| EBPIG |
|
MHJDQ |
|
|
知识共享J资源共享J资料共享 | |
| 【发行时间】2000-11-18 |
| 【期刊号码】第二十一期 |
| 【网站地址】http://programhunter.myetang.com |
| 【版权声明】♀▁▂▃▄▅▆▇█程式猎人█▇▆▅▄▃▂▁♂ |
|
|
此杂志由程式猎人编辑、制作及发行；杂志可以自由转载、分发和传播；任何个人或团体不得在未经本人授权的情况下修改杂志的外观及内容；杂志的解释权归程式猎人所有。 | |
|
【编辑寄语】 |
{~._.~}
( Y )
()~*~()
(_)-(_) |
�今天本应当向大家发行我翻译的关于PE的文章，可是我想应当仔细的研究一下其他人关于import
table方面文章，毕竟有许多单词的意思不是很好翻译，并且翻译后没有一个统一的标准，所以准备在下周向大家介绍，希望大家能够原凉，并且这段时间本人也比较忙，所以对于破解方面的工作花的也少，再一次希望大家凉解。
| |
| |
| 【目 �� 录】 |
|
|
| |
| &【破解心得】 |
PixWizard ver 1.24
程式猎人
简介：支持相当多图形文件格式及容易使用的秀图软件，除了秀图外，还可做影像处
理，转换，屏幕撷取等，支持OS/2的BMP，Windows的BMP，EMF，GIF，IFF，
JPEG，MAC，MSP，PCD，PCX，PIC，PICT，PNG，PPM，Targa，TIFF，WMF，WPG等
格式的秀图和图形文件转换。
追踪：这个软件是time bomb类型的软件，所以将它的时间限制删除就可以了。
使用W32来反汇编这个软件后查找字符串，如下：
|:004074C3(C)
|
* Possible StringData Ref from Data Obj ->"days"
|
:004074CC 68F8E54700 push 0047E5F8
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004074CA(U)
|
:004074D1 8D4C2414 lea ecx, dword ptr [esp+14]
* Reference To: MFC42.Ordinal:03AD, Ord:03ADh
|
:004074D5 E8E0390200 Call 0042AEBA
* Possible StringData Ref from Data Obj ->" left in your evaluation period."
|
:004074DA 68D4E54700 push 0047E5D4
:004074DF 8D4C2414 lea ecx, dword ptr [esp+14]
* Reference To: MFC42.Ordinal:03AD, Ord:03ADh
|
:004074E3 E8D2390200 Call 0042AEBA
:004074E8 EB0E jmp 004074F8
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:00407484(C), :00407489(C)
|
* Possible StringData Ref from Data Obj ->"Your evaluation period has expired."
|
:004074EA 68B0E54700 push 0047E5B0
:004074EF 8D4C2414 lea ecx, dword ptr [esp+14]
* Reference To: MFC42.Ordinal:035C, Ord:035Ch
|
:004074F3 E8DA390200 Call 0042AED2
在这上面可以看到程序在试用期内和过期的字符串，所以向上查找从何处跳跃到这里来的。
* Reference To: MFC42.Ordinal:0B02, Ord:0B02h
|
:00407474 E8353A0200 Call 0042AEAE
:00407479 8B86FC000000 mov eax, dword ptr [esi+000000FC]
:0040747F 83C40C add esp, 0000000C
:00407482 3BC5 cmp eax, ebp
:00407484 7E64 jle 004074EA
:00407486 83F81E cmp eax, 0000001E
:00407489 7F5F jg 004074EA
从这里跳跃向上面的地方，现在知道了，只要将这里修改一下就可以破解这个软件的时间炸弹了。
现在大家同一样认为这样做破解就算完成了，可是如果你按照上面去做的话，会得到什么
的结果呢？我修改完后再运行程序，程序就无论如何也不再出现窗口了。
我想程序很有可能是有CRC验证过程，我们再追踪，看一看程序到底是在哪里使用了CRC验
证过程。
:0041F32C E8E5C50000 Call 0042B916
:0041F331 8D9424B4010000 lea edx, dword ptr [esp+000001B4]
:0041F338 6804010000 push 00000104
:0041F33D 52 push edx
:0041F33E 8D8C24BC010000 lea ecx, dword ptr [esp+000001BC]
:0041F345 E8360A0000 call 0041FD80
