hankerstudio

摘要： 脱壳 这个程序有壳, 需要先脱壳, ESP定律手动脱壳~ OD载入程序, F8运行一次, 来到第二行, 此时ESP值变红, 右键这个红值, 选择"HW break [ESP]"下好硬件断点, F9运行19次来到00401F096 jmp eax这里(中间也都是到这里), F8进入程序区域004035 阅读全文

摘要： OD载入程序, 打开搜索界面, 第三行看到了REGISTERED!, 定位到0040150B, 在00401503处看到了两数比较,说明这里可以追码, 向上找到方法入口, 点击004014E0行, 下面信息框显示来自004015AA的调用, 右键转到调用, 又是一个小方法, 再次点方法入口行0040 阅读全文

摘要： 这个157程序与上一个156程序是同一个作者, 仍然需要验证crack.dat文件, 0040126C判断文件内容是否为3624563226 用户名, 公司名, 与注册码的验证与上一个应用基本相同, s += (user[0]+i) * (comp[0] +i) 算法计算改成这个了, 长度最少4位 阅读全文

摘要： 运行程序, 是一个命令行应用, OD载入搜索提示信息Checking..., 定位到0040112C, 下个断点, F9运行程序, 断点处停下, 0040117B处发现文件名crack.dat, 所以我们先创建好这个文件, F8向下运行, 文件存在则提示succss, 不存在则失败了, 004012 阅读全文

摘要： 脱壳 PEiD查看有个未知的壳, OD载入使用ESP定律手动去壳, F8单步运行一次, 右侧寄存器ESP值变红, 此时点中并右键这个红值, 选择"HW break [ESP]", 即可下一个硬件访问断点(菜单->调试->硬件断点中可查看到), F9直接运行到断点处停下(00418096 jmp ea 阅读全文

摘要： 这个是汇编写的程序, 直接载入OD, 300多行代码, 还行~ 直接分析~ 00401000 > $ 6A 00 push 0x0 ; /pModule = NULL 00401002 . E8 61040000 call <jmp.&KERNEL32.GetModuleHandleA> ; \Ge 阅读全文

摘要： Delphi的程序, 用IDR查看源码, 只有一个注册码框change事件, OD载入程序定位到事件入口地址00425F64, F8单步走起~ 1). 00425FF5 ~ 00426052 将注册码分成单双号两半, 如:12345678 => 1357, 2468 2). 00426071 ~ 0 阅读全文

摘要： 151没有程序,只能跳过了 152这个程序IDR查看可知, 只有一个timer事件, 代码太长, 太难, 放弃了, 只能追码了, 关键位置如下: 00457BD2 8B45 A0 mov eax,dword ptr ss:[ebp-0x60] 00457BD5 2B45 A4 sub eax,dwo 阅读全文

摘要： Delphi两个窗体, 谁先定义就先启动谁, IDR中可知TForm1就是NAG窗体, 所以, 我们把TForm2与TForm1的顺序改一下就行了 EntryPoint 004451A8 push ebp 004451A9 mov ebp,esp 004451AB add esp,0FFFFFFF4 阅读全文

摘要： IDR查看源码, check事件分析: Unit1::TForm1.Button1Click 004402EC push ebx 004402ED mov ebx,eax 004402EF mov eax,dword ptr [ebx+308]; TForm1.CheckBox14:TCheckBo 阅读全文