第二阶段第一题我的方法(135bytes,比较弱)+总结(看雪金山2007逆向分析挑战赛)

第二阶段第一题我的方法(135bytes,比较弱)+总结(看雪金山2007逆向分析挑战赛)
By: aker
工具：OD
我的方法比较一般，很多大虾都是51字节的，希望向他们学习。这儿写下来是为了记住自己走过的一段历程。我在确定前八个字节上面花费的时间特别多，开始就是蠢方法，看里面很多代码不知道前后关系是什么，也难得看懂，就把代码挖出来，然后丢在自己机子上跑，自己看东西去了，一直到了晚上8点才想起是不是不可能跑出来，计算了下时间，发现根本不可能穷举出来。然后没办法，只好去看代码，但是rcl,sbb那几个指令那里我怎么都定不下心去看，看到那些数字也没有先计算下哪些是固定值，那些是根据输入变化的，不知道前后有什么耦合关系。而且也是自己的原因，自己看到数字在里面多了就觉得很烦。
下面是细节，从前面一步步跟下来，发现流程主要是这样的：
点击exploit后，程序读test.txt，读取大小，确保文件大于8，小于0x1000，在堆中分配文件大小+1个字节，读入文件存放到该缓冲区。这个过程中应该没有什么错误，各个环节的检查都比较严。然后关键的一段代码如下，从这段代码的调用情况来看，必须在该处处理fail字符串或者跳过下面的msgbox调用，否则就出现fail字样的窗口，基本可以确定，关键的地方就在这个函数(0040037E)里面。

跟进去看看，挺长一段代码，不过做的事情很容易看出来，开始先分配44(0x2c)字节空间并置0。
然后是最关键的变换代码，对读入数据的前8个字节变换，我在这个地方吃了大亏，就是两个函数，先把他们放下吧，看看后面的代码是什么，掌握整体的思路。
上面的代码仅读取前8个字节，但是不改变数据，下面的代码对前8个字节作变化，改变数据。
对应的c代码如下面所示，可以看到，比较简单，就是相互异或。
再下面的代码是计算是否复制读入文件到栈缓冲区，读如多少。
顺便问下，有灭有计算方程的工具咯。
从上面的代码推导出最后求覆盖字节数的公式为：
其中x为传入的eax，k为最后的覆盖字节数ecx。设i = 0 解该二元二次方程得到
可以看到 k <=13 (0xD)，从这里我们可以知道最多可以覆盖13个双字。从栈分配的情况看，见上面代码。分配的栈大小为44(0x2c )字节，如果想覆盖掉返回地址的话，需要覆盖栈大小加上8个字节的ebp和eip空间，共13个双字，从而我们可以得到对应的x为13，即上面两个函数处理输入文件的开始8个字节后，eax的值需要为13。现在我们知道需要覆盖d*4个字节，同样应该还有其他的解，主要是i= 1,2,......但是我真的没有能解出来，看到16进制还不习惯。所以这也是为什么我的比别人大的原因。如果开始的不为跳转语句，而是其他的任何废语句都没有关系。我这个就这样了选x = D。

现在我们确定了要读入堆栈的文件字节数，下面的代码复制到堆栈。
好了，现在我们知道总体思路了，程序的漏洞就在上面的复制里面，该处的复制没有检查缓冲区的大小与数据的大小，但是，我们需要构造数据。所以关键的地方在前八个字节的处理上。
看输入文件处理函数，首先是第一个函数，比较简单，现在总结自己犯的错误，主要觉得自己有侥幸心理，感觉代码能不看就不看，而且自己的汇编功底确实不好，毕竟俺是文科出身的;)没有正儿八经的学过这个咚咚。
这个代码中间是这样的，第三和第四参数是常数。

代码的出口后，还被用到的变量是eax和edx，该两个变量在代码中变换如下。
然后看第二个变换函数，这个函数挺长，也比较烦燥，我主要就是看到里面的rcr,shr,sbb之类的就卡壳了，怎么都理不清到底作了什么，其实主要觉得还是惰性，觉得不想去翻书。
其实这两个函数都是有冗余代码，就是有一个挺长的根本走不到的分支，简化如下，可以看到，这个函数对开始得到的edx,和eax做变换，里面的细节我的无法还原为数字形式的公式，分析的情况是，在00400579 结束后eax等于eax>>31 + edx <<1，ebx为固定值0B7CDFF05h，ecx为0，edx为edx>>31，说起来很简单，但是下面的就有问题了，无符号除法，这个地方有时候edx有进位，有时候没有，Eax/ebx，根据ebx的值，结果肯定为1或者0吧，这个里面有一些关系应该，我没有搞清楚。希望得到大虾的指教。但是这个里面有个关系可以用，就是00400583-84的语句，可以看到，eax和第四参数有关系，有(unsigned)((eax*0x69948F1B) + ~0xd+1)%0xA5164785 ==0。这个我是穷举的，不知道怎么计算出来，而且这只是一个关系，其他的应该还有，只要在上面把i选择对了的话，继续穷举，我穷举的eax是//3d6365d6，//8ad397f7其中第二个有效。另外的4个字节比较宽松，很多都可以满足。
上面的说的很简单，实际上我开始真的走了n多弯路，怎么都无法得到满足条件的结果。开始还写了这样的代码跑了半天，现在想起来都好笑;)不过也是因为我不熟悉sbb等指令，怕自己推断错误。
得到开始8个字节后就好做了，栈申请了2c字节，覆盖掉ebp,eip跳转到自己需要的地方需要在栈上写0x34字节，即D个双字，执行代码就是了;)))pdpd。我的代码如下，非常无聊，我没有算到一个其他的入口代码，所以我的入口点必须跳到7c处才行。开始我也不知道大小和分数有关，我开始的提交后面还有几十个0没有清除 ，中间也没有用90填充，后面第二次提交时上传错了文件，真挫;)) 我就明天学习各位大虾的代码;))大家都放出来啊;))
上面说的两种方法，一个是直接修改代码里的数据，另外一个是跳转后直接构造堆。我的就是跳转后直接构造堆栈，调用msgbox，平衡栈底，跳转回去，需要注意的应该就是平衡栈底。调用msgbox的时候我就是使用的堆里面的数据ok!。注意重定位就是了，具体看代码。另外我的代码很乱，我就随便输入的字符串，然后改的，所以将就看吧;))
总结：这个程序应该说溢出难度不是很大，但是我计算那个开始字节卡壳了，郁闷。哎，熟能生巧，熟能生巧，熟能生巧。我确实这方面搞得少，所以要多做;))另外这个文章写得也郁闷，就当自己的心路历程吧。特别需要注意的是要注意汇编中乘法除法的进位，借位问题。还有些rcr,sbb之类的还要再看。;))
一种穷举代码：