RE2: Hướng dẫn sử dụng OllyDBG

Ở bài viết  trước  chúng ta đã tìm hiểu những nội dung cơ bản của  Reverse Engineering (RE) và giới thiệu về một số công cụ thường được sử d...

Ở bài viết trước chúng ta đã tìm hiểu những nội dung cơ bản của Reverse Engineering (RE) và giới thiệu về một số công cụ thường được sử dụng cho công việc reverse.

Trong bài viết này, chúng ta sẽ tìm hiểu cách sử dụng một công cụ rất phổ biến và cực kỳ hữu ích - đó là OllyDBG.

Giới thiệu về OllyDBG



Trong bài viết giới thiệu về RE chúng ta đã đề cập tới OllyDBG.
OllyDBG hay còn gọi tắt là Olly là công cụ debug rất phổ biến. Nhờ giao diện trực quan và dễ sử dụng nên Olly phù hợp với người dùng ở mọi trình độ khác nhau.

Mọi người có thể download lại địa chỉ: http://www.ollydbg.de/
Hiện tại thì tôi vẫn đang sử dụng OllyDBG v1.10.

Việc sử dụng OllyDBG cũng không có gì phức tạp, sau khi hoàn thành việc download, giải nén và chạy chương trình OLLYDBG.EXE mà không cần phải cài đặt.

Các chức năng chính




Trong lần chạy đầu tiên, có thể đường dẫn đến thư mục UDD và Plugins bị lỗi :


Để sửa lỗi này bạn vào : Options => Appearance => Directories để sửa lại đường dẫn đến thư mục UDD và Plugins.


Restart lại OllyDBG để những thay đổi của mình có tác dụng.

Thử mở 1 file .exe với OllyDBG. Ở đây tôi dùng 1 crackme trên trang http://reversing.kr/challenge.php - Easy Crack để minh họa cho những hướng dẫn của mình về OllyDBG.

Để mở 1 file .exe ta vào File -> Open hoặc ấn phím F3. Sau đó chọn đúng file .exe cần dùng.




Ta có các thông tin OllyDBG hiển thị ra như sau:


Cửa sổ OllyDBG được chia ra làm 5 cửa sổ con :

1: Disassembler window: Các đoạn mã của chương trình dưới dạng code assembly và các comment tại các dòng code đó.
2: Register window: Các thanh ghi và giá trị của chúng.
3: Tip window: Các thông tin bổ sung cho 1 dòng code. Các thông tin này khá hữu ích trong quá trình debug.
4: Dump window: Cho phép người sử dụng xem và chỉnh sửa các giá trị trong bộ nhớ của chương trình đang được debug.
5: Stack window: Thông tin về stack của chương trình.

Ngoài 5 cửa sổ trên thì Olly còn có một số cửa sổ khác. Để ý trên thanh menu có các chức năng:


- Click vào nút L ta thấy cửa số Log data của Olly. Chứa các thông tin về các module, các import library và các plugins được load cùng chương trình tại thời điểm chương trình được load vào Olly.
- Click vào nút E ta thấy cửa sổ Executable modules, danh sách các file thực thi được chương trình sử dụng.
- Click vào nút M ta thấy cửa sổ Memory Map, chứa thông tin về bộ nhớ được chương trình của ta sử dụng.
- Click vào nút T là cửa sổ Threads, liệt kê các thread của chương trình.
- Click vào nút W là Windows
- Nút H là cửa sổ Handles.
- Nút / là Patches, cửa sổ chứa các thông tin về những câu lệnh ta đã sửa ở trong chương trình.
- Nút K là cửa sổ Call Stack.
- Nút B là cửa sổ Breakpoints, hiển thị các breakpoint ta đặt trong chương trình.
- Nút R - References chứa thông tin về kết quả cho chức năng tìm kiếm trong Olly.

Những chức năng không thể thiếu đó là các chức năng phục vụ cho công việc debug:


- Đặt Breakpoint: F2
- Run: F9
- Step into: F7
- Step over: F8
- Restart: Ctrl + F2


Thực hành



Bên trên là những thông tin cơ bản về các chức năng của Olly. Bắt tay vào sử dụng ngay thôi nào.

Quay trở lại với crackme ta đề cập đến ở đầu bài giới thiệu: Easy_CrackMe.exe
Load lại file Easy_CrackMe.exe vào OllyDBG
F9 để chạy chương trình.



