SMC(静态分析) _
 _)
过加密函数让程序自行解密就可以看到被解密后的代码段。但是有些题目加入反调试后反调试藏的很深甚至程序会无脑报错所以我们还有另外的解法就是找到对加密代码段的加密函数通过静态分析来解密修改这种题目的难度就比较高需要一定的代码审计能力和使用IDApythond的熟练度下面就来分析一下入口分析以2018年网鼎杯第三场SimpleSMC的题目为例如何修复被修改的代码段在start函数中没什么有用的东西所以去看最后调用的函数sub_4010E0它有几个参数函数分别是sub_400D45sub_401930sub_4019C0也就是进入主逻辑和一些初始化步骤进入看sub_400D45很明显就是主逻辑在if这个语句里面涉及了loc_400BAC和loc_400AA6,可以判断出这两段应该就是修改过或者经过花指令处理过导致IDA无法识别为正确的函数所以我们就去看这两个关键的段寻找修改代码段的逻辑进入看loc_400BACIDA爆红非常明显的花指令看到jle near ptr loc_400BC81和jnz near ptr loc_400BC81这两个明显冲突的指令所以就是NOP掉具体的NOP方法就是去看整段汇编逻辑首先两个判断跳跃的指令想要跳跃到loc_400BC81的位置而call near ptr 1345194h则是因为两个错误的跳跃指令而导致IDA误判所以我们只需要NOP掉BBC到BB8的位置就行了不需要NOP掉BB9及其以后的数据否则IP乱飞此外为了实现短跳跃的指令即从BBC跳跃到BC9可以把BBC后面的几个字节改为EB 0B而BBE到BC8之间的直接NOP掉就行按C重新分析后f5反汇编看代码就行__int64 __fastcall sub_400BAC(__int64 a1){** int i; // [rspCh] [rbp-Ch]**** for ( i 0;((_BYTE)loc_400AA6 i) ! 0xC3; i )**((_BYTE)loc_400AA6 i) ^(_BYTE)(i % 7 a1);** return 1LL;}可以判断出这一段代码的逻辑就是一个运行时 XOR 解密函数目标地址就是 loc_400AA6。该函数的核心就是转为这一句loc_400AA6[i] loc_400AA6[i] ^ key[i % 7]。意思就是对 loc_400AA6进行一个7字节key的异或。遇到0xc3时停止异或处理而0xc3是x86中的ret指令去看loc_400AA6从上面的sub_400BAC可以看出是对这一段的加密但是实际上不止这一段加密。交叉引用看loc_400AA6的位置发现在sub_400C48也调用了该代码段粗略的一看这个sub_400C48函数的反汇编发现有个不合常理的 JUMPOUT(0x400CDALL);所以去看汇编是一个花指令修复它。和前面的花指令一模一样的逻辑patch地址400CCD的前几个为EB 0B 后面几个nop掉保留400CDA后面的数据重新分析再反汇编就行这个sub_400C48的核心逻辑就是下面这个语句即用0x41E1B0 处的字节流 XOR 变换 loc_400AA6所以现在的问题就是sub_400C48和sub_400BAC到底哪个先调用的不妨去看sub_400C48的交叉引用发现这个sub_400C48是通过定义一个数组向上追踪这个funcs_401968调用函数sub_401930发现是start的sub_400D45函数的参数所以逻辑很明显了程序启动↓.init_array 执行 sub_400C48↓loc_400AA6[i] ^ stream_41E1B0[i]↓进入 main/sub_400D45↓scanf(%s, v5)↓sub_400BAC(v6)↓loc_400AA6[i] ^ key[i % 7]↓调用 loc_400AA6(v5)最后的逻辑就是final_code[i] file_code[i] ^ stream_41E1B0[i] ^ key[i % 7]file_code就是目前的loc_400aa6的内容那么我们还有最后一个问题怎么去找到key反推key因为real_code[i] file_code[i] ^ stream_41E1B0[i] ^ key[i % 7]所以key[i % 7] file_code[i] ^ stream_41E1B0[i] ^ real_code[i]那么我们就需要去想real_code的前7个字的数据因为 loc_400AA6 解密后是一个正常函数而x64 函数开头通常很容易猜比如push rbp mov rbp, rsp sub rsp, xx那么对应的机器码就是55 48 89 E5 48 83 EC ??前7个字节就是55 48 89 E5 48 83 EC直接带进去写一个IDApython脚本可以解出来key在IDA里面看到key就是 ** F1gChe**还原 loc_400AA6real_code[i] file_code[i] ^ stream_41E1B0[i] ^ key[i % 7]写一个IDApython解密脚本完事主逻辑分析loc_400AA6逻辑非常简单了就是对输入数据a1用sub_4009AE(a1, 32LL, 64LL) 进行处理。然后和v2进行对比校验结果sub_4009AE又是花指令处理同上外层循环然后 sub_400A18内层循环后面就是一个解密脚本了。exp
