随笔分类 - 逆向工程

摘要:先用 PEiD 看一下 MEW 11 1.2 的壳 用 OD 载入程序 按 F8 进行跳转 往下拉 找到这个 retn 指令,并下断点 然后 F9 运行 停在该断点处后再按 F8 右键 -> 分析 -> 分析代码 找到了程序的 OEP,右键 -> Dump debugged process 点击“D 阅读全文
posted @ 2018-11-05 12:03 Sch01aR# 编辑
摘要:先用 PEiD 查一下壳 用 OD 载入程序 这里有一串字符串,是壳的名称和版本号 按 Alt+M 显示内存窗口 这里只有三个区段,后面两个是壳生成的,程序的代码段也包含在里面 利用堆栈平衡 按 F8 往下走一步 然后到数据窗口中设置断点 选择 -> 断点 -> 硬件访问 -> Dword 然后跑一 阅读全文
posted @ 2018-11-05 11:39 Sch01aR# 编辑
摘要:前言: 输入表又称导入地址表(Import Address Table),简称 IAT API 函数被程序调用但执行代码又不在程序中,而是位于一个或者多个 DLL 中 当 PE 文件被装入内存的时候,Windows 装载器才将 DLL 装入,并将调用导入函数的指令和函数实际所处的地址联系起来(动态连 阅读全文
posted @ 2018-11-02 22:30 Sch01aR# 编辑
摘要:程序: 运行程序 用 PEiD 查壳 EZIP 1.0 用 OD 打开 按 F8 往下走 这个看似是 OEP 的地方却不是 OEP 因为代码段从 00401000 开始 可以看到,壳伪造了 3 个区段 重新载入程序,观察 ESP 的变化 此时是 0012FFC4 F8 往下走 走到这里的时候,ESP 阅读全文
posted @ 2018-10-26 23:20 Sch01aR# 编辑
摘要:程序: 运行 用 PEiD 载入程序 PEid 显示找不到相关的壳 脱壳: 用 OD 载入程序 这个是壳的入口地址 因为代码段的入口地址为 00401000 这三个是壳增加的区段 按 F8 往下走程序 经过这个 call 指令的时候,运行的时间多了一会 这个 jmp 将跳转到 004271B0 按 阅读全文
posted @ 2018-10-24 22:48 Sch01aR# 编辑
摘要:程序: 运行程序 点击“Verify” 关闭该程序,启动 OD 再运行程序 逆向: 用 OD 载入程序 按 F8 往下走 执行完这个 call 指令就弹出了对话框 这个 call 指令调用了 DialogBoxParam 函数创建模态对话框 如果步入该函数的话,会跳到动态链接库中 如果按 Alt+F 阅读全文
posted @ 2018-10-19 23:11 Sch01aR# 编辑
摘要:程序: Keyfile.dat 里的内容 该文件中要至少有 9 个 ReverseMe.A: 运行程序 用 OD 打开该程序,运行 弹出的是错误的对话框 该程序发现 OD 对它的调试,所以该程序对 OD 进行反调试 重新载入程序,按 F8 往下走 这个循环是对 Keyfile.dat 的内容进行判断 阅读全文
posted @ 2018-10-19 20:03 Sch01aR# 编辑
摘要:程序: 这个窗口显示这是一个需要去除的 Nag 窗口 点击“确定” 用 PEiD 看一下 这是一个用汇编语言写的程序 逆向: 用 OD 载入程序 Nag 窗口的标题和文本 右键 -> 查找 -> 所有参考文本字串 只有这两条 下一个断点,跑一下程序 该 NAG 窗口还是弹出来了 点击“确定” 然后关 阅读全文
posted @ 2018-10-13 22:03 Sch01aR# 编辑
摘要:程序: 运行 这是一个注册机 随便输入点内容,点击 Check 弹出错误的对话框 逆向: 用 OD 载入程序 在文本框处下断点 按 Alt+B 查看断点 这个断点在动态链接库那里 跑一下程序,输入内容,点击 check 程序停在断点处 在动态链接库的断点处不能进行跟踪和修改 按 Alt+F9 让其回 阅读全文
posted @ 2018-10-07 21:49 Sch01aR# 编辑
摘要:程序: 运行程序 弹出一个对话框,点击 OK 来到主界面,点击 Help -> Register Now 这是输入注册码的地方 按关闭程序的按钮 会提示剩下 30 天的使用时间 用 Resscope 载入程序 在 Dialog 下找到程序要退出时的那个对话框 在 100 处找到该对话框 103 为 阅读全文
posted @ 2018-10-06 16:11 Sch01aR# 编辑
