اینجا ما راه اول رو می‌ریم چونکه نیاز نداریم برای یه لیوان شیر، گاو بخریم. البته چون این مساله رو من قبلا حل کردم و راهش رو می‌دونم، دارم از این راه میرم که به جواب برسیم ولی شما باید همیشه ابزارهای آنالیز رو آماده و نصب شده داشته باشید تا بتونید سریع تحلیل رو انجام بدید.

خب ابزار Strings تحت خط فرمان اجرا میشه و کافیه که ما فایلمون رو بذاریم کنارش و این دستور رو بزنیم.

ابزار strings به صورت آماده توی تمام نسخه های لینوکس هست ولی توی ویندوز شما باید دانلودش کنید.

خب بعد از اجرای این دستور، همونطور که توی عکس میبینید، یه سری رشته بیخودی و به دردنخور برامون لیست کرده که چیزی ازش در نمیاد برا ما.

خب حالا قدم بعدی چیه؟ قدم بعدی اینه که ما فایل رو توی دیباگر اجرا کنیم و ببینیم چه اتفاقی داره میافته.

همه چیز توی همین پیغامی هست که نشون داده میشه و دوستان همیشه یادتون باشه که راه حل دقیقا جلوی پای شماست، نیاز نیس زیاد این ور اون ور برید.

خب من برای آنالیز برنامه توی دیباگر از دیباگرimmunity  استفاده میکنم. ولی شما میتونید از هر کدوم از دیباگرا که باهاش راحت تر هستید استفاده کنید که لیست‌شون رو توی پیش نیازهای همین پست اوردم.

خب حالا یه کم براتون تاریخچه بگم و بگم اصن دیباگر چی هست.

دیباگر یا Debugger به نرم افزاری گفته میشه که کنترل اجرای یه برنامه رو به دست میگیره و به شما اجازه میده که اون برنامه رو قدم به قدم بتونید تحلیل کنید. دیباگرها به دو نوع usermode و kernel mode تقسیم میشن. که خب دسته اول میتونن برا شما نرم افزارهای سمت کاربر و دسته دوم نرم افزارها و درایورهای ویندوز و هسته ویندوز رو دیباگ کنن مثل Windbg که در ادامه این سری پست‌ها بهش می‌رسیم.

یکی از بهترین دیباگرهای تاریخ، توسط یک انسان شریف به اسم Oleh Yuschuk ساخته شده که به نام ollydbg شناخته می‌شه. این دیباگر آخرین بار سال ۲۰۱۲ توسط همین شخص آخرین نسخه خودش رو عرضه کرد. ولی با گذر زمان هنوز از بهترین هاست. اما متاسفانه به دلیل تنبلی سازنده، نسخه ۶۴ بیتی این دیباگر دیگه منتشر نشد و به جای اون یه نفر دیگه اومد و با استفاده از همین نرم افزار، یه دیباگر جدید ولی با ایده گرفتن از olly تولید کرد با هدف ساخت دیباگر ۶۴ بیتی، که اسمش رو گذاشته x64dbg. البته این دیباگر برای فایل های ۳۲ بیتی هم کار میکنه ولی خب اسمش x64dbg هست.

حالا در مورد immunity هم بگم یه کم. این دیباگر برای شرکت امنیتی immunity هست. این شرکت میاد و کد دیباگر olly رو از صاحبش میخره و خودش توسعه میده و یه سری قابلیت بهش اضافه میکنه. مثلا میتونید توش اسکریپت پایتون اجرا کنید و از این حرفا. ولی در کل با هرکدوم راحت ترید کار کنید.

حالا ما اینجا immunity  رو باز میکنیم و فایل هدف رو darg میکنیم. اینجا من سعی میکنم تا حدود کمی مباحث دیباگ رو بگم. ولی حتما برید و در مورد کار با دیباگرها و مفاهیم دیباگ مطالعه کنید و یاد بگیرید. وقتی برنامه داخل دیباگر لود شد، با دکمه play یا کلید F9 ، برنامه رو اجرا میکنیم. وقتی اینکارو کردیم بلافاصله دیباگر توی یه نقطه متوقف میشه. این نقطه رو بهش میگن EntryPoint. اینجا همون نقطه شروع برنامه هست. البته این نقطه هرگز ربطی به تابع main نداره. اینجا قبل از اینه که برنامه به تابع main برسه.

