安全月刊（2023年第二期）

2023年第二期

本期主题

安全月刊

网络信息安全协会

渭南师范学院网络信息安全协会安全月刊（下简称“月刊”），是由本协会在2023年推出的定期性栏目。月刊围绕当下网络与信息安全技术，每期以一个具体方向为主题展开，包含该方向相关技术的讲解与演示、相关CTF题目的复盘，并提供相关延伸资料供大家进一步的学习。月刊还会包含安全新闻、活动速递等模块，为大家呈现网络安全行业当下活动态势。

本期内容将从指令级动态调试技术展开，帮助逆向人员在没有源代码的情况下快速掌握程序执行流程，并可以借助调试工具改变程序执行流程和关键变量，以快速达成目标。

动态调试

什么是动态调试？

通过调试器直接创建调试进程，或将调试器附加到现有进程后，对调试进程的执行流程、变量、堆栈等进行监视和控制的过程就是动态调试。

动态调试能做什么？

由于在调试时可以逐语句或逐过程的执行代码，同时语句或过程的执行结果又能实时的在监视中查看，开发人员或安全人员能通过调试快速定位程序问题和漏洞。

对于逆向分析人员，如果一个程序的执行流程过于复杂，难以通过静态分析排除和简化分支，则可通过动态调试来摸清程序执行时的实际情况。

另外，动态调试就犹如游戏外挂一样强大，在动态调试时，可以随意改变程序执行流程，随意的修改任何变量，这使得调试者可以绕过检测代码或无效代码，选择指定的分支进行。

怎样进行动态调试？

动态调试根据有无源代码分为两种情况，对于有源代码的情况，使用相应语言的源代码级调试工具，例如，对于C语言，可以使用GDB进行源代码级调试；对于没有源代码的情况，则根据二进制可执行文件的执行平台，选择相应的反汇编器和机器指令级调试器，例如，对于一个Windows x64平台下的PE+文件，可以使用x64dbg进行机器指令级调试。

无论对于何种动态调试，下断点都是关键的一环，断点可以让程序在执行到此处时停下并被调试器接管，合适的断点能大大加快调试速度并降低调试难度，这需要长期的经验积累才能做到。

经典动态调试工具 OllyDbg

还是注册机

本次我们将继续使用上次的注册机，但是通过使用IDA进行动态调试的方式直接获取激活码。

0x00 进行简单的分析

首先用IDA打开注册机可执行文件。IDA作为知名的静态分析工具，同样携带动态调试器，因为软件分析往往需要动静结合才能进行。打开后IDA会自动定位到入口点，点击【跳转】→【跳转到伪代码】，即可从反汇编自动生成类C语言代码，大大提高了代码可读性。

生成伪代码

快速浏览代码，发现关键代码 if ( !strcmp(Str1, Str2) ) ，作为一个注册机，比较字符串通常是最明显的特征和关键所在，这就是逆向人员的经验之谈了。

0x01 打上断点，开始调试

单击该行代码前的蓝色小圆点，随即整行代码变为红色，表明该行代码打上了断点，程序运行到此处就会停下并被调试器接管。

打上断点

在上方工具栏下拉框中选择 Local Windows debugger ，然后点击左边的运行按钮，随即弹出警告——该程序将在本机执行，这可能存在风险，选择Yes后程序开始执行。