Làm gì tiếp theo đây??
Điền bừa cái gì đó rồi bấm nút xem sao.(_ _!)


Sai rồi, chả có lý do gì để lần thử đầu tiên là đúng cả.
Nhưng vẫn thu được 1 lượng thông tin kha khá. Đó là string thông báo của chương trình là : ”Incorrect Password” và thông báo được đưa ra bởi 1 message box.

Sử dụng chức năng tìm kiếm của OllyDBG để tìm kiếm tất cả các chuỗi trong chương trình.


Kết quả thu được như sau:


Click double vào chuỗi “Incorrect Password” ta sẽ đến được đoạn code sử dụng chuỗi này.


Ta thấy sẽ có thể có 2 trường hợp xảy ra : 1 trường hợp là thông báo Incorrect Password ta vừa gặp, trường hợp còn lại là “Congratulation !!” – chắc là thông báo password đúng.

Câu lệnh đầu tiên của đoạn code in ra thông báo “Incorrect Password” tại địa chỉ 0x0040113c.


Để ý mũi tên mau đỏ trỏ đến câu lệnh tại địa chỉ 0x0040113c. Ta thấy có 4 lệnh JNZ đến địa chỉ 0x0040113c.
Goto đến lệnh JNZ đầu tiên.


Để ý đến câu lệnh tại địa chỉ 0x004010AA có comment : GetDlgItemTextA – lấy 1 đoạn dữ liệu từ 1 dialog box. => có thể đây chính là câu lệnh thực hiện nhiệm vụ đọc password ta nhập vào.

Ấn F2 để đặt 1 breakpoint tại địa chỉ 0x004010AA và chạy lại chương trình. Nhập password rồi ấn nút “??”. Chương trình dùng tại breakpoint 0x004010AA.

F8 để chạy qua hàm GetDlgItemTextA. Ta có kết quả như sau:


Quan sát Stack, password ta nhập vào “123454321” đã được được vào trong stack bắt đầu tại địa chỉ 0x0012FA18.

004010B0 CMP BYTE PTR SS:[ESP+5], 61


Thực hiện câu lệnh so sánh giá trị tại địa chỉ ESP+5 và 0x61.
Địa chỉ ESP+5 là ký tự thứ 2 trong password ta vừa nhập vào.
Câu lệnh tiếp theo:

004010B5 JNZ SHORT Easy_Cra.00401135


Sau câu lệnh CMP, nếu 2 giá trị được mang ra so sánh mà khác nhau, cờ ZF vẫn mang giá trị 0 và lệnh JNZ được thực hiện, đoạn code thông báo “Incorrect Password” sẽ được thực hiện và bật ra thông báo.
Như vậy bước kiểm tra đầu tiên để password được chấp nhận thì ký tự thứ 2 cúa password là ký từ có mã ASCII là 0x61 => ký tự “a”.

Ta có thể sửa password, restart lại chương trình và run lại, nhưng ta có thể sử dụng cách bớt phức tạp hơn là ghi nhớ ký tự thứ 2 của password là “a” rồi sửa cờ ZF để tiếp tục thực hiện chương trình.
Click double vào giá trị 0 ở cờ ZF, giá trị ZF được set lại giá trị =1.


Quan sát tip window ở bên dưới Assembler window sẽ thấy thông tin

Jump is NOT taken
00401135=Easy_Cra.00401135



F7 để tiếp tục thực hiện chương trình, đến câu lệnh :

004010C3 CALL Easy_Cra.00401150


Thì dừng lại và quan sát stack.

2 chuỗi “3454321”, “5y” và giá trị 0x02 được đẩy vào stack trước khi thực hiện lệnh Call 0x00401150
F7 để thực hiện hàm tại địa chỉ 0x00401150

Đoạn chương trình thực hiện công việc so sánh 2 ký tự thứ 3 và 4 của password với chuỗi “5y”.
Như vậy ta đã có 3 ký tự thứ 2,3,4 của password là “a5y”

Tiếp tục dùng cách sửa cờ ZF để vượt qua câu lệnh

004010CD JNZ SHORT Easy_Cra.00401135


Tiếp tục so sánh các ký tự từ thứ 5 trở đi đến hết password với chuỗi “R3versing”


Như vậy ta có password có dạng “xa5yR3versing” với ký tự đầu tiên là ký tự chưa tìm ra.

Restart lại chương trình và nhập vào password có dạng như trên.

Dễ dàng vượt qua các bước kiểm tra trên.

