冰凌汇编

 找回密码
 立即注册

QQ登录

只需一步,快速开始

搜索
查看: 85|回复: 0
收起左侧

[MacOS逆向] Downie分析与暴破

[复制链接]
Pierce 发表于 2022-5-3 17:34:13
这将是寒假中最后一次发帖,从明天开始我就要学习了:D

Downie,全能的网络视频下载软件。在论坛中搜索Downie,一大把一大把的TNT破解出现在眼前。但是求人不如求己,因此本文主要介绍Downie暴破,技术含量不是很大,包含中变量的tweak,和动态库之间交互的分析。

软件分析
打开Downie,在一系列的初始化后,会弹出试用期限窗口,提醒试用倒计时(14天)。操作可知,在试用期限中,软件的所有功能都可以正常使用。点开菜单栏中的Downie 4,可以看到几个关于注册的按钮。
Downie分析与暴破 - Pierce_冰凌汇编

通过我们观察到的元素,可以分析出如下三种逆向方案:
分析算法写注册机:现在软件都是联网注册,分析算法没啥用;
修改剩余天数为定值:分析非常简单;
修改全局已注册变量:也很简单,需同时去除校对验证函数。
本文就介绍二三两种方法吧。

代码分析
拖进Hopper,对于这种应用程序的启动弹窗来说,懂Apple开发的都知道,可以从macOS应用程序的生命周期入手。搜索appDidFinishLaunching可以找到如下符号:
[Asm] 纯文本查看 复制代码
s6Downie13XUAppDelegateC29applicationDidFinishLaunchingyy10Foundation12NotificationVF

函数会在程序启动完成后被调用。在loc_100037546中可以找到一些有关license的代码:
[Asm] 纯文本查看 复制代码
call imp___stubs__$s9Licensing11CMLicensingCMa
mov  r13, rax
call imp___stubs__$s9Licensing11CMLicensingC6sharedACvgZ
mov  rbx, rax
mov  rax, qword [_$s9Licensing11CMLicensingC8delegateAA0B8Delegate_pSgvpWvd_100118910]
mov  qword [rbp+var_30], r14
mov  r12, qword [rax]
lea  r14, qword [rbx+r12]
lea  rsi, qword [rbp+var_E8]
mov  edx, 0x1
mov  rdi, r14
xor  ecx, ecx
call imp___stubs__swift_beginAccess
lea  rax, qword [_$s6Downie13XUAppDelegateC9Licensing011CMLicensingC0AAWP]

随便找一个call跟踪进去,可以看到外部代码,在注释中可看到如下路径:
[Asm] 纯文本查看 复制代码
; in @executable_path/../Frameworks/Licensing.framework/Versions/A/Licensing

我们发现,Downie对license的验证流程原来写到了Licensing附加库中。把它拖到Hopper中,转而分析Licensing!

破解一:修改剩余天数
观察代码风格,很明显Licensing是Swift写的。搜索days这样的字眼,在搜索结果中找getter,很明显可以找到一个Swift整型变量:s9Licensing11CMLicensingC21numberOfDaysRemainingSivg(符号),返回一个int值。在汇编中,把返回寄存器rax改为定值。
[Asm] 纯文本查看 复制代码
mov rax, 0xff
ret

Downie分析与暴破 - Pierce_冰凌汇编

嘿嘿,剩余天数从14天一下飙升到255天。在系统设置里怎么改日期,都不会变!朋友们,破解已经成功!
其实有一个遗憾,每次启动都会弹出这个窗口。我总想把它去掉,但找了许多有关的函数和windowDidLoad方法,很奇怪都破不了,好失望啊。。。

破解二(完美):修改全局注册变量
抱着试试看的心态,搜了islicensed关键词,没想到还真有
[Asm] 纯文本查看 复制代码
s9Licensing11CMLicensingC10isLicensedSbvg

赶快把rax改成0x1,启动调试,仍然未注册(节省空间,此处不贴图)。这说明软件获取注册状态调用的不是这个函数。
到底是哪个环节出了问题?瞟一眼伪代码:
[Objective-C] 纯文本查看 复制代码
int _$s9Licensing11CMLicensingC10isLicensedSbvg() {
    [sub_11600() release];
    [rdx release];
    r14 = [rcx activated];
    [rcx release];
    rax = r14 != 0x0 ? 0x1 : 0x0;
    return rax;
}

莫名其妙发现了一个名为activated的selector,无交叉引用,无来源。很有可能是外部符号。看看Downie还有什么库:还有Paddle没用呢!(我这破解思维也是没谁了,看到哪个库就搞哪个)

把Paddle拽到Hopper分析,搜索activated,得到结果:
[Objective-C] 纯文本查看 复制代码
/* home.php?mod=space&uid=341152 PADProduct */
-(char)activated {
    rax = [self licenseController];
    rax = (*(*rax + 0x58))(rax);
    return rax;
}