:0041F34A 3B442418 cmp eax, dword ptr [esp+18]
:0041F34E 743A je 0041F38A
:0041F350 8D8C249C000000 lea ecx, dword ptr [esp+0000009C]
:0041F357 C684246408000004 mov byte ptr [esp+00000864], 04
:0041F35F E8AB540200 call 0044480F
:0041F364 8D8C248C000000 lea ecx, dword ptr [esp+0000008C]
:0041F36B 889C2464080000 mov byte ptr [esp+00000864], bl
* Reference To: MFC42.Ordinal:0299, Ord:0299h
|
:0041F372 E899C50000 Call 0042B910
:0041F377 8D4C2410 lea ecx, dword ptr [esp+10]
:0041F37B C684246408000001 mov byte ptr [esp+00000864], 01
* Reference To: MFC42.Ordinal:0320, Ord:0320h
|
:0041F383 E81ABB0000 Call 0042AEA2
:0041F388 EB40 jmp 0041F3CA
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0041F34E(C)
|
* Possible StringData Ref from Data Obj ->"Shareware Version"
|
:0041F38A 68308B4A00 push 004A8B30
:0041F38F 8D8C24B8010000 lea ecx, dword ptr [esp+000001B8]
:0041F396 E825EFFFFF call 0041E2C0
:0041F39B 8BF0 mov esi, eax
:0041F39D 889C2464080000 mov byte ptr [esp+00000864], bl
:0041F3A4 85F6 test esi, esi
:0041F3A6 8D8C248C000000 lea ecx, dword ptr [esp+0000008C]
:0041F3AD 7423 je 0041F3D2
:0041F3AF E87C090000 call 0041FD30
:0041F3B4 8D4C2410 lea ecx, dword ptr [esp+10]
:0041F3B8 C684246408000001 mov byte ptr [esp+00000864], 01
* Reference To: MFC42.Ordinal:0320, Ord:0320h
|
:0041F3C0 E8DDBA0000 Call 0042AEA2
:0041F3C5 83FE01 cmp esi, 00000001
:0041F3C8 741E je 0041F3E8
经过追踪，发现在上面的比较地方是关键的跳跃，这里如果改掉后，就可以运行了。
现在将时间调后一年，再运行程序，大家想一想如何，程序出现程序窗口，也出现了提示
窗口，但是就是当你点击contune后，程序自动退出，所以说这个程序还有验证地方，没有
办法，再追踪。在比较时间的地方向下追踪，因为程序在哪里可以被拦下来，所以就向下追踪：
:00407547 50 push eax
:00407548 8D4C2458 lea ecx, dword ptr [esp+58]
:0040754C FF5264 call [edx+64]
:0040754F 8B86FC000000 mov eax, dword ptr [esi+000000FC]
:00407555 3BC5 cmp eax, ebp
:00407557 7E0F jle 00407568
:00407559 83F81E cmp eax, 0000001E
:0040755C 7F0A jg 00407568
:0040755E C7860C01000001000000 mov dword ptr [esi+0000010C], 00000001
来到这里，大家发现吧，程序在这里又是一个验证时间的地方，不用多说，改掉它，这
回程序再运行，可以了，在提示窗口中提示你已经是-345天了。
现在可以说这个软件是破解成功了。
|
|
|
duelist crackme 1 破解 (希望转载的时候保持完整）
作者 丁丁虾 ddxia/[CCG]
目标 duelist crackme 1
目标URL http:\\go.163.com\~ddxia\crackme\DueList\Due-cm1.zip
工具 SoftIce4.01 for NT
乐趣 可以直接修改程序代码,得到序列号(懒人方法)^_^
首先看看它的readme.txt(建议在Crack Crackme前，读一读，会有些帮助的)，是 Duel
ist写的第一个纯ASM的Crackme。
运行，会发现它需要一个序列号，别忙下中断，看看是那一种出错信息，随便填下123
，然后按check按钮，会弹出一个出错对话框！然后按OK返回主程序。
对症下药啦！:)
Ctrl+D 激活SICE
BPX MESSAGEBOXA
Ctrl+D 返回程序。
