某md5魔改样本学习 - 0xnonce's Blog

在吾爱破解上看到个合适的案例，学习一下

初始化#

先搭一个 unidbg 的架子

1
package com.md5;
2
import com.github.unidbg.AndroidEmulator;
3
import com.github.unidbg.Module;
4
import com.github.unidbg.linux.android.AndroidEmulatorBuilder;
5
import com.github.unidbg.linux.android.AndroidResolver;
6
import com.github.unidbg.linux.android.dvm.AbstractJni;
7
import com.github.unidbg.linux.android.dvm.DalvikModule;
8
import com.github.unidbg.linux.android.dvm.DvmClass;
9
import com.github.unidbg.linux.android.dvm.VM;
10
import com.github.unidbg.memory.Memory;
11

12
import java.io.File;
13

14
//必须继承AbstractJni
15
public class modMd5 extends AbstractJni {
16
    public static AndroidEmulator emulator;  // 静态属性，以后对象和类都可以直接使用
17
    public static Memory memory;
18
    public static VM vm;
19
    public static DvmClass MainActivity;
20
    public static Module module;
21
    // 1 构造方法--》用来初始化
22
    public modMd5(){
23
        // 1.创建设备（32位或64位模拟器）， 具体看so文件在哪个目录。 在armeabi-v7a就选择32位
24
        // 传进设备时，如果是32位，后面so文件就要用32位，同理需要用64位的
25
        // 这个名字可以随便写,一般写成app的包名    以后可能会动
26
        emulator = AndroidEmulatorBuilder.for64Bit().setProcessName("").build();
27

28
        // 2.获取内存对象（可以操作内存）
29
        memory = emulator.getMemory();
30

31
        //3.设置安卓sdk版本（只支持19、23）
32
        memory.setLibraryResolver(new AndroidResolver(23));
33

34
        // 4.创建虚拟机（运行安卓代码需要虚拟机，就想运行py代码需要python解释器一样）    以后会动
35
        vm = emulator.createDalvikVM(new File("apks/md5/md5-release.apk"));
36
        vm.setJni(this); // 后期补环境会用，把要补的环境，写在当前这个类中，执行这个代码即可，但是必须继承AbstractJni
37
        vm.setVerbose(true); //是否展示调用过程的细节
38

39
        // 5.加载so文件
40
        DalvikModule dm = vm.loadLibrary("native-lib", false);   // 以后会动
41
        dm.callJNI_OnLoad(emulator); // jni开发动态注册，会执行JNI_OnLoad，如果是动态注册，需要执行一下这个，如果静态注册，这个不需要执行，车智赢案例是静态注册
42

43
        MainActivity = vm.resolveClass("com.littleq.cryptography.md5.MainActivity");
44
        // 6.dm代表so文件，dm.getModule()得到module对象，基于module对象可以访问so中的成员。
45
        module = dm.getModule(); // 把so文件加载到内存后，后期可以获取基地址，偏移量等，该变量代指so文件
46
    }
47

48
    //2 sign 成员方法--》主要用来解密
49
    public void sign(){
50
        String str = "123456";
51
        String result = MainActivity.newObject(null).callJniMethodObject(emulator,"sign(Ljava/lang/String;)Ljava/lang/String;",str).getValue().toString();
52
        System.out.println(result);
53
    }
54

55
    public void hookConsoleByDebugger(){
56
//        emulator.attach().addBreakPoint(module.base+0xA3C);
57
        emulator.attach().addBreakPoint(module.base+0x8D8);
58
    }
59

60
    // 3 main方法---》右键直接运行
61
    public static void main(String[] args) {
62
        modMd5 md5=new modMd5();
63
        md5.hookConsoleByDebugger();
64
        md5.sign();
65
    }
66
}

直接运行就可以出结果，当然，我是来学习算法分析的

分析#

接着打开 ida,改一下类型，这样好看一点

首先通过 GetStringUTFChars 得到 java 层的字符串，转成 c 语言字符串，得到输入的值给 v4
接着分配内存空间，给 v6,将 v4 传给 sub_A3C 加密后给 v6,最后返回 v6 的值
所以，毫无疑问, sub_A3C 就是加密函数

进来之后，就看到了 md5 的模数值，但是得到的结果并不是标准 md5 加密的结果，说明被魔改了，接下来就来看看是哪儿进行了魔改

首先需要直到一个 md5 函数可能魔改哪些地方?

