STM32反汇编实战**开机验证码

发表于 2015-12-15 16:16

想仿制别人的产品但是作者只提供HEX文件，并且有产品唯一身份标识的验证码，每换一片STM32就要跟原作者要验证码，原作者比较忙所以要验证码很不方便。于是研究一下能不能破解一下。上一帖贴了IDA的基本用法，我是新手第一次搞破解，我是小学学历不懂英文和C语言。。
这次破解全靠运气。
IDA的基本用法就不说了，直接切入分析。

2015-12-15 12:54:02屏幕截图.png

既然程序用产品唯一身份标识那我们就从他开刀
2015-12-15 15:08:44屏幕截图.png

打开IDA反汇编代码然后搜索0x1FFFF 然后看到0x8002950里面有，而且这个函数运算很繁琐可以确定这个就是主要目标

由于这个函数用了大了运算静态调试不容易，所以把我的最小系统板焊上了1602液晶跟键盘，按照他说的方法输入试用码成功后居然会在屏幕上显示Zero check...
这个英文是什么意思我不懂因为我不会英文，但是我知道成功后会显示他，程序自己出卖了自己。由于IDA反汇编ASCII有不准确的时候我们看十六进制代码搜索找Zero check...

然后到这个存放ASCII的数据区把原来不正确的反汇编按A键转换成ASCII

原来是sub_80012D8调用了他说明判断验证码在他前面

看他前面sub_80011C2 sub_8001280 sub_80011C2 这三个都不是，说明还是在sub_80012D8前面

现在可以肯定还是在0X8002950里面

然后我又输入错误的验证码看结果，看看他说的死机死在什么地方

原来不是死机是在0x8002B80死循环，找到0x8002B80

他左边的loc_8002A5C: 有POP正常返回说明他是正确的在往上找，找到loc_8002B58: 动态调试一下，在这里设个断点，随便输入一个数按键确认，调试后得知原来R10是计算后的 R7是我们输入的验证码

把bne loc_8002b6c改成 beq loc_8002b6c 改完以后结果就会时输入正确验证码死循环，输入错误验证码正常使用。

把 06 D1 改成 04 D0 就可以了，06 D1 是BNE ， 04 D0 是BEQ

发表于 2015-12-15 16:35

产品唯一身份标识的验证码是随机数产生的吗?

发表于 2015-12-15 16:48

leonliu_1128 发表于 2015-12-15 16:35
产品唯一身份标识的验证码是随机数产生的吗?

不是随机数，是根据产品唯一身份标识寄存器计算的一个固定数

发表于 2015-12-15 17:11

标记一下。IDA反汇编。

发表于 2015-12-15 17:23

有**就有反**有反**又有反反**有反反**又会有反反反**………………………………

发表于 2015-12-15 18:13

mark

发表于 2015-12-16 16:29

为什么没有人喷呢！作为一个工程师自己的产品被这样搞你们是什么感觉。

发表于 2015-12-16 18:43

这么牛X？

发表于 2015-12-17 17:32

TRUE_ARM 发表于 2015-12-16 18:43
这么牛X？

小学文化就能搞说明门槛很低，再说我不是专门搞**的，主业是农民种地的业余自学了点单片机不会C语言没办法才学的汇编，五线小城市的厂子都不收写汇编的。我搞出个东西不容易就想分享下，证明简单的加密**成本很低。

发表于 2015-12-18 22:01

不改BNE了

改成输入错误密码就把正确密码显示在屏幕上
把
loc_8002b6c里面的sdiv.w r0, r9, r0改成了mov r1, # 6和mov r0, r10 （r10里面是密码）跳转后改了个BL调用，直接调用显示把密码显示出来。

原来的

修改后的

发表于 2015-12-19 12:08

搞开发的不会喜欢这种技术分享

发表于 2015-12-19 13:13

所以说，神马在ROM里面直接运行代码是多么的不安全，
还是应该把可执行代码放在ROM，但需要搬移到RAM才可运行，
然后就可以在搬运过程中解密，加密，解密，。。。。。。

发表于 2016-1-24 22:12

本帖最后由 itelectron 于 2016-1-24 22:19 编辑

哈哈  楼主  打开了另一扇门而已    科班工程师不用那么生气  哈哈以前  HOT POWER 不是也干这个  还有以前那些仿汉卡的

以前还没有  什么  IDA 现在  都用 ARM    要想  反逆向  用冷门 IDA  里没有的芯片  就行！让楼主  人工反呀！而且能破密码  很难改内容  算法  加功能
楼主要是能把汇编  转成C  用C在编译回去对比  98% 以上二进制相同那就  不枉费  青春了  哈哈！！

越熟悉低层的人  **  能力越强  ！  逆向也是种能力  哈哈

发表于 2016-1-24 22:19

hgjinwei 发表于 2015-12-19 13:13
所以说，神马在ROM里面直接运行代码是多么的不安全，
还是应该把可执行代码放在ROM，但需要搬移到RAM才可运 ...

直接读取RAM 不是更简单哈哈

发表于 2016-1-24 22:28

本帖最后由 itelectron 于 2016-1-24 22:34 编辑

以后ROM 不要存明码增加难度！程序运行中屏蔽JTAG ，多用指针！然后伪造明码陷阱，然后发现入侵立刻全片擦除然后反复察除 FLASH 一直察坏芯片哈哈！或者发现入侵，故意让其得逞，然后让系统运行不问题！。。。。。。。。。魔高一尺道高一丈。。。。。。。

发表于 2016-1-24 22:47

不搞软件真的是我们天朝的损失啊。。。。。

发表于 2016-1-24 23:14

hex文件都给了就没啥好说的了.

发表于 2016-1-25 10:11

其实**就和debug差不多。
你们debug最怕什么？没法抓住一个点能稳定重现故障现场的bug。。。反**就按这个套路来吧。

发表于 2016-1-25 11:33

我也不是专门搞这个的，只是好奇玩一下。在别的论坛上有问怎样计算跳转地址的，但是我也不知道公式，我是用土法算的。

代码:
.text:00005C8E    04 BC                      POP    {R2}.text:00005CC6 E2 E7                      B    loc_5C8E.text:00005CD8    D9 E7                      B    loc_5C8E
已知：B指令所在地址(5CC6，5CD8)，跳转目标地址(5C8E)
求：红色部分E2与D9怎么计算而来的，求计算过程及公式。。

以下是我的回答：
我不懂英文没法找资料，我是用土法算的。
0x5cc6 - 0x5c8e= 0x38
0x38 + 0x04 = 0x3c
0x3c / 2 =0x1e
0X100 - 0X1E = 0XE2

.text:0000606E    11 E0                      B    loc_6094

向后跳更好算

0x6094 - 0x606e = 0x26

0x26 - 0x04 = 0x22

0x22 / 0x02 = 0x11

发表于 2016-1-31 16:14

这个是技术贴啊，话说汇编学好了用处真大啊

[STM32F1] STM32反汇编实战**开机验证码

相关帖子

fan

浏览过的版块

技术新星奖章

终身成就奖章

坚毅之洋流

十世金身

技术领袖奖章

缘定三生

荣誉元老奖章

技术奇才奖章

伴坛终老

欢快之小溪

希望之星奖章

社区建设奖章

常驻人口

精华达人奖章

湍急之河流

七世轮回

无冕之王奖章

奔腾之江水

精英会员奖章