0x00 前言
上一文 PPPoE中间人拦截以及校园网突破漫谈我们谈到使用 PPPoE 拦截来获取真实的账号密码。
在这个的基础上，我对校园网客户端进行了逆向，得到了拨号加密算法。
0x01 准备工作
首先查壳，发现这个版本没壳了，我记得之前好像是加过 vmp 的呀，不管了。
然后我们看看目录下的 dll 导出表看看有没有什么好东西
AidcComm.dll 里面有这些东西，看来这个极大可能会是我们的目标。
我们再看看主程序的导入表，发现主程序的导入表里面并没有这个 dll，那我们动态调试的时候应该怎么断到这个 dll 中去呢。
没有导入表说明没有 .lib，那有可能是通过 LoadLibrary 加载的 dll，至于自实现 peloader，我觉得应该这个软件应该不会是这样。
看看就知道了。
直接用 x32dbg 和 IDA 开始看。
0x02 逆向过程
x32dbg 打开主程序，然后 bp LoadLibraryW，再重新载入程序，我们可以一步步运行发现 AidcComm.dll 被载入了。
然后运行到用户代码处
我们可以看到此时 eax 寄存器的值为 55870000，这个就是 LoadLibrary 返回的 HANDLE。一般思路来说，接下来就是用 GetProcAddress 获取导出表函数的地址了。
继续往下走几步，即可发现我们的猜测并没有错误。
从这张图我们可以看到主程序获取了 AidcComm.GetPWD 和 AidcComm.GetRegularAccount 的地址。
那我们通过 call 之后的 eax 跳转过去在这两个函数的地址下断，直接跑起来。
然后我们会发现在 AidcComm.GetRegularAccount 断下来了，传入的参数可以在堆栈窗口中看到。
我们去 IDA 分析 GetRegularAccount 这个函数，同时在调试器这边动态跟（这个我已经分析过了，所以有的变量和函数名我已经改过了）
首先最直观的就是账号的变换，账号只需要加上前缀 !^Wnds0 即可（但其实加密出来后，主程序这个给它又加了一个后缀 @hbxy）。（从调试器可以看到）
密码我们直接跟到 GetPWD 里面去看。
通过调试器我们可以观察出，这个分支结构只会执行 a2 == 1 这个分支。
看来是通过下面这个函数加密的了。（我给他改了名 encryptPwdWithKey）
我们进到 encryptPwdWithKey(void *password, char *key, rsize_t SizeInBytes) 这个函数去查看。
通过分析我们可以得出大致上的流程
1. password 用 key RC4 一下得到 A
2. 把 A md5 一下得到 B，如果第 11 位为奇数，取 B 的前 16 位，偶数就后 16 位，得到 C
3. C 再用 key RC4 一下得到 D
4. D 再 md5 一下，取 [8:24]得到 E
也就是最后得到的 E 是加密之后的。
可能有的小伙伴不明白为什么会是 RC4，这里有几个提示的地方，第一是这个字符串的提示，第二是 RC4 加密流程是很容易分辨的，这个靠经验了。
但是我们发现我们截取出来的密码和这个是有点小不一样的。通过调试，可以看到在 GetRegularAccount 函数加密出来后，又调用了一个函数，这个函数我给它重命名为 fixHBKey 了。
我们跟进去看看
代码并不长，我们可以直接调试器分析，如果你想用 IDA 也是可以的，IDA 可以搜索上图中的 <<< FixHBKey: %s <<<这个字符串来定位这个函数。
或者我们可以看到这个函数的入口地址为 001115D0，这个 exe 的加载基址我们可以往上滑到顶看到为 000F1000，两个之间的差值为 205D0，
然后再把这个差值加上 IDA 加载的基址，即可找到这个函数。
这个函数的大致作用就是修改上面我们得到的 E
- E[今天几号日期 % 16] 替换为 'b' 得到最后的密码
这块我们是搞清楚了，那 key 是怎么来的呢。
这个我们就需要大量借助调试器了，我们重启一下主程序，然后在上面的分析基础上找到这个 key 第一次出现的地方，我们可以发现
在 AidcRes 偏移 10110 处即为 key 的生成函数。
这个函数巨长，同样的，我们借助之前的方法在 IDA 中找到这个函数，我这里直接按偏移，可以看到在 sub_420110 即为我们的加密函数，
这里我已经重命名为 generateKey。
这个函数太长了，我无法截全图，我直接丢代码然后分析，这里分析建议大家调试结合代码来看，不然一头雾水。其中大量的必要变量和函数我已经重命名，方便大家阅读。
int __thiscall generateKey(char *this, int a2, char a3, int a4, int a5, int a6, int a7, int a8){
int v8; // eax
int v9; // edx
int v11; // [esp+8h] [ebp-37Ch]
char *v12; // [esp+20h] [ebp-364h]
int len_username_b_MonthDay; // [esp+24h] [ebp-360h]
char *v14; // [esp+28h] [ebp-35Ch]
int len_bUsernameMonthDay; // [esp+2Ch] [ebp-358h]
char *v16; // [esp+30h] [ebp-354h]
char *mem_17; // [esp+34h] [ebp-350h]
int v18; // [esp+38h] [ebp-34Ch]
int lenMonthDay; // [esp+3Ch] [ebp-348h]
int lenUsername; // [esp+40h] [ebp-344h]
int v21; // [esp+44h] [ebp-340h]
int v22; // [esp+48h] [ebp-33Ch]
int *v23; // [esp+4Ch] [ebp-338h]
int v24; // [esp+50h] [ebp-334h]
const char *v25; // [esp+54h] [ebp-330h]
int len_HbKeyGa; // [esp+58h] [ebp-32Ch]
int lenHbKeyGa; // [esp+5Ch] [ebp-328h]
char *pMem_64_a; // [esp+60h] [ebp-324h]