Dừng lại ở câu lệnh:

0040110D CMP BYTE PTR SS:[ESP+4], 45


So sánh ký tự đầu tiên của password với ký tự “E”

Như vậy ta tìm ra password chính xác là “Ea5yR3versing”

Chạy lại chương trình và nhập password vừa tìm được.

Ta nhận được kết quả như sau:



Kết luận


Trong bài viết này tôi đã giới thiệu về các chức năng cơ bản của OllyDBG và ví dụ về việc sử dụng Olly để giải quyết 1 Crackme đơn giản.

Trong bài viết tiếp theo, tôi sẽ giới thiệu về một công cụ khác cũng thường xuyên được sử dụng trong RE - đó là IDA.

Các bạn quan tâm có thể theo dõi chuyên đề tiếp theo - "RE3: Hướng dẫn sử dụng IDA" từ ngày 19/2/2014

COMMENTS

Tên

.:: Connect Trojan ::.,111,.htaccess,2,0-day,3,2017,2,Add-on,16,Affiliate,1,Anotador,1,AutoIT,17,BackDoor,1,Bán Sách,13,banhangonline,1,Bảo Mật,173,Bất Động Sản Tại Tiền Giang,5,Bestsellers,13,Binder,1,blog,31,Blogger,4,Blogger Template,1,Botnet,3,Brute,1,Bug Bounty,1,Bypass,10,camera,1,ceh,1,Châu Tinh Trì,2,Checked,6,Chrome,21,Code,5,coin hive,1,Coin-Hive,2,CoinHive,1,Connect Trojan,342,Connect Trojan ::.,1,Cổ Tích,2,Crack,3,Crypto,5,CSRF,5,CSS,2,Cuộc Sống,1,Dau tu,8,DDoS,6,Designer,1,Dich vụ,1,DNS,4,Download,2,du-an,3,DVD LUMION Tiếng Việt của anh Dũng Già Pro,1,Đam Mỹ,1,điện,1,Đồ Họa,215,Đô Thị,16,e11.me,1,ebook,17,ebook free,295,eBook Phệ Hồn Nghịch Thiên,1,eBook Thịnh Thế Địch Phi,1,Encrypt,1,Encryption,1,epub,76,epub [Tiên hiệp],1,ET-Logger,1,exploit,23,Exploitation,1,Extractor,2,facebook,69,FireFox,15,Flood,2,Forensic,7,full prc,2,game,177,Gerador,3,Gerenciador,1,Get Root,3,GHDB,3,Giả Tưởng,1,giaitri,1,Google,15,H&Y Shop,2,Hacker,3,Hacking,16,Hacking and Security,6,Hacking Tools,36,Hành Động,3,He Thong Site Phim,25,Hijacking,6,Hình Sự,1,hivecoin.hive coin,1,Hỏi Xoáy Đáp Xoay Trên VTV3,1,HTML,1,Huyền Ảo,92,Hướng dẫn Internet cơ bản,1,IFTTT,703,Imgur,2,Infographic,1,Information Disclosure,1,Internet Explorer,3,IT News,39,J2TeaM,29,J2TeaM Tools,9,JavaScript,6,Javascript Injection,3,Juno_okyo's Blog,23,Khóa Học,32,Khóa Học kiếm tiền online với accesstrade,5,khoá học miễn phí,16,Khóa học Photoshop,19,Khóa học sử dụng mã độc và phòng chống mã độc,2,Khoa Huyễn,6,khuyến mãi,16,kiemhiep,9,Kiếm Hiệp,20,Kiếm Tiền MMO,34,kiếm tiền rút gọn link,1,KilerRat,1,Kinh Dị,24,Kinh Dị - Ma,4,Kinh Doanh,73,kinhdi,1,kinhdoanh,5,KRACK Attacks,1,Lãng mạn,1,lazada,1,Lập trình,2,Lịch Sử,5,Linux,1,Local Attack,2,Logins/Cadastro,1,Lỗi Web,1,Lược Sử Hacker,2,Mã Giảm Giá,2,Mã Hóa,48,Malware,3,Master-Code,31,Máy Tính,1,Metasploit,2,Microsoft,4,mobile hacking,2,monero,1,Movie,25,MySQL,1,NEW PRODUCTS,19,NGHỆ THUẬT ẨN MÌNH,13,ngontinh,10,Ngôn Tình,151,nhà đất,1,Nhà Đất Gò Công,1,Nhân Vật Lịch Sử,2,Nhật Bản,1,Nhựt Trường Group,1,NjRat,5,Nước,1,open