SMC(静态分析)-编程实验室

SMC简单来说就是自修改的代码段，这类题目一般来说都比较简单，只需要动态调试直接运行绕过加密函数，让程序自行解密，就可以看到被解密后的代码段。但是有些题目加入反调试后，反调试藏的很深，甚至程序会无脑报错，所以我们还有另外的解法，就是找到对加密代码段的加密函数，通过静态分析来解密修改，这种题目的难度就比较高，需要一定的代码审计能力，和使用IDApythond的熟练度，下面就来分析一下

入口分析

以2018年网鼎杯第三场SimpleSMC的题目为例，如何修复被修改的代码段
编辑
在start函数中，没什么有用的东西，所以去看最后调用的函数sub_4010E0，它有几个参数函数分别是sub_400D45，sub_401930，sub_4019C0，也就是进入主逻辑和一些初始化步骤
进入看sub_400D45，很明显就是主逻辑
编辑
在if这个语句里面，涉及了loc_400BAC和loc_400AA6,可以判断出这两段应该就是修改过或者经过花指令处理过，导致IDA无法识别为正确的函数，所以我们就去看这两个关键的段

寻找修改代码段的逻辑

进入看loc_400BAC

编辑
IDA爆红，非常明显的花指令，看到jle near ptr loc_400BC8+1和jnz near ptr loc_400BC8+1这两个明显冲突的指令，所以就是NOP掉，具体的NOP方法就是去看整段汇编逻辑
首先两个判断跳跃的指令，想要跳跃到loc_400BC8+1的位置，而call near ptr 1345194h则是因为两个错误的跳跃指令而导致IDA误判，所以我们只需要NOP掉BBC到BB8的位置就行了，不需要NOP掉BB9及其以后的数据，否则IP乱飞
此外，为了实现短跳跃的指令，即从BBC跳跃到BC9，可以把BBC后面的几个字节改为EB 0B，而BBE到BC8之间的直接NOP掉就行
按C重新分析后，f5反汇编看代码就行
`
__int64 __fastcall sub_400BAC(__int64 a1)
{
** int i; // [rsp+Ch] [rbp-Ch]**

** for ( i = 0;((_BYTE)&loc_400AA6 + i) != 0xC3; ++i )
**((_BYTE)&loc_400AA6 + i) ^=(_BYTE)(i % 7 + a1);
** return 1LL;
}
`
可以判断出这一段代码的逻辑就是一个运行时 XOR 解密函数，目标地址就是 loc_400AA6。
该函数的核心就是转为这一句loc_400AA6[i] = loc_400AA6[i] ^ key[i % 7]。意思就是对 loc_400AA6进行一个7字节key的异或。（遇到0xc3时停止异或处理，而0xc3是x86中的ret指令）

去看loc_400AA6

编辑
从上面的sub_400BAC可以看出是对这一段的加密，但是实际上不止这一段加密。
交叉引用看loc_400AA6的位置
编辑
发现在sub_400C48也调用了该代码段，粗略的一看这个sub_400C48函数的反汇编，发现有个不合常理的 JUMPOUT(0x400CDALL);所以去看汇编，是一个花指令，修复它。
编辑
和前面的花指令一模一样的逻辑，patch地址400CCD的前几个为EB 0B ，后面几个nop掉，保留400CDA后面的数据，重新分析再反汇编就行
编辑
这个sub_400C48的核心逻辑就是下面这个语句
编辑
即用0x41E1B0 处的字节流 XOR 变换 loc_400AA6
所以现在的问题就是sub_400C48和sub_400BAC到底哪个先调用的
不妨去看sub_400C48的交叉引用，发现这个sub_400C48是通过定义一个数组
编辑，
向上追踪这个funcs_401968调用函数sub_401930，发现是start的sub_400D45函数的参数，所以逻辑很明显了
程序启动
↓
.init_array 执行 sub_400C48
↓
loc_400AA6[i] ^= stream_41E1B0[i]
↓
进入 main/sub_400D45
↓
scanf("%s", v5)
↓
sub_400BAC(v6)
↓
loc_400AA6[i] ^= key[i % 7]
↓
调用 loc_400AA6(v5)
最后的逻辑就是final_code[i] = file_code[i] ^ stream_41E1B0[i] ^ key[i % 7]（file_code就是目前的loc_400aa6的内容）
那么我们还有最后一个问题，怎么去找到key

反推key

因为real_code[i] = file_code[i] ^ stream_41E1B0[i] ^ key[i % 7]
所以key[i % 7] = file_code[i] ^ stream_41E1B0[i] ^ real_code[i]
那么我们就需要去想real_code的前7个字的数据
因为 loc_400AA6 解密后是一个正常函数，
而x64 函数开头通常很容易猜，
比如：push rbp mov rbp, rsp sub rsp, xx那么对应的机器码就是55 48 89 E5 48 83 EC ??前7个字节就是55 48 89 E5 48 83 EC
直接带进去，写一个IDApython脚本可以解出来key
编辑
在IDA里面看到key就是 ** F1@gChe**
编辑