int len_HbKeyGb; // [esp+64h] [ebp-320h]
int lenHbKeyGb; // [esp+68h] [ebp-31Ch]
char *pMem_64_b; // [esp+6Ch] [ebp-318h]
int v32; // [esp+70h] [ebp-314h]
int v33; // [esp+74h] [ebp-310h]
int v34; // [esp+78h] [ebp-30Ch]
int v35; // [esp+7Ch] [ebp-308h]
int len_monthDay_Username_b; // [esp+80h] [ebp-304h]
char *v37; // [esp+84h] [ebp-300h]
int len_username_MonthDay_b; // [esp+88h] [ebp-2FCh]
LPVOID lp_mix_md5_1; // [esp+8Ch] [ebp-2F8h]
size_t v40; // [esp+90h] [ebp-2F4h]
int v41; // [esp+94h] [ebp-2F0h]
LPVOID v42; // [esp+98h] [ebp-2ECh]
LPVOID v43; // [esp+9Ch] [ebp-2E8h]
LPVOID v44; // [esp+A0h] [ebp-2E4h]
int index3; // [esp+A4h] [ebp-2E0h]
int index2; // [esp+A8h] [ebp-2DCh]
char *pHbKeyGa; // [esp+ACh] [ebp-2D8h]
int index6; // [esp+B0h] [ebp-2D4h]
int index5; // [esp+B4h] [ebp-2D0h]
_DWORD *md5_monthDay_Username_b; // [esp+B8h] [ebp-2CCh]
_DWORD *md5_username_b_MonthDay; // [esp+BCh] [ebp-2C8h]
_DWORD *md5_username_MonthDay_b; // [esp+C0h] [ebp-2C4h]
void *mix_md5_1; // [esp+C4h] [ebp-2C0h]
int md5_1_pLus3remainder4; // [esp+C8h] [ebp-2BCh]
int md5_bUsernameMonthDay; // [esp+CCh] [ebp-2B8h]
char *pHbKeyGb; // [esp+D0h] [ebp-2B4h]
void *v57; // [esp+D4h] [ebp-2B0h]
void *v58; // [esp+D8h] [ebp-2ACh]
int md5_4_plus5remainer4; // [esp+DCh] [ebp-2A8h]
void *mix_md5_2; // [esp+E0h] [ebp-2A4h]
const char *userName; // [esp+E4h] [ebp-2A0h]
char *monthDay; // [esp+E8h] [ebp-29Ch]
char *bUsernameMonthDay; // [esp+ECh] [ebp-298h]
char *username_b_MonthDay; // [esp+F0h] [ebp-294h]
char *username_MonthDay_b; // [esp+F4h] [ebp-290h]
char *monthDay_Username_b; // [esp+F8h] [ebp-28Ch]
char *p_HbKeyGb; // [esp+FCh] [ebp-288h]
char *p_HbKeyGa; // [esp+100h] [ebp-284h]
const char *username; // [esp+104h] [ebp-280h]
_DWORD *md5_2; // [esp+108h] [ebp-27Ch]
_DWORD *md5_3; // [esp+10Ch] [ebp-278h]
int index1; // [esp+114h] [ebp-270h]
int index4; // [esp+118h] [ebp-26Ch]
int temp1; // [esp+11Ch] [ebp-268h]
int temp2; // [esp+120h] [ebp-264h]
_DWORD *md5_4; // [esp+124h] [ebp-260h]
int md5_1; // [esp+128h] [ebp-25Ch]
size_t SizeInBytes; // [esp+134h] [ebp-250h]
char *DstBuf; // [esp+138h] [ebp-24Ch]
char *pThis; // [esp+13Ch] [ebp-248h]
int v81; // [esp+140h] [ebp-244h]
int v82; // [esp+144h] [ebp-240h]
int v83; // [esp+148h] [ebp-23Ch]
int v84; // [esp+14Ch] [ebp-238h]
int v85; // [esp+150h] [ebp-234h]
int v86; // [esp+154h] [ebp-230h]
int v87; // [esp+158h] [ebp-22Ch]
int v88; // [esp+15Ch] [ebp-228h]
char hbKey; // [esp+160h] [ebp-224h]
char v90; // [esp+161h] [ebp-223h]
char hbKeyGa; // [esp+1E4h] [ebp-1A0h]
char mem_64_a; // [esp+1E5h] [ebp-19Fh]
char hbKeyGb; // [esp+228h] [ebp-15Ch]
char mem_64_b; // [esp+229h] [ebp-15Bh]
char v95; // [esp+22Fh] [ebp-155h]
char v96[4]; // [esp+26Ch] [ebp-118h]
char v97[5]; // [esp+270h] [ebp-114h]
int v98; // [esp+275h] [ebp-10Fh]