很标准的类方法,返回char类型,就是它了。打开汇编,rax改为1:
[Asm] 纯文本查看 复制代码
mov rax, 1
ret

Downie分析与暴破 - Pierce_冰凌汇编

很可恶,Downie直接崩溃!但这是个好消息,证明了我们的tweak是成功的,只是被某个检验流程检测到了。别慌,接着找找同类的关键词:

Downie分析与暴破 - Pierce_冰凌汇编

开发者小心思真多!两个verify函数,第一个指向第二个,我们看看0x95c5的代码:
[Objective-C] 纯文本查看 复制代码
/* @class PADProduct */
-(void)verifyActivationDetailsWithCompletion:(void *)arg2 {
    r13 = self;
    r14 = [arg2 retain];
    rax = [r13 licenseController];
    if (((*(*rax + 0x50))(rax) == 0x0) && ([r13 activated] == 0x0)) {
            r15 = [[PADErrorFactory errorWithCode:0xffffffffffffff94] retain];
            if (r14 != 0x0) {
                    var_88 = *__NSConcreteStackBlock;
                    *(&var_88 + 0x8) = 0xffffffffc2000000;
                    *(&var_88 + 0x10) = ___52-[PADProduct verifyActivationDetailsWithCompletion:]_block_invoke;
                    *(&var_88 + 0x18) = ___block_descriptor_48_ea8_32bs40s_e5_v8?0l;
                    *(&var_88 + 0x20) = [r14 retain];
                    *(&var_88 + 0x28) = [r15 retain];
                    dispatch_async(*__dispatch_main_q, &var_88);
                    [*(&var_88 + 0x28) release];
                    [*(&var_88 + 0x20) release];
            }
            else {
                    [r13 sendErrorToPaddleDelegateIfResponsive:r15];
            }
            rdi = r15;
    }
    else {
            rax = [NSDate date];
            rax = [rax retain];
            [r13 setLastVerifyDate:rax];
            [rax release];
            [r13 saveProductFile];
            r12 = [r13 determineActivationService];
            r15 = [r13 licenseController];
            var_58 = *__NSConcreteStackBlock;
            *(&var_58 + 0x8) = 0xffffffffc2000000;
            *(&var_58 + 0x10) = ___52-[PADProduct verifyActivationDetailsWithCompletion:]_block_invoke.209;
            *(&var_58 + 0x18) = ___block_descriptor_48_ea8_32s40bs_e28_v32?0q8q16"NSDictionary"24l;
            *(&var_58 + 0x20) = r13;
            *(&var_58 + 0x28) = [r14 retain];
            (*(*r15 + 0x68))(r15, r12, &var_58);
            rdi = var_30;
    }
    [rdi release];
    [r14 release];
    return;
}


观察到PADErrorFactory类,检测到问题会调用这个类的函数。怪不得程序会崩溃!转到汇编,赶紧ret掉。
[Asm] 纯文本查看 复制代码
ret


Downie分析与暴破 - Pierce_冰凌汇编

这波破解顺理成章,基本没怎么调试,完美暴破!

从破解的过程,可以梳理出Downie的业务逻辑结构如下:

Downie分析与暴破 - Pierce_冰凌汇编

禁用取消激活功能

破解完后我们发现一个小问题,即点击取消激活后Downie会先弹出对话框,确定后app崩溃。

Downie分析与暴破 - Pierce_冰凌汇编

与其分析算法不如直接去掉这个功能。我们大致可推测功能应该在Licensing中。搜索deactivate关键词可搜到好多函数,但我们选择下面这个:
[Objective-C] 纯文本查看 复制代码
void _$s9Licensing11CMLicensingC17deactivateLicenseyyF(int arg0, int arg1, int arg2, int arg3, int arg4) {
    rdx = arg2;
    [sub_11600() release];
    [rdx release];
    r14 = [arg3 activated];
    [arg3 release];
    if (r14 == 0x0) goto loc_10ba3;

loc_10830:
    var_30 = [objc_allocWithZone(@class(NSAlert)) init];
    if (*qword_28418 != 0xffffffffffffffff) {
            swift_once(qword_28418, sub_a6b0, rdx);
    }
    sub_1ca70();

// ............

为啥选的是这个?因为这个函数里有NSAlert的初始化。如果想去掉,ret即可。

总结
可以看到Downie的静态库还真不少。这次破解主要是以静态分析为主,但要调试的话,也没问题。我破解速度并不是很快,总是不断试错。本人逆向能力也需要提升啊。

本帖最后由 Pierce 于 2022-5-3 17:52 编辑
冰凌汇编免责声明
以上内容均来自网友转发或原创,如存在侵权请发送到站方邮件9003554@qq.com处理。
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

QQ|小黑屋|站点统计|Archiver|小黑屋|RSS|冰凌汇编 ( 滇ICP备2022002049号 滇公网安备 53032102000029号)|网站地图

GMT+8, 2022-10-6 21:37 , Processed in 0.129451 second(s), 8 queries , Redis On.

冰凌汇编 - 建立于2021年12月20日

Powered by Discuz! © 2001-2022 Comsenz Inc.

快速回复 返回顶部 返回列表