OllyDbg 使用笔记 (十)
参考
书:《加密与解密》
视频:小甲鱼 解密系列 视频
示例程序下载地址:http://pan.baidu.com/s/1kT1ce83
这个程序可以从标题栏的“ unregistered”入手,查找所有参考文本字串,搜索 “unregistered”
可以找到这段代码:
004046DD 90 nop
004046DE 90 nop
004046DF 90 nop
004046E0 /$ 8A4424 04 mov al, byte ptr [esp+4]
004046E4 |. 84C0 test al, al
004046E6 |. 74 12 je short 004046FA
004046E8 |. A1 440A4300 mov eax, dword ptr [430A44]
004046ED |. 68 F09C4200 push 00429CF0 ; /Text = "Flash Jigsaw Producer"
004046F2 |. 50 push eax ; |hWnd => NULL
004046F3 |. FF15 5C924200 call dword ptr [<&USER32.SetWindowTex>; \SetWindowTextA
004046F9 |. C3 retn
004046FA |> 8B0D 440A4300 mov ecx, dword ptr [430A44]
00404700 |. 68 C89C4200 push 00429CC8 ; /Text = "Flash Jigsaw Producer (unregistered)"
00404705 |. 51 push ecx ; |hWnd => NULL
00404706 |. FF15 5C924200 call dword ptr [<&USER32.SetWindowTex>; \SetWindowTextA
0040470C \. C3 retn
0040470D 90 nop
0040470E 90 nop
可以发现004046E0~0040470C 是一段函数。
我们可以发现je跳转比较关键,在这里可以先尝试让je不跳转。但是这样只能使标题中不会出现(unregistered),被屏蔽的功能还是不能使用。
直接改je跳转不行,我们可以看看引起je跳不跳转到al,al是call这个函数的参数,我们需要找到call这个函数的地方,查看al的变化。
在004046E0下断点。重新加载程序。按F9运行到断点处。
可以在信息版本中看到调用这个函数的地址。
图片1
![]()
选中右键即可跳到call的地址。
想要找出call这个函数的地址,还可以选中004046E0,右键--〉查找参考--〉选定命令,即可看到call这个函数的地址。
图片2
![]()
我们可以看到,有两地方call这个函数,在这两个地方都下断点。重新加载程序,按F9运行到第一个调用函数的命令。
004047AB |. 68 60034300 push 00430360 ; /IniFileName = "C:\Users\vbox32\AppData\Local\YavSoft\fjproducer\startup.ini"
004047B0 |. 6A 28 push 28 ; |BufSize = 28 (40.)
004047B2 |. 68 34034300 push 00430334 ; |ReturnBuffer = fjproduc.00430334
004047B7 |. 68 089D4200 push 00429D08 ; |Default = "<-No Pass->"
004047BC |. 51 push ecx ; |Key => "Password"
004047BD |. 68 149D4200 push 00429D14 ; |Section = "Registration"
004047C2 |. FF15 68904200 call dword ptr [<&KERNEL32.GetPrivate>; \GetPrivateProfileStringA
004047C8 |. 68 34034300 push 00430334 ; ASCII "<No Pass>"
004047CD |. E8 6EFEFFFF call 00404640
004047D2 |. 50 push eax
004047D3 |. E8 08FFFFFF call 004046E0
004047D8 |. 83C4 08 add esp, 8
004047DB |. 5E pop esi
004047DC |. 83C4 28 add esp, 28
004047DF \. C3 retn
我们可以发现改变al的是call 004046E0,在它上面下断点,进入这个函数,可以发现这个函数是计算密钥对不对的函数。
00404640 /$ 83EC 2C sub esp, 2C
00404643 |. 56 push esi
00404644 |. 8B7424 34 mov esi, dword ptr [esp+34]
00404648 |. 8BC6 mov eax, esi
0040464A |. 8D50 01 lea edx, dword ptr [eax+1]
0040464D |. 8D49 00 lea ecx, dword ptr [ecx]
00404650 |> 8A08 /mov cl, byte ptr [eax]
00404652 |. 40 |inc eax
00404653 |. 84C9 |test cl, cl
00404655 |.^ 75 F9 \jnz short 00404650
00404657 |. 2BC2 sub eax, edx
00404659 |. 83F8 04 cmp eax, 4
0040465C |. 73 07 jnb short 00404665
0040465E 32C0 xor al, al
00404660 |. 5E pop esi
00404661 |. 83C4 2C add esp, 2C
00404664 |. C3 retn
00404665 |> 6A 03 push 3
00404667 |. 68 C49C4200 push 00429CC4 ; ASCII "fjr"
0040466C |. 56 push esi
0040466D |. E8 6EAA0100 call 0041F0E0
00404672 |. 83C4 0C add esp, 0C
00404675 |. 85C0 test eax, eax
00404677 |.^ 75 E5 jnz short 0040465E
F8单步运行,可以发现是xor al,al 把al变成0的,可以把xor al,al 改成mov al,1。在运行,可以发被屏蔽的功能已经可以用了。