易语言逆向之【文本比较】

【文章标题】：易语言逆向之文本比较

【逆向要点】：关键是下断的时机要把握好

【附件说明】：CrackMe1是恒大的S03E03课件，CrackMe2是歪坑大大教程用到的课件，CrackMe3是本教程所用的课件（三个CrackMe都可已试试手）

【附上连接】：https://www.52hb.com/thread-2239-1-1.html（恒大的教程）

         https://www.52hb.com/thread-2654-1-1.html（歪坑大大教程）

【详细步骤】：

     1.首先打开软件看看执行流程，输入假码后会弹出错误对话框，不过该CrackMe搜索字符串无果、下按钮事件断点也无果、下消息框断点也无果。今天我们用到的就是“易语言的文本比较”（可能是自己太菜了）。

     2.首先载入OD,直接F9运行程序，等到弹出主程序（也就是注册界面时），我们Alt+E来到易语言体（或者直接Ctrl+G输入00401000），在此处Ctrl+F搜素“test edx,3”.

     3.记住搜索完“test edx,3”，不要忙着下断点，这是为什么呢？

     因为有些程序会检测（可能是时钟，不过用XueTr移除时钟貌似还不行，具体原因不详......），若先下断点，此时就会直接在你下断的地方断下来，可能你点击好几次F9才能运行起来。

    但问题又来了，此时若是在输入假码，只要你一输入一位假码，程序就会断下来，并且处于“假死状态”（也就是说此时明明自己输入了假码，但是输入密码的框里什么也不显示）

如下图所示：

     这种假死状态也不是说追踪不到注册码，只不过麻烦一些，需要连续按F9几次，注意此时的寄存器窗口，可能你每按一次F9假码的位数就会多出一位，你就接着按吧，直到你再次按F9程序跑起来时，也就是显示“运行”时。如下图所示：

     此时程序就不是假死状态了，我们点击确定按钮，注意右侧的寄存器窗口会出现假码，

  但是此时已经被断了下来，我们在按一次F9，真码就出现了

      4.不能说上面的不正确，只是有些麻烦！下断时机选择的不是太好，接下来我们说一种快速的方法。

首先我们搜索到“test edx,3”之后别忙着下断，我们先输入假码（可以看出此时并不是假死状态）

      输完假码之后，再在“test edx,3”地方下断，然后在点击“确定”按钮，点击完“确定”之后会断下来，此时注意寄存器窗口（假码出现了，但是没出现真码）

     我们直接点击F9，此时真码就会出现了（可能有的程序需要点击多次F9）

【经验总结】：

      1.易语言文本比较断点的关键在于下断时机的选择，对于没有暗桩、检测的程序当然下断时机基本上没影响，但是对于有暗桩、检测的就不一样了，时机选得恰当会简单一些。

沙发前排支持

前排支持下

楼主讲的挺详细

前排学习一下

汗，拿我的CM来做教程

感谢分享 学习学习  

灰色 发表于 2015-9-12 17:03
汗，拿我的CM来做教程

大大，求轻虐，我不是故意的

谢谢分享!