2008-3-26 23:02
Passion
Sparc平台下的FlexLM 4.1明文比对破解
Sparc平台下的FlexLM 4.1明文比对破解
网上关于破解 FlexLM 的文章大多是 Windows 平台的，而且版本很高。但近日俺碰到的一款 SunOS Sparc 平台上的软件也是 FlexLM 保护，这可是个希罕物件，又加上大伙儿只买了 2 个 License，一块用的时候俺基本轮不上，于是就带着尝试的想法拿它开刀。IDA 反了反这个 ELF 格式的主程序文件，字符串中看见是 FlexLM 4.1 版的，而且程序的字符串块没被 strip 掉，FlexLM 的相关函数名居然都在，省掉了找 Unix 下的 FlexLM SDK 的Signature 的麻烦。而且，这个 4.1 的版本由于相当低，其密文字符串的对比居然是明码标价，实在不符合其商业产品的特性（不过这也是事后才知道的）。
工具：IDA，DDD/GDB；
方法：静态阅读＋动态跟踪。
网上找不到 FlexLM 4.0 的 SDK，但能找到的比较全的 FlexLM 4.0 的开发帮助：
[url]http://wwweic.eri.u-tokyo.ac.jp/computer/manual/lx/SGI_Developer/books/FLEXlm_PG/sgi_html/index.html[/url]
这个对破解很有作用。
先恶补一下基础知识：
一、Sparc 平台的寄存器架构与汇编规则
Sparc 的 CPU 有很多寄存器，但针对任一进程的任一时刻来说只开放 32 个，以寄存器窗口的方式切换。一般它的寄存器可命名为 r0 到 r31，但一般以其别名来命名，如下：
1. 全局寄存器(8个) －对所有程序可见。命名为 %g0 ～ %g7 ＝ %r0 ～ %r7
2. 输出寄存器(8个) －函数返回值，输出寄存器是下一个窗口的输入寄存器。命名为 %o0 ～ %o7，等同于 %r8 ～ %r15
3. 局部寄存器(8个) －仅本函数可见。命名为 %l0 ～ %l7，等同于 %r16 ～ %r23
4. 输入寄存器(8个) －本函数的输入参数，来自于上一窗口的输出寄存器。命名为 %i0 ～ %i7，等同于 %r24 ～ %r31
通过 call 指令进行函数调用时，函数开始可调用 save 指令分配相应的栈空间并进行窗口切换，这个窗口切换会将切换前的 o 系列寄存器映射为切换后的 i 系列寄存器，函数返回时通过 restore 指令切换回来。这条规则要记住，否则进入函数前后参数和返回值都不知道去哪儿找。
一般进入函数之前给 o0 到 o5 寄存器赋值作为传入参数（不够则用堆栈），进入函数之后访问对应的 i0 到 i5 便可访问对应的传入参数，函数内部给 o0 赋值可作为返回值使用。
此外 Sparc 还有一些其他特点：访存用 ld/st 指令，和寄存器之间操作数据不同；跳转指令是 b(ranch)，后缀表示各种条件，和 80x86 平台下的 j 系列一样；call 与 b 跳转指令后都有一个 nop，估计是给 Sparc 的指令预取机制或者跳转预判断机制准备的。
二、GDB/DDD 常用命令：
Data Display Debugger（DDD）是 Unix 平台下基于 GDB 的一款图形化调试工具，虽然用起来没 OllyDbg 等方便，但毕竟比 gdb 的纯命令行好得多，至少不需要频繁敲 disas 命令来查看反汇编代码，而且还可方便设置多个 display 来查看寄存器值，也不需要频繁敲 info reg o0 之类的命令。因此凑合着用它了。
对调试汇编代码比较有用的 gdb 命令有以下：
b main
b *0x27aaa
在某命名函数处或在某地址处设置断点。
bt
查看此刻的调用堆栈。
info reg o0
查看某寄存器值，如果只敲 info reg，则打印所有寄存器值。
stepi/nexti
单步执行机器代码。注意不是 step/next，后者是单步执行源码。
disable 1
禁用第一个断点。如只敲 disable 则禁用所有断点。
enable 1
使能第一个断点。如只敲 enable 则使能所有断点。
x /8xb 0x45678
从地址 0x45678 处开始查看 8 个 byte，以 HEx 的方式显示。
x /s $o1
查看 o1 寄存器内容所指内存处的内容，以字符串方式显示。
set $o1=0
将寄存器 o1 值设置为 0。
r、c、k
这三个命令的功能分别为：运行被调试程序、中断后继续运行、中止被调试程序。
三、FlexLM 解密过程
用 IDA 反汇编看，程序一开始经过必要的初始化后，便会调用 l_init 开始 FlexLM 的检查，此间暴露了 Vendor Name、Feature 名，版本号等（见下）。然后程序逐步会进入核心的 lc_checkout 函数。如需要爆破，则修改 lc_checkout 的返回值即可，但俺的目的是想获得真正能用的 License，因此继续。
.text:00017194 loc_17194: ! <suspicious> ! CODE XREF: main+5DCj
.text:00017194 sethi %hi(0x50800), %i0 ! <suspicious>
.text:00017198 sethi %hi(0x50800), %i1 ! <suspicious>
.text:0001719C st %g2, [prog]
.text:000171A0 mov 1, %g2
.text:000171A4 sethi %hi(0x4C000), %o0 ! <suspicious>
.text:000171A8 st %g2, [num_lic]
.text:000171AC set lm_job, %l5
.text:000171B0 set s_Lic_sunw, %o1 ! "lic.SUNW"
.text:000171B8 add %l5, 4, %o2 ! int
.text:000171BC ld [lm_job], %o0 ! int
.text:000171C0 call lc_init