int v99; // [esp+279h] [ebp-10Bh]
int v100; // [esp+27Dh] [ebp-107h]
int v101; // [esp+281h] [ebp-103h]
int v102; // [esp+285h] [ebp-FFh]
__int16 v103; // [esp+289h] [ebp-FBh]
char v104; // [esp+28Bh] [ebp-F9h]
char v105[4]; // [esp+28Ch] [ebp-F8h]
char v106[5]; // [esp+290h] [ebp-F4h]
int v107; // [esp+295h] [ebp-EFh]
int v108; // [esp+299h] [ebp-EBh]
int v109; // [esp+29Dh] [ebp-E7h]
int v110; // [esp+2A1h] [ebp-E3h]
int v111; // [esp+2A5h] [ebp-DFh]
__int16 v112; // [esp+2A9h] [ebp-DBh]
char v113; // [esp+2ABh] [ebp-D9h]
char v114[4]; // [esp+2ACh] [ebp-D8h]
char v115[5]; // [esp+2B0h] [ebp-D4h]
int v116; // [esp+2B5h] [ebp-CFh]
int v117; // [esp+2B9h] [ebp-CBh]
int v118; // [esp+2BDh] [ebp-C7h]
int v119; // [esp+2C1h] [ebp-C3h]
int v120; // [esp+2C5h] [ebp-BFh]
__int16 v121; // [esp+2C9h] [ebp-BBh]
char v122; // [esp+2CBh] [ebp-B9h]
char v123[4]; // [esp+2CCh] [ebp-B8h]
char v124[5]; // [esp+2D0h] [ebp-B4h]
int v125; // [esp+2D5h] [ebp-AFh]
int v126; // [esp+2D9h] [ebp-ABh]
int v127; // [esp+2DDh] [ebp-A7h]
int v128; // [esp+2E1h] [ebp-A3h]
int v129; // [esp+2E5h] [ebp-9Fh]
__int16 v130; // [esp+2E9h] [ebp-9Bh]
char v131; // [esp+2EBh] [ebp-99h]
char char_array_29_2[29]; // [esp+2ECh] [ebp-98h]
__int16 v133; // [esp+309h] [ebp-7Bh]
char v134; // [esp+30Bh] [ebp-79h]
char char_array_29_1[29]; // [esp+30Ch] [ebp-78h]
__int16 v136; // [esp+329h] [ebp-5Bh]
char v137; // [esp+32Bh] [ebp-59h]
char char_array_29_3[29]; // [esp+32Ch] [ebp-58h]
__int16 v139; // [esp+349h] [ebp-3Bh]
char v140; // [esp+34Bh] [ebp-39h]
char char_array_29_4[29]; // [esp+34Ch] [ebp-38h]
__int16 v142; // [esp+369h] [ebp-1Bh]
char v143; // [esp+36Bh] [ebp-19h]
char month_day; // [esp+36Ch] [ebp-18h]
int v145; // [esp+36Dh] [ebp-17h]
int v146; // [esp+380h] [ebp-4h]
pThis = this;
v41 = 0;
v146 = 0;
username = 0;
v40 = sub_421680("@hbxy", 0);
if ( v40 != -1 )
{
v33 = sub_421630((int)&v11, 0, v40);
std::basic_string<char,std::char_traits<char>,std::allocator<char>>::operator=(v33);
std::basic_string<char,std::char_traits<char>,std::allocator<char>>::~basic_string<char,std::char_traits<char>,std::allocator<char>>(&v11);
}
username = (const char *)get_username(&a3);
userName = username;
v25 = username + 1;
userName += strlen(userName);
v24 = ++userName - (username + 1);
lenUsername = userName - (username + 1);
month_day = 0;
v145 = 0;
strftime(&month_day, 5u, "%m%d", (const struct tm *)(pThis + 8));
monthDay = &month_day;
v23 = &v145;
monthDay += strlen(monthDay);
v21 = ++monthDay - (char *)&v145;
lenMonthDay = monthDay - (char *)&v145;
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(pThis, ">>> GetHBKey: %s >>>", &month_day);
v18 = 1;
SizeInBytes = lenMonthDay + lenUsername + 2;
mem_17 = (char *)malloc(SizeInBytes);
DstBuf = mem_17;
memset(mem_17, 0, SizeInBytes);