再按check按钮，就会拦截下来，跟着按F11跳出MESSAGEBOXA的系统代码(有点象TRW的P
moudle)，光带会停在001B:00401193
001B:0040117D 6800200000 PUSH 00002000
001B:00401182 6801204000 PUSH 00402001
001B:00401187 6863204000 PUSH 00402063
001B:0040118C 6A00 PUSH 00
001B:0040118E E85C010000 CALL USER32!MessageBoxA
001B:00401193 E95CFFFFFF JMP 004010F4
^^^^^^^^^^^^^^^^^^^^^^^^^^^---->光标会停在此处
有了结果，于是我们很想去知道原因是为什么？对吗？所以我们要回顾一下历史，（是
啊！在代码的历史中，永远都不会过期，可以追寻，可以重新来过，也可以重头来过，但在
现实中，历史永远是历史，现在的我们只能是回忆、留恋，如果想在你的历史长河里留下精
彩瞬间，请把握好今天吧！！）
简单注册方式：得到代码------》进行变化-----》然后进行比较----》对否？
我们可以看到如下的代码：
001B:004010FB 6A24 PUSH 24
001B:004010FD 68F7204000 PUSH 004020F7
^^^^^^^^^^^^^^^^^^^^^^^^----->GetDlgItemTextA是存放你输入
注册码的地方
001B:00401102 6A01 PUSH 01
001B:00401104 FF7508 PUSH DWORD PTR [EBP+08]
001B:00401107 E855020000 CALL USER32!GetDlgItemTextA
^^^^^^^^^^^^^^^^^^^^^^^^----->得到注册码
001B:0040110C 33C0 XOR EAX,EAX
001B:0040110E 80B8F720400000 CMP BYTE PTR [EAX+004020F7],00
^^^^^^^^^^^^^^^^^^^^^^^^----->比较是否输入？
001B:00401115 7418 JZ 0040112F
001B:00401117 80B0F720400043 XOR BYTE PTR [EAX+004020F7],43
001B:0040111E 80B0F72040001E XOR BYTE PTR [EAX+004020F7],1E
001B:00401125 80B0F720400055 XOR BYTE PTR [EAX+004020F7],55
^^^^^^^^^^^^^^^^^^^^^^^^----->进行注册码变化
001B:0040112C 40 INC EAX
001B:0040112D E2DF LOOP 0040110E
001B:0040112F 83F800 CMP EAX,00
001B:00401132 7518 JNZ 0040114C
^^^^^^^^^^^^^^^^^^^^^^^^----->转化完没有？？
001B:00401134 6800200000 PUSH 00002000
001B:00401139 6801204000 PUSH 00402001
001B:0040113E 689D204000 PUSH 0040209D
001B:00401143 6A00 PUSH 00
001B:00401145 E8A5010000 CALL USER32!MessageBoxA
001B:0040114A EBA8 JMP 004010F4
001B:0040114C 6A24 PUSH 24
001B:0040114E 68D3204000 PUSH 004020D3
001B:00401153 68F7204000 PUSH 004020F7
001B:00401158 E864000000 CALL 004011C1
^^^^^^^^^^^^^^^^^^^^^^^^----->进行比较的子程序
001B:0040115D 83F800 CMP EAX,00
^^^^^^^^^^^^^^^^^^^^^^^^----->是否正确？？
001B:00401160 741B JZ 0040117D (JUMP )
001B:00401162 6800200000 PUSH 00002000
001B:00401167 6801204000 PUSH 00402001
001B:0040116C 6817204000 PUSH 00402017
001B:00401171 6A00 PUSH 00
001B:00401173 E877010000 CALL USER32!MessageBoxA
我们可以注意到两个地址
一个是 004020D3 -----存放着进过变化的注册码
另一个是004020F7 -----用输入的注册码
:d 4020d3 4020f5
0023:004020D3 7B 61 65 78 64 6D 26 6B-7A 69 6B 63 65 6D 26 3C {aexdm&kzikcem&<
0023:004020E3 26 66 6D 7F 6A 61 6D 7B-26 6A 71 26 6C 7D 6D 64 &fmjam{&jq&l}md
0023:004020F3 61 7B 7C 00 31 32 33 00-00 00 00 00 00 00 00 00 a{|.123.........
