加密狗逆向之硬件复制和软件模拟_Rockey4ND

加密狗逆向之硬件复制和软件模拟_Rockey4ND
CodeLive @ 2014-10-18

收到风声说再不发原创的帖子就要被清理了,赶紧熬夜写一篇,呵呵~~

本文主要通过对Rockey4ND狗的分析来说明如何逆向加密狗，包括硬件复制和软件模拟，不谈爆破方法。

首先说明可以硬件复制或者软件模拟的狗要具备下面几种条件:

1.有真狗的运行环境,没狗逆向一般只能爆破;
2.硬件复制要知道狗的用户密码和开发密码,软件模拟密码可以不需要;
3.程序只从狗中读取或写入数据;
4.如果程序在狗中写入了算法函数,这个一般会比较难，但如果逆向出函数算法，也可以模拟;

下面就介绍一款使用了Rockey4ND狗的软件的分析过程，软件名字当然不会说了。
Rockey4ND是无驱HID类型狗,这种截获数据方法有多种,可以用USBTrace,hid.dll替换,HOOK CreateFileA等方法, 但直接有效的方法是直接替换狗的API调用.


1.首先下载一份Rockey4ND的开发SDK,通过查看文件很容易知道，这个狗只有一个API,API定义为:
WORD WINAPI Rockey(WORD function, WORD* handle, DWORD* lp1,  DWORD* lp2, WORD* p1, WORD* p2, WORD* p3, WORD* p4, BYTE* buffer);
主要功能定义(Rockey4_ND_32.h文件):

1. #define  RY_FIND                1       // Find Dongle
   
2. #define  RY_FIND_NEXT           2       // Find Next Dongle
   
3. #define  RY_OPEN                3       // Open Dongle
   
4. #define  RY_CLOSE               4       // Close Dongle
   
5. #define  RY_READ                5       // Read Dongle
   
6. #define  RY_WRITE               6       // Write Dongle
   
7. #define  RY_RANDOM              7       // Generate Random Number
   
8. #define  RY_SEED                8       // Generate Seed Code
   
9. #define  RY_WRITE_USERID        9       // Write User ID
   
10. #define  RY_READ_USERID         10      // Read User ID
    
11. #define  RY_SET_MOUDLE          11      // Set Module
    
12. #define  RY_CHECK_MOUDLE        12      // Check Module
    
13. #define  RY_WRITE_ARITHMETIC    13      // Write Arithmetic
    
14. #define  RY_CALCULATE1          14      // Calculate 1
    
15. #define  RY_CALCULATE2          15      // Calculate 2
    
16. #define  RY_CALCULATE3          16      // Calculate 3
    
17. #define  RY_DECREASE            17      // Decrease Module Unit
    
18. #define  RY_CALLNET             18      // NetRockey4ND arithmetic
    
19. 
    
20. 
    
21. (1) Find Dongle
    
22.     Input:
    
23.     function = 1
    
24.     *p1 = pass1
    
25.     *p2 = pass2
    
26.     *p3 = pass3
    
27.     *p4 = pass4
    
28.     Return:
    
29.     *lp1 = Rockey4ND HID
    
30.     return 0 = Success, else is error code
    
31. 
    
32. (2) Find Next Dongle
    
33.     Input:
    
34.     function = 2
    
35.     *p1 = pass1
    
36.     *p2 = pass2
    
37.     *p3 = pass3
    
38.     *p4 = pass4
    
39.     Return:
    
40.     *lp1 = Rockey4ND HID
    
41.     return 0 = Success, else is error code
    
42. 
    
43. (3) Open Dongle
    
44.     Input:
    
45.     function = 3
    
46.     *p1 = pass1
    
47.     *p2 = pass2
    
48.     *p3 = pass3
    
49.     *p4 = pass4
    
50.     *lp1 = Rockey4ND HID
    
51.     Return:
    
52.     *handle = Opened dongle handle
    
53.     return 0 = Success, else is error code
    
54. 
    
55. (4) Close Dongle
    
56.     Input:
    
57.     function = 4
    
58.     *handle = dongle handle
    
59.     Return:
    
60.     return 0 = Success, else is error code
    
61. 
    
