Slides 2j2039
This document was ed by and they confirmed that they have the permission to share it. If you are author or own the copyright of this book, please report to us by using this report form. Report 2z6p3t
Overview 5o1f4z
& View Slides as PDF for free.
More details 6z3438
- Words: 4,853
- Pages: 67
El Arte de la Ingenier´ıa Inversa Ricardo J. Rodr´ıguez
#eCh!2004 - .:[ CrackSLatinoS ]:. www.ech2004.net
23 de Octubre de 2010 HackMeeting 2010 Zaragoza, Spain R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
1 / 44
Outline
Outline Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’ 1
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
2 / 44
Introducci´ on a la Ingenier´ıa Inversa
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
3 / 44
Introducci´ on a la Ingenier´ıa Inversa
Qu´ e es la Ingenier´ıa Inversa
Introducci´on a la Ingenier´ıa Inversa (I) Ingenier´ıa inversa (reverse engineering) Descubrir c´omo funciona (algo) a partir de un an´alisis exhaustivo Mejora de productos/sistemas viejos Diferentes dominios de aplicaci´ on Hardware (legacy hardware) Software (e.g. Samba)
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
4 / 44
Introducci´ on a la Ingenier´ıa Inversa
Qu´ e es la Ingenier´ıa Inversa
Introducci´on a la Ingenier´ıa Inversa (I) Ingenier´ıa inversa (reverse engineering) Descubrir c´omo funciona (algo) a partir de un an´alisis exhaustivo Mejora de productos/sistemas viejos Diferentes dominios de aplicaci´ on Hardware (legacy hardware) Software (e.g. Samba)
Ir hacia atr´as en el ciclo de desarrollo
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
4 / 44
Introducci´ on a la Ingenier´ıa Inversa
Motivaci´ on
Introducci´on a la Ingenier´ıa Inversa (II) Motivaci´on Interoperabilidad Documentaci´on inexistente An´alisis de productos finales Auditor´ıa de seguridad Espionaje industrial o militar (e.g. Segunda GM) Eliminaci´on de anticopias o limitaciones de uso Creaci´on de duplicados sin licencia Acad´emicos Curiosidad innata Para aprender de los errores de otros
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
5 / 44
Introducci´ on a la Ingenier´ıa Inversa
La Ingenier´ıa Inversa de c´ odigo
Introducci´on a la Ingenier´ıa Inversa (III) Reverse engineering code Tambi´en conocida como cracking Eliminar protecciones de c´ odigo (copyrights) NO siempre es malo: detecci´ on de bugs, potenciales exploits, . . . en tus programas
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
6 / 44
Introducci´ on a la Ingenier´ıa Inversa
La Ingenier´ıa Inversa de c´ odigo
Introducci´on a la Ingenier´ıa Inversa (III) Reverse engineering code Tambi´en conocida como cracking Eliminar protecciones de c´ odigo (copyrights) NO siempre es malo: detecci´ on de bugs, potenciales exploits, . . . en tus programas Crackers: algo m´as que unas galletas. . . NO CONFUNDIR con los criminal hackers
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
6 / 44
Conocimientos previos
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
7 / 44
Conocimientos previos
Conocimientos previos (I) Ensamblador B´asico e imprescindible http://www.intel.com/products/processor/manuals/
Funcionamiento interno SS.OO. ¿Qu´e ocurre al pulsar un bot´ on? ¿Y al aceptar un checkbox? La biblia de APIs de Windows: WinXXAPI (32 o 64 bits) http://msdn.microsoft.com/en-us/library/Aa383723 http://ech2004.net/.php?archivo=198&tipo=t
Estructura interna de un PE (Portable Executable) Cada lenguaje de programaci´on produce una cabecera diferente. . . . . . pero siempre las mismas primeras instrucciones http://www.microsoft.com/whdc/system/platform/firmware/PECOFF.mspx
Debuggear programas Breakpoints Step into, step over, . . . R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
8 / 44
Conocimientos previos
Conocimientos previos (II) Anillos de privilegio R0 . . . R3 M´as privilegios (kernel) a menos privilegios (aplicaciones)
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
9 / 44
Conocimientos previos
Conocimientos previos (II) Anillos de privilegio R0 . . . R3 M´as privilegios (kernel) a menos privilegios (aplicaciones)
“If a program runs, then it’s crackeable” R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
9 / 44
Conocimientos previos
Conocimientos previos (III)
Tipos de aplicaciones Freeware: software de libre distribuci´ on Shareware: software con licencia de distribuci´ on Demoware: algunas features del software inhabilitadas Trialware: software con limitaci´on temporal de uso
Adware: publicidad embebida Spyware: malo malo. . .
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
10 / 44
Cintur´ on de herramientas
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
11 / 44
Cintur´ on de herramientas
Desensambladores y editores hexadecimales
Cintur´on de herramientas (I) Desensambladores W32Dasm (http://ech2004.net/.php?archivo=52&tipo=h) HDasm (http://hdasm.narod.ru/) IDA Pro (http://www.hex-rays.com/idapro/) Espec´ıficos p32Dasm (VBasic) Reflector (.NET) DJ Java Decompiler (Java) DeDe (Delphi) DeRefox (VisualFox) ...
Editor hexadecimal HexWorkshop (http://www.bpsoft.com/) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
12 / 44
Cintur´ on de herramientas
Debuggers
Cintur´on de herramientas (II)
Debuggers Soft ICE Trabaja(ba) en R0 Hay parches para trabajar sobre WinXP
OllyDBG (http://www.ollydbg.de/) Trabaja en R0 y R3 Muchas variantes con muchos plugins
EDB (http://freshmeat.net/projects/edebugger) TitanEngine (http://www.reversinglabs.com/products/TitanEngine.php) ...
