小白从修改跳转到分析汇编分享经验和一些心得

一、
1、入学1个多月了，学习时断时续，但我在坚持，对逆向分析有了一点点的进步，感谢恒大及支撑论坛的老大们。谢谢。
2、一直觉得汇编，讳莫如深，完全没基础的小白我，只能是遇到困难学困难，遇到麻烦学麻烦。我昨晚自己比喻，人家是地基打的差不多，盖楼，地基有需要修补的地方去修补，。。。
我只能直接盖楼，遇到需地基的时候，挖土，插一根钢筋，埋上土，接着盖楼，再遇到需要地基的时候，再刨开土，加一铁钱水泥，再埋上土，再接着盖楼......................................
大家可想而知，大把的时间，大量的精力，。。。。但是，当我盖出一间小屋时，虽然只有1层，虽然不狠漂亮，但是，很有成就感，很开心。
二、
1、还是拿格盘大大那个BC++的软件，接着我上个主题继续说，，，，这是纯小白教程，，，各路大大略过。
https://www.52hb.com/forum.ph ... =1&extra=#pid166043
2、上回说到，我们跳过了注册窗，但因为试用过期，自动退出，所以我们直接跳过是不行的。
（当然，这里可以从退出的api入手分析，但是这次是受m大启发，我们分析一下汇编。）
三、（以下很多知识是从mm475老大处学来的，在此致敬）
1、m大说了，必须要让这里不相等：

我第一反应是将0变成1，转念一想，这和直接修改跳转有何不同？结果肯定也是自动退出。所以我们要修改前面部分（byte取字节操作）， 这个是不能直接改的。m大是下的硬件断点，我们来另一个思路，查找参考地址常量。

地址常量我到现在没有一个概念，总之是在程序中查找cmp命令里两个参数的所有的情况。

我们看到，大多是cmp比较，包括刚才那个比较。
有3个是mov赋值。
这里当然我们可以一个个改cmp里的常量0为1，但如果有更多地cmp怎么办呢，那么多断点，调试时会很麻烦。
所以我们想办法修改mov，让他从赋值开始就是1。3处mov我们下断，我们可以看到一处是直接用0赋值，另外两处都是al赋值。
如果直接把0改成1，赋值给btye，那就太简单了，99%可能是要修改那个al（al和eax有关系）。
2、重载（之前的所有断点禁用或删除），运行，断下：

我们看到这是直接用0赋值的那个mov，信息窗口里显示字段里面的地址是C826ED，值为0，我们在数据窗定位到他。
（其实关键跳上面那个那个cmp，里的byte那一段地址也会是C826ED，但是不同电脑，这个地址是不同的，这个由寄存器那里决定。）
我们先改一下，改成1：

看到下面得信息框和数据窗还是0，不要紧，od要下次跑到这个地址时，才会显示出上次修改的值。我们F9再跑。

到了al给mov这里，我们看到C826ED已经是1了，但也发现al此时是0，毫无疑问，f8后，C826ED又会变成0。
所以，之前一步，0改1是没有什么意义的，必须把al变成1才行。
所以，我们向上找al，应该就是在这个call里了。（这个不知有没有技巧，反正我是一步步向上找，遇到call，就进去找）
3、call下断。重载，运行到call这里，进去，找到al，下断（不知有没有技巧，我是一行一行找的）。运行到al这行：

我们看到，程序是将byte ptr ss:[ebp-0x25]赋值给al的，当然这个我们不能直接改成1，下面我总结出3个方法，修改他：
1）我们看到上面一行是把0赋值给byte ptr ss:[ebp-0x25]，所以最容易的是把这里改1，经过下断调试，通过修改几个跳转后，最终把mov byte ptr ss:[ebp-0x25],0x0改成了mov byte ptr ss:[ebp-0x25],0x1，从而把这个1传递给al。
2）猜测这一段的目的可能就是给al赋值，那好，直接段首：mov al,0x1----retn。同样可以达到目的。
3）通过修改[ebp-0x25]这部分内容来改变al。这个意思是ebp值-25（16进制下），ebp=12FBC4，12FBC4-25=12FB9F，正好是信息框里的那个地址（我没有标出箭头，大家看一下信息框），“堆栈 ss:[0012FB9F]=00”，那他为什么=0？，那我们就去找她的堆栈，我们右键寄存器离得EBP，堆栈窗口中跟随，然后堆栈区地址列右键，地址，相对于所选：


这两个图是相对应的，一个是绝对地址显示，一个是相对地址显示。
目前所在行就是EBP：12FBC4，然后我们在右边找它减去25所对应的值。。我们会发现，只有-24，-28，没有-25。
那会不会是这样，没有就是0？所以12FBC4-25=0？那我随便找一个存在的，那就应该不是等于0了。改成-4试试：

现在看不出什么，我们单步走完这段：

到了al赋值这一行，我们在信息框看到，al此时=8，其实如果细心的话，在刚才我们修改成12FBC4-4时，一步后，push eax，我们即可看到eax=8了，也就是说，al和eax那点事儿，因为我没什么基础，只知道al和eax关系那是很密切。
F9后，软件成功启动了，说明我们跳过了试用，（不只是试用的提示和注册的窗口）。
完。
四、
1、我知道我说的可能太细，太罗嗦，我本意就是为像我一样的纯小白们互相学习的，细一些，容易让没基础的朋友了解更多一些。
2、整个过程，肯定有很多说的不对的地方，因为很多名词、术语我也叫不上来，还请老师们指正。方法上，如果我走了弯路，也请指正。
3、认真+努力+勤奋=收获，大家共同进步。最后依然是感谢m大贴子中给出的各种提示和方法。

沙发+++++++++++++++

总结心得体会，赞一个！

整理的不错

前排，求奖励  

写的非常的详细!!

非常好的总结，学习

楼主好厉害，赞一个

感谢了  楼主辛苦

谢谢楼主的提供