62. (5) Read Dongle
    
63.     Input:
    
64.     function = 5
    
65.     *handle = dongle handle
    
66.     *p1 = pos
    
67.     *p2 = length
    
68.     buffer = pointer of buffer
    
69.     Return:
    
70.     Fill buffer with read contents
    
71.     return 0 = Success, else is error code
    
72. 
    
73. (6) Write Dongle
    
74.     Input:
    
75.     function = 6
    
76.     *handle = dongle handle
    
77.     *p1 = pos
    
78.     *p2 = length
    
79.     buffer = pointer of buffer
    
80.     Return:
    
81.     return 0 = Success, else is error code
    
82. 
    
83. (7) Generate Random Number
    
84.     Input:
    
85.     function = 7
    
86.     *handle = dongle handle
    
87.     Return:
    
88.     *p1 = random number
    
89.     return 0 = Success, else is error code
    
90. 
    
91. (8) Generate Seed Code
    
92.     Input:
    
93.     function = 8
    
94.     *handle = dongle handle
    
95.     *lp2 = seed code
    
96.     Return:
    
97.     *p1 = seed return code 1
    
98.     *p2 = seed return code 2
    
99.     *p3 = seed return code 3
    
100.     *p4 = seed return code 4
     
101.     return 0 = Success, else is error code
     
102. 
     
103. (9) Write User ID
     
104. 
     
105.     Input:
     
106.     function = 9
     
107.     *handle = dongle handle
     
108.     *lp1 = User ID
     
109.     Return:
     
110.     return 0 = Success, else is error code
     
111. 
     
112. (10) Read User ID
     
113.      Input:
     
114.      function = 10
     
115.      *handle = dongle handle
     
116.      Return:
     
117.      *lp1 = User ID
     
118.      return 0 = Success, else is error code
     
119. 
     
120. (11) Set Module
     
121. 
     
122.      Input:
     
123.      function = 11
     
124.      *handle = dongle handle
     
125.      *p1 = module number
     
126.      *p2 = module content
     
127.      *p3 = set whether allow decrease (1 = allow, 0 = no allow)
     
128.      Return:
     
129.      return 0 = Success, else is error code
     
130. 
     
131. (12) Check Module
     
132.      Input:
     
133.      function = 12
     
134.      *handle = dongle handle
     
135.      *p1 = module number
     
136.      Return:
     
137.      *p2 = 1 means the module is valid, 0 means the module is invalid
     
138.      *p3 = 1 means the module can't decrease, 0 means the module can decrease
     
139.      return 0 = Success, else is error code
     
140. 
     
141. (13) Write Arithmetic
     
142. 
     
143.      Input:
     
144.      function = 13
     
145.      *handle = dongle handle
     
146.      *p1 = pos
     
147.      buffer = arithmetic instruction string
     
148.      Return:
     
149.      return 0 = Success, else is error code
     
150. 
     
151. (14) Calculate 1 (Hide Unit Init Content = HID high 16bit, HID low 16bit, module content, random number)
     
152.      Input:
     
153.      function = 14
     
154.      *handle = dongle handle
     
155.      *lp1 = calculate begin pos
     
156.      *lp2 = module number
     
157.      *p1 = input value 1
     
158.      *p2 = input value 2
     
159.      *p3 = input value 3
     
160.      *p4 = input value 4
     
161.      Return:
     
162.      *p1 = return code 1
     
163.      *p2 = return code 2
     
164.      *p3 = return code 3
     
165.      *p4 = return code 4
     
166.      return 0 = Success, else is error code
     
167. 
     
168. (15) Calculate 2 (Hide Unit Init Content = seed return code 1, seed return code 2, seed return code 3, seed return code 4)
     
169.      Input:
     
170.      function = 15
     
171.      *handle = dongle handle
     
172.      *lp1 = calculate begin pos
     
173.      *lp2 = seed code
     
174.      *p1 = input value 1
     
175.      *p2 = input value 2
     
176.      *p3 = input value 3
     
177.      *p4 = input value 4
     
178.      Return:
     
179.      *p1 = return code 1
     
180.      *p2 = return code 2
     
181.      *p3 = return code 3
     
182.      *p4 = return code 4
     
183.      return 0 = Success, else is error code
     
184. 
     