程序进行变化的代码仅仅是XOR，一种非常简单加密方法，有BUG呵呵，于是用SICE修改代码为如下：
001B:0040110E 80B8D320400000 CMP BYTE PTR [EAX+004020D3],00
001B:00401115 7418 JZ 0040112F
001B:00401117 80B0D320400043 XOR BYTE PTR [EAX+004020D3],43
001B:0040111E 80B0D32040001E XOR BYTE PTR [EAX+004020D3],1E
001B:00401125 80B0D320400055 XOR BYTE PTR [EAX+004020D3],55
仅仅是把这四句中的004020F7换为004020D3，即修改F7为D3，然后让程序再运行一
遍，呵呵~~程序会自动显示正确注册码！赶紧抄下来！
0023:004020D3 73 69 6D 70 6C 65 2E 63-72 61 63 6B 6D 65 2E 34 simple.crackme.4
0023:004020E3 2E 6E 65 77 62 69 65 73-2E 62 79 2E 64 75 65 6C .newbies.by.duel
0023:004020F3 69 73 74 00 31 32 33 00-00 00 00 00 00 00 00 00 ist.123.........
退出程序，重新运行，输入simple.crackme.4.newbies.by.dueist，OK 收工 :D
总结：在Crack中，可以发挥自己的主观能动性(哗！上青少年修养课啊！我倒.........)
发挥想象力，不需要居伲于哪一种方法，尽管去发挥。Crack的精华之处在于不断的探索和创新！
时间：2000.10.16 19:45
提议：该回家，爱护一下自己的胃了 :)
|
|
|
duelist crackme 4 破解 (希望转载的时候保持完整)
作者 丁丁虾 ddxia/[CCG]
E_mail ddxia@263.net (如果Crackme教学文章中有错，请来信:))
Web http://go18.163.com/~ddxia
目标 duelist crackme 4
目标URL http://go18.163.com/~ddxia/crackme/DueList/Due-cm4.zip
工具 SoftIce4.01 for NT winapi.hlp
据readme.txt说，用秘密表的形式来进行加密，解起来有些困难。同时要做一个KEYGEN
这次不用BPX MESSAGEBOXA 换一下口味！:)
因为这次Crackme是要输入USER/CODE，一定要经过变化才进行比较，所以在Crackme得到
假的USER/CODE时，把它断下来。
bpx getwindowtexta ------啊哦！！没有用！
bpx getdlgitem ------与DLG操作有都断下来。
结果按下check后，就给断下来了，F11 然后再按F12 返回Crackme的代码空间
用SICE截下如下代码，COME ON BABY！！分析代码哦！！非常的有趣的活哦！:)
:u 401127 L13d
001B:00401127 6A00 PUSH 00
001B:00401129 6A00 PUSH 00
001B:0040112B 6A0E PUSH 0E
001B:0040112D 6A03 PUSH 03
001B:0040112F FF7508 PUSH DWORD PTR [EBP+08]
001B:00401132 E841020000 CALL USER32!SendDlgItemMessageA
SendDlgItemMessage这个API调用了四次，来我们看一看它到底有什么用？
LONG SendDlgItemMessage(
HWND hDlg, // 对话框的句柄
int nIDDlgItem, // 控件的ID号
UINT Msg, // 传送的消息
WPARAM wParam, // 第一个消息参数
LPARAM lParam // 第二个消息参数
);
从程序中我们可以知道当UINT Msg=E 时 是取输入字符的个数
当UINT Msg=D 时 是取输入字符的内容
001B:00401137 A3AF214000 MOV [004021AF],EAX
^^^^^^^^^^^^^^^^^^^^^^^^---->取输入USER的个数
001B:0040113C 83F800 CMP EAX,00
001B:0040113F 0F84D5000000 JZ 0040121A
001B:00401145 83F808 CMP EAX,08
001B:00401148 0F8FCC000000 JG 0040121A
^^^^^^^^^^^^^^^^^^^^^^^----->检查输入个数是否
大于0小于8
001B:0040114E 8BF0 MOV ESI,EAX
^^^^^^^^^^^^^^^^^^^^^^^----->注意这个
