第一次尝试粗浅的逆向破解golang程序更新日期：2024/12/23

第一次尝试粗浅的逆向破解golang程序

编辑：jimmy

日期: 2024/12/23 浏览：1 次

前言

这几天在我无聊逛 github 的时候，发现了一个写着能导出微信数据库密码和聊天记录的仓库，就想下载运行看看效果如何。

"https://static.52pojie.cn/static/image/filetype/zip.gif" border="0" class="vm" alt="" />app.zip2022-9-4 17:36 上传点击文件名下载附件

然而启动后且报错 pass error，显然是需要个正确密码。

"43921813_初步分析">初步分析

用 exeinfope 查了目标程序，无壳，64 位程序，用 go 语言写的。可以直接上 IDA 分析，或者用 x64dbg。

之前没分析过编译后的 go 程序，大概知道 golang 是静态链接的，封装层次高，有多返回值特点，gc、协程实现，标准库第三方库等等都嵌入了，文件体积贼大。

载入 IDA，能看到一大坨的函数，不可能一个个都去看的。后面干啃去调试时，函数间的跳转比较饶，加上有异步，容易跑飞。

像这种应该就是被 strip 掉了符号，go build 本身有命令可以去掉

go build ldflags="-s -w" main.go

也没找到 .gopclntab 区段

开局，搜索字符串

按老套路，最简单的搜索字符串，定位关键代码

"43921813_还原符号">还原符号

由于启动密码的判断都写在程序的开头，如果能找到入口点，分析起来就简单不少，虽然这个程序没有调试符号，但一般情况就算 go 编译时去掉了，也还会包含一定量的信息，能还原出一些函数符号和源码文件路径。

我借助了 IDAPython 运行 go_parse 和 IDAGolangHelper 那些脚本来解析，希望能方便后续分析。

然而可惜的是，不是有报错就是解析不全面，字符串也没解析出来，没有看到 main_init main_main 入口函数，当然可能是 go 版本较高，pclntab 结构有变化，一些工具还不支持。

不过至少还原了部分 runtime，这总比干啃好。

有些奇怪的是，解析之后不少函数名都是随机字符串。我也不确定这程序是经过了混淆保护了，还是 golang 本身有其他什么设置就能导致如此。

"https://img1.imgtp.com/2022/09/04/63scSIy7.png" alt="image" />"https://img1.imgtp.com/2022/09/04/EtiJgD5X.png" alt="image" />

IDA rebase 一下基址或导出 map 方便在调试时候对着看

"43921813_动态调试-api-断点回溯">动态调试 API 断点回溯

接着尝试从 API 下断入手，逼近关键代码，首先很容易想到获取启动参数的 API 会用到 GetCommandLineW，go 用 fmt.println 写出到控制台的 API 则可能是 WriteFile，WriteConsoleW（64 位一般直接断 W），载入程序后下断点运行。

"https://img1.imgtp.com/2022/09/04/1zjtt0oQ.png" alt="image" />

中间遇到循环不用管，一直专注回溯

同时注意堆栈字符串的变化，println 是分成时间和 pass error 两段。

看到这里再往后一两次 ret 差不多就到了。

这地方就差不多到了，在函数头下断点，，如果不确定就多下 F2，重载运行，输入参数。

0000000000DE5F60 | 4C:8D6424 E8 | lea r12,qword ptr ss:[rsp-18] |

这种方法还是比较绕的，尤其是没有符号和不熟悉的情况，下面还有其他方法。

跟踪数据读写

命令行参数值始终是要判断的，用 go 写个 demo，大概写法就是：

package mainimport (        "fmt"        "os")func main() {        if len(os.Args) > 2 {                if os.Args[1] == "123456" {                        fmt.Printf("os.Args[1]: %v\n", os.Args[1])                } else {                        fmt.Println("pass error")                }        } else {                fmt.Println("error 1")        }}

在没有符号的情况下，可以通过对比自己写的 demo 汇编结构和 go 源码来人肉识别某些库函数。

// These routines end in 'ln', do not take a format string,// always add spaces between operands, and add a newline// after the last operand.// Fprintln formats using the default formats for its operands and writes to w.// Spaces are always added between operands and a newline is appended.// It returns the number of bytes written and any write error encountered.func Fprintln(w io.Writer, a ...any) (n int, err error) { p := newPrinter() p.doPrintln(a) n, err = w.Write(p.buf) p.free() return}.........

第一次尝试粗浅的逆向破解golang程序

前言

开局，搜索字符串

跟踪数据读写

最新资源