标题: Charles 4.5.1逆向工程(2) 创建: 2019-10-24 17:14 更新: 2019-10-25 17:50 链接: https://scz.617.cn/misc/201910241714.txt https://www.52pojie.cn/thread-1042815-1-1.html 续前文: 《Charles 4.5.1逆向工程》 https://scz.617.cn/misc/201910170937.txt https://www.52pojie.cn/thread-1039171-1-1.html 上次通过定位Register按钮处理代码定位与License强相关的YQUd.class，后来看到 另一种定位方案，参看: 《如何逆向破解抓包工具Charles》 https://blog.csdn.net/Kaitiren/article/details/83182108 他的思路是在JD-GUI中搜"This is a 30 day trial version"，定位: com.xk72.charles.gui.SplashWindow.class -------------------------------------------------------------------------- import com.xk72.charles.YQUd; public class SplashWindow extends JWindow { public void showSharewareStatus () { this.showStatus( "This is a 30 day trial version. If you continue using Charles you must\npurchase a license. Please see the Help menu for details." ); } public void showRegistrationStatus () { /* * 为true时表示已注册 */ if ( YQUd.tEdg() ) { /* * 形如"Anyting - Site License" */ this.showStatus( "Registered to: " + YQUd.NCuT() ); } else { this.showSharewareStatus(); } } -------------------------------------------------------------------------- 他这个思路比我的好，更简捷，不需要动态调试，不需要定位PeRA.class，直接就找 到YQUd.class。不过你可能会碰上一个问题，某些版本JD-GUI不能正确反编译 SplashWindow.class，搜索字符串失败。 暴破比较省事，高阶选手在可能的情况下提供keygen。我20岁的时候对netguy师兄佩 服得五体投地，他就是那种高阶选手。 TEAM MESMERiZE提供了通杀3.x、4.x的keygen，未做混淆，可以清楚地看到如何从注 册名变换到序列号，参看: https://www.upload.ee/files/9009221/Charles.Keygen-MESMERiZE.rar.html keygen.jar MD5 47d911ba0cecfd31c3312cbb3a344981 SHA256 973d364b71140dcf0aa2b181f1920f688a63cfe1bcdf776c0a4d463095fb1541 下面是keygen的主要逻辑，从注册名到序列号: kg_charles_web_proxy_analyzer_v4_2.KG_Charles_Web_Proxy_Analyzer_v4_2.class -------------------------------------------------------------------------- public String calculateSerial ( String name ) { /* * 这个神密常量并没有直接出现在Charles代码中 */ int serialCheckSum = 1418211210; /* * 这个函数内置了RC5加密操作 * * RC5_SETUP( 1763497072, 2049034577 ) */ int nameCheckSum = calcNameChecksum( name ); serialCheckSum ^= nameCheckSum; long serial = serialCheckSum; serial <<= 32; serial >>>= 32; serial <<= 32; /* * 这个常量包含License类型，用网友的话说，是控制授权级别的。后面讲了如 * 何获取这两个常量。 */ serial |= 0x1CAD6BC; int serialLow = ( int )( serial & 0xFFFFFFFFFFFFFFFF ); int serialHigh = ( int )( serial >>> 32 & 0xFFFFFFFFFFFFFFFF ); int[] serialEnc = new int[2]; serialEnc[0] = serialLow; serialEnc[1] = serialHigh; int[] serialDec = new int[2]; RC5 serialDecrypter = new RC5(); serialDecrypter.RC5_SETUP( -334581843, -1259282228 ); /* * 注意，这里是解密操作，不是加密操作 */ serialDecrypter.RC5_DECRYPT( serialEnc, serialDec ); long serialDecrypted = ( serialDec[1] & 0xFFFFFFFF ) << 32; serialDecrypted |= serialDec[0] & 0xFFFFFFFF; int xorCheckSum = calcXorChecksum( serial ); String strSerial = Integer.toHexString( xorCheckSum ) + Long.toHexString( serialDecrypted ); /* * 前2个字符是校验和 */ strSerial = String.format( "%02X", new Object[] { Integer.valueOf( xorCheckSum ) } ) + String.format( "%016X", new Object[] { Long.valueOf( serialDecrypted ) } ); this.tfSerial.setText( strSerial ); return strSerial; } -------------------------------------------------------------------------- 下面是Charles中校验序列号的相关代码: Y:\自己的技术文档\misc\破解Charles\4.5.1\YQUd_scz.java com.xk72.charles.YQUd.class -------------------------------------------------------------------------- public final class YQUd { /* * 返回错误提示，用于throw new LicenseException() */ private String tEdg ( int var1 ) { /* * RC5_SETUP( 1763497072, 2049034577 ); */ this.Rarr( 8800536498351690864L ); try { String var5; /* * dbSi[]中存放经RC5处理过的错误提示，反静态分析 */ byte[] var2 = new byte[(var5 = dbSi[var1]).length() / 2]; /* * 将hexstr转成byte[] */ for ( int var3 = 0; var3 < var2.length; ++var3 ) { var2[var3] = ( byte )Integer.parseInt( var5.substring( var3 << 1, ( var3 << 1 ) + 2 ), 16 ); } byte[] var6; /* * RC5_EncryptArray() * * 注意，这里是加密操作，不是解密操作 */ for( var1 = ( var6 = this.NCuT( var2 ) ).length; var6[var1-1] == 0; --var1 ) { ; } return new String( var6, 0, var1, "UTF-8" ); } catch ( UnsupportedEncodingException var4 ) { return ""; } } /* * 检查序列号的第二步。之所以搞得这么复杂，完全是为了对抗静态分析。 */ private boolean tEdg ( long var1 ) { /* * calcXorChecksum */ int var3 = TryJ( var1 ); /* * RC5_SETUP()，密钥与明文是同一组 */ this.Rarr( var1 ); long var4 = var1; for ( int var6 = 0; var6 < var3 + 35; ++var6 ) { /* * long RC5_ENCRYPT ( long ) */ var4 = this.NCuT( var4 ); } /* * 0x520AAC2983719004 * 0x520AAC29 0x83719004 * 1376431145 2205257732 */ return var4 == 5911726755176091652L; } /* * 检查序列号的第一步 */ private long TryJ ( String name_var1, String serial_var2, int type_var3 ) { /* * 序列号18个字符 */ if ( serial_var2.length() != 18 ) { /* * The license key is not the correct length. Please check your license key and try again. */ throw new LicenseException( this.tEdg( 0 ) ); } /* * 检查序列号黑名单，这些应该是曾经在Internet上贴出来过的 */ else if ( !serial_var2.equalsIgnoreCase( "7055ce2f8cb4f9405f" ) ... ) { /* * 将序列号切割成3部分，2+8+8 */ long serialDec_var4 = Long.parseLong(serial_var2.substring(2, 10), 16) << 32 | Long.parseLong(serial_var2.substring(10, 18), 16); int xorCheckSum_var12 = Integer.parseInt(serial_var2.substring(0, 2), 16); /* * 0xB4F0E0CCEC0EAFAD * -1259282228 -334581843 * * RC5_SETUP( -334581843, -1259282228 ); */ this.Rarr( -5408575981733630035L ); long serialEnc_var7; /* * calcXorChecksum( serial ); * RC5_ENCRYPT( serialDec, serialEnc ); * * 注意，这里是加密操作，不是解密操作 * * 检查序列号校验和 */ if ( TryJ( serialEnc_var7 = this.NCuT( serialDec_var4 ) ) != xorCheckSum_var12 ) { /* * 抛出异常，显示错误提示 */ throw new LicenseException( this.tEdg( 1 ) ); } else { /* * 处理后的序列号的低32位包含License类型，常量0x1CAD6BC会 * 出现在这个位置。之前这个地方看错了，少看了一组逻辑右移 * (>>>)，错写成0x1CAD6BC未被检查。 */ this.RjRQ = ( int )( serialEnc_var7 << 32 >>> 32 >>> 24 ); if ( this.RjRQ == 1 ) { this.aqrV = LicenseType.tEdg; } else { if ( this.RjRQ != type_var3 ) { if ( this.RjRQ < type_var3 ) { /* * 抛出异常，显示错误提示 */ throw new LicenseException( this.tEdg( 3 ) ); } /* * 抛出异常，显示错误提示 */ throw new LicenseException( this.tEdg( 1 ) ); } /* * 处理后的序列号的低32位包含License类型。 */ switch( ( int )( serialEnc_var7 << 32 >>> 32 >>> 16 & 255L ) ) { case 1: this.aqrV = LicenseType.tEdg; break; case 2: this.aqrV = LicenseType.TryJ; break; case 3: this.aqrV = LicenseType.NCuT; break; default: /* * 抛出异常，显示错误提示 */ throw new LicenseException( this.tEdg( 1 ) ); } } /* * RC5_SETUP( 1763497072, 2049034577 ); */ this.Rarr( 8800536498351690864L ); try { byte[] var10 = name_var1.getBytes( "UTF-8" ); if ( ( type_var3 = ( var12 = var10.length ) + 4 ) % 8 != 0 ) { type_var3 += 8 - type_var3 % 8; } byte[] var14 = new byte[type_var3]; System.arraycopy( var10, 0, var14, 4, var12 ); var14[0] = (byte)(var12 >> 24); var14[1] = (byte)(var12 >> 16); var14[2] = (byte)(var12 >> 8); var14[3] = (byte)var12; /* * RC5_EncryptArray(); */ byte[] var6 = this.NCuT( var14 ); int var11 = 0; byte[] var13 = var6; type_var3 = var6.length; /* * calcNameChecksum( name ) */ for( int var15 = 0; var15 < type_var3; ++var15 ) { byte var5 = var13[var15]; /* * nameCheckSum */ var11 = ( var11 ^= var5 ) << 3 | var11 >>> 29; } /* * XOR后应该得到"1418211210(0x54882F8A)" */ var11 ^= ( int )( serialEnc_var7 >> 32 ); /* * 0xA58D19C600000000 * 0xA58D19C654882F8A * * 接下来会转到"检查序列号的第二步" */ return -6517524747541020672L | ( long )var11 << 32 >>> 32; } catch ( UnsupportedEncodingException var9 ) { return -1L; } } } else { throw new LicenseException( this.tEdg( 1 ) ); } } /* * int calcXorChecksum ( long l ) */ private static final int TryJ ( long var0 ) /* * RC5_EncryptArray()，进行RC5加密 */ private byte[] NCuT ( byte[] var1 ) /* * RC5_ENCRYPT()，进行RC5加密 * * 通过这个函数可以看出r=12 */ private long NCuT ( long var1 ) /* * RC5_SETUP()，初始化对称密钥(8字节) * * Charles用的是RC5-32/12/8 */ private void Rarr ( long var1 ) static { /* * 经RC5处理过的错误提示 */ dbSi = new String[]{ "b241993e8a1...", ... }; /* * RC5-32/r/b的特征常量P(0xB7E15163)，出现在RC5_SETUP()中 * * https://en.wikipedia.org/wiki/RC5 */ xgCJ = -1209970333; } -------------------------------------------------------------------------- TEAM MESMERiZE这伙人很厉害。calculateSerial()中出现的"1418211210"并未直接 出现在Charles代码中，单靠静态分析不可能得到这个神密常量。有两种可能，一种 是他们进行了动态调试，确实可以看到"1418211210"；另一种是早期版本中出现过 "1418211210"。另一个常量0x1CAD6BC，我之前看错了YQUd.class，在某处少看了一 组逻辑右移(>>>)，犯了低级错误，在注释中错写成校验序列号时0x1CAD6BC未被检查， 后来微博上有网友指正了该处错误。 为了得到"1418211210"，简单地动态调试就可以，因为它与另一固定常量凑一起后出 现在"检查序列号的第二步"，检查相应tEdg()的形参，其低32位就是。为了得到 0x1CAD6BC，可以拦截对应calcXorChecksum()的那个TryJ()，形参的低32位就是。这 个调试过程的前提是你有一对现成的"name:serial"。 keygen中的RC5.class值得保存，没有混淆，实际就是Java源码。 Charles用的是RC5-32/12/8，有个现成的Java实现可供参考: https://hewgill.com/rc5/rc5java.zip 最常见的RC5配置是: w=32 r=12 b=16 P(32)=0xb7e15163 (-0x481eae9d/-1209970333) Q(32)=0x9e3779b9 (-0x61c88647) 在RC5的具体实现中，有两种实现方式，一种是使用P、Q动态生成一张表，另一种是 在代码中直接嵌入这张表。对于RC5-32/r/b来说，搜索P(0xB7E15163)，不要搜 Q(0x9E3779B9)。一是Q有可能以负值形式出现，二是从实现上讲有两种实现方式， stab[t]可能是预生成的，此时有P无Q，搜P可以保证命中。 这是我第二次碰上RC5，第一次碰上还是某次帮组织反APT时，一个极其强大的对手被 我方一个极其聪明的小伙子抓住了一丝尾巴，甚至都谈不上对手犯错，总归是极具传 奇色彩地还原了经RC5加密过的数据，待我临死前再来吹这个牛，如果那时我没得阿 尔茨海默症的话。 有了这个keygen，估计很长一段时间都不再需要暴破。早知道有这么个玩意儿，我剁 个毛线啊。在所谓的1024节，我们必须讨论一下程序，对吧。 2019-10-25 11:51 scz 这篇看的人很少，远不如《新版burp-loader-keygen-2.jar》。以前看一个搞Java逆 向的老外的blog，他当时说过类似的事；他有一篇讲技术原理的贴，浏览量很低，但 他觉得这种贴子自有其存在的意义，才是互联网上追寻技术的人们真正想看的内容； 深以为然。 分析别人的keygen是一种学习途径，可以在别人的基础上继续深入，比如我剁Burp时 就先分析surferxyz的keygen。有人会问，既然有现成的keygen，你这篇文章有什么 意义？我是这么想的，万一哪天注册算法有变，大概率不会变框架结构，很可能只变 几个常量，如果我了解旧版keygen的搞法，就很容易弄出新版keygen。另一方面，在 混淆过的代码中看出逻辑结构，本身也是一次逆向工程训练机会，你的功力就是在一 次次这种训练中增长的。 我在分享时，第一考虑自己的归档查找，第二考虑对他人的帮助程度，尽量避免装X 式分享。什么叫装X式分享？每个人心中有杆秤。我的原则是，尽可能剔除纯秀内容， 如果某项技术我不想分享，我就不提，当然，我也建议你别来问我，否则可能大家都 比较难堪。在分享内容中尽可能换位思考，顾及阅读者的收益，这倒不是我有多雷锋， 仅仅是从小养成的习惯，喜欢那种真诚的交流。通过这种真诚的分享，可以结交更多 的同道中人，可以共同进步，这不是套话，这是实际情况。这种分享，我已经坚持了 22年。 有人调侃我用TXT写blog。二十多年前我们上TERM版的BBS，一个75列回车换行的TXT 能最不失真地在BBS之间传播，在转载或者发回邮箱时不会丢失信息。一篇图文并茂 的技术文章固然有其优势，但与我个人而言，纯TXT足矣。