x64dbg入门学习

比眉伴天荒 2023-01-23 03:53 100阅读 0赞

作者：朱金灿  
来源：[clever101的专栏][clever101]

[ 为什么大多数人学不会人工智能编程？>>> ][Link 1] ![hot3.png][]

## 简介 ##

通过逆向一个C++程序来简单介绍如何使用x64dbg进行逆向。

## 编写一个C++示例程序 ##

打开VS2013，创建一个C++控制台工程：CrackDemo，并输入如下代码：

#include "stdafx.h"
    
    int check(int key)
    { 
    	if (1234 == key)
    		return 1;
    	else
    		return 0;
    }
    
    int _tmain(int argc, _TCHAR* argv[])
    { 
    	printf("please input the key:\n");
    	while (1)
    	{ 
    	  int key = 0;
    	  scanf("%d", &key);
    	  if (check(key))
    	  { 
    		   printf("You got it.\n");
    		   break;
    	   }
    	  else
    	  { 
    		  printf("Sorry,try again\n");
    	  }
    	}
    	return 0;
    }

这个程序就是一个简单的猜数游戏：当用户输出数字1234时就提示正确并退出程序，否则提示不断输入数字。

## x64dbg上场练习 ##

现在我们需要使用x64dbg来逆向一下这个程序，使之输入什么数都能输出：You got it.我使用的x64dbg版本是Jul 1 2021。程序逆向的基本步骤如下：1.查找常量字符串；2.通过常量字符串分析汇编代码逻辑；3.修改汇编代码;4.验证逆向程序。

### 查找常量字符串 ###

按F9把程序运行起来，进入主模块，然后CPU(反汇编)窗口->鼠标右键->搜索->选择模块(根据个人需求选择，一般选择当前模块，前提是得先执行到主模块)->字符串，分别搜索：You got it和Sorry,try again两个字符串，找到相关的代码段，如下图：![汇编代码][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NsZXZlcjEwMQ_size_16_color_FFFFFF_t_70_pic_center]

### 分析汇编代码逻辑 ###

分析一下上图的汇编代码：

call qword ptr ds:[<&scanf>]  ; 调用scanf函数，这里应该是让用户输入一个数
    cmp dword ptr ss:[rsp+40],4D2 ; 输入的数和4D2比较，注意这个4D2是一个16进制数，换成10进制数就是1234
    je crackdemo.7FF7D90D104F  ；如果为0，就跳转到7FF7D90D104F处的代码
    lea rcx,qword ptr ds:[7FF7D90D21B0]     | 00007FF7D90D21B0:"Sorry,try again\n" ；给寄存器rcx送一个常量字符串Sorry,try again\n，也就是C++的赋值语句了
    call qword ptr ds:[<&printf>]  ；打印这个常量字符串
    jmp crackdemo.7FF7D90D1020  ; 无条件跳转到7FF7D90D1020代码处
    lea rcx,qword ptr ds:[7FF7D90D21A0]     | 00007FF7D90D21A0:"You got it.\n" ；给寄存器rcx送一个常量字符串You got it.\n
    call qword ptr ds:[<&printf>] ；打印这个常量字符串

应该说这段代码还是比较好阅读的。

### 修改汇编代码 ###

通过分析，我们发现cmp dword ptr ss:\[rsp+40\],4D2和je crackdemo.7FF7D90D104F是一处关键的跳转。因此一个取巧的办法是改变跳转的判断依据，将不等于0作为跳转一句。具体做法是选择je 0x00007FF7D90D104F这行代码，然后单击右键，在右键菜单中选择“汇编”菜单项，弹出如下窗口：![汇编窗口][20210712185556629.png_pic_center]  
  在上面窗口中将je crackdemo.7FF7D90D104F改为jnz crackdemo.7FF7D90D104F，意思为不等于0的时候跳转，如下：![修改汇编代码][20210712185646709.png_pic_center]  
（这一步如有继续弹出修改汇编代码的窗口可以单击取消按钮退出）  
然后在CPU窗口中的右键菜单中选择“补丁”->“修补文件”：![修补文件][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NsZXZlcjEwMQ_size_16_color_FFFFFF_t_70_pic_center 1]  
  这里简单提下修改汇编代码的两个原则：一是修改汇编代码得尽量遵循取小不取大的原则，就是修改后的汇编指令占用的字节数最好小于等于原有的指令，不然就会破坏原有的程序结构，也就是在上图中把保持大小的选项选上，选上改选项后假如超出原有指令大小会有提示；二是上图还把剩余字节以NOP填充，这是什么意思呢？就是说假如修改的指令占用字节小于原有指令，那就用90 填充，90 就是 NOP。

### 验证逆向程序 ###

在控制台窗口运行CrackDemo破解.exe，效果图如下：  
![验证程序][20210712185745580.png_pic_center]

可以看到，我们的逆向是成功的！

[clever101]: https://blog.csdn.net/clever101
[Link 1]: https://www.captainai.net/clever101/
[hot3.png]: /images/20221004/d02e67880d6442229938ec192d60ec18.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NsZXZlcjEwMQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221004/8d0f8a6b7671459db3222617f69db469.png
[20210712185556629.png_pic_center]: /images/20221004/dac5396eecd748679a1592c56e9ac6cb.png
[20210712185646709.png_pic_center]: /images/20221004/bc501c4541234f0d8ae1ea4fb6e9edf5.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2NsZXZlcjEwMQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221004/11fcaf2508444253bdb44f096ff2d4b0.png
[20210712185745580.png_pic_center]: /images/20221004/cbb0d16498914d8799632b6d1b080d7a.png