sprintf_s(DstBuf, SizeInBytes, "%c%s%s", pThis[4], username, &month_day);// "b177628979080516"
bUsernameMonthDay = DstBuf;
v16 = DstBuf + 1;
bUsernameMonthDay += strlen(bUsernameMonthDay);
len_bUsernameMonthDay = ++bUsernameMonthDay - (DstBuf + 1);
md5_bUsernameMonthDay = md5_StrWithLength(DstBuf, bUsernameMonthDay - (DstBuf + 1));// 5e64fdaa6449e2abb9693f2757c11652
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(
pThis,
"[HBKEY] mdata1: %s [%s]",
DstBuf,
md5_bUsernameMonthDay);
memset(DstBuf, 0, SizeInBytes);
sprintf_s(DstBuf, SizeInBytes, "%s%c%s", username, pThis[4], &month_day);// "17762897908b0516"
username_b_MonthDay = DstBuf;
v14 = DstBuf + 1;
username_b_MonthDay += strlen(username_b_MonthDay);
len_username_b_MonthDay = ++username_b_MonthDay - (DstBuf + 1);
md5_username_b_MonthDay = (_DWORD *)md5_StrWithLength(DstBuf, username_b_MonthDay - (DstBuf + 1));// 16dffe496172e2fb1bdb9b2002bfb5a5
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(
pThis,
"[HBKEY] mdata2: %s [%s]",
DstBuf,
md5_username_b_MonthDay);
memset(DstBuf, 0, SizeInBytes);
sprintf_s(DstBuf, SizeInBytes, "%s%s%c", username, &month_day, pThis[4]);// "177628979080516b"
username_MonthDay_b = DstBuf;
v12 = DstBuf + 1;
username_MonthDay_b += strlen(username_MonthDay_b);
len_username_MonthDay_b = ++username_MonthDay_b - (DstBuf + 1);
md5_username_MonthDay_b = (_DWORD *)md5_StrWithLength(DstBuf, username_MonthDay_b - (DstBuf + 1));// 6614da7943beed0e7baafc0be7fb624c
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(
pThis,
"[HBKEY] mdata3: %s [%s]",
DstBuf,
md5_username_MonthDay_b);
memset(DstBuf, 0, SizeInBytes);
sprintf_s(DstBuf, SizeInBytes, "%s%s%c", &month_day, username, pThis[4]);// "051617762897908b"
monthDay_Username_b = DstBuf;
v37 = DstBuf + 1;
monthDay_Username_b += strlen(monthDay_Username_b);
len_monthDay_Username_b = ++monthDay_Username_b - (DstBuf + 1);
md5_monthDay_Username_b = (_DWORD *)md5_StrWithLength(DstBuf, monthDay_Username_b - (DstBuf + 1));// 2b28feebb48c0cb98b9f3da404fff646
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(
pThis,
"[HBKEY] mdata4: %s [%s]",
DstBuf,
md5_monthDay_Username_b);
md5_1 = 0;
md5_2 = 0;
md5_3 = 0;
md5_4 = 0;
if ( *(char *)(md5_bUsernameMonthDay + 1) % 2 )
{
md5_1 = md5_bUsernameMonthDay;
md5_2 = md5_username_MonthDay_b;
md5_3 = md5_username_b_MonthDay;
md5_4 = md5_monthDay_Username_b;
}
else
{
md5_1 = md5_bUsernameMonthDay;
md5_2 = md5_monthDay_Username_b;
md5_3 = md5_username_b_MonthDay;
md5_4 = md5_username_MonthDay_b;
}
hbKeyGa = 0;
memset(&mem_64_a, 0, 0x40u);
md5_1_pLus3remainder4 = *(char *)(md5_1 + 3) % 4;
// 以下一连串的赋值是使 char_array_29_1 = md5_1, char_array_29_2 = md5_2
char_array_29_1[0] = 0;
*(_DWORD *)&char_array_29_1[1] = 0;
*(_DWORD *)&char_array_29_1[5] = 0;
*(_DWORD *)&char_array_29_1[9] = 0;
