实战enablesoft网络验证加VMProtect

alttab · 发表于 2014-10-9 00:28

本帖最后由 altTab 于 2014-10-9 00:41 编辑

实战enablesoft网络验证加VMProtect

enablesoft网络验证他的验证基本都是在释放出来的exd文件上

载入OD

Alt+F9 查看模块文件

双击进去exd文件

一眼就可以看出是delphi的

找关键断可以使用delphi的按钮事件 Ctrl+B FF93200100005BC353

来到这里

call dword ptr ds:[ebx+0x120] 下断点

现在在软件上输入假码让他断下断下后F7单步步入进去

来到这里后一步步单步下去

012D188C单步进去

一路单步下去他发送的过程太漫长就直接到关键地方吧

12D006C 直接nop掉让他无论如何也载入程序窗口

一直走进去你会发现他退出掉了

我们来重新载入OD

当然我试过 ExitProcess 断不下来

然而我发现他是用WM_DESTROY来关闭程序的

所以我们可以下PostQuitMessage断点

PostQuitMessage 函数向系统表明有个线程有终止请求

进入exd模块ctrl+G

77D2CA5A下断点

在登陆下试试

OD在这个函数下断下了第一次断下的时候他并没有对出你可以单步F8下去

也可以直接F9运行第二次断下在00452333

直接在堆栈 call到PostQuiMessage回到程序领空

来到了这里那么关键就在于

0045232D 84C0 test al,al

0045232F 74 07 je XRMScript.00452338

把0045232F的je改成jmp就好了

OK 现在程序已经进来了

但是别高兴的太早了因为我看过这个验证他在3-5分钟的时候还会退出一次

他这次是用终止所有线程

我们可以下TerminateProcess

他触发这个api后就回断在这里

0012FB44 012D2340 /CALL 到 TerminateProcess 来自 RMScri_1.012D233B

在这里回车返回到012D2340处

和PostQuitMessage一样在012D2329 /75 19 jnz XRMScri_1.012D2344

处把jnz改成jmp让他强制跳过去就好了

很早以前做的一个教程现在最新版的enablesoft不知道是否通用没看过看看思路就好了

随便提下为什么是用TerminateProcess 和PostQuitMessage来下断 DLL退出EXE 无非就是用线程来结束进程

PostQuitMessage 该函数向系统表明有个线程有终止请求

TerminateProcess 函数终止指定进程及其所有线程

天线宝宝 · 发表于 2014-10-9 00:30

新的教程，表示占个位置，教程好多-.-

哎呦呦 · 发表于 2014-10-9 00:34

瞬间联想到想破软件的思路了谢了楼主

雨季 · 发表于 2014-10-9 00:35

嗯不错的教程赞一个

Shark恒 · 发表于 2014-10-9 00:35

非常详细，可以加精华，不过是怎么判断他是用WM_DESTROY来关闭程序的，我觉得有必要稍微讲一下，不能一带而过。这样这帖子就完美了。

隋义 · 发表于 2014-10-9 00:37

我只是来看看的，别抓我{:6_158:}

战股神 · 发表于 2014-10-9 12:28

不太适合新手

克克丶 · 发表于 2014-10-10 15:14

很不错的教程，谢谢啦。

qilei1102 · 发表于 2014-10-11 08:59

楼主如此的厉害！！！1

Dean · 发表于 2014-10-11 14:44

没用过这些断点，学习了

		自动登录	找回密码
密码			立即注册

[原创逆向图文] 实战enablesoft网络验证加VMProtect

评分