初始化常量
K 表
非线性函数
常量转换首先看一下初始化常量，正常的初始化常量是:

1
context->state[0] = 0x67452301;
2
context->state[1] = 0xEFCDAB89;
3
context->state[2] = 0x98BADCFE;
4
context->state[3] = 0x10325476;

由上图可知，初始化常量它并没有改，那就只能看其他的部分了

第一轮魔改#

首先先来看第一轮运算，我把变量名改了一下，这样我看得清楚一点

可以很清楚的看到非线性函数改了，第一轮应该是 FF 函数，他的非线性函数是: (b & c) | ((~b) & d) 被修改成了 (d & c) | ((~d) & b),但是这样不太好看，我选择在 unidbg 中打印寄存器的值
经过分析汇编，我知道了:

A 对应着 W26 寄存器
B 对应着 W25 寄存器
C 对应着 W24 寄存器
D 对应着 W23 寄存器在 unidbg 中对日志进行打印

1
public void hookDebugger(){
2
  long baseAddr = module.base;
3
  System.out.printf("SO基地址: 0x%x%n", baseAddr);
4
  emulator.attach().addBreakPoint(module.base + 0xBBC, new BreakPointCallback() {
5
    @Override
6
    public boolean onHit(Emulator<?> emulator, long address) {
7
      int a = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_X26).intValue();
8
      int b = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_X25).intValue();
9
      int c = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_X24).intValue();
10
      int d = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_X23).intValue();
11
      System.out.println("===魔改md5第一轮运算结果===");
12
      System.out.printf("a: 0x%08x, b: 0x%08x, c: 0x%08x, d: 0x%08x\n", a, b, c, d);
13
      return true;
14
    }
15
  });
16
}

得到结果如下:

在上面我已经知道非线性函数给改了，我也跟着他改一下，发现结果并不对
那应该是其他地方也改了，比如说，K 表

v14 看到上面赋值是在 0x12D8 的位置，第一次取需要 v14-4 即 0x12D8-0x10=0x12C8 的位置
从 0x12C8 的位置，开始找，k 表果然被魔改了

最后撸下来的 k 表就是这个:

1
self.T = [
2
  # Round 1
3
  0x8A51407D,
4
  0x6A88995D,
5
  0xFD7025F4,
6
  0xA7553036,
7
  0x489E15C1,
8
  0xF5CDB84B,
9
  0xC0FFBCF6,
10
  0x253F7D7E,
11
  0xE93FD535,
12
  0xD6CD6448,
13
  0x01220AE4,
14
  0xD806D023,
15
  0xE84E6EA9,
16
  0x230135D8,
17
  0xC27AE834,
18
  0xF5292BF4,
19
  # Round 2
20
  0x46711AC1,
21
  0xA90A840A,
22
  0xFD1BBEF0,
23
  0x687810E5,
24
  0x8C37FC1B,
25
  0xFFFD6EC6,
26
  0x8867BEAC,
27
  0x6C96FED4,
28
  0xFDBF77AC,
29
  0xA59C8134,
30
  0x4AC99BE5,
31
  0xF66D568A,
32
  0xBF80B2C1,
33
  0x277D05E4,
34
  0xEA2C8E1F,
35
  0xD58FA982,
36
  # Round 3
37
  0x03661ADB,  # 57023195
38
  0xD93BE6CA,  # -650385718
39
  0xE7585F52,  # -413638830
40
  0x20C23A76,  # 549599862
41
  0xC3F22CE1,  # -1007538975
42
  0xF47FB4D2,  # -192957230
43
  0x4442B612,  # 1145222674
44
  0xAABC73EB,  # -1430490133
45
  0xFCC24453,  # -54377389
46
  0x66657006,  # 1717923846
47
  0x8E1BE7C3,  # -1910773821
48
  0xFFF5BB27,  # -672985
49
  0x867B8079,  # -2038726535
50
  0x6EA336BB,  # 1856190139
51
  0xFE09B282,  # -32918910
52
  0xA3E07FDA,  # -1545568294
53
  # Round 4
54
  0x4CF3A208,  # 1291035144
55
  0xF708037E,  # -150469762
56
  0xBDFDD143,  # -1107439293
57
  0x29B9C389,  # 700040073
58
  0xEB1494A7,  # -350972761
59
  0xD44DA632,  # -733108686
60
  0x05AA195E,  # 95033694
61
  0xDA6CA20A,  # -630414838
62
  0xE65DAC20,  # -430068704
63
  0x1E8296E0,  # 511874784
64
  0xC5658374,  # -983202956
65
  0xF3D1564B,  # -204384693
66
  0x4212F2E5,  # 1108538085
67
  0xAC6AF723,  # -1402276061
68
  0xFC63B7E7,  # -60573721
69
  0x6450C165,  # 1683013989
70
]