185. (16) Calculate 3 (Hide Unit Init Content = module content, module+1 content, module+2 content, module+3 content)
     
186.      Input:
     
187.      function = 16
     
188.      *handle = dongle handle
     
189.      *lp1 = calculate begin pos
     
190.      *lp2 = module begin pos
     
191.      *p1 = input value 1
     
192.      *p2 = input value 2
     
193.      *p3 = input value 3
     
194.      *p4 = input value 4
     
195.      Return:
     
196.      *p1 = return code 1
     
197.      *p2 = return code 2
     
198.      *p3 = return code 3
     
199.      *p4 = return code 4
     
200.      return 0 = Success, else is error code
     
201. 
     
202. (17) Decrease Module Unit
     
203.      Input:
     
204.      function = 17
     
205.      *handle = dongle handle
     
206.      *p1 = module number
     
207.      Return:
     
208.      return 0 = Success, else is error code

复制代码

    最好先看看SDK中自带的示例程序,对狗的API一般是如何调用的。


2.分析软件，发现软件是直接使用DLL来对狗进行访问的,Rockey4ND的DLL名字是: Rockey4ND.dll,对这种直接使用DLL来调用的程序真是无语,连分析API函数特征都不需要了(如果是静态库方式调用就需要分析API地址)。


3.建立一个DLL工程,实现和狗API一样的函数: Rockey,定义如下:

1. 
   
2. WORD WINAPI Rockey(WORD function, WORD* handle, DWORD* lp1,  DWORD* lp2, WORD* p1, WORD* p2, WORD* p3, WORD* p4, BYTE* buffer)
   
3. {
   
4.     WORD ret = ERR_SUCCESS;
   
5.     // ......后面再说
   
6.     return ret;
   
7. }
   
8. 
   
9. Makefile内容:
   
10. 
    
11. LIBRARY ApiRockey4
    
12. EXPORTS
    
13.     Rockey @ 1
    
14. 
    
15. 这样DLL就导出了和加密狗一样的API, 同时也要把自己的DLL改为Rockey4ND.dll,原Rockey4ND.dll就要换一个名字，比如改为:Rockey4ND.org.dll

复制代码

4.获取原狗DLL的API地址:

1.     1)定义API函数，然后声明一个全局变量:
   
2. 
   
3.         typedef WORD (WINAPI * api_Rockey)(WORD function, WORD* handle, DWORD* lp1,  DWORD* lp2,
   
4.         WORD* p1, WORD* p2, WORD* p3, WORD* p4, BYTE* buffer);
   
5. 
   
6.         // 这个就是为了保存原API的地址
   
7.         api_Rockey g_Rockey = NULL;
   
8. 
   
9.     2)获取原API地址:
   
10.         HMODULE hModule = LoadLibraryW(L"Rockey4ND.org.dll");
    
11.         if(hModule != NULL)
    
12.         {
    
13.             // 获取原API函数地址
    
14.             g_Rockey = (api_Rockey)GetProcAddress(hModule, "Rockey");
    
15.         }
    
16.     在DLL加载的时候运行上面的代码
    
17.     BOOL APIENTRY DllMain(HMODULE hModule, DWORD ul_reason_for_call, LPVOID lpReserved)
    
18.     {
    
19.         switch (ul_reason_for_call)
    
20.         {
    
21.         case DLL_PROCESS_ATTACH:
    
22.             {
    
23.                 // 加载原DLL模块
    
24.                 HMODULE hModule = LoadLibraryW(L"Rockey4ND.org.dll");
    
25.                 if(hModule != NULL)
    
26.                 {
    
27.                     // 获取原API函数地址
    
28.                     g_Rockey = (api_Rockey)GetProcAddress(hModule, "Rockey");
    
29.                 }
    
30.             }
    
31.             break ;
    
32.         case DLL_THREAD_ATTACH:
    
33.         case DLL_THREAD_DETACH:
    
34.         case DLL_PROCESS_DETACH:
    
35.             {
    
36.             }
    
37.             break;
    
38.         }
    
39.         return TRUE;
    
40.     }
    

复制代码

5.数据截获

1.     WORD WINAPI Rockey(WORD function, WORD* handle, DWORD* lp1,  DWORD* lp2, WORD* p1, WORD* p2, WORD* p3, WORD* p4, BYTE* buffer)
   
2.     {
   
3.         WORD ret = ERR_SUCCESS;
   
4. 
   
