les caractères suivants jusqu'au 9 eme caractere Pour compiler ce fichier, telecharger masm et installez le sur le disque C: (le prog s'installe dans le dossier C:\MASM32) Pour compiler le fichier bruteforce.asm, executez le fichier MAKE.bat vous obtenez ainsi un fichier bruteforce.exe ouvrez le fichier bruteforce.exe avec ollydbg. On selectionne tous le code, clic droit et Binary, puis Binary copy.

7 On ouvre le crackme (matrix.exe) avec ollydbg --> on va a l'adresse ou on veut mettre notre routine de bruteforce 4081C4. On selectionne une soixantaine de lignes vides, clicdroit binary, Binary paste et voilà ce qu'on obtient:

8 pour terminer notre bruteforce, il faut rediriger le code vers le début de notre routine de bruteforce un peu avant l'affichage du message d'erreur et de mettre un breakpoint sur le message de reussite voilà c'est fini --> il suffit d'executer le prog avec F9. On sait un premier serial de 9 chiffres et on valide sur le bouton Check --> notre bruteforce prend le relai et essai tous les serials à partir de Pour voir on en est notre serial, clic droit dans le fenêtre de dump goto expression, ebx la, il en est au serial Au bout de 10 minutes sur un ordinateur 2 GHZ, ollydbg break sur le message de reussite. (ps: si vous souhaitez que ca aille plus vite, rentrez directement ) voilà le contenu de ebx quand ollydbg break sur le message de réussite: le bon serial est donc Remarque: notre bruteforce est sympa, mais il prend un peu trop de place On peut faire plus simple avec une boucle. On peut aussi lui demander d'afficher directement le serial au lieu d'afficher le message de reussite

9 voilà les changements a faire: D5 XOR ECX,ECX --> met a zero ecx le compteur D7 INC DWORD [ECX+EBX] --> augmente le ecx ieme caractère d'un DA CMP BYTE [ECX+EBX],3A --> test si le ecx ieme caractère = 3A DE JNZ 00407CF8 --> si pas le cas saute en 407CF8 (debut verif serial) E4 MOV BYTE [ECX+EBX],30 --> si c'est la cas, met 0 dans le ecx ieme caractere E8 INC ECX --> augemente ecx d'un E9 JMP D7 --> reviens au début de la boucle 00407F82 PUSH EBX --> affiche ebx (le bon serial) au lieu du message de réussite 00407F83 DD F87 PUSH 0BB F8C MOV EAX,DWORD [40A850] 00407F91 PUSH EAX 00407F92 CALL <JMP.&user32.SetDlgItemTextA> 00407F97 JMP 00407FAE 00407F99 JMP D5 --> redirige vers le debut la routine de bruteforce 00407F9E PUSH 0BB FA3 MOV EAX,DWORD [40A850] 00407FA8 PUSH EAX 00407FA9 CALL <JMP.&user32.SetDlgItemTextA> Vous pouvez écrire ces modif directement dans ollydbg, clic droit dans ollydbg, assemble Vous pouvez testez ce fichier (bf.exe) V CONCLUSION si vous voulez un autre exemple de bruteforce, vous la fin du cours 16 de deamon avec un petit bruteforce sur des lettres: si vous souhaitez une solution plus classique pour le crackme, vous avez la solution de cutedevil notre serial de 9 chiffres correspond en fait à une matrice (3,3) dont le determinant est egal à une certaine valeur