初级会计职称考试软件2.0逆向教程

初级会计职称考试软件2.0逆向教程（由于是视频教程就不贴图片了）

下载地址：
http://www.8ksw.com/about.html

查壳，nsPack ver.3.x-4.1 reg by North Star，用NsPack 3.7 脱壳机脱壳

运行脱壳后程序，软件有自校验，提示修改，确定后程序关闭。

1、去除自校验
下BP FindFirstFileA断点。

堆栈窗口，0013FAD8   10065168  /CALL 到 FindFirstFileA 来自 krnln.10065162

反汇编窗口跟随，来到10065168    83F8 FF         cmp eax,-0x1\\F4运行程序至此处。

一路F8，来到006C8D26    83C4 10         add esp,0x10

向上查找，会发现

006C8CA3    B8 09454700     mov eax,初级会计.00474509 ; 易考试版权所有,请勿非法修改软件信息!

006C8A94    B8 09454700     mov eax,初级会计.00474509 ; 易考试版权所有,请勿非法修改软件信息!

再向上，来到段首006C8689    55              push ebp\\F2下断

重新运行程序，程序被断下，直接RETN即可。保存修改后的文件，程序自校验去除了。


2、逆向

下硬件访问断点，重启程序，程序被断在10062A58    F2:AE           repne scas byte ptr es:[edi]

一路F8，来到006C1F2F    8B5D F0         mov ebx,dword ptr ss:[ebp-0x10]          ; 初级会计.00424110

006C1F1B    B8 10414200     mov eax,初级会计.00424110   ; ASCII "试用版本只支持显示部分题目,\r\n\r\n激活后无此限制!"

向上到段首

006C1D0E    55              push ebp\\除花指令，F2下断


006C1DD7    E8 D1EEFFFF     call 初级会计.006C0CAD
006C1DDC    8945 FC         mov dword ptr ss:[ebp-0x4],eax
006C1DDF    90              nop
006C1DE0    90              nop
006C1DE1    90              nop
006C1DE2    90              nop
006C1DE3    837D FC 01      cmp dword ptr ss:[ebp-0x4],0x1
006C1DE7    0F84 72010000   je 初级会计.006C1F5F



006C1DD7    E8 D1EEFFFF     call 初级会计.006C0CAD\\这个CALL很关键

在CALL006C1DD7跟随,进入CALL内部

006C0CAD    55              push ebp\\段首，可以去花指令

006C0DB7    0f94c0          sete al\\这个地方很关键

赋值mov al,1,保存，功能限制去掉，同时注册窗口显示已激活。

程序功能PJ完毕，可能本人使用的win8系统，程序可能兼容性不好，容易出错。

教程及相关资料链接: http://pan.baidu.com/s/1pLlmCUB 密码:

游客，如果您要查看本帖隐藏内容请回复

也可以在006C0CAD    55              push ebp直接赋值

mov eax,1
retn

这个来看看呢

谢谢楼主的无私奉献让我们学到了更多的知识

大神 牛逼 感谢分享

奇了怪了，你脱壳机脱壳后的入口和我手脱后的入口不一样哦，呵呵
这是我手脱后的入口
软件应该是一样的

2017，让我们17吾爱汇编论坛！

谢谢 看看   需要

坎坎坷坷扩扩

学习了，正好是需要用到的资料