redirect,1,Oracle,1,Path Disclosure,2,pdf,76,Pen-Test,6,Pentest Box,9,Phan mem Internet,1,phanmem,23,phanmemdienthoai,3,phanmemmaytinh,10,phần mềm,11,Phim 18,2,Phim 2012,1,Phim 3D,1,Phim Âm Nhạc,2,Phim Bộ,39,Phim Chiến Tranh,5,Phim Dã Sử - Cổ Trang,6,Phim Đài Loan,6,Phim Đề Cử,4,Phim Hài Hước,26,Phim Hàn Quốc,33,Phim HD Chất Lượng Cao,5,Phim Hoạt Hình,2,Phim Hot,1,Phim Hồng Kông,20,Phim HQ,2,Phim Kinh Dị,8,Phim lẻ,4,Phim Mới 2011,2,Phim Mới 2012,1,Phim Mới 2015,1,Phim Nhật Bản,4,Phim SD,3,Phim Thái Lan,6,Phim Thần Thoại,4,Phim Tình Cảm,35,Phim Trung Quốc,37,Phim Truyền Hình,19,Phim Viễn Tưởng,1,Phim Võ Thuật,36,Phim Xã Hội Đen,1,Phishing,5,PHP,16,Plugin,1,Port,1,post mẫu,1,prc,77,Programming,15,Python,1,Quảng Cáo,1,rat,457,Recovery,3,Remote Code Execution,1,Remote Desktop,1,Reverse Engineering,6,review,3,rút gọn link,1,sach,47,Sách,37,Sách Nghệ Thuật Sống,12,sách nói,1,Sách Tâm Linh,1,Sách Tiếng Anh,2,sachiep,2,Sản Phẩm,1,Sắc Hiệp,16,Scam,1,Scanner,10,Security,66,SEO,5,share,1,Shell,5,shop,1,Social Engineering,4,Software,22,Source Unity,1,SQL injection,21,Sức Khỏe,1,Symlink,3,Tài Chính,1,Tài chính cá nhân,2,Tài Liệu,1,Tản mạn,7,Taudio,2,Tâm lý xã hội,1,tấn công,1,Testador,1,Thái Lan,2,Tham Khảo,3,thamkhao,11,them,1,Thiệp Cưới,1,Thiết Kế Web,30,Thời Trang,2,Thủ Thuật Hacking,53,Thuyết Minh,1,tienhiep,5,Tiên Hiệp,123,Tiểu Thuyết,94,tiki,3,TIL,8,Tin Tức,52,Tips,39,tool,1,Tool Hack,14,Tools,9,Tổng Hợp,1,Tricks,26,Trinh thám,1,trojan original,48,Trọng sinh,11,Trộm mộ,1,Trung Quốc,1,Truyện,1,Trương Định,110,Tu Chân,2,TUTORIALS,124,Twitter,1,Ung_Dung,4,Upload,1,usb,1,vanhoc,11,văn học,6,vBulletin,7,video,16,Vietsub,1,Việt Nam,4,Virus,4,Võ Thuật,3,Võng Du,5,Vulnerability,19,Web Developer,15,webmau,5,WHMCS,3,WiFi,2,wiki lỗi máy tinh,1,wiki lỗi NTG,3,Windows,12,WordPress,43,Write-up,11,XSS,16,Yahoo,1,yeah1offer,1,youtube,11,
ltr
item
NhutTruong.Com - Chia sẻ kiến thức miễn phí: RE2: Hướng dẫn sử dụng OllyDBG
RE2: Hướng dẫn sử dụng OllyDBG
http://forum.whitehat.vn/attachment.php?attachmentid=960&stc=1
NhutTruong.Com - Chia sẻ kiến thức miễn phí
https://www.nhuttruong.com/2016/10/re2-huong-dan-su-dung-ollydbg.html
https://www.nhuttruong.com/
https://www.nhuttruong.com/
https://www.nhuttruong.com/2016/10/re2-huong-dan-su-dung-ollydbg.html
true
7607280272436897486
UTF-8
Loaded All Posts Not found any posts VIEW ALL Readmore Reply Cancel reply Delete By Home PAGES POSTS View All RECOMMENDED FOR YOU LABEL ARCHIVE SEARCH ALL POSTS Not found any post match with your request Back Home Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share to a social network STEP 2: Click the link on your social network Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy Table of Content