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
13 / 44
Cintur´ on de herramientas
Identificadores, editores PE y de recursos
Cintur´on de herramientas (III) (www.ech2004.net, secci´ on ’Herramientas Imprescindibles’)
Identificadores y editores PE PEiD PEEditor Calimero RDG Packer Detector ...
Visores de recursos eXe Scope XNResource Editor Resorce Hacker Restorator R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
14 / 44
Cintur´ on de herramientas
Dumpeadores de memoria y emuladores
Cintur´on de herramientas (IV) (www.ech2004.net, secci´ on ’Herramientas Imprescindibles’)
Dumpeadores de memoria LordPE Deluxe SirPE (para 64 bits) Pupe ProcDump ...
Emuladores HASP Sentinel Rock4 R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
15 / 44
Cintur´ on de herramientas
Monitores de APIs y reparadores de IAT
Cintur´on de herramientas (V) (www.ech2004.net, secci´ on ’Herramientas Imprescindibles’)
Monitores de APIs KaKeeware Application Monitor Event2Adress (E2A) API Scan WinAPIOverride32 ...
Reparadores de IAT Import REC (el abuelo Simpson :)) ReVirgin Universal Import Fixer R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
16 / 44
Cintur´ on de herramientas
Documentaci´ on
Cintur´on de herramientas (VI) Documentaci´on: manuales y tutoriales La m´as importante → hay que leer para aprender Internet, una herramienta u ´til y al alcance de cualquiera Grupos de cracking Hispano-hablantes (WkT, CLS, eCh, . . . ) Extranjeros (RZR, TNT!, ARTeam, RE, . . . )
Foros elHacker (secci´ on ’Programaci´ on→Ingenier´ıa Inversa’) ExeTools WoodMan
P´aginas personales (Karpoff, Shoulck, Saccopharynx, +NCR, AbsSha, ...) Tuts4You (http://www.tuts4you.com/)
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
17 / 44
Cintur´ on de herramientas
Documentaci´ on
Cintur´on de herramientas (VI) Documentaci´on: manuales y tutoriales La m´as importante → hay que leer para aprender Internet, una herramienta u ´til y al alcance de cualquiera Grupos de cracking Hispano-hablantes (WkT, CLS, eCh, . . . ) Extranjeros (RZR, TNT!, ARTeam, RE, . . . )
Foros elHacker (secci´ on ’Programaci´ on→Ingenier´ıa Inversa’) ExeTools WoodMan
P´aginas personales (Karpoff, Shoulck, Saccopharynx, +NCR, AbsSha, ...) Tuts4You (http://www.tuts4you.com/)
Pr´actica, pr´actica y (un poco m´ as de) pr´ actica Cualquier (pobre) programa que caiga en nuestras manos Crackmes (http://www.crackmes.de/) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
17 / 44
T´ ecnicas de an´ alisis
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
18 / 44
T´ ecnicas de an´ alisis
C´ odigo muerto
An´alisis de c´odigo muerto: descripci´on Programas sin protecci´ on (o protecci´ on m´ınima) Es raro que funcione Herramientas necesarias Identificador PE Desensamblador Editor Hexadecimal Cerebro Intuici´ on L´apiz y papel Suerte :)
Casos t´ıpicos Salto JE/JNE (JZ/JNZ) para registro correcto N´ umero de registro embebido en la aplicaci´ on
Muy sencillo (queremos desaf´ıos!) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
19 / 44
T´ ecnicas de an´ alisis
C´ odigo muerto
An´alisis de c´odigo muerto: ejemplos (I) NOPeo de salto de comprobaci´ on
Una o varias rutinas de comprobaci´on de serial NOPeo: sustituir c´odigo m´ aquina por NOP (No OPeration) JE/JNE (74/75) → NOP (90) JE/JNE (74/75) → JMP (EB)a Variantes: JX/JNX (cualquiera) → NOP (90) ´ o JMP (EB) a
Si el salto es largo (destino a m´ as de 32 bits desde el lugar de origen), var´ıa. . .
Pasos
R.J. Rodr´ıguez
1
Identificar PE (¿est´a protegido?)
2
Desensamblar
3
Buscar mensajes de chico malo
4
Analizar camino hasta el mensaje
5
NOPear salto/desviar camino
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
20 / 44
T´ ecnicas de an´ alisis
C´ odigo muerto
An´alisis de c´odigo muerto: ejemplos (II) A la caza del serial
Una o varias rutinas de comprobaci´on de serial El c´odigo de registro (serial) es u ´nico y. . . . . . est´a embebido en la aplicaci´ on ¡!
Pasos
R.J. Rodr´ıguez
1
Identificar PE (¿est´a protegido?)
2
Desensamblar
3
Buscar mensajes de chico malo
4
Husmear la zona
5
Comprobar cadenas sospechosas :)
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
21 / 44
T´ ecnicas de an´ alisis
C´ odigo ’vivo’
An´alisis de c´odigo ’vivo’: descripci´on Programas con (o sin) protecci´ on Herramientas necesarias Identificador PE Desensamblador Debugger Cualquiera del cintur´ on (depender´a de la aplicaci´ on a crackear) Cerebro Intuici´ on L´apiz y papel Suerte :)
M´as complicados (i.e., divertido) Cada aplicaci´ on es un reto nuevo y diferente Casos t´ıpicos Mmm. . . ¿cualquiera?
