WindowsKernel

ReadMe.txt

Reversing.Kr CrackMe – WindowsKernel

Please authenticate to lowercase.

Exeinfo PE

WindowKernel.exe

WinKer.sys

Analysis

WindowKernel.exe – sub_401110

HWND __thiscall sub_401110(HWND hDlg)
{
  HWND result; // eax
  HWND v3; // eax
  HWND v4; // eax
  HWND DlgItem; // eax
  WCHAR String[256]; // [esp+8h] [ebp-204h] BYREF

  GetDlgItemTextW(hDlg, 1003, String, 512);
  if ( lstrcmpW(String, L"Enable") )
  {
    result = (HWND)lstrcmpW(String, L"Check");
    if ( !result )
    {
      if ( ((int (__cdecl *)(int))sub_401280)(0x2000) == 1 )
        MessageBoxW(hDlg, L"Correct!", L"Reversing.Kr", 0x40u);
      else
        MessageBoxW(hDlg, L"Wrong", L"Reversing.Kr", 0x10u);
      SetDlgItemTextW(hDlg, 1002, &word_4021F0);
      DlgItem = GetDlgItem(hDlg, 1002);
      EnableWindow(DlgItem, 0);
      return (HWND)SetDlgItemTextW(hDlg, 1003, L"Enable");
    }
  }
  else if ( ((int (__cdecl *)(int))sub_401280)(0x1000) )
  {
    v3 = GetDlgItem(hDlg, 1002);
    EnableWindow(v3, 1);
    SetDlgItemTextW(hDlg, 1003, L"Check");
    SetDlgItemTextW(hDlg, 1002, &word_4021F0);
    v4 = GetDlgItem(hDlg, 1002);
    return SetFocus(v4);
  }
  else
  {
    return (HWND)MessageBoxW(hDlg, L"Device Error", L"Reversing.Kr", 0x10u);
  }
  return result;
}

sub_401280에서 반환된 리턴값이 1이면 Correct 문구를 띄우도록 되어있다.

WindowKernel.exe – sub_401280

int __usercall sub_401280@<eax>(HWND a1@<edi>, DWORD dwIoControlCode)
{
  HANDLE FileW; // esi
  DWORD BytesReturned; // [esp+4h] [ebp-8h] BYREF
  int OutBuffer; // [esp+8h] [ebp-4h] BYREF

  FileW = CreateFileW(L"\\\\.\\RevKr", 0xC0000000, 0, 0, 3u, 0, 0);
  if ( FileW == (HANDLE)-1 )
  {
    MessageBoxW(a1, L"[Error] CreateFile", L"Reversing.Kr", 0x10u);
    return 0;
  }
  else if ( DeviceIoControl(FileW, dwIoControlCode, 0, 0, &OutBuffer, 4u, &BytesReturned, 0) )
  {
    CloseHandle(FileW);
    return OutBuffer;
  }
  else
  {
    MessageBoxW(a1, L"[Error] DeviceIoControl", L"Reversing.Kr", 0x10u);
    return 0;
  }
}

https://learn.microsoft.com/ko-kr/windows/win32/api/ioapiset/nf-ioapiset-deviceiocontrol

“DeviceIoControl: 지정된 디바이스 드라이버에 직접 제어 코드를 보내 해당 디바이스가 해당 작업을 수행하도록 합니다.”

여기까지만 봐왔을때, WinKer.sys 드라이버 파일을 로드시켜서 제어 코드를 보내는 것으로 확인된다.

OutBuffer를 1로 만들어야 Correct 문구를 띄울 수 있을 것이다.

윈도우 커널모드 디버깅

Vmware Workstation 17.5.1 Pro, 윈도우7 32비트 기준으로
위와 같이 시리얼 포트를 구성하고,

WinDbg에서도 포트를 설정해준다음,

가상머신에서 윈도우를 부팅할때 F8키를 무한연타해서 “디버깅 모드”로 부팅한다.

그리고 다시 WinDbg의 Start debugging 창에서 OK 버튼을 눌러주면, 위 사진처럼 디버깅 환경 구성이 완성된다.

이 중 몇가지 명령어에 대해 살펴보자면,

sxe ld WinKer.sys
WinKer.sys가 로드될때 디버거가 멈춘다.

u WinKer+0x1266

해당 메모리 주소 지점의 어셈블리 코드를 보여준다.

bp WinKer+0x12B8

해당 메모리 주소에 브레이크포인트를 설치한다.

r <레지스터>, r <레지스터>=<값>

특정 레지스터값을 읽거나 쓸 수 있다.

WinKer.sys 드라이버를 다시 분석해보면,

WinKer.sys – sub_11288

dwIoControlCode가 0x2000일때 처리하는 코드는 sub_11288의 16줄에서 확인할 수 있다.

dword_13024의 값을 edx로 가져오고 난뒤의 브레이크포인트를 설치해서
edx값을 1로 임의로 바꾸면,

Correct 문구가 뜨는 것을 알 수 있었다.

따라서, dword_13024가 1로 지정되게끔 만들려면 어떻게 해야되는지 확인하기 위해 역참조해보았다.

sub_110D0+3A에서 1로 지정되는 것을 확인했다.

sub_110D0 함수는

DriverEntry -> sub_11266 -> sub_111DC -> sub_11156을 거쳐
최종 호출된다.

WinKer.sys – sub_11266

void __stdcall sub_11266(struct _KDPC *Dpc, PVOID DeferredContext, PVOID SystemArgument1, PVOID SystemArgument2)
{
  char v4; // al

  v4 = READ_PORT_UCHAR((PUCHAR)0x60);
  sub_111DC(v4);
}

“READ_PORT_UCHAR 루틴은 지정된 포트 주소에서 바이트를 읽습니다.”

https://learn.microsoft.com/ko-kr/windows-hardware/drivers/ddi/wdm/nf-wdm-read_port_uchar

https://wiki.osdev.org/%228042%22_PS/2_Controller

https://ggangjo.tistory.com/32

0x60 번지를 읽으면 키보드에 전송한 데이터를 읽을 수 있다고 한다.

따라서 sub_11266 함수는 키보드에 대한 데이터를 읽어와서 sub_111DC 함수에서 처리한다고 보면 된다.

WinKer.sys – sub_111DC, sub_11156, sub_110D0

https://download.microsoft.com/download/1/6/1/161ba512-40e2-4cc9-843a-923143f3456c/scancode.doc

스캔 코드 테이블을 확인하면 어떤 키를 입력해야 dword_13024가 1로 지정되게끔 만들 수 있는지 확인할 수 있다.

여기서 주의할 점은
sub_11156에서는 0x12을 한번 XOR,
sub_110D0에서는 0x12을 한번 XOR, 0x5를 한번 더 XOR을 해야 스캔 코드를 구할 수 있다.

Scan Code Table

The following table lists the full set of Scan Codes as presently recognized by the Microsoft operating systems. The US Key assignments are for reference to a type 101/102 Enhanced keyboard as supported by the Type 4 Keyboard layout. If there is no entry in the 101/102 Enhanced keyboard column, this scan code is currently not recognized by the operating system. The Key Location field has been added to aid in the placement of keys as illustrated in the

Recommended Physical Locations of the Windows Keys on page 10.

FLAG

keybdinthook