[HaBo]

War recht interessant das ganze rumgepacke und -codiere.
Das Crackme an sich hat einen einfachen Algo, der aber trickreich verpackt ist.
Um mal nen Key zu nennen "(;" (also ohne die anführungszeichen)

Erstmal ist aufgefallen, dass das Bild viel größer ist als es sein müsste. Also erstmal die "überflüssigen" Bytes am Ende der Datei in eine neue Datei geschrieben. Die Daten sehen noch recht zufällig aus und es fällt auf, dass es gerade 52 byte kleiner ist als das bereinigte erste Bild. 52 Bytes sind BMP-Header und Infos. Also den Header davor und Bild angeguckt... da ist ja der Peter ;)
Jetzt sind in den Datenbytes jeweils das letzte bit von interesse, es ist eine 32bit Zahl (= die Größe) sowie die eigentliche ELF-Datei, das Programm zum extrahieren dürfte nicht das Problem sein :)

Das Crackme ist dann relativ einfach (bis auf einen Punkt, dazu später). Es wird ein String eingelesen und dann Zeichen für Zeichen betrachtet.
Erstmal wird das Zeichen mit 0xcf maskiert (also bit 5 und 4 gelöscht), dann wird, sofern das Ergebnis größer als das vorherige oder gleich null ist folgendes berechnet:
endergebnis += f(ergebnis)*indexInSerial+ergebnis
Das Endergebnis muss am Ende 20 sein.
Die Funktion f wiederum wendet xor auf einen Speicherbereich an, führt ihn danach aus und führt das xor nochmal aus. Es wird also Programmcode entschlüsselt, ausgeführt und wieder verschlüsselt.
Also gdb angeschmissen, breakpoint kurz vor dem call gesetzt und dann den entschlüsselten Bereich angezeigt, in Assembler. Mit etwas Übung sieht man recht schnell, dass es nichts weiter macht als zu prüfen, ob das Argument eine Primzahl ist.