新手破解练习Crackme160之134 - r!sc.2
1.脱壳
ESP定律手动脱壳, F8运行到第二行, ESP变红, 右键ESP值, 选择"HW break [ESP]"下硬件断点(也可以右键选择数据窗口中跟随, 再选择4位数值右键->断点->硬件访问, 效果一样), F9运行来到断点处004081CB jmp 00401000, 此时删除硬件断点(菜单->调试->硬件断点, 删除所有), F8进程已解程序代码领域, 此时你可能看到的是一堆db xx这样的代码, 可以不用管, 也可以右键->分析->从模块中删除分析, 此时认真点的你可以发现代码前三行是一个0x1FFFFFF次的死循环, 防调试用的, 可以直接删掉
00401000 B8 FFFFFF01 mov eax,0x1FFFFFF
00401005 48 dec eax
00401006 ^ 75 FD jnz short r!sc_2.00401005
修改为:
00401000 B8 00000000 mov eax,0x0
00401005 90 nop
00401006 90 nop
00401007 90 nop
修改好后, 右键->使用OllyDump脱壳调试进程, 使用方式2, 另存即可~
- 修复乱码
弹框内容是00401295行内容, 0040129A行标题, 两个都会乱码, 对应数据查看0040110C对应的值看着没什么问题, 应该是编码问题, 读取的位数错乱了吧, 我们在文件最后自己创建一个字符串不与别的串连着就不会有取错的问题, 在内存区添加如下:
00401780 4E 00 6F 00 20 00 43 00 44 00 2D 00 52 00 4F 00 N.o. .C.D.-.R.O.
00401790 4D 00 20 00 44 00 52 00 49 00 56 00 45 00 21 00 M. .D.R.I.V.E.!.
004017A0 21 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 !...............
修改完选中这三行右键复制到可执行文件, 保存新文件, 重新载入文件, 我们再定位到00401295, 将这两行修改为 push 00401780, 引用新的字符串~ 保存搞定~ 重新运行程序就不再会有乱码了
_____________________________
| No CD-ROM DRIVE!! X |
| |
| NO CD-ROM DRIVE!! |
| |
| 确定 ``|
|____________________________|
- 正常破解
错误提示是没有光盘, 所以我们需要插件一个光盘, 现在的机器基本上没有光驱了, 所以我们打开一个ISO文件, 系统会自动生成一个虚拟光驱, 这时重新运行程序, 提示"Try harder!! You WILL crackme!", 搜索关键词定位到00401018处, 在程序开头的字符串定义中, 没什么用, 再看一下搜索界面, 有C:/跟盘符有关的, 定位到004011B0处, 上两行004011AB处 cmp eax, 0x5 这行是判断当前盘是否为光盘, 0x2是U盘, 0x3是硬盘, 0x5是光盘, 我们往下看, 找到成功分支0040121A处有个对比, 两个值都是内存的, 我们分别右键在数据窗口中查看立即数, 看到的一个是固定串"WINDOWS", 另一个是光盘的盘符名称, 所以需要有一张名称是WINDOWS的光盘就可以了(这里遇到一个奇怪的问题, 第2步修复乱码后的程序就无法成功验证第3步的结果了, 一直会跳转到try harder这一路, 所有修改过的程序在OD中都无法正常验证~ 原程序则可正常~, 是不是程序还有防调试, 防修改的能力~ 有待研究~)
1~160每个破解过程,在吾爱破解论坛都有高手破解过了,也有整理好现成的, 我这边主要就是自己动手操作的过程,与他们的不太一样
附上高手们的连接: 点击前往查看
使用的工具连接(工具有点多有点大,可以先下OD,其它的后面慢慢下) 点击前往下载
新人入门教程"玩玩破解，写给新人看" 点击前往查看
我就是从这里开始的,对我这样的小白感觉超级友好~
下面是我的OD的界面布局,我觉得这4个是最常用的界面,其它的我基本上没用到~
浙公网安备 33010602011771号