(luego veremos un ejemplo. . . ) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
22 / 44
Algunos m´ etodos anticracking
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
23 / 44
Algunos m´ etodos anticracking
Algunas APIs antidebugging
Algunas APIs antidebugging IsDebuggerPresent NtGlobalFlag ProcessHeapFlag FindWindowA SetUnhandledExceptionFilter/UnhandledExceptionFilter CreateToolhelp32Snapshot ZwQueryInformationProces CloseHandle CsrGetProcessId Lectura recomendada: http://pferrie.tripod.com/
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
24 / 44
Algunos m´ etodos anticracking
M´ etodos m´ as avanzados
M´etodos m´as avanzados (I) Packers Reduce tama˜ no y/o encripta (scrambling) el c´ odigo de los ejecutables Modifica secciones del PE (y m´ as cosas. . . ) Numerosos packers en el mercado: UPX, ASPack, ASProtect, . . . http://en.wikipedia.org/wiki/Executable_compression
Algunos f´aciles de crackear, otros no tanto :) Pasos a realizar 1 2 3
Hallar el OEP (Original Entry Point) Dumpear el proceso de memoria (estar´a desempacado!) Arreglar la IAT (Import Address Table)
VM Packers (m´as complicados, pero no imposibles) Misma idea que packers PERO una VM ejecuta el c´odigo Ejemplos: Themida, EXECryptor, CodeVirtualizer R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
25 / 44
Algunos m´ etodos anticracking
M´ etodos m´ as avanzados
M´etodos m´as avanzados (II) M´etodos complementarios de protecci´on Redireccionamiento de la IAT Secciones virtuales (antidump) Emulaci´ on de API Cambios en la estructura del ejecutable (PE header) Ofuscamiento de c´odigo (c´ odigo basura) Bytes perdidos (stolen bytes) Detecci´ on de debuggers y otras herramientas Detecci´ on de breakpoints (BP y HBP) Nanomites (usado por Armadillo)
Detecci´on de modificaciones CRC MD5
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
26 / 44
T´ ecnicas de cracking
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
27 / 44
T´ ecnicas de cracking
CD Check
T´ecnicas de cracking (I): CD Check Verificaci´on del CD presente en la unidad Fichero concreto en el CD de la unidad (algunas veces) Protecciones m´as avanzadas: SafeDisc, StarForce Uso de unidades virtuales: DaemonTools
APIs t´ıpicas GetDriveTypeA EAX = 5 si hay CD
GetVolumeInformationA
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
28 / 44
T´ ecnicas de cracking
Patching y loaders
T´ecnicas de cracking (II): Patching y loaders Patching Objetivo: cambiar flujo natural de ejecuci´on del programa Cambio de instrucciones m´aquina Modificando (tras un CMP o TEST) o insertando saltos Sustituyendo por NOPs
M´etodos habituales: b´ usqueda de cadenas o chequeo de APIs Cambios est´aticos (i.e., permanentes)
Loaders Como el patching, pero “en caliente” → m´ as elegante Dos tipos (b´asicos) Simples Debuggers (m´as complejos): ´ util para programas empacados
Cambios din´amicos (i.e., temporales) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
29 / 44
T´ ecnicas de cracking
Time-trials y Registro de Windows
T´ecnicas de cracking (III): Time-trials y Registro Time-trials Protecci´on por tiempo (uso limitado X d´ıas/minutos) APIs t´ıpicas de chequeo GetLocalTime GetFileTime GetSystemTime
Registro de Windows Guardan datos en el Registro de Windows APIs t´ıpicas RegCloseKey RegCreateKeyEx RegOpenKeyEx RegSetValueEx RegQueryValueEx R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
30 / 44
T´ ecnicas de cracking
Captura del serial y Keygenning
T´ecnicas de cracking (V): Captura del serial y Keygenning Captura del serial Objetivo: conseguir n´ umero de registro del programa Id´entico para todos los s Embebido en la aplicaci´ on F´acil: b´ usqueda de cadenas con patrones conocidos. . .
Keygenning Objetivo: encontrar algoritmo de generaci´on de claves Complejidad del algoritmo variable Cada tiene un n´ umero de registro diferente Ingenier´ıa inversa pura y dura
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
31 / 44
T´ ecnicas de cracking
Archivos de licencia
T´ecnicas de cracking (VI): Archivos de licencia
Se registran mediante archivos de licencia Chequeos rutinarios contra servidor de la empresa (a veces) APIs t´ıpicas Conexi´on: connect, WSAConnect Recepci´ on: recv, recvfrom, WSARecv, WSARecvFrom, WSARecvMsg Env´ıo: send, sendto, WSASend, WSASendTo, WSASendMsg
Algunos usan criptograf´ıa (i.e., licencia codificada) MUY complicados de conseguir licencia correcta → Depender´a del algoritmo criptogr´afico usado
Soluci´ on: intentar parchear. . .
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
32 / 44
T´ ecnicas de cracking
Desempacado (unpacking)
T´ecnicas de cracking (VII): Desempacado (unpacking) Programas protegidos Pueden ser muy complicados (anti-dumps, scrambling, . . . ) Pasos a realizar 1
Hallar el OEP (Original Entry Point) Stolen bytes Cambios en la cabecera PE
2
Dumpear el proceso de memoria (estar´a desempacado!) Secciones virtuales Ofuscaci´ on de c´ odigo
3
Arreglar la IAT (Import Address Table) Emulaci´ on de APIs Redireccionamiento de APIs
Lista: http://en.wikipedia.org/wiki/Executable_compression Existen unpackers autom´ aticos: tools propias o scripts R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
33 / 44
Ejemplo pr´ actico
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
34 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (I): estudio del crackME CrackMe sencillito de http://www.crackmes.de Objetivo: hacer un generador de claves
Pasos
R.J. Rodr´ıguez
1
Analizar para ver si est´a limpio
2
Insertar nombre y c´odigo para ver chico malo
3
Cargar en debugger (e.g., OllyDBG)
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
35 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (I): estudio del crackME CrackMe sencillito de http://www.crackmes.de Objetivo: hacer un generador de claves
Pasos
R.J. Rodr´ıguez
1
Analizar para ver si est´a limpio
2
Insertar nombre y c´odigo para ver chico malo
3
Cargar en debugger (e.g., OllyDBG)
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
35 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (1)
Pasos
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
36 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (1)
Pasos 1
Llamada a IsDebuggerPresent → ocultar el Olly
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
36 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (1)
Pasos 1
Llamada a IsDebuggerPresent → ocultar el Olly
2
BP en GetDlgItemTextA e introducimos datos. . . R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
36 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (1)
Pasos 1
Llamada a IsDebuggerPresent → ocultar el Olly
2
BP en GetDlgItemTextA e introducimos datos. . .
