Reverse

UWP逆向初接触

最近博客写的少了，发现整个人学习的动力也不够了哇，还是得边写边学才好


UWP逆向初接触

其实我还是第一次听说UWP这个概念来着。。。首先先查询一下这个东西是个啥吧

UWP – Universal Windows Platform

在Windows集成应用商店之前的版本，我们一般是下载程序进行安装，这些程序一般指的就是后缀为“.exe”的文件，英文称之为Program，大多安装在“C:\Program Files”下。UWP是Universal Windows Platform简称，即Windows通用应用平台，可以在Windows 10 Mobile/Surface/PC/Xbox/HoloLens等平台上运行，它并不是为某一个终端而设计，而是可以在所有Windows10设备上运行一种全平台应用，一般安装在“C:\Program Files\windowsapp”下

大概意思就是说，这个玩意儿是微软的应用商城里面的东西，我们下载的东西还有会各种管理机制，比exe好。

如何安装

鉴于是小白，这里还是介绍的仔细一点好了:
首先要打开开发者模式


然后我们以管理员权限运行powershell，并且设置powershell的执行策略为RemoteSigned：

1
Set-ExecutionPolicy RemoteSigned

最后找到UWP下的
Add-AppDevPackage.ps1
进行安装即可。
最后能够在Windows的菜单里面找到这个应用。

如何逆向

对于一个uwp来说，程序的主体部分放在.appxbundle中(注意这里是bundle，是打包过的)。可以直接用压缩工具打开。里面的appx可以利用工具Telerik JustDecompile进行查看:

其中的MainPage自然就是入口啦~

经大佬提醒后知道，其实C++也可以用来写uwp。而且如果用C#写逻辑而用.net Native编译的话，那么当前的应用就只能用IDA来反编译了~

实例分析

这里以RCTF 2017的一道题为例子进行简单分析:
首先我们可以看到MainPage的代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
namespace RCTF
{
    public sealed class MainPage : Page, IComponentConnector, IComponentConnector2
    {
        private string path = Path.Combine(Package.Current.InstalledLocation.Path, "Assets\\flag.sqlite");

        private string pfn = Package.Current.Id.FamilyName;

        private SQLiteConnection conn;

        [GeneratedCode("Microsoft.Windows.UI.Xaml.Build.Tasks", " 14.0.0.0")]
        private Button button;

        [GeneratedCode("Microsoft.Windows.UI.Xaml.Build.Tasks", " 14.0.0.0")]
        private TextBlock textBlock;

        [GeneratedCode("Microsoft.Windows.UI.Xaml.Build.Tasks", " 14.0.0.0")]
        private TextBox textBox;

        [GeneratedCode("Microsoft.Windows.UI.Xaml.Build.Tasks", " 14.0.0.0")]
        private bool _contentLoaded;

        public MainPage()
        {
            this.InitializeComponent();
            this.conn = new SQLiteConnection(new SQLitePlatformWinRT(), this.path, true, null, null, null, null);
            this.conn.CreateTable<flag_table>(CreateFlags.None);
        }

        public static string asdasd(string input)
        {
            IBuffer binary = CryptographicBuffer.ConvertStringToBinary(input, BinaryStringEncoding.Utf8);
            string str = Package.Current.Id.FamilyName.Substring(0, 16);
            string str1 = "0000000000000000";
            IBuffer buffer = Encoding.UTF8.GetBytes(str1).AsBuffer();
            byte[] bytes = Encoding.UTF8.GetBytes(str);
            SymmetricKeyAlgorithmProvider symmetricKeyAlgorithmProvider = SymmetricKeyAlgorithmProvider.OpenAlgorithm(SymmetricAlgorithmNames.AesCbcPkcs7);
            CryptographicKey cryptographicKey = symmetricKeyAlgorithmProvider.CreateSymmetricKey(bytes.AsBuffer());
            IBuffer buffer1 = CryptographicEngine.Encrypt(cryptographicKey, binary, buffer);
            return CryptographicBuffer.EncodeToBase64String(buffer1);
        }

        private void button_Click(object sender, RoutedEventArgs e)
        {
            int num;
            if (int.TryParse(this.textBox.Text, out num))
            {
                IEnumerable<string> strs = 
                    from p in this.conn.Table<flag_table>().Where((flag_table p) => p.Id == num)
                    select p.flag;
                foreach (string str in strs)
                {
                    this.textBlock.Text = string.Concat("flag:", MainPage.dfdfdfd(str));
                }
            }
        }