*(_DWORD *)&char_array_29_1[13] = 0;
*(_DWORD *)&char_array_29_1[17] = 0;
*(_DWORD *)&char_array_29_1[21] = 0;
*(_DWORD *)&char_array_29_1[25] = 0;
v136 = 0;
v137 = 0;
char_array_29_2[0] = 0;
*(_DWORD *)&char_array_29_2[1] = 0;
*(_DWORD *)&char_array_29_2[5] = 0;
*(_DWORD *)&char_array_29_2[9] = 0;
*(_DWORD *)&char_array_29_2[13] = 0;
*(_DWORD *)&char_array_29_2[17] = 0;
*(_DWORD *)&char_array_29_2[21] = 0;
*(_DWORD *)&char_array_29_2[25] = 0;
v133 = 0;
v134 = 0;
*(_DWORD *)char_array_29_1 = *(_DWORD *)md5_1;
*(_DWORD *)&char_array_29_1[4] = *(_DWORD *)(md5_1 + 4);
*(_DWORD *)&char_array_29_1[8] = *(_DWORD *)(md5_1 + 8);
*(_DWORD *)&char_array_29_1[12] = *(_DWORD *)(md5_1 + 12);
*(_DWORD *)&char_array_29_1[16] = *(_DWORD *)(md5_1 + 16);
*(_DWORD *)&char_array_29_1[20] = *(_DWORD *)(md5_1 + 20);
*(_DWORD *)&char_array_29_1[24] = *(_DWORD *)(md5_1 + 24);
*(_DWORD *)&char_array_29_1[28] = *(_DWORD *)(md5_1 + 28);
*(_DWORD *)char_array_29_2 = *md5_2;
*(_DWORD *)&char_array_29_2[4] = md5_2[1];
*(_DWORD *)&char_array_29_2[8] = md5_2[2];
*(_DWORD *)&char_array_29_2[12] = md5_2[3];
*(_DWORD *)&char_array_29_2[16] = md5_2[4];
*(_DWORD *)&char_array_29_2[20] = md5_2[5];
*(_DWORD *)&char_array_29_2[24] = md5_2[6];
*(_DWORD *)&char_array_29_2[28] = md5_2[7];
v81 = md5_1_pLus3remainder4; // 0
v82 = abs(md5_1_pLus3remainder4 - 5) % 4; // 1
v8 = (md5_1_pLus3remainder4 + 2) % 4; // 2
v83 = (md5_1_pLus3remainder4 + 2) % 4; // 2
v84 = abs(md5_1_pLus3remainder4 - 3); // 3
v96[0] = 0;
*(_DWORD *)&v96[1] = 0;
*(_DWORD *)&v97[1] = 0;
v98 = 0;
v99 = 0;
v100 = 0;
v101 = 0;
v102 = 0;
v103 = 0;
v104 = 0;
v105[0] = 0;
*(_DWORD *)&v105[1] = 0;
*(_DWORD *)&v106[1] = 0;
v107 = 0;
v108 = 0;
v109 = 0;
v110 = 0;
v111 = 0;
v112 = 0;
v113 = 0;
*(_DWORD *)v96 = *(_DWORD *)&char_array_29_1[8 * md5_1_pLus3remainder4];
*(_DWORD *)v97 = *(_DWORD *)&char_array_29_1[8 * md5_1_pLus3remainder4 + 4];
*(_DWORD *)&v97[4] = *(_DWORD *)&char_array_29_2[8 * v82];
*(int *)((char *)&v98 + 3) = *(_DWORD *)&char_array_29_2[8 * v82 + 4];
*(int *)((char *)&v99 + 3) = *(_DWORD *)&char_array_29_1[8 * v8];
*(int *)((char *)&v100 + 3) = *(_DWORD *)&char_array_29_1[8 * v8 + 4];
*(int *)((char *)&v101 + 3) = *(_DWORD *)&char_array_29_2[8 * v84];
*(int *)((char *)&v102 + 3) = *(_DWORD *)&char_array_29_2[8 * v84 + 4];
*(_DWORD *)v105 = *(_DWORD *)&char_array_29_2[8 * md5_1_pLus3remainder4];
*(_DWORD *)v106 = *(_DWORD *)&char_array_29_2[8 * md5_1_pLus3remainder4 + 4];
*(_DWORD *)&v106[4] = *(_DWORD *)&char_array_29_1[8 * v82];
*(int *)((char *)&v107 + 3) = *(_DWORD *)&char_array_29_1[8 * v82 + 4];
*(int *)((char *)&v108 + 3) = *(_DWORD *)&char_array_29_2[8 * v8];
*(int *)((char *)&v109 + 3) = *(_DWORD *)&char_array_29_2[8 * v8 + 4];
*(int *)((char *)&v110 + 3) = *(_DWORD *)&char_array_29_1[8 * v84];