3
Alcanzamos c´odigo de la aplicaci´ on (CTRL + F 9) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
36 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (2)
Condiciones del nombre EAX: longitud del nombre
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
37 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (2)
Condiciones del nombre EAX: longitud del nombre EAX > 4 && EAX ≤ 0Ah
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
37 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (2)
Condiciones del nombre EAX: longitud del nombre EAX > 4 && EAX ≤ 0Ah Si longitud de serial= 0 → MessageBoxA R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
37 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (3)
B´ usqueda de cadenas referenciadas Cadenas de ’chico bueno’ y ’chico malo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
38 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (3)
B´ usqueda de cadenas referenciadas Cadenas de ’chico bueno’ y ’chico malo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
38 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (3)
B´ usqueda de cadenas referenciadas Cadenas de ’chico bueno’ y ’chico malo’ lstrcmpA: comparaci´ on de cadenas Valor de EAX determina igualdad R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
38 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (1)
0x401153: Inicio algoritmo BP para estudio ’en caliente’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
39 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (1)
0x401153: Inicio algoritmo BP para estudio ’en caliente’ 0x40316A: buffer longitud
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
39 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (1)
0x401153: Inicio algoritmo BP para estudio ’en caliente’ 0x40316A: buffer longitud EDI: buffer cadena ESI: otro buffer :) EAX=EBX=ECX=EDX=0 EDX=longitud
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
39 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (1)
0x401153: Inicio algoritmo BP para estudio ’en caliente’ 0x40316A: buffer longitud EDI: buffer cadena ESI: otro buffer :) EAX=EBX=ECX=EDX=0 EDX=longitud EBX=contador
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
39 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (2)
EDI = buffer del nombre EDX = longitud del nombre EBX = 1 while EBX < EDX do AL = car´ acter apuntado por EDI if AL ≤ 0x5A and AL ≥ 0x41 then AL+ = 0x2C end ECX + = EAX EDI + + end
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
40 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (2)
EDI = buffer del nombre EDX = longitud del nombre EBX = 1 while EBX < EDX do AL = car´ acter apuntado por EDI if AL ≤ 0x5A and AL ≥ 0x41 then AL+ = 0x2C end ECX + = EAX EDI + + end
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
40 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (2)
EDI = buffer del nombre EDX = longitud del nombre EBX = 1 while EBX < EDX do AL = car´ acter apuntado por EDI if AL ≤ 0x5A and AL ≥ 0x41 then AL+ = 0x2C end ECX + = EAX EDI + + end
ECX + = 0x29A ECX ∗ = 0x3039 ECX − = 0x17 ECX ∗ = 0x9
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
40 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
EDI = buffer 0x04030C8 Revertimos la cadena apuntada por ESI y guardamos en EDI
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
EDI = buffer 0x04030C8 Revertimos la cadena apuntada por ESI y guardamos en EDI A˜ nadimos resto del nombre (desde el 4o car´ acter) al final de la nueva cadena
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
EDI = buffer 0x04030C8 Revertimos la cadena apuntada por ESI y guardamos en EDI A˜ nadimos resto del nombre (desde el 5o car´ acter) al final de la nueva cadena Y ya se compara la cadena construida con la introducida
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Conclusiones y agradecimientos
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
42 / 44
Conclusiones y agradecimientos
Conclusiones y agradecimientos Conclusiones Cualquier protecci´ on es crackeable Mundo de constante evoluci´on → nuevas protecciones, nuevos m´etodos Leer y practicar mucho Usar y programar m´as software libre Que no ’hacer’ m´as software ’libre’ :)
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
43 / 44
Conclusiones y agradecimientos
Conclusiones y agradecimientos Conclusiones Cualquier protecci´ on es crackeable Mundo de constante evoluci´on → nuevas protecciones, nuevos m´etodos Leer y practicar mucho Usar y programar m´as software libre Que no ’hacer’ m´as software ’libre’ :)
Agradecimientos CrackSLatinoS Gente del HackMeeting
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
43 / 44
Conclusiones y agradecimientos
Conclusiones y agradecimientos Conclusiones Cualquier protecci´ on es crackeable Mundo de constante evoluci´on → nuevas protecciones, nuevos m´etodos Leer y practicar mucho Usar y programar m´as software libre Que no ’hacer’ m´as software ’libre’ :)
Agradecimientos CrackSLatinoS Gente del HackMeeting A vosotros por aguantarme! :D R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
43 / 44
El Arte de la Ingenier´ıa Inversa Ricardo J. Rodr´ıguez
#eCh!2004 - .:[ CrackSLatinoS ]:. www.ech2004.net
23 de Octubre de 2010 HackMeeting 2010 Zaragoza, Spain R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
44 / 44
#eCh!2004 - .:[ CrackSLatinoS ]:. www.ech2004.net
23 de Octubre de 2010 HackMeeting 2010 Zaragoza, Spain R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
1 / 44
Outline
Outline Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’ 1
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
2 / 44
Introducci´ on a la Ingenier´ıa Inversa
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
3 / 44
