x86_64逆向工程进阶教程

概述

本教程是x86_64逆向工程系列的第二部分，重点介绍实用的逆向工程方法和技巧，通过一系列CrackMe练习来提升逆向分析能力。教程涵盖了静态分析、动态分析以及多种逆向工程工具的使用。

准备工作

环境搭建

1. 系统要求：本教程基于Unix/Linux系统
2. 必要工具：
   • 开发环境：build-essential, gcc, xxd, binutils
   • 逆向工具：Radare2（推荐安装最新版本）
3. 安装命令（Debian/Ubuntu）：

   sudo apt install build-essential gcc xxd binutils
   

CrackMe获取

从GitHub克隆CrackMe仓库：

git clone [仓库地址]
cd [仓库目录]
make crackme01
make crackme02
...

逆向工程工具介绍

Radare2

Radare2是一个功能强大的开源逆向工程框架，支持：

• 静态分析（反汇编、控制流分析）
• 动态调试
• 二进制修补
• 脚本自动化

常用命令：

• aaa：自动分析二进制文件
• afl：列出所有函数
• s [地址/符号]：跳转到指定位置
• pdf：打印当前函数的反汇编代码

Strace

动态分析工具，用于跟踪系统调用：

strace ./crackme06.64 test

CrackMe分析与解法

CrackMe05

关键特征：

1. 输入字符串长度必须为16字节
2. 包含多个条件检查

分析方法：

1. 使用Radare2分析：

   r2 ./crackme05
   aaa
   afl
   pdf @ main
   

2. 关键检查点：

   • 0x7d7处检查字符串长度：

     call sym.imp.strnlen
     cmp eax, 0x10
     jne 0x850
     

   • 多处调用check_with_mod函数：

     lea rdi, [rbx + 8]
     mov edx, 5
     mov esi, 4
     call sym.check_with_mod
     

3. check_with_mod函数分析：

   • 功能：计算指定位置4字节的和，检查是否能被给定值整除
   • 实现：

     ; 核心循环
     movzx eax, byte [rdi]
     add edx, eax
     inc rdi
     dec esi
     jne loop_start
     ; 模运算
     idiv r8d
     test edx, edx
     jz success
     

4. 其他条件：

   • 第2个字节必须为'B'
   • 第13个字节必须为'Q'

解法：
满足以下条件的16字节字符串：

• 位置1: 'B'
• 位置13: 'Q'
• 4个指定区域的4字节和分别能被3、4、5、4整除
  示例解：EEBD,,,,2222QQOO

CrackMe06

关键特征：

• 从文件中读取内容进行验证

分析方法：

1. 使用strace动态分析：

   strace ./crackme06.64 test
   

   观察文件操作：

   openat(AT_FDCWD, "test", O_RDONLY) = 3
   read(3, "some content\n", 4096) = 13
   

2. 静态分析：

   • 查找字符串比较点
   • 发现与"scrambled egg 42"比较

解法：
创建包含"scrambled egg 42"的文件：

echo "scrambled egg 42" > test
./crackme06.64 test

CrackMe07

关键特征：

• 基于时间的验证机制

分析方法：

1. 分析时间检查函数sym.cur_hour：

   • 调用localtime获取当前时间
   • 返回tm结构体的tm_hour字段

2. 主函数检查：

   call sym.cur_hour
   mov ebx, eax
   sub ebx, 5
   cmp ebx, 1
   jbe 0x985
   

   • 要求当前小时在5-6之间（0500-0659）

解法：

• 在05:00-06:59之间运行程序
• 或临时修改系统时间

CrackMe08

关键特征：

• 使用CPU特性生成密码
• 动态内存分配

分析方法：

1. 内存分配：

   mov edi, 0xf
   call sym.imp.malloc
   

2. CPUID指令：

   cpuid
   

   • 在EBX、EDX、ECX中返回CPU标识字符串

3. 字符串构造：

   • 调用sym.shift_int_to_char处理CPUID结果
   • 添加固定字符'3'、'Q'和空字节

解法：
密码格式：[CPUID字符串]3Q
示例（Intel CPU）：GenuineIntel3Q

高级技巧总结

1. 静态分析流程：

   • 识别关键函数（main、验证函数等）
   • 分析控制流和条件分支
   • 追踪数据流和寄存器使用

2. 动态分析技巧：

   • 使用strace跟踪系统调用
   • 观察文件I/O、网络操作等
   • 结合静态分析定位关键代码段

3. 特殊指令处理：

   • 识别并理解CPUID等特殊指令
   • 注意内存分配操作（malloc/free）
   • 分析时间相关函数（localtime等）

4. 数学运算分析：

   • 识别模运算（idiv/test edx,edx）
   • 跟踪循环中的累加操作
   • 注意字节级的数据处理

后续学习建议

1. 更复杂的C应用程序逆向
2. JavaScript逆向工程
3. 使用GDB进行深度动态分析
4. 二进制漏洞分析技术
5. 反调试和反逆向技术对抗

通过本教程的练习，您应该已经掌握了x86_64逆向工程的基本方法和工具使用，为进一步的二进制安全研究打下了坚实基础。