k 表替换之后，结果就正确了

但是并没有完全对，第一轮对了

第二轮魔改#

首先看一下第二轮的代码

一来就看见非线性函数给改了
标准的非线性函数是: (B & D) | (C & ~D),而这儿魔改之后就变成了 (D & B) | (C & ~B) 看一下魔改非线性函数之后得到的结果
接着，我去 unidbg 打印一下魔改之后的 A,B,C,D 的值

1
emulator.attach().addBreakPoint(module.base + 0xC94, new BreakPointCallback() {
2
  @Override
3
  public boolean onHit(Emulator<?> emulator, long address) {
4
    int a = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_X26).intValue();
5
    int b = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_X25).intValue();
6
    int c = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_X24).intValue();
7
    int d = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_X23).intValue();
8
    System.out.println("===魔改md5第二轮运算结果===");
9
    System.out.printf("a: 0x%08x, b: 0x%08x, c: 0x%08x, d: 0x%08x\n", a, b, c, d);
10
    return true;
11
  }
12
});

打印结果:

1
===魔改md5第二轮运算结果===
2
a: 0xa586a548, b: 0x021d429d, c: 0x63694d00, d: 0x251515d5

一致，接着看第三轮运算的魔改

第三轮魔改#

先来看一下在 ida 中第三轮魔改的代码

发现并没有魔改非线性函数，他左移的位数(常量转换)也是对的，貌似值魔改了 k 表对应的值
到 unidbg 中打印一下:

1
emulator.attach().addBreakPoint(module.base + 0xEE4, new BreakPointCallback() {
2
  @Override
3
  public boolean onHit(Emulator<?> emulator, long address) {
4
    int a = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_W17).intValue();
5
    int b = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_W23).intValue();
6
    int c = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_W7).intValue();
7
    int d = emulator.getBackend().reg_read(Arm64Const.UC_ARM64_REG_W24).intValue();
8
    System.out.println("===魔改md5第三轮运算结果===");
9
    System.out.printf("a: 0x%08x, b: 0x%08x, c: 0x%08x, d: 0x%08x\n", a, b, c, d);
10
    return true;
11
  }
12
});

得到的值:

到标准算法改了过后的算法中打印一下

一致，接着就需要看第四轮魔改算法了

第四轮魔改算法#

看一下魔改的代码呢

发现他是魔改了非线性函数的逻辑，左移位数也是对的原来的逻辑是: C ^ (B | ~D) 经过修改之后变成: (D | ~B) ^ C
替换进去
正常魔改的结果是:

经过我算法魔改之后的结果:

刚好一致，unidbg 都不用验证了

初始化#

分析#

第一轮魔改#

第二轮魔改#

第三轮魔改#

第四轮魔改算法#

继续阅读

换条路线

评论

初始化#

分析#

第一轮魔改#

第二轮魔改#

第三轮魔改#

第四轮魔改算法#

分享文章

沿着主题读

换条路线

评论