Introducci´ on a la Ingenier´ıa Inversa
Qu´ e es la Ingenier´ıa Inversa
Introducci´on a la Ingenier´ıa Inversa (I) Ingenier´ıa inversa (reverse engineering) Descubrir c´omo funciona (algo) a partir de un an´alisis exhaustivo Mejora de productos/sistemas viejos Diferentes dominios de aplicaci´ on Hardware (legacy hardware) Software (e.g. Samba)
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
4 / 44
Introducci´ on a la Ingenier´ıa Inversa
Qu´ e es la Ingenier´ıa Inversa
Introducci´on a la Ingenier´ıa Inversa (I) Ingenier´ıa inversa (reverse engineering) Descubrir c´omo funciona (algo) a partir de un an´alisis exhaustivo Mejora de productos/sistemas viejos Diferentes dominios de aplicaci´ on Hardware (legacy hardware) Software (e.g. Samba)
Ir hacia atr´as en el ciclo de desarrollo
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
4 / 44
Introducci´ on a la Ingenier´ıa Inversa
Motivaci´ on
Introducci´on a la Ingenier´ıa Inversa (II) Motivaci´on Interoperabilidad Documentaci´on inexistente An´alisis de productos finales Auditor´ıa de seguridad Espionaje industrial o militar (e.g. Segunda GM) Eliminaci´on de anticopias o limitaciones de uso Creaci´on de duplicados sin licencia Acad´emicos Curiosidad innata Para aprender de los errores de otros
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
5 / 44
Introducci´ on a la Ingenier´ıa Inversa
La Ingenier´ıa Inversa de c´ odigo
Introducci´on a la Ingenier´ıa Inversa (III) Reverse engineering code Tambi´en conocida como cracking Eliminar protecciones de c´ odigo (copyrights) NO siempre es malo: detecci´ on de bugs, potenciales exploits, . . . en tus programas
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
6 / 44
Introducci´ on a la Ingenier´ıa Inversa
La Ingenier´ıa Inversa de c´ odigo
Introducci´on a la Ingenier´ıa Inversa (III) Reverse engineering code Tambi´en conocida como cracking Eliminar protecciones de c´ odigo (copyrights) NO siempre es malo: detecci´ on de bugs, potenciales exploits, . . . en tus programas Crackers: algo m´as que unas galletas. . . NO CONFUNDIR con los criminal hackers
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
6 / 44
Conocimientos previos
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
7 / 44
Conocimientos previos
Conocimientos previos (I) Ensamblador B´asico e imprescindible http://www.intel.com/products/processor/manuals/
Funcionamiento interno SS.OO. ¿Qu´e ocurre al pulsar un bot´ on? ¿Y al aceptar un checkbox? La biblia de APIs de Windows: WinXXAPI (32 o 64 bits) http://msdn.microsoft.com/en-us/library/Aa383723 http://ech2004.net/.php?archivo=198&tipo=t
Estructura interna de un PE (Portable Executable) Cada lenguaje de programaci´on produce una cabecera diferente. . . . . . pero siempre las mismas primeras instrucciones http://www.microsoft.com/whdc/system/platform/firmware/PECOFF.mspx
Debuggear programas Breakpoints Step into, step over, . . . R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
8 / 44
Conocimientos previos
Conocimientos previos (II) Anillos de privilegio R0 . . . R3 M´as privilegios (kernel) a menos privilegios (aplicaciones)
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
9 / 44
Conocimientos previos
Conocimientos previos (II) Anillos de privilegio R0 . . . R3 M´as privilegios (kernel) a menos privilegios (aplicaciones)
“If a program runs, then it’s crackeable” R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
9 / 44
Conocimientos previos
Conocimientos previos (III)
Tipos de aplicaciones Freeware: software de libre distribuci´ on Shareware: software con licencia de distribuci´ on Demoware: algunas features del software inhabilitadas Trialware: software con limitaci´on temporal de uso
Adware: publicidad embebida Spyware: malo malo. . .
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
10 / 44
Cintur´ on de herramientas
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
11 / 44
Cintur´ on de herramientas
Desensambladores y editores hexadecimales
Cintur´on de herramientas (I) Desensambladores W32Dasm (http://ech2004.net/.php?archivo=52&tipo=h) HDasm (http://hdasm.narod.ru/) IDA Pro (http://www.hex-rays.com/idapro/) Espec´ıficos p32Dasm (VBasic) Reflector (.NET) DJ Java Decompiler (Java) DeDe (Delphi) DeRefox (VisualFox) ...
Editor hexadecimal HexWorkshop (http://www.bpsoft.com/) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
12 / 44
Cintur´ on de herramientas
Debuggers
Cintur´on de herramientas (II)
Debuggers Soft ICE Trabaja(ba) en R0 Hay parches para trabajar sobre WinXP
OllyDBG (http://www.ollydbg.de/) Trabaja en R0 y R3 Muchas variantes con muchos plugins
EDB (http://freshmeat.net/projects/edebugger) TitanEngine (http://www.reversinglabs.com/products/TitanEngine.php) ...
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
13 / 44
Cintur´ on de herramientas
Identificadores, editores PE y de recursos
Cintur´on de herramientas (III) (www.ech2004.net, secci´ on ’Herramientas Imprescindibles’)
Identificadores y editores PE PEiD PEEditor Calimero RDG Packer Detector ...
Visores de recursos eXe Scope XNResource Editor Resorce Hacker Restorator R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
14 / 44
Cintur´ on de herramientas
Dumpeadores de memoria y emuladores
Cintur´on de herramientas (IV) (www.ech2004.net, secci´ on ’Herramientas Imprescindibles’)
Dumpeadores de memoria LordPE Deluxe SirPE (para 64 bits) Pupe ProcDump ...
Emuladores HASP Sentinel Rock4 R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
15 / 44
Cintur´ on de herramientas
Monitores de APIs y reparadores de IAT
Cintur´on de herramientas (V) (www.ech2004.net, secci´ on ’Herramientas Imprescindibles’)
Monitores de APIs KaKeeware Application Monitor Event2Adress (E2A) API Scan WinAPIOverride32 ...