lc_init 函数调用前需要传入 Vendor Name，此处得知是“lic.SUNW”。
.text:0001732C loc_1732C: ! CODE XREF: main+714j
.text:0001732C ! main:loc_172D0j
.text:0001732C st %g2, [%sp+0xB10+var_AB4]
.text:00017330 set s_Stack_1, %o1 ! "STACK"
.text:00017338 sethi %hi(sccsid_4), %g2
.text:0001733C ld [%l5], %o0
.text:00017340 set s_8_0, %o2 ! "8.0"
.text:00017344 sethi %hi(0x4C000), %g2 ! <suspicious>
.text:00017348 ld [%i1+0x13C], %o3
.text:0001734C set code, %o5
.text:00017350 call lc_checkout
Feature 名是“STACK”，版本号（Version Number）是“8.0”。
然后可根据看到的 Feature 名、Vendor Name 和 Version Number 构造了一个就一行的 license.dat 文件：
FEATURE STACK lic.SUNW 8.0 1-jan-0000 uncounted 1234567890ABCDEF HOSTID=ANY
构造此 license 文件的目的是构造针对此 Feature 的无时间限制、无数量限制、无运行主机限制的完全 license。当然，其中签名部分是瞎凑的，目的是为了跟踪到和正确签名的比对的部分。
构造完文件后，将环境变量 LM_LICENSE_FILE 指向此文件 /tmp/license.dat
export LM_LICENSE_FILE=/tmp/license.dat
根据网上翻译的 FlexLM 9.2 的解密文章，lc_checkout 内部最终会调用 l_string_key 函数来进行比较，但资料里说 9.2 版的 FlexLM SDK 已经在此函数上做了部分手脚，会用伪造的签名来蒙混跟踪者，只有无签名返回时才是正确的场合。根据此点，我在 l_string_key 函数中还真绕了不少弯路（弯路部分略）。后来跟踪的事实证明，FlexLM 4.1 版本中还没有此狡猾的机制，而是非常直白的调用 l_string_key，并在 l_crypt_private 返回时便能生成正确的明文签名。获得 l_crypt_private 的结果后，上级的 good_lic_key 再调用 strncmp 进行比较，从而得到比对的结果，这就是 FlexLM 4.1 的核心对比。
FlexLM 9.2 或者其他版本估计是察觉到了此问题，便将比对隐藏起来了，但仍然保留着 strncmp 来混淆视听。
中断在 l_string_key 中时，用bt查看调用堆栈得到以下信息：
#0 0x000277d8 in l_string_key ()
#1 0x00027770 in l_crypt_private ()
#2 0x0001ce98 in good_lic_key ()
#3 0x0001c4a4 in lm_start_real ()
#4 0x0001b61c in lc_checkout ()
#5 0x00017358 in main ()
在此，无需刻舟求剑地在 l_string_key 处直接下断以企图获取正确签名值，而应该跳至 l_crypt_private 被调用的地方：
.text:0001CE80 mov %o0, %o2
.text:0001CE84 add %fp, var_20, %o3
.text:0001CE88 ld [%fp+arg_48], %o1
.text:0001CE8C ld [%fp+arg_44], %o0
.text:0001CE90 call l_crypt_private
.text:0001CE94 nop
.text:0001CE94
.text:0001CE98 st %o0, [%fp+s1]
.text:0001CE9C ld [%fp+arg_48], %o1
.text:0001CEA0 inc 0x48, %o1 ! s2
.text:0001CEA4 ld [%fp+s1], %o0 ! s1
.text:0001CEA8 mov 0x14, %o2 ! n
.text:0001CEAC call _strncmp
.text:0001CEB0 nop
.text:0001CEB0
.text:0001CEB4 tst %o0
.text:0001CEB8 bne loc_1CEC8
.text:0001CEBC nop
这里，strncpm 的两个参数 s1 和 s2，一个是我们输入的错误 license，一个是它计算出来的正确 license。在 0001CEAC 处中断时用 GDB 的 x /s $o0 和 x /s $o1 命令可看到正确的签名值 8503E11B1950D9B5AA12。
最后，无限制的 License 文件生成如下：
FEATURE STACK lic.SUNW 8.0 1-jan-0000 uncounted 8503E11B1950D9B5AA12 HOSTID=ANY
保存此文件后退出 DDD，再次运行程序，一切 OK。
四、总结
FlexLM 4.1 的保护方式很薄弱，估计其低版本如 2.6 等也一样。如果 Unix 平台下编译的程序符号表还在的话，简直就是中门大开引狼入室。破解者无需 FlexLM 4.1 的 SDK，也不用寻找什么 seed 什么 key，找到 Feature、版本号和 Vendor Name 后就能在程序中直接跟踪到明文的签名，所以本文写到后来也就变成了初级水平。
关于 FlexLM 的基础知识，可参考《加密与解密》书刊中的相关部分。
附：很久没写破解方面的文章了，希望不至于太差。;-)