5.         // 这里是执行原API调用
   
6.         ret = g_Rockey(function, handle, lp1, lp2, p1, p2, p3, p4, buffer);
   
7. 
   
8.         // 根据定义，我把对狗进行数据读写的数据转化为字符串，便于记录
   
9.         string strBuffer;
   
10.         if((function == RY_READ) || (function == RY_WRITE))
    
11.         {
    
12.             if((p2 != NULL) && ((*p2) > 0))
    
13.             {
    
14.                 // 数据转换成文本
    
15.                 strBuffer = data2HexString((const char *)buffer, (*p2));
    
16.             }
    
17.         }
    
18. 
    
19.         // 格式所有参数
    
20.         string str = formatString("Rockey(function(%d), handle(0x%04X), "
    
21.             "lp1(0x%08X), lp2(0x%08X), "
    
22.             "0x%04X, 0x%04X, 0x%04X, 0x%04X, "
    
23.             "%s), ret = %d\r\n",
    
24.             (int)(function), (handle != NULL) ? (int)(*handle) : 0,
    
25.             (lp1 != NULL) ? (int)(*lp1) : 0, (lp2 != NULL) ? (int)(*lp2) : 0,
    
26.             (p1 != NULL) ? (int)(*p1) : 0, (p2 != NULL) ? (int)(*p2) : 0,
    
27.             (p3 != NULL) ? (int)(*p3) : 0, (p4 != NULL) ? (int)(*p4) : 0,
    
28.             strBuffer.c_str(), (int)(ret));
    
29. 
    
30.         //打印输出或者记录到文件
    
31.         logOutput(str);
    
32. 
    
33.         return ret;
    
34.     }

复制代码

6.把自己的DLL替换后，运行程序，如果程序没问题，所有数据都会被记录:
    // 查找狗,ret = 0,表示找到狗，成功.
    Rockey(function(1), handle(0x0000), lp1(0x66666666), lp2(0x77777777), 0x1111, 0x2222, 0x3333, 0x4444, ), ret = 0
    // 打开狗,ret = 0,打开成功
    Rockey(function(3), handle(0x0000), lp1(0x66666666), lp2(0x77777777), 0x1111, 0x2222, 0x3333, 0x4444, ), ret = 0
    // 查找下一个,ret = 17, 没有找到更多的狗，失败
    Rockey(function(2), handle(0x0000), lp1(0x66666666), lp2(0x77777777), 0x1111, 0x2222, 0x3333, 0x4444, ), ret = 17
    // 从位置0x0008,读取0x0010长度的数据，读取到的内容是:A869BA3E70096F3C0D578FE34E5F8FD4
    Rockey(function(5), handle(0x0000), lp1(0x66666666), lp2(0x77777777), 0x0008, 0x0010, 0x3333, 0x4444, A869BA3E70096F3C0D578FE34E5F8FD4), ret = 0

    通过参数定义可以知道，开发商ID是0x66666666, 加密狗的4个密码也获取到了，基本密码为:0x1111, 0x2222,高级密码:0x3333, 0x4444 (我截获的密码当然不是这个啦)。
    然后多运行几次程序，看看每次读取的数据是否都是相同的，如果每次都一样，那真的是要恭喜你了,但如果有调用狗内函数的功能，那就复杂了，这里暂时不讨论算法这种情况。

7.硬件复制方案:
    1)既然4个密码都有了,最完美的方案就是硬件复制,从TB上面买空狗;
    2)用官方工具可以直接复制，Rockey4ND_Editor.exe,这个在Rockey4ND的SDK中有，就是使用上面稍有复杂;
    3)如果觉得工具有点麻烦的话，可以写一个程序，先从原狗中把数据都读出来，然后再把数据写入到新狗中;