        [DebuggerNonUserCode]
        [GeneratedCode("Microsoft.Windows.UI.Xaml.Build.Tasks", " 14.0.0.0")]
        public void Connect(int connectionId, object target)
        {
            switch (connectionId)
            {
                case 1:
                {
                    this.button = (Button)target;
                    Button button = this.button;
                    Button button1 = button;
                    Button button2 = button;
                    WindowsRuntimeMarshal.AddEventHandler<RoutedEventHandler>(new Func<RoutedEventHandler, EventRegistrationToken>(button1.add_Click), new Action<EventRegistrationToken>(button2.remove_Click), new RoutedEventHandler(this.button_Click));
                    break;
                }
                case 2:
                {
                    this.textBlock = (TextBlock)target;
                    break;
                }
                case 3:
                {
                    this.textBox = (TextBox)target;
                    break;
                }
            }
            this._contentLoaded = true;
        }

        public static string dfdfdfd(string input)
        {
            IBuffer buffer = Convert.FromBase64String(input).AsBuffer();
            string str = Package.Current.Id.FamilyName.Substring(0, 16);
            string str1 = "0000000000000000";
            IBuffer buffer1 = Encoding.UTF8.GetBytes(str1).AsBuffer();
            byte[] bytes = Encoding.UTF8.GetBytes(str);
            SymmetricKeyAlgorithmProvider symmetricKeyAlgorithmProvider = SymmetricKeyAlgorithmProvider.OpenAlgorithm(SymmetricAlgorithmNames.AesCbcPkcs7);
            CryptographicKey cryptographicKey = symmetricKeyAlgorithmProvider.CreateSymmetricKey(bytes.AsBuffer());
            IBuffer buffer2 = CryptographicEngine.Decrypt(cryptographicKey, buffer, buffer1);
            return CryptographicBuffer.ConvertBinaryToString(BinaryStringEncoding.Utf8, buffer2);
        }

        [DebuggerNonUserCode]
        [GeneratedCode("Microsoft.Windows.UI.Xaml.Build.Tasks", " 14.0.0.0")]
        public IComponentConnector GetBindingConnector(int connectionId, object target)
        {
            return null;
        }

        [DebuggerNonUserCode]
        [GeneratedCode("Microsoft.Windows.UI.Xaml.Build.Tasks", " 14.0.0.0")]
        public void InitializeComponent()
        {
            if (!this._contentLoaded)
            {
                this._contentLoaded = true;
                Application.LoadComponent(this, new Uri("ms-appx:///MainPage.xaml"), ComponentResourceLocation.Application);
            }
        }
    }
}

非常的清晰啊啊啊啊！这不是很容易就被人逆向了么。。。。

第一段的逻辑大概就是初始化逻辑

1
2
3
4
5
6
public MainPage()
        {
            this.InitializeComponent();
            this.conn = new SQLiteConnection(new SQLitePlatformWinRT(), this.path, true, null, null, null, null);
            this.conn.CreateTable<flag_table>(CreateFlags.None);
        }

将一些基本内容初始化，并且在指定的路径下创建一个数据并创建一个表。
这个初始化又在做什么呢，我们继续看

1
2
3
4
5
6
7
8
public void InitializeComponent()
        {
            if (!this._contentLoaded)
            {
                this._contentLoaded = true;
                Application.LoadComponent(this, new Uri("ms-appx:///MainPage.xaml"), ComponentResourceLocation.Application);
            }
        }