*(int *)((char *)&v111 + 3) = *(_DWORD *)&char_array_29_1[8 * v84 + 4];
mix_md5_1 = (void *)md5_StrWithLength(v96, 32);// 第一个参数 5e64fdaa43beed0eb9693f27e7fb624c6614da796449e2ab7baafc0b57c11652
// 返回值 5008ef506febfc228802dd43b99c1869
// 为 5e64fdaa43beed0eb9693f27e7fb624c 的 md5
mix_md5_2 = (void *)md5_StrWithLength(v105, 32);// 第一个参数 6614da796449e2ab7baafc0b57c11652
// 返回值 46e4a9da513469a20da82e3136f46951
sprintf_s(&hbKeyGa, 0x41u, "%s%s", mix_md5_1, mix_md5_2);// hbKeyGa = "5008ef506febfc228802dd43b99c186946e4a9da513469a20da82e3136f46951"
lp_mix_md5_1 = mix_md5_1;
j_j___free_base(mix_md5_1);
if ( lp_mix_md5_1 )
{
mix_md5_1 = (void *)33059;
v35 = 33059;
}
else
{
v35 = 0;
}
v44 = mix_md5_2;
j_j___free_base(mix_md5_2);
if ( v44 )
{
mix_md5_2 = (void *)33059;
v34 = 33059;
}
else
{
v34 = 0;
}
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(pThis, "[HBKEY] ga: %s", &hbKeyGa);
hbKeyGb = 0;
memset(&mem_64_b, 0, 0x40u);
md5_4_plus5remainer4 = *((char *)md5_4 + 5) % 4;
// 以下一连串的赋值是使 char_array_29_3 = md5_3, char_array_29_4 = md5_4
char_array_29_3[0] = 0;
*(_DWORD *)&char_array_29_3[1] = 0;
*(_DWORD *)&char_array_29_3[5] = 0;
*(_DWORD *)&char_array_29_3[9] = 0;
*(_DWORD *)&char_array_29_3[13] = 0;
*(_DWORD *)&char_array_29_3[17] = 0;
*(_DWORD *)&char_array_29_3[21] = 0;
*(_DWORD *)&char_array_29_3[25] = 0;
v139 = 0;
v140 = 0;
char_array_29_4[0] = 0;
*(_DWORD *)&char_array_29_4[1] = 0;
*(_DWORD *)&char_array_29_4[5] = 0;
*(_DWORD *)&char_array_29_4[9] = 0;
*(_DWORD *)&char_array_29_4[13] = 0;
*(_DWORD *)&char_array_29_4[17] = 0;
*(_DWORD *)&char_array_29_4[21] = 0;
*(_DWORD *)&char_array_29_4[25] = 0;
v142 = 0;
v143 = 0;
*(_DWORD *)char_array_29_3 = *md5_3;
*(_DWORD *)&char_array_29_3[4] = md5_3[1];
*(_DWORD *)&char_array_29_3[8] = md5_3[2];
*(_DWORD *)&char_array_29_3[12] = md5_3[3];
*(_DWORD *)&char_array_29_3[16] = md5_3[4];
*(_DWORD *)&char_array_29_3[20] = md5_3[5];
*(_DWORD *)&char_array_29_3[24] = md5_3[6];
*(_DWORD *)&char_array_29_3[28] = md5_3[7];
*(_DWORD *)char_array_29_4 = *md5_4;
*(_DWORD *)&char_array_29_4[4] = md5_4[1];
*(_DWORD *)&char_array_29_4[8] = md5_4[2];
*(_DWORD *)&char_array_29_4[12] = md5_4[3];
*(_DWORD *)&char_array_29_4[16] = md5_4[4];
*(_DWORD *)&char_array_29_4[20] = md5_4[5];
*(_DWORD *)&char_array_29_4[24] = md5_4[6];
*(_DWORD *)&char_array_29_4[28] = md5_4[7];
v85 = md5_4_plus5remainer4; // 1
v86 = abs(md5_4_plus5remainer4 - 5) % 4; // 0
v9 = (md5_4_plus5remainer4 + 2) % 4; // 3
v87 = (md5_4_plus5remainer4 + 2) % 4; // 3
v88 = abs(md5_4_plus5remainer4 - 3); // 2
v114[0] = 0;
*(_DWORD *)&v114[1] = 0;
*(_DWORD *)&v115[1] = 0;
v116 = 0;
v117 = 0;
v118 = 0;
v119 = 0;
v120 = 0;
v121 = 0;
v122 = 0;
v123[0] = 0;
*(_DWORD *)&v123[1] = 0;
*(_DWORD *)&v124[1] = 0;
v125 = 0;
v126 = 0;
v127 = 0;
v128 = 0;
v129 = 0;
v130 = 0;
v131 = 0;