8.软件模拟方案:
    就是把我们之前记录数据的部分反过来,下面是大概的代码,一些代码不具体解释了:

1.     WORD WINAPI Rockey(WORD function, WORD* handle, DWORD* lp1,  DWORD* lp2, WORD* p1, WORD* p2, WORD* p3, WORD* p4, BYTE* buffer)
   
2.     {
   
3.         WORD ret = ERR_SUCCESS;
   
4.         *handle = NULL;
   
5.         switch(function)
   
6.         {
   
7.         case RY_FIND:
   
8.             {  
   
9.                 // 返回开发商ID
   
10.                 *lp1 = 0x66666666;
    
11.             }
    
12.             break ;
    
13.         case RY_OPEN:
    
14.             {
    
15.                 // 返回句柄
    
16.                 *handle = 0x8888;
    
17.             }
    
18.             break ;
    
19.         case RY_FIND_NEXT:
    
20.             {
    
21.                 // 没有更多加密狗
    
22.                 ret = ERR_NOMORE;
    
23.             }
    
24.             break ;
    
25.         case RY_READ:
    
26.             {
    
27.                 // gRockey4Data是原狗的所有数据
    
28.                 memcpy(buffer, gRockey4Data+(*p1), (*p2));
    
29.             }
    
30.             break ;
    
31.         case RY_WRITE:
    
32.             {
    
33.                 memcpy(gRockey4Data+(*p1), buffer, (*p2));
    
34.             }
    
35.             break ;
    
36.         case RY_RANDOM:
    
37.             {
    
38.                 *p1 = (WORD)(rand()%(0x10000));
    
39.             }
    
40.             break ;
    
41.         case RY_SEED:
    
42.             {
    
43.                 *p1 = (WORD)(rand()%(0x10000));
    
44.                 *p2 = (WORD)(rand()%(0x10000));
    
45.                 *p3 = (WORD)(rand()%(0x10000));
    
46.                 *p4 = (WORD)(rand()%(0x10000));
    
47.             }
    
48.             break ;
    
49.         }
    
50.     }
    

复制代码

硬件复制和软件模拟不需要对原程序进行逆向，软件升级一般也不需要做任何改动，算是完美的方案,本文是通过Rockey4ND来举例说明加密狗的完美分析方法，同样适用于其他加密狗，只要程序仅对狗的数据进行访问，狗内没有算法函数的情况就可以用差不多的方法实现。

本文完，因为时间关系，没有仔细校验错误，有不对的地方还希望大家指正, 谢谢大家。

扫地僧 发表于 2014-10-19 00:51
谢谢分享，不过大大可以把代码弄的清楚些吗，根本看不明白- -

刚才用代码风格有问题。
话说你这么晚也没睡啊！

code老师不放试炼品咩

Cari 发表于 2014-10-19 00:55
code老师不放试炼品咩

软件比较敏感，主要是谈方法，关键代码都帖出来了。

codelive 发表于 2014-10-19 00:57
软件比较敏感，主要是谈方法，关键代码都帖出来了。

soga。期待后续精彩文章。

codelive 发表于 2014-10-19 00:57
软件比较敏感，主要是谈方法，关键代码都帖出来了。

简单帮你编辑了一下源码，你看这种格式行不行？

Shark恒 发表于 2014-10-19 00:58
简单帮你编辑了一下源码，你看这种格式行不行？

这样好多了，谢谢老大，我刚才试过有问题。

Shark恒 发表于 2014-10-19 00:58
简单帮你编辑了一下源码，你看这种格式行不行？

这排版好

codelive 发表于 2014-10-19 00:59
这样好多了，谢谢老大，我刚才试过有问题。

感谢你的作品，已加入精华！

Cari 发表于 2014-10-19 01:01
这排版好

只是把代码仍进去了，也没做详细的处理。。。对了，你修复的那个OD有毒。。你查一下。好像感染exe