硬件断点之-另类的注册信息保存

目标软件下载地址http://www.nine-head-bird.com

申明：软件是国产的，咱们需要保护，我所讲到的只是方法。请大家珍惜别人的产品。

废话不多说：

安装后，查壳ASProtect 2.1x SKE -> Alexey Solodovnikov

脱壳就不说了，没有Stolen Code ，很简单，实在搞不定就用带壳分析，打补丁注册。

脱壳后丢OD里运行查看启动窗口为未注册输入假码提示下次重启软件验证注册。此软件为重启验证！

我们就从这个“未注册”入手。查找字符串找到

0045EE58   .  FFD7          call edi                                 ; \DrawTextA

0045EE5A   .  A1 5C3E4B00   mov eax,dword ptr ds:[0x4B3E5C]

0045EE5F   .  3958 F8       cmp dword ptr ds:[eax-0x8],ebx

0045EE62   .  75 10         jnz XUnPack_.0045EE74                                                                  jnz跳了就是注册版了      

0045EE64   .  68 FCDD4A00   push UnPack_.004ADDFC                                                     ;  未注册

0045EE69   .  8D4C24 10     lea ecx,dword ptr ss:[esp+0x10]

0045EE6D   .  E8 B0F90100   call <jmp.&mfc42.#860>

0045EE72   .  EB 13         jmp XUnPack_.0045EE87

我们就在0045EE58下断重启软件，改JNZ为jmp或je，软件启动后，软件注册框还在，软件的关于提示是注册的。这样的逆向不是我们要的！

再分析代码

0045EE5A   .  A1 5C3E4B00   mov eax,dword ptr ds:[0x4B3E5C]

0045EE5F   .  3958 F8       cmp dword ptr ds:[eax-0x8],ebx        

0045EE62      75 10         jnz XUnPack_.0045EE74

Ebx改为1就是我们上面的修改方案。好吧！我们动下ds:[003A4378]=00000000脑筋，下硬件断点重启软件

在oep的地方，我们点硬件断点跟随，查看数值的变化。003A4378初始值为4，在第三次中断后值为0，一直到软件启动完毕003A4378一直是0。好吧我们重启软件在第二次中断后单步，注意003A4378值的变化。

0045D363   .  74 12         je XUnPack_.0045D377                                    如果je跳了，003A4378=4

0045D365   .  68 18394B00   push UnPack_.004B3918                            这是我们想要的，不能让je跳

0045D36A   .  8BCB          mov ecx,ebx

0045D36C   .  E8 B1140200   call <jmp.&mfc42.#860>                              出call后003A4378=0

我们向上再分析代码

0045D34E   > \33FF          xor edi,edi

0045D350   .  33C0          xor eax,eax

0045D352   .  EB 07         jmp XUnPack_.0045D35B

0045D354   >  B8 01000000   mov eax,0x1         修改mov eax，0或xor eax，eax

0045D359   .  33FF          xor edi,edi                  

0045D35B   >  3BC7          cmp eax,edi

0045D35D   .  8986 EC000000 mov dword ptr ds:[esi+0xEC],eax

0045D363   .  74 12         je XUnPack_.0045D377    如果je跳了，0045D36C=4

好了

0045D354      B8 00000000   mov eax,0x0

爆破成功，注册框没有了，关于是

Volx是默认的，这。。。。。。也不是我们想要的，继续！查看注册表注册项没有volx，本地目录有个StockMan.mdb，我们猜下他的注册信息放在什么地方呢？

找一个access数据库浏览器查看下就知道了

启动软件完美爆破

爆破后注册信息就保存了，用未脱壳的程序进去，软件也是注册的

StockManSetup.rar (3.02 MB, 下载次数: 66)

2014-12-1 21:52 上传

点击文件名下载附件

国内软件太多了还是把这个给玩死吧

写得还不错、但是有不足 我这里提一个意见吧

就是在你下完硬件断点以后 重启软件那一段，我也是没看懂、能不能补几个图详细说下

看了下   思路还算顺 没走弯路

感谢分享  来学习下

520Kelly 发表于 2014-12-1 21:04
写得还不错、但是有不足 我这里提一个意见吧

就是在你下完硬件断点以后 重启软件那一段，我也是没看懂、 ...

补了3张图，做图文真的是说不清楚，下次改做视频吧

mm475 发表于 2014-12-1 21:28
补了3张图，做图文真的是说不清楚，下次改做视频吧

其实你做视频更好点、写图文很多细节不能说清楚，做视频的话 用语音快点

学习了！谢谢楼主！

谢谢分享  请大神指点一下 我的网名  好三易语言

这个可以有。。厉害