摘要:对话框: 对话框从类型上分为两类:modal 对话框和 modeless 对话框,就是模态对话框和非模态对话框,也有叫成模式和非模式 模态对话框不允许用户在不同窗口间进行切换,非模态对话框允许用户在不同窗口间进行切换 两者形成区别的原理是模态对话框由 windows 为它内建一个消息循环,而非模态对 阅读全文
posted @ 2018-10-06 14:39 Sch01aR# 编辑
摘要:程序: 打开程序 出现一个 NAG 窗口 这是主界面 点击 Exit 程序出现 NAG 窗口,然后退出 用 PEiD 看一下 是用 VC++ 6.0 写的程序 逆向: 用 OD 载入程序 跑一下程序 出现 NAG 窗口时暂停 按 Alt+K 显示调用堆栈 这个是 MFC 的对话框,双击来到它所在的地 阅读全文
posted @ 2018-10-05 16:10 Sch01aR# 编辑
摘要:内嵌补丁(inline patch): 内嵌补丁指在程序文件中把补丁代码写入文件里面达到破解的目的 如果修改某行语句会影响后面的语句,例如某语句占用 3 个字节,修改完变为 5 个字节,会覆盖后面的语句,这时就需要用到内嵌补丁 程序: 运行程序 NAG 窗口显示只有 30 天的试用期,点击 Cont 阅读全文
posted @ 2018-10-04 17:16 Sch01aR# 编辑
摘要:程序: 运行程序 点击 Start,它就会进行对系统的扫描 点击 About -> Enter Registration Code 随便输入一下内容,点击 OK,会弹出该弹窗 用 PEiD 看一下 该程序是用 Microsoft Visual C++ 6.0 写的 逆向: 用 OD 载入程序 右键 阅读全文
posted @ 2018-10-02 23:51 Sch01aR# 编辑
摘要:程序: 运行程序 界面显示的是未注册 点击 Help -> About 点击 Use Reg Key 这里输入注册码 用 PEiD 看一下 该程序是用 Delphi 6.0 - 7.0 写的 逆向: 用 OD 打开程序 右键 -> 查找 -> 所有参考文本字串 然后右键 -> 查找文本 搜索 这里有 阅读全文
posted @ 2018-09-19 23:04 Sch01aR# 编辑
摘要:程序: 点击安装程序 这是一个拼图程序 点击 Options -> Flash Sizes 程序会提示是未注册版本 点击一些选项的时候会提示该程序只给注册的用户 点击 Register 随便输入一个密码,然后点击 OK 密码错误 用 PEiD 看一下该程序使用的是什么编译器 Microsoft Vi 阅读全文
posted @ 2018-09-18 13:29 Sch01aR# 编辑
摘要:前话: VB 程序用 OD 进行逆向的话,可以先查找相关的变量和字符串,以寻找突破口 变量: __vbaVarTstEq __vbaVarCompEq __vbaVarTstNe __vbaVarCompLe __vbaVarCompLt __vbaVarCompGe __vbaVarCompGt 阅读全文
posted @ 2018-09-11 18:10 Sch01aR# 编辑
摘要:程序: 运行程序 点击 About 这是要注册的 点击 Register 输入邮箱和注册码,点击 Register Now 逆向: 用 OD 打开程序 右键 -> 查找 -> 所有参考文本字串 搜索上图的内容 双击进去 上面有个 jnz 跳转指令 如果 jnz 实现跳转的话,就会提示注册成功 jnz 阅读全文
posted @ 2018-09-09 22:26 Sch01aR# 编辑
摘要:ja 跳转指令,条件:CF=0 和 ZF=0 jab 跳转指令,条件:CF=0 jb 跳转指令,条件:CF=1 jbe 跳转指令,条件:CF=1 或者 ZF=1 jc 跳转指令,条件:CF=1 jcxz 跳转指令,条件:CX=0 je 跳转指令,条件:ZF=1 jecxz 跳转指令,条件:ECX=0 阅读全文
posted @ 2018-09-09 18:26 Sch01aR# 编辑
摘要:程序: 运行 弹出 NAG 窗口,提示要花 20 美元注册 然后会进入主窗口 提示剩余 5 天的使用时间 点击,菜单栏 -> Help -> About 显示未注册版本 逆向: 用 OD 打开程序 首先把剩余 5 天的字符串作为切入点 先按 F9 运行一下程序 右键 -> 查找 -> 所有参考文本字 阅读全文
posted @ 2018-09-07 22:47 Sch01aR# 编辑