Reparadores de IAT Import REC (el abuelo Simpson :)) ReVirgin Universal Import Fixer R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
16 / 44
Cintur´ on de herramientas
Documentaci´ on
Cintur´on de herramientas (VI) Documentaci´on: manuales y tutoriales La m´as importante → hay que leer para aprender Internet, una herramienta u ´til y al alcance de cualquiera Grupos de cracking Hispano-hablantes (WkT, CLS, eCh, . . . ) Extranjeros (RZR, TNT!, ARTeam, RE, . . . )
Foros elHacker (secci´ on ’Programaci´ on→Ingenier´ıa Inversa’) ExeTools WoodMan
P´aginas personales (Karpoff, Shoulck, Saccopharynx, +NCR, AbsSha, ...) Tuts4You (http://www.tuts4you.com/)
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
17 / 44
Cintur´ on de herramientas
Documentaci´ on
Cintur´on de herramientas (VI) Documentaci´on: manuales y tutoriales La m´as importante → hay que leer para aprender Internet, una herramienta u ´til y al alcance de cualquiera Grupos de cracking Hispano-hablantes (WkT, CLS, eCh, . . . ) Extranjeros (RZR, TNT!, ARTeam, RE, . . . )
Foros elHacker (secci´ on ’Programaci´ on→Ingenier´ıa Inversa’) ExeTools WoodMan
P´aginas personales (Karpoff, Shoulck, Saccopharynx, +NCR, AbsSha, ...) Tuts4You (http://www.tuts4you.com/)
Pr´actica, pr´actica y (un poco m´ as de) pr´ actica Cualquier (pobre) programa que caiga en nuestras manos Crackmes (http://www.crackmes.de/) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
17 / 44
T´ ecnicas de an´ alisis
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
18 / 44
T´ ecnicas de an´ alisis
C´ odigo muerto
An´alisis de c´odigo muerto: descripci´on Programas sin protecci´ on (o protecci´ on m´ınima) Es raro que funcione Herramientas necesarias Identificador PE Desensamblador Editor Hexadecimal Cerebro Intuici´ on L´apiz y papel Suerte :)
Casos t´ıpicos Salto JE/JNE (JZ/JNZ) para registro correcto N´ umero de registro embebido en la aplicaci´ on
Muy sencillo (queremos desaf´ıos!) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
19 / 44
T´ ecnicas de an´ alisis
C´ odigo muerto
An´alisis de c´odigo muerto: ejemplos (I) NOPeo de salto de comprobaci´ on
Una o varias rutinas de comprobaci´on de serial NOPeo: sustituir c´odigo m´ aquina por NOP (No OPeration) JE/JNE (74/75) → NOP (90) JE/JNE (74/75) → JMP (EB)a Variantes: JX/JNX (cualquiera) → NOP (90) ´ o JMP (EB) a
Si el salto es largo (destino a m´ as de 32 bits desde el lugar de origen), var´ıa. . .
Pasos
R.J. Rodr´ıguez
1
Identificar PE (¿est´a protegido?)
2
Desensamblar
3
Buscar mensajes de chico malo
4
Analizar camino hasta el mensaje
5
NOPear salto/desviar camino
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
20 / 44
T´ ecnicas de an´ alisis
C´ odigo muerto
An´alisis de c´odigo muerto: ejemplos (II) A la caza del serial
Una o varias rutinas de comprobaci´on de serial El c´odigo de registro (serial) es u ´nico y. . . . . . est´a embebido en la aplicaci´ on ¡!
Pasos
R.J. Rodr´ıguez
1
Identificar PE (¿est´a protegido?)
2
Desensamblar
3
Buscar mensajes de chico malo
4
Husmear la zona
5
Comprobar cadenas sospechosas :)
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
21 / 44
T´ ecnicas de an´ alisis
C´ odigo ’vivo’
An´alisis de c´odigo ’vivo’: descripci´on Programas con (o sin) protecci´ on Herramientas necesarias Identificador PE Desensamblador Debugger Cualquiera del cintur´ on (depender´a de la aplicaci´ on a crackear) Cerebro Intuici´ on L´apiz y papel Suerte :)
M´as complicados (i.e., divertido) Cada aplicaci´ on es un reto nuevo y diferente Casos t´ıpicos Mmm. . . ¿cualquiera?