خب حالا برگردیم به چالش:

در این مرحله ما میخوایم قدم به قدم آنالیز کنیم و بریم جلو ببینیم چه خبره. با دکمه F8 میتونیم step over کنیم. یعنی هر خط کد اجرا میشه و به خط بعدی میره. ولی داخل تابع نمیره. یعنی چی؟؟ ما دوتا گزینه داریم برای اجرای قدم به قدم یا step by step توی دیباگر. یکی step over و یکی دیگه هم step into این دوتا فرقشون چیه؟ فرض کنید یه تابع وسط کد فراخوانی شده و برای ما مهم نیست که داخل این تابع چه کدی اجرا میشه. پس اینجا ما وقتی به خط مربوط به فراخوانی تابع می‌رسیم، باید F8 یا همون step over رو بزنیم که دیباگر داخل تابع نره و بیاد خط بعدی برنامه رو اجرا کنه. ولی بعضی وقتا نیازه که بریم داخل تابع و مراحل اجرای تابع رو هم ببینیم. اینجا باید از step into یا F7 استفاده کنیم که خب گیج کننده تر و زمان بر هست اما خیلی وقتا واقعا باید شما خط به خط برید جلو تا بفهمید چه اتفاقی داره میافته.

خیلی دوست دارم که اینجا براتون از دیباگ کردن بگم ولی واقعا خارج از حوصله هست و کلا مارو از هدف اصلیمون دور میکنه.

خب ما با زدن دکمه F8 میریم جلو تا وقتی که میبینم برنامه تموم شد و همون پیغام اومد روی صفحه. خب اینجا کلا ما ۱۰ خط بیشتر کد اسمبلی نداریم. برنامه فوق العاده کوچیکه، ولی شما توی دنیای واقعی وقتی میخوای یه بد افزار رو آنالیز کنی با میلیون‌ها خط کد مواجهی که هر کدوم برا خودشون یه داستانی داره.

خب ببینید اینجا من یه نکته باید بگم. تصویر مشخص کرده اون تابعی که پیغام رو نشون میده، MessageBox از کتابخونه user32.dll هست. که البته اینجا خود دیباگر زحمت کشیده برا شما و اسم این تابع رو براتون نوشته.

حالا من اینجا باید وارد بشم یه کم نکته در مورد نحوه فراخونی تابع توی اسمبلی بگم که بتونیم بفهمیم چه اتفاقی داره رخ میده.

زمانی که یه تابع میخواد فراخوانی بشه، قبل از فراخوانی، آرگومان‌های تابع باید ارسال بشه داخل پشته یا همون stack. که زمانی که تابع فراخوانی شد، بتونه از داخل پشته مقادیر رو برداره و عملیاتشو انجام بده. این عملیات ارسال پارامتر و آرگومان توی پشته، با دستور push اتفاق میافته و بعد از اینکه تمام پارامترها push شدند، نوبت به فراخوانی تابع میرسه که با دستور call انجام می‌شه.

خب ببینید الان تابع messageBox فراخوانی میشه با دستور call ولی همونطور که گفتیم، قیل از فراخوانی، پارامترها میرن داخل پشته که اگه توی عکس، قسمت پایین سمت راست رو ببینید، من دورش خط کشیدم اونجا stack هست و پارامترهای این تابع که شامل پیغام و عنوان پیغام هست، مشخصه.

خب حالا توی کد رو ببینید مشخصه که قبل از اینکه call رخ بده، ما یه سری push داریم که به ترتیب میخوایم اینارو بررسی کنیم.

اول بیاین یه کاری کنیم. فرض کنیم ما اصلا نمیدونیم این تابع MessageBox چیه. خب میریم توی اینترنت و میزنیم messagebox MSDN که بتونیم در موردش توی سایت مایکروسافت بخونیم ببینیم اصن پارامترهای این تابع چیه.

 خب ببینید توی سایت MSDN که میریم به ما میگه نحوه فراخوانی این تابع به این شکله و ترتیب آرگومان هاشو به ما نشون داده. من یه نکته بگم اینجا: ببینید الان توی این تابع اولین پارامتر hwnd دومی lptext سومی lpCaption و چهارمی utype هست. این ترتیب پارامترهای تابع هست. ولی توی اسمبلی زمانی که بخوایم یه تابع رو فراخوانی کنیم باید به ترتیب از آخر به اول، پارامتر ها رو push کنیم. یعنی چی؟ یعنی اول باید utype رو push کنیم بعد lpcaption بعد lpText و دراخر hWnd

اینجا نمیخوام من وارد مبحث Calling Convention بشم ولی میتونید تمام این مطالب رو با یه سرچ بفهمید.