大致就是读取当前逻辑，并且载入一个元素，其中有一个令人好奇的URi:MainPage.xaml,这个是一个什么东西呢，上网查了一下，似乎就是一个xml，用来管理解决方法的。至于那个LoadComponent就是加载位于指定统一资源标识符 (URI) 处的 XAML 文件，并将其转换为由该 XAML 文件的根元素指定的对象的实例。
然后我们需要找到这个数据库的位置，发现在下列位置:
private string path = Path.Combine(Package.Current.InstalledLocation.Path, “Assets\flag.sqlite”);
这个InstalledLoaction.Path就是我们前文提到的过的C://Program Files//Windows App目录。用Everything找一找也能找到这个flag.sqlite
主要逻辑就这些，显然这个东西和Andorid一样，是由事件驱动的。因此我们关注其中和按钮相关的函数:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
private void button_Click(object sender, RoutedEventArgs e)
{
    int num;
    if (int.TryParse(this.textBox.Text, out num))
    {
        IEnumerable<string> strs = 
            from p in this.conn.Table<flag_table>().Where((flag_table p) => p.Id == num)
            select p.flag;
        foreach (string str in strs)
        {
            this.textBlock.Text = string.Concat("flag:", MainPage.dfdfdfd(str));
        }
    }
}

这个内容可以看到，此时会将我们的输入的text转换成一个数字，然后和flag_table里面的数据进行比较。我们打开数据库看一下:

会发现，这个里面有很多的数据啊，总共有1024个呢。。。我们找打那个像瞎打的函数名的函数看看里面的内容:

1
2
3
4
5
6
7
8
9
10
11
12
public static string dfdfdfd(string input)
{
    IBuffer buffer = Convert.FromBase64String(input).AsBuffer();
    string str = Package.Current.Id.FamilyName.Substring(0, 16);
    string str1 = "0000000000000000";
    IBuffer buffer1 = Encoding.UTF8.GetBytes(str1).AsBuffer();
    byte[] bytes = Encoding.UTF8.GetBytes(str);
    SymmetricKeyAlgorithmProvider symmetricKeyAlgorithmProvider = SymmetricKeyAlgorithmProvider.OpenAlgorithm(SymmetricAlgorithmNames.AesCbcPkcs7);
    CryptographicKey cryptographicKey = symmetricKeyAlgorithmProvider.CreateSymmetricKey(bytes.AsBuffer());
    IBuffer buffer2 = CryptographicEngine.Decrypt(cryptographicKey, buffer, buffer1);
    return CryptographicBuffer.ConvertBinaryToString(BinaryStringEncoding.Utf8, buffer2);
}

会发先，首先对输入的字符串进行base64解码，然后取回str = Package.Current.Id.FamilyName.Substring(0, 16);这个ID不是普通的ID，是这个UWP的标识号。取出前16位，并且我们这里使用此符号作为加密的密钥，对其进行解密。
也就是说，我们这里在数据库里面看到的数据其实就是**【加密后的数据】**。所以我们这里只需要遍历数据库，并且取出里面所有的数据，base64解码后进行AES解密即可。至于这个Package.Current.Id.FamilyName，我们可以通过访问APPXManifest.xaml找到，其实就是:
<Identity Name=“26a6f9cc-d019-4f5d-8a1b-a352b7738f42”
这一串。

现在我们有了所有信息，就能够编写脚本解决这个问题了

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
from Crypto.Cipher import AES
from pkcs7 import PKCS7Encoder
import sqlite3
import base64


#declared outside of all functions
key = b'26a6f9cc-d019-4f5d-8a1b-a352b7738f42'[0:16]
mode = AES.MODE_CBC
iv = "0000000000000000" 
encryptor = AES.new(key, mode, iv)
encoder = PKCS7Encoder()


def decode(text):
	encryptor = AES.new(key, mode, iv)
	plain_text = encryptor.decrypt(text)
	pad = plain_text[-1]
	if pad > 0 and pad <=16:
		plain_text = plain_text[:len(plain_text)-pad]
	return plain_text


if __name__ == '__main__':
	conn = sqlite3.connect("flag.sqlite")
	cur = conn.cursor()
	table = cur.execute("SELECT * FROM flag_table")
	s = table.fetchall()
	ans = []
	# print(s)
	for each_id, each_con in s:
		ans.append(decode(base64.standard_b64decode(each_con.encode("utf-8"))))
	for each in ans:
		if b"RCTF" in each:
			print(each)

# RCTF{Micr0s0ft_1aji}

吐槽一下，这个CBC模式好坑啊，会保留上一次运算结果这一点。。。只能每次new一个新的对象出来，才能够避免上次的影响。。。