001B:00401150 6A00 PUSH 00
001B:00401152 6A00 PUSH 00
001B:00401154 6A0E PUSH 0E
001B:00401156 6A04 PUSH 04
001B:00401158 FF7508 PUSH DWORD PTR [EBP+08]
001B:0040115B E818020000 CALL USER32!SendDlgItemMessageA
001B:00401160 83F800 CMP EAX,00
001B:00401163 0F84B1000000 JZ 0040121A
001B:00401169 3BF0 CMP ESI,EAX
001B:0040116B 0F85A9000000 JNZ 0040121A
^^^^^^^^^^^^^^^^^^^^^^^------>比较user/code
输入的个数是否相等
相等就继续
001B:00401171 6860214000 PUSH 00402160
001B:00401176 6A08 PUSH 08
001B:00401178 6A0D PUSH 0D
001B:0040117A 6A03 PUSH 03
001B:0040117C FF7508 PUSH DWORD PTR [EBP+08]
001B:0040117F E8F4010000 CALL USER32!SendDlgItemMessageA
^^^^^^^^^^^^^^^^^^^^^^^^----->取的USER 放入402160
001B:00401184 6879214000 PUSH 00402179
001B:00401189 6A10 PUSH 10
001B:0040118B 6A0D PUSH 0D
001B:0040118D 6A04 PUSH 04
001B:0040118F FF7508 PUSH DWORD PTR [EBP+08]
001B:00401192 E8E1010000 CALL USER32!SendDlgItemMessageA
^^^^^^^^^^^^^^^^^^^^^^^^----->取的CODE 放入402160
001B:00401197 B9FFFFFFFF MOV ECX,FFFFFFFF
001B:0040119C 41 INC ECX
001B:0040119D 0FBE8160214000 MOVSX EAX,BYTE PTR [ECX+00402160]
001B:004011A4 83F800 CMP EAX,00
001B:004011A7 7432 JZ 004011DB
001B:004011A9 BEFFFFFFFF MOV ESI,FFFFFFFF
001B:004011AE 83F841 CMP EAX,41
^^^^^^^^^^^^^^^^^^^^^^^^----->41=‘A’
001B:004011B1 7C67 JL 0040121A
001B:004011B3 83F87A CMP EAX,7A
^^^^^^^^^^^^^^^^^^^^^^^^----->7A=‘z’
001B:004011B6 7762 JA 0040121A
001B:004011B8 83F85A CMP EAX,5A
^^^^^^^^^^^^^^^^^^^^^^^^----->41=‘Z’
001B:004011BB 7C03 JL 004011C0
^^^^^^^^^^^^^^^^^^^^^^^^----->这几句代码是判断
USER是否输入了字符
001B:004011BD 83E820 SUB EAX,20
^^^^^^^^^^^^^^^^^^^^^^^^----->全部转化为大写
001B:004011C0 46 INC ESI
001B:004011C1 0FBE9617204000 MOVSX EDX,BYTE PTR [ESI+00402017]
^^^^^^^^^^^^^^^^^^^^^^^^----->在402017表相对应的
位置
001B:004011C8 3BC2 CMP EAX,EDX
001B:004011CA 75F4 JNZ 004011C0
^^^^^^^^^^^^^^^^^^^^^^^^----->表中找到后在去另一
40203C表去寻找对应
的值。
001B:004011CC 0FBE863C204000 MOVSX EAX,BYTE PTR [ESI+0040203C]
001B:004011D3 898194214000 MOV [ECX+00402194],EAX
001B:004011D9 EBC1 JMP 0040119C
:d 402017
0023:00402017 41 31 4C 53 4B 32 44 4A-46 34 48 47 50 33 51 57 A1LSK2DJF4HGP3QW
0023:00402027 4F 35 45 49 52 36 55 54-59 5A 38 4D 58 4E 37 43 O5EIR6UTYZ8MXN7C
0023:00402037 42 56 39 00 BV9.