(luego veremos un ejemplo. . . ) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
22 / 44
Algunos m´ etodos anticracking
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
23 / 44
Algunos m´ etodos anticracking
Algunas APIs antidebugging
Algunas APIs antidebugging IsDebuggerPresent NtGlobalFlag ProcessHeapFlag FindWindowA SetUnhandledExceptionFilter/UnhandledExceptionFilter CreateToolhelp32Snapshot ZwQueryInformationProces CloseHandle CsrGetProcessId Lectura recomendada: http://pferrie.tripod.com/
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
24 / 44
Algunos m´ etodos anticracking
M´ etodos m´ as avanzados
M´etodos m´as avanzados (I) Packers Reduce tama˜ no y/o encripta (scrambling) el c´ odigo de los ejecutables Modifica secciones del PE (y m´ as cosas. . . ) Numerosos packers en el mercado: UPX, ASPack, ASProtect, . . . http://en.wikipedia.org/wiki/Executable_compression
Algunos f´aciles de crackear, otros no tanto :) Pasos a realizar 1 2 3
Hallar el OEP (Original Entry Point) Dumpear el proceso de memoria (estar´a desempacado!) Arreglar la IAT (Import Address Table)
VM Packers (m´as complicados, pero no imposibles) Misma idea que packers PERO una VM ejecuta el c´odigo Ejemplos: Themida, EXECryptor, CodeVirtualizer R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
25 / 44
Algunos m´ etodos anticracking
M´ etodos m´ as avanzados
M´etodos m´as avanzados (II) M´etodos complementarios de protecci´on Redireccionamiento de la IAT Secciones virtuales (antidump) Emulaci´ on de API Cambios en la estructura del ejecutable (PE header) Ofuscamiento de c´odigo (c´ odigo basura) Bytes perdidos (stolen bytes) Detecci´ on de debuggers y otras herramientas Detecci´ on de breakpoints (BP y HBP) Nanomites (usado por Armadillo)
Detecci´on de modificaciones CRC MD5
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
26 / 44
T´ ecnicas de cracking
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
27 / 44
T´ ecnicas de cracking
CD Check
T´ecnicas de cracking (I): CD Check Verificaci´on del CD presente en la unidad Fichero concreto en el CD de la unidad (algunas veces) Protecciones m´as avanzadas: SafeDisc, StarForce Uso de unidades virtuales: DaemonTools
APIs t´ıpicas GetDriveTypeA EAX = 5 si hay CD
GetVolumeInformationA
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
28 / 44
T´ ecnicas de cracking
Patching y loaders
T´ecnicas de cracking (II): Patching y loaders Patching Objetivo: cambiar flujo natural de ejecuci´on del programa Cambio de instrucciones m´aquina Modificando (tras un CMP o TEST) o insertando saltos Sustituyendo por NOPs
M´etodos habituales: b´ usqueda de cadenas o chequeo de APIs Cambios est´aticos (i.e., permanentes)
Loaders Como el patching, pero “en caliente” → m´ as elegante Dos tipos (b´asicos) Simples Debuggers (m´as complejos): ´ util para programas empacados
Cambios din´amicos (i.e., temporales) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
29 / 44
T´ ecnicas de cracking
Time-trials y Registro de Windows
T´ecnicas de cracking (III): Time-trials y Registro Time-trials Protecci´on por tiempo (uso limitado X d´ıas/minutos) APIs t´ıpicas de chequeo GetLocalTime GetFileTime GetSystemTime
Registro de Windows Guardan datos en el Registro de Windows APIs t´ıpicas RegCloseKey RegCreateKeyEx RegOpenKeyEx RegSetValueEx RegQueryValueEx R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
30 / 44
T´ ecnicas de cracking
Captura del serial y Keygenning
T´ecnicas de cracking (V): Captura del serial y Keygenning Captura del serial Objetivo: conseguir n´ umero de registro del programa Id´entico para todos los s Embebido en la aplicaci´ on F´acil: b´ usqueda de cadenas con patrones conocidos. . .
Keygenning Objetivo: encontrar algoritmo de generaci´on de claves Complejidad del algoritmo variable Cada tiene un n´ umero de registro diferente Ingenier´ıa inversa pura y dura
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
31 / 44
T´ ecnicas de cracking
Archivos de licencia
T´ecnicas de cracking (VI): Archivos de licencia
Se registran mediante archivos de licencia Chequeos rutinarios contra servidor de la empresa (a veces) APIs t´ıpicas Conexi´on: connect, WSAConnect Recepci´ on: recv, recvfrom, WSARecv, WSARecvFrom, WSARecvMsg Env´ıo: send, sendto, WSASend, WSASendTo, WSASendMsg
Algunos usan criptograf´ıa (i.e., licencia codificada) MUY complicados de conseguir licencia correcta → Depender´a del algoritmo criptogr´afico usado
Soluci´ on: intentar parchear. . .
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
32 / 44
T´ ecnicas de cracking
Desempacado (unpacking)
T´ecnicas de cracking (VII): Desempacado (unpacking) Programas protegidos Pueden ser muy complicados (anti-dumps, scrambling, . . . ) Pasos a realizar 1
Hallar el OEP (Original Entry Point) Stolen bytes Cambios en la cabecera PE
2
Dumpear el proceso de memoria (estar´a desempacado!) Secciones virtuales Ofuscaci´ on de c´ odigo
3
Arreglar la IAT (Import Address Table) Emulaci´ on de APIs Redireccionamiento de APIs
Lista: http://en.wikipedia.org/wiki/Executable_compression Existen unpackers autom´ aticos: tools propias o scripts R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
33 / 44
Ejemplo pr´ actico
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
34 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (I): estudio del crackME CrackMe sencillito de http://www.crackmes.de Objetivo: hacer un generador de claves
Pasos
R.J. Rodr´ıguez
1
Analizar para ver si est´a limpio
2
Insertar nombre y c´odigo para ver chico malo
3
Cargar en debugger (e.g., OllyDBG)
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
35 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (I): estudio del crackME CrackMe sencillito de http://www.crackmes.de Objetivo: hacer un generador de claves
Pasos
R.J. Rodr´ıguez
1
Analizar para ver si est´a limpio
2
Insertar nombre y c´odigo para ver chico malo
3
Cargar en debugger (e.g., OllyDBG)
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
35 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (1)
Pasos
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
36 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (1)
Pasos 1
Llamada a IsDebuggerPresent → ocultar el Olly
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
36 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (1)
Pasos 1
Llamada a IsDebuggerPresent → ocultar el Olly
2
BP en GetDlgItemTextA e introducimos datos. . . R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
36 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (1)
Pasos 1
Llamada a IsDebuggerPresent → ocultar el Olly
2
BP en GetDlgItemTextA e introducimos datos. . .