*(_DWORD *)v114 = *(_DWORD *)&char_array_29_3[8 * md5_4_plus5remainer4];
*(_DWORD *)v115 = *(_DWORD *)&char_array_29_3[8 * md5_4_plus5remainer4 + 4];
*(_DWORD *)&v115[4] = *(_DWORD *)&char_array_29_4[8 * v86];
*(int *)((char *)&v116 + 3) = *(_DWORD *)&char_array_29_4[8 * v86 + 4];
*(int *)((char *)&v117 + 3) = *(_DWORD *)&char_array_29_3[8 * v9];
*(int *)((char *)&v118 + 3) = *(_DWORD *)&char_array_29_3[8 * v9 + 4];
*(int *)((char *)&v119 + 3) = *(_DWORD *)&char_array_29_4[8 * v88];
*(int *)((char *)&v120 + 3) = *(_DWORD *)&char_array_29_4[8 * v88 + 4];
*(_DWORD *)v123 = *(_DWORD *)&char_array_29_4[8 * md5_4_plus5remainer4];
*(_DWORD *)v124 = *(_DWORD *)&char_array_29_4[8 * md5_4_plus5remainer4 + 4];
*(_DWORD *)&v124[4] = *(_DWORD *)&char_array_29_3[8 * v86];
*(int *)((char *)&v125 + 3) = *(_DWORD *)&char_array_29_3[8 * v86 + 4];
*(int *)((char *)&v126 + 3) = *(_DWORD *)&char_array_29_4[8 * v9];
*(int *)((char *)&v127 + 3) = *(_DWORD *)&char_array_29_4[8 * v9 + 4];
*(int *)((char *)&v128 + 3) = *(_DWORD *)&char_array_29_3[8 * v88];
*(int *)((char *)&v129 + 3) = *(_DWORD *)&char_array_29_3[8 * v88 + 4];
v58 = (void *)md5_StrWithLength(v114, 32); // 返回值 1ed63dc9a269d8705e297c03dcda7cf0
// 为 6172e2fb2b28feeb02bfb5a58b9f3da4 的 md5
v57 = (void *)md5_StrWithLength(v123, 32); // 返回值 25928da86463ce9beba8110d2d514464
// 为 b48c0cb916dffe4904fff6461bdb9b20 的 md5
sprintf_s(&hbKeyGb, 0x41u, "%s%s", v58, v57); // hbKeyGb = "1ed63dc9a269d8705e297c03dcda7cf025928da86463ce9beba8110d2d514464"
v43 = v58;
j_j___free_base(v58);
if ( v43 )
{
v58 = (void *)33059;
v22 = 33059;
}
else
{
v22 = 0;
}
v42 = v57;
j_j___free_base(v57);
if ( v42 )
{
v57 = (void *)33059;
v32 = 33059;
}
else
{
v32 = 0;
}
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(pThis, "[HBKEY] gb: %s", &hbKeyGb);
if ( v95 % 2 ) // 从反汇编中可看到 v95 为 hbkey_gb[7]
{
temp1 = 0;
p_HbKeyGa = &hbKeyGa;
pMem_64_a = &mem_64_a;
p_HbKeyGa += strlen(p_HbKeyGa);
lenHbKeyGa = ++p_HbKeyGa - &mem_64_a;
len_HbKeyGa = p_HbKeyGa - &mem_64_a;
while ( temp1 < len_HbKeyGa ) // 把 HbKeyGa 里面的小写字母全替换为大写
{
if ( *(&hbKeyGa + temp1) >= 97 && *(&hbKeyGa + temp1) <= 122 )
*(&hbKeyGa + temp1) -= 32;
++temp1;
}
}
else
{
temp2 = 0;
p_HbKeyGb = &hbKeyGb;
pMem_64_b = &mem_64_b;
p_HbKeyGb += strlen(p_HbKeyGb);
lenHbKeyGb = ++p_HbKeyGb - &mem_64_b;
len_HbKeyGb = p_HbKeyGb - &mem_64_b;
while ( temp2 < len_HbKeyGb ) // 把 HbKeyGb 里面的小写字母全替换为大写
{
if ( *(&hbKeyGb + temp2) >= 97 && *(&hbKeyGb + temp2) <= 122 )
*(&hbKeyGb + temp2) -= 32;
++temp2;
}
}
pHbKeyGa = &hbKeyGa;
pHbKeyGb = &hbKeyGb;
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(pThis, "[HBKEY] sga: %s", &hbKeyGa);
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(pThis, "[HBKEY] sgb: %s", pHbKeyGb);
hbKey = 0;
memset(&v90, 0, 0x80u);
if ( pHbKeyGb[9] % 2 )
{
index1 = 0;
index2 = 0;
index3 = 63;