خب این پارامترها هرکدوم چی هستند؟ طبق توضیحی که توی MSDN داده شده:

Hwnd : یه هندل پنجره ای هست که مالکیت این پیغام رو داره و اگه این NULL باشه، یعنی پیغام بی صاحبه.

lpText: این رشته ای هست که قراره توی پیغام نمایش داده بشه. که اینجا همون پیغام “I never broke the encoding:” میشه

lpCaption: این رشته ای هست که توی عنوان پیغام نمایش داده میشه که اینجا همون “output” هست.

uType: این یه عدد هست که نوع پیغام رو مشخص میکنه. اینجا پیغام ما یه دکمه ok بیشتر نداره.

خب حالا با توجه به نکاتی که گفتم و تصویری که از کد توی دیباگر می‌بینید، باید متوجه بشید که اولین push، آخرین پارامتر هست یعنی uType که اینجا یه مقدار 0 داخل پشته push شده که نوع پیغام رو از نوع Ok می‌ذاره. دومین push  همون lpCaption هست که خب میبینید که یه آدرس push شده که ادرس رشته Caption هست که البته خود دیباگر اینو براتون تشخیص داده و توی سمت راست نوشته. با فلش قرمز مشخصش کردم توی عکس.

سومین push مربوط میشه به lpText که مهم ترین قسمت برا ما همینه اینجا ما میبینیم که مقدار edx داخل پشته رفته ولی قبلش یه دستور lea داریم که اومده یه آدرس رو ریخته توی edx حالا در ادامه با همین قسمت کار داریم.

و آخرین push هم مربوط به همون هندل هست که 0 داخل پشته رفته. حالا پس فهمیدیم که چه جوری یه تابع فراخوانی میشه. حالا بیایم ببینیم این رشته ای که میره برا نمایش داخل پیغام از کجا میاد؟ آیا یه رشته ثابته یا نه ؟ خب توی تصویر زیر دقت کنید که اون جایی که مشخص کردم، نشون میده که آدرس بافر EBP-84 توی EDX  رفته و بعدش edx به عنوان پارامتر سوم push شده.

اینجا یه نکته قابل توجه هست. من از اینجا به بعد اسم این آدرس EBP-84 رو می‌ذارم “بافر”

اینجا میشه حدس زد که این همون محتویاتی هست که encrypt شده و وارد این تابع میشه و رمزگشایی میشه و محتویات رمزگشایی شدش میره داخل بافر. حالا میتونیم بیایم یه بار دیگه بررسی کنیم چیزایی که به دست اوردیم تا الان:

– این تابع یه عدد بهش ارسال میشه که عدد ۲۸ هست.

– این تابع یه بافر خالی برای ذخیره کردن محتوای رمزگشایی شده نیاز داره.

– و اینکه این تابع یه آدرسی بهش پاس داده میشه که داخل اون آدرس محتویات Encrypt شده وجود داره که این تابع این محتویات رو decrypt میکنه برامون.

حالا چیکار کنیم؟ بازم چیز خاص به درد بخوری برامون نداره. بیاین یه کاری کنیم: ما الان یه عدد ۲۸ اینجا داریم که رفته تو این تابع؟ سوال اینجاس: چرا ۲۸؟؟ چرا یه عدد دیگه پاس ندادن به تابع؟

خب بزارید یه کم از قوه تخیلمون استفاده کنیم ببینیم این دلیلش چی هست:

اولین حدسی که به ذهن من میرسه اینه که ممکنه این عدد طول رشته Encrypt شده باشه. مثلا شما توی تابع strncpy توی زبان c یه عدد برا این تابع ارسال میکنید که به تابع میگه که برام تا اندازه این عدد کپی کن. خب اینجا هم ممکنه این عدد 28 برا همین باشه که به تابع رمزگشا بگه که طول رشته Encrypt شده 28 کارکتر هست.

خب اگه فرض رو بر این بزاریم که این حدسمون درسته، برای صحتش باید یه کاری کنیم، اونم اینه که طول اون پیغام داخل messageBox رو پیدا کنیم.

خب برنامه رو یه بار دیگه اجرا کنیم پیغام رو ببینیم، طولش رو بشماریم کارکتر به کارکتر:

“I never broke the encoding:”

طول پیغام تو نگاه اول ۲۷ تا هست ولی احتمالا یه فاصله ای چیزی تهش یا ابتداش هست که با اون میشه ۲۸ تا کارکتر. خب قضیه بیشتر جالب شد.

خب حالا فهمیدیم که حدس ما درسته. این 28 همون طول متن رمز شده هست، ولی بیایم یه نگاه دیگه بندازیم به memory dump مربوط به اون رشته ای که Encrypt شده بود.