3
Alcanzamos c´odigo de la aplicaci´ on (CTRL + F 9) R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
36 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (2)
Condiciones del nombre EAX: longitud del nombre
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
37 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (2)
Condiciones del nombre EAX: longitud del nombre EAX > 4 && EAX ≤ 0Ah
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
37 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (2)
Condiciones del nombre EAX: longitud del nombre EAX > 4 && EAX ≤ 0Ah Si longitud de serial= 0 → MessageBoxA R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
37 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (3)
B´ usqueda de cadenas referenciadas Cadenas de ’chico bueno’ y ’chico malo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
38 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (3)
B´ usqueda de cadenas referenciadas Cadenas de ’chico bueno’ y ’chico malo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
38 / 44
Ejemplo pr´ actico
Estudio del crackME
Ejemplo pr´actico (II): estudio del crackME (3)
B´ usqueda de cadenas referenciadas Cadenas de ’chico bueno’ y ’chico malo’ lstrcmpA: comparaci´ on de cadenas Valor de EAX determina igualdad R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
38 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (1)
0x401153: Inicio algoritmo BP para estudio ’en caliente’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
39 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (1)
0x401153: Inicio algoritmo BP para estudio ’en caliente’ 0x40316A: buffer longitud
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
39 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (1)
0x401153: Inicio algoritmo BP para estudio ’en caliente’ 0x40316A: buffer longitud EDI: buffer cadena ESI: otro buffer :) EAX=EBX=ECX=EDX=0 EDX=longitud
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
39 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (1)
0x401153: Inicio algoritmo BP para estudio ’en caliente’ 0x40316A: buffer longitud EDI: buffer cadena ESI: otro buffer :) EAX=EBX=ECX=EDX=0 EDX=longitud EBX=contador
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
39 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (2)
EDI = buffer del nombre EDX = longitud del nombre EBX = 1 while EBX < EDX do AL = car´ acter apuntado por EDI if AL ≤ 0x5A and AL ≥ 0x41 then AL+ = 0x2C end ECX + = EAX EDI + + end
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
40 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (2)
EDI = buffer del nombre EDX = longitud del nombre EBX = 1 while EBX < EDX do AL = car´ acter apuntado por EDI if AL ≤ 0x5A and AL ≥ 0x41 then AL+ = 0x2C end ECX + = EAX EDI + + end
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
40 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (2)
EDI = buffer del nombre EDX = longitud del nombre EBX = 1 while EBX < EDX do AL = car´ acter apuntado por EDI if AL ≤ 0x5A and AL ≥ 0x41 then AL+ = 0x2C end ECX + = EAX EDI + + end
ECX + = 0x29A ECX ∗ = 0x3039 ECX − = 0x17 ECX ∗ = 0x9
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
40 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
EDI = buffer 0x04030C8 Revertimos la cadena apuntada por ESI y guardamos en EDI
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
EDI = buffer 0x04030C8 Revertimos la cadena apuntada por ESI y guardamos en EDI A˜ nadimos resto del nombre (desde el 4o car´ acter) al final de la nueva cadena
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Ejemplo pr´ actico
Algoritmo de generaci´ on
Ejemplo pr´actico (III): algoritmo de generaci´on (3)
EBX = 0 EAX = ECX ECX = 0x0A repeat EDX = 0 EDX = EAX mod ECX EAX / = ECX DL+ = 0x30 Guardar DL en el buffer ESI + EBX EBX + + until EAX = 0
EDI = buffer 0x04030C8 Revertimos la cadena apuntada por ESI y guardamos en EDI A˜ nadimos resto del nombre (desde el 5o car´ acter) al final de la nueva cadena Y ya se compara la cadena construida con la introducida
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
41 / 44
Conclusiones y agradecimientos
1
Introducci´ on a la Ingenier´ıa Inversa 5 Algunos m´ etodos anticracking Qu´e es la Ingenier´ıa Inversa Algunas APIs antidebugging Motivaci´ on M´etodos m´ as avanzados La Ingenier´ıa Inversa de c´ odigo 6 T´ ecnicas de cracking 2 Conocimientos previos CD Check 3 Cintur´ on de herramientas Patching y loaders Desensambladores y editores hexadecimales Time-trials y Registro de Windows Debuggers Captura del serial y Keygenning Identificadores, editores PE y de recursos Archivos de licencia Dumpeadores de memoria y emuladores Desempacado (unpacking) Monitores de APIs y reparadores de IAT 7 Ejemplo pr´ actico Documentaci´ on Estudio del crackME 4 T´ ecnicas de an´ alisis Algoritmo de generaci´ on C´ odigo muerto 8 Conclusiones y agradecimientos C´ odigo ’vivo’
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
42 / 44
Conclusiones y agradecimientos
Conclusiones y agradecimientos Conclusiones Cualquier protecci´ on es crackeable Mundo de constante evoluci´on → nuevas protecciones, nuevos m´etodos Leer y practicar mucho Usar y programar m´as software libre Que no ’hacer’ m´as software ’libre’ :)
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
43 / 44
Conclusiones y agradecimientos
Conclusiones y agradecimientos Conclusiones Cualquier protecci´ on es crackeable Mundo de constante evoluci´on → nuevas protecciones, nuevos m´etodos Leer y practicar mucho Usar y programar m´as software libre Que no ’hacer’ m´as software ’libre’ :)
Agradecimientos CrackSLatinoS Gente del HackMeeting
R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
43 / 44
Conclusiones y agradecimientos
Conclusiones y agradecimientos Conclusiones Cualquier protecci´ on es crackeable Mundo de constante evoluci´on → nuevas protecciones, nuevos m´etodos Leer y practicar mucho Usar y programar m´as software libre Que no ’hacer’ m´as software ’libre’ :)
Agradecimientos CrackSLatinoS Gente del HackMeeting A vosotros por aguantarme! :D R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
43 / 44
El Arte de la Ingenier´ıa Inversa Ricardo J. Rodr´ıguez
#eCh!2004 - .:[ CrackSLatinoS ]:. www.ech2004.net
23 de Octubre de 2010 HackMeeting 2010 Zaragoza, Spain R.J. Rodr´ıguez
El Arte de la Ingenier´ıa Inversa
HackMeeting 2010
44 / 44
Related Documents c2h70
Slides 2j2039
November 2019 45
Slides Paism 82x3j
April 2021 0
Riscos-slides 546820
March 2021 0
Slides Rpg 724o6
March 2021 0
Slides Abacaxi 4v3i4u
March 2021 0
Slides Ondas 2u50a
March 2021 0More Documents from "neohack" 4j2o2h