while ( index1 < 128 )
{
*(&hbKey + index1++) = pHbKeyGa[index2++];
*(&hbKey + index1++) = pHbKeyGb[index3--];
}
}
else
{
index4 = 0;
index5 = 63;
index6 = 0;
while ( index4 < 128 )
{
*(&hbKey + index4++) = pHbKeyGa[index5--];
*(&hbKey + index4++) = pHbKeyGb[index6++];
}
}
(*(void (**)(char *, const char *, ...))(*(_DWORD *)pThis + 4))(pThis, "[HBKEY] key: %s", &hbKey);// hbKey = &"115e9d6643Fd6c391a32E6298dA8D70025Ae9269473c1053AdDc9dAa47Ec6f4092658912C89d9aB83644D6D32c0e898b2e2bCaF8B1E1F06d025dF5E184040654"
sub_40EC40((void *)a2, &hbKey);
v41 |= 1u;
v146 = -1;
std::basic_string<char,std::char_traits<char>,std::allocator<char>>::~basic_string<char,std::char_traits<char>,std::allocator<char>>(&a3);
return a2;}上面的就是 AidcRes.generateKey 的整个流程，这个坑多并且复杂，简要说一下，具体看代码（b_Username_MonthDay 代指 'b177111122220517'，不再赘述）
1. 算出 b_Username_MonthDay，username_b_MonthDay，username_MonthDay_b，monthDay_Username_b 四个东西的 md5
2. 根据 d5_b_Username_MonthDay[1] 的 ascii的奇偶性，重排四个 md5 的顺序并复制给四个变量，分别为 md5_1，md5_2，md5_3，md5_4，
3. 此时会用到第二步的四个变量，根据他们的特定位来计算得出 hbkey_ga 与 hbkey_gb 的值
- 根据 md5_1_pLus3remainder4 = *(char *)(md5_1 + 3) % 4; 这步的值取 md5_1 和 md5_2 排列算出 hbkey_ga
- 根据 md5_4_plus5remainer4 = *((char *)md5_4 + 5) % 4; 这步的值取 md5_3 和 md5_4 排列算出 hbkey_gb
4. 根据 hbkey_gb[7] 的 ascii，如果奇数就把 hbkey_ga 中的字母都大写，偶数就把 hbkey_gb 中的字母都大写
5. 根据 hbkey_gb[9] 的 ascii 的奇偶性对 hbkey_ga 与 hbkey_gb 的值用简单算法进行重排，得到真实的 hbkey
这就是上面所有代码的大致流程，代码中我也有大量注释，大家可以看看。
0x03 总结
这个难点在分析算法上面，分析算法主要还是要靠动态调试，过程中遇到了很多很难的地方，参数和函数的重命名主要还是靠动态调试，
然后去猜测它的作用进行重命名。
这些文件我都保存了分析记录，大家可以跟着看看，总结如下
AidcComm.idb 看导出表可以看出是干嘛的，直接点进GetPWD即可看到我的分析
AidcRes.idb 里面也有我的分析，具体查看我改过的函数名 generateKey，然后 x 一下看调用地方
x32dbg_AidcRes.dd32 为我在用 x32dbg 分析AidcRes.exe的时候的记录，有一些我改过的函数名以及简要分析
简单的分析流程为 bp LoadLibrary，断到 AidcComm.dll，然后具体看eax和栈的变化，找到加密函数，再一层一层分析。
建议 ida 与 x32dbg 结合分析，最好起个 pppoe 服务器拦截账号密码协助分析，见我上一篇文章 PPPoE中间人拦截以及校园网突破漫谈中的代码。
调用流程为
AidcRes.generateKey(分析大头) --> AidcComm.GetRegularAccount --> AidcComm.GetPWD --> AidcComm.encryptPwdWithKey(分析大头，注意里面有个地方 f5 显示不出来，就是把一个key中的字母全大写的那部分，请结合汇编分析)
AidcRes.generateKey大致流程，这个坑多并且复杂，简要说一下，具体看代码
（b_Username_MonthDay 代指 'b177111122220517'，不再赘述）
1. 算出 b_Username_MonthDay，username_b_MonthDay，username_MonthDay_b，monthDay_Username_b 四个东西的 md5
2. 根据 d5_b_Username_MonthDay[1] 的 ascii的奇偶性，重排四个 md5 的顺序并复制给四个变量
3. 此时会用到第二步的四个变量，根据他们的特定位来计算得出 hbkey_ga 与 hbkey_gb 的值
4. 根据 hbkey_gb[7] 的 ascii，如果奇数就把 hbkey_ga 中的字母都大写，偶数就把 hbkey_gb 中的字母都大写
5. 根据 hbkey_gb[9] 的 ascii 的奇偶性对 hbkey_ga 与 hbkey_gb 的值用简单算法进行重排，得到真实的 hbkey
AidcComm.encryptPwdWithKey大致流程
1. password 用 key RC4 一下得到 A
2. 把 A md5 一下得到 B，如果第 11 位为奇数，取 B 的前 16 位，偶数就后 16 位，得到 C
3. C 再用 key RC4 一下得到 D
4. D 再 md5 一下，取 [8:24]得到 E
5. E[今天几号日期 % 16] 替换为 'b' 得到最后的密码
为了防止被人商业利用，就不公布逆向写出来的加密脚本了。喜欢折腾校园网的可以根据本文自行摸索。
0x04 分析文件打包
原作者:Akkuman
蜀ICP备2021014542号-2
川公网安备 51118102000215号