CTF REVERSE练习之API定位

今天要做的实验是CTF REVERSE练习之API定位。

Windows这个多作业系统除了协调应用程序的执行、分配内存、管理资源之外， 它同时也是一个很大的服务中心，调用这个服务中心的各种服务（每一种服务就是一个函数），可以帮应用程式达到开启视窗、描绘图形、使用周边设备等目的，由于这些函数服务的对象是应用程序(Application)，所以便称之为 Application Programming Interface，简称 API 函数。

另外需要注意的是两种编码，ANSI与Unicode，ANSI的ASCII字符集及其派生字符集（也称多字节字符集）比较旧，而Unicode字符集比较新，固定以双字节表示一个字。Windows操作系统在声明一个API时，如果这个API存在字符串参数，便会指定字符集。每个含有字符串参数的API同时有两个版本：即ANSI，Unicode。尾部带A的API是ANSI版本，带W的API是Unicode版本。

例如：我们在编程时使用的MessageBox实际上是一个宏，根据字符集的不同被定义为不同版本的MessageBox，如果是UNICODE字符集，则实际上为MessasgeBoxW，如果是ANSI字符集，则实际上为MessageBoxA：

#ifdef UNICODE

#define MessageBox MessageBoxW

#else

#define MessageBox MessageBoxA

#endif // !UNICODE

交叉引用。

通过交叉引用（XREF）可以知道指令代码相互调用的关系，如下图所示：

这句“CODE XREF: WinMain(x,x,x,x)+10↑p”，表示调用sub_41BD0D这个函数的地方为WinMain函数，p表示是以函数调用（procedure）的方式跳转到当前的位置的，其他的一些符号：o表示偏移值（offset），j表示跳转（jump）。

在sub_41BD0D上面按X键，可以打开交叉引用窗口，这里会列出所有调用了sub_41BD0D这个函数的地方，如图所示：

从图中可以看到，只有在WinMain函数中调用了sub_41BD0D这个函数。

现在我们开始进行实验，进入实验链接《CTF REVERSE练习之API定位》。

先看题目描述，主机C:\Reverse\2目录下有一个CrackMe2.exe程序，运行这个程序的时候会提示输入一个密码，当输入正确的密码时，会弹出过关提示消息框，请对CrackMe2.exe程序进行逆向分析和调试，找到正确的过关密码。

不管在什么场景下，相信大家在刚接触一个新事物的时候，都会仔细观察事物的外部特征，CTF做题也是一样的，在拿到题目之后可以运行程序，观察程序都有哪些地方可以输入数据，哪些按钮点击了会有什么样的反应，在操作过程中出现了哪些提示等。

通过对CrackMe2.exe程序的观察，我们知道程序需要输入一个密码，当不输入任何数据就点击按钮时，提示如下信息：

当输入一串测试数据时，提示如下信息：

通过这些操作后，我们可以猜测程序的意图是输入一个正确的密码。

在对一个程序进行逆向分析之前，除了程序的动态行为之外，查看程序是否加壳（被何种程序加壳？是什么编译器编译的？）也是一个非常关键的步骤。我们选中程序后单击右键，在右键菜单中选择“Scan with PEiD”选项，就可以查看加壳信息了。我们这里看到的是Microsoft Visual C++ 6.0，说明CrackMe2.exe没有加壳，且它是使用VC6编译的。

我们来试一试使用OD载入CrackMe2.exe程序，如果继续使用实验《CTF REVERSE练习之逆向初探》中提到的方法查找字符串，是找不到的，会有如下提示：

继续看我们在反汇编指令列表中单击右键，在右键菜单中依次选择“查找”——“当前模块中的名称（标签）”，如图所示：

点击弹出的名称窗口，在键盘上敲下MESSAGEBOXA，就会自动定位到MessageBoxA，点击鼠标选中MessageBoxA这一行，单击右键，在弹出的右键菜单中选择“在每个参考上设置断点”，如图所示：

在OD最下方的状态栏上可以看到“已设置 2 个断点”的提示。

现在按F9运行程序，随便给程序输入一个密码（如test），单击确定按钮后程序将在OD中断下，断下的位置为对MessageBoxA的调用的位置，如图所示：

这就是我们要找的关键函数，现在我们查看附近的代码，就找到了密码明文，如图所示：

用OD解题之后，我们继续用IDA来解题一下。

使用IDA载入CrackMe2.exe程序进行分析，等待分析完毕后，选择主窗口面板上的Imports TAB页面，然后在键盘上敲下MESSAGEBOXA，就可以自动定位到MessageBoxA函数，如图所示：

前面提到了交叉引用这里我们可以用到双击00422420这个条目，来到MessageBoxA定义的位置，选中后按下X键，弹出交叉引用列表窗口，我们看到一共有四个条目，如图所示：

我们并不能直接看出哪一个引用就是我们所要找的引用，所以需要一个一个进行查看，根据前面使用OD对程序的分析，我们知道在MessageBoxA之前有许多对LoadString的调用，因此通过对比几个交叉引用，可以断定sub_401450就是我们要找的函数。

使用F5还原sub_401450函数的伪代码，我们断定LoadString加载资源ID为0x6A的字符串就是我们要找的密码，伪代码如下：

接下来我们使用Restorator打开CrackMe2.exe程序来查看字符串资源，如图所示，0x6A的十进制即106，因此可以知道密码就是HeeTianLab了。

那今天的实验就介绍到这里。我们需要好好掌握API还有后面的实验内容。