:d 40203c
0023:0040203C 53 55 37 43 53 4A 4B 46-30 39 4E 43 53 44 4F 39 SU7CSJKF09NCSDO9
0023:0040204C 53 44 46 30 39 53 44 52-4C 56 4B 37 38 30 39 53 SDF09SDRLVK7809S
0023:0040205C 34 4E 46 00 4NF.
001B:004011DB FF35AF214000 PUSH DWORD PTR [004021AF]
001B:004011E1 6894214000 PUSH 00402194
001B:004011E6 6879214000 PUSH 00402179
001B:004011EB E854000000 CALL 00401244
^^^^^^^^^^^^^^^^^^^^^^----->比较子程序
转换后的值与CODE相比较
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
比较程序代码：（虽然简单，但是有漏洞哦！:) 呵呵~~~ ）
当USER为一个字母的时候，CODE可以为任意字符 :)
可以试一下 user:a /code:= 是可以的！！
想一想，关键就在这个JCXZ 00401260的判断
不知道是作者故意的，还是BUG，自己去想吧 呵呵~~~~~~
:u 401244 L20
001B:00401244 C8000000 ENTER 0000,00
001B:00401248 B801000000 MOV EAX,00000001
001B:0040124D 8B7D08 MOV EDI,[EBP+08]
001B:00401250 8B750C MOV ESI,[EBP+0C]
001B:00401253 8B4D10 MOV ECX,[EBP+10]
001B:00401256 F3A6 REPZ CMPSB
001B:00401258 67E305 JCXZ 00401260
001B:0040125B B800000000 MOV EAX,00000000
001B:00401260 C9 LEAVE
001B:00401261 C20C00 RET 000C
++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
001B:004011F0 83F801 CMP EAX,01
001B:004011F3 0F84DEFEFFFF JZ 004010D7
001B:004011F9 EB1F JMP 0040121A
001B:004011FB 837D1001 CMP DWORD PTR [EBP+10],01
001B:004011FF 0F8422FFFFFF JZ 00401127
001B:00401205 837D1002 CMP DWORD PTR [EBP+10],02
001B:00401209 752F JNZ 0040123A
001B:0040120B E8B4000000 CALL KERNEL32!ExitProcess
001B:00401210 B801000000 MOV EAX,00000001
001B:00401215 E9FFFEFFFF JMP 00401119
001B:0040121A 6800200000 PUSH 00002000
001B:0040121F 6801204000 PUSH 00402001
001B:00401224 68AE204000 PUSH 004020AE
001B:00401229 6A00 PUSH 00
001B:0040122B E836010000 CALL USER32!MessageBoxA
001B:00401230 B800000000 MOV EAX,00000000
001B:00401235 E9DFFEFFFF JMP 00401119
001B:0040123A B800000000 MOV EAX,00000000
001B:0040123F E9D5FEFFFF JMP 00401119
时间：2000.10.19 20:99
--------------------------------------------------------------------------------
|
|
|
|
,【杂志信箱】 |
| 投稿信箱：discoveredit@china.com |
| 答疑信箱：discoveranswer@china.com |
| 斑竹信箱：programhunter@china.com |
|
| |