OD 实验(十三) - 对一个程序的逆向
Posted Sch01aR#
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了OD 实验(十三) - 对一个程序的逆向相关的知识,希望对你有一定的参考价值。
程序:
运行程序
点击 Start,它就会进行对系统的扫描
点击 About -> Enter Registration Code
随便输入一下内容,点击 OK,会弹出该弹窗
用 PEiD 看一下
该程序是用 Microsoft Visual C++ 6.0 写的
逆向:
用 OD 载入程序
右键 -> 查找 -> 所有模块间的调用
键盘直接敲 getwindowtext
找到几个 GetWindowTextA,A 为 ASCII 码,W 为 Unicode
右键 -> 在每个调用到 GetWindowTextA 上设置断点
程序调用到 GetWindowTextA 的地方都会被下断点
一共下了 3 个断点
另一个方法:
按 Ctrl+N
也是键盘直接敲 getwindowtext
右键 -> 在每个参考上设置断点
设置完断点之后跑一下程序
OD 停在该断点处,此时程序的界面都还没出来,这不是我们想要的 GetWindowTextA
把该断点去掉,按 F9 继续运行程序
又停在了 GetWindowTextA 处,此时什么都还没输入,所以这个也不是我们要的 GetWindowTextA
把断点去掉,按 F9 继续往下跑
界面出来了,按 About,输入注册码
点击 OK
程序停在了这个 GetWindowTextA 处
看一下栈的窗口
这三个为 GetWindowTextA 函数的三个参数
GetWindowTextA 的三个参数:
hWnd 为指向包含文本的窗口或控件的句柄
lpString 为指定将接收文本的缓冲区的指针。如果字符串和缓冲区一样长或更长,则该字符串将被截断,并以一个空字符结尾
nMaxCount 为指定拷贝到缓冲区内的字符的最大数目,其中包含空字符。如果文本超过这个限制,则它会被截断
hWnd 是获取 Edit 控件,父句柄为 000C05CE,,Buffer 的 值 00C04770 就是字符串存放的地址,这里 nMaxCount 的值为 4
按 F8 往下走
走到这里,EAX 的值为 4,因为刚才输入的 test 为 4 个字节
接下来的 je 跳转指令是对该字符串是否为空进行判断
之后的那条 je 跳转是判断输入的注册码是否为空
F8 继续往下走
这里有个跳转,如果 al 不等于 0 的话将会进行跳转
跳到该处,之后就是提示成功
此时的 al 为 0,不能直接跳转
影响 al 的值可能是上面这条 call 指令
可能在这个 call 中进行验证
下面还有一个一模一样的三条指令,可能是双重验证
F7 步入该 call 指令
看一下该函数的所有返回指令
这条 retn 指令之前有个 mov 指令,把 1 赋给 al,就是让 al 不等于 0
第二个 retn 指令之前有个 xor 指令,把 al 清零,也就是让 al 等于 0
所以我们要在第一个 retn 指令处返回
按 F8 往下走
这里有个已实现的跳转
如果跳转的话,就跳过了那个成功的 retn,之后就是失败的那个 retn
所以不能让它跳转
修改 SF 让其不跳转
继续 F8 往下
又有一个已实现的跳转
如果执行跳转的话,将刚好跳过成功的 retn
所以也不能跳,将 ZF 置 1
继续往下
这个 jnz 跳转也是跳到相同的位置,将 ZF 置 1,不跳转
继续往下走
第三个 jnz 跟前面两个一样,ZF 置 1 不跳转
继续往下
之后还有一个 jnz 跳转指令,跟上面三个情况一样,ZF 置 1,不进行跳转
继续往下走
之后就是成功的 retn 的语句了
出来之后,al 的值就为 1 了
跳转已实现,将进行跳转
跳转到成功之前的位置
进行跳转,往下走
提示注册成功
点击“确定”
但是这里却显示许可证没有被注册
回到 OD,右键 -> 查找 -> 所有参考字符串
找到该字符串
双击来到它所在的地方
该处是由上面那个 je 跳转指令进行跳转的,而 je 是否跳转取决于上面那个 al 的值,而 al 的值是它上面那个 call 语句决定的
在 call 处下一个断点,然后跑一下程序
点击程序的 About,程序会停在该断点处
F7 步入该函数
先看一下 retn
该函数只有一个 retn 返回
按 F8 往下走
这里将输入的注册码入栈,此时的 al 为 0,jnz 也就不进行跳转,会继续往下走,执行后面的 xor bl, bl 语句将 bl 清零
如果执行跳转的话,bl 的值就为 1
最终 al 的值取决于 bl 的值,所以要让 bl 的值为 0,也就是让上面那个 jnz 执行跳转
也可以直接将 mov al, bl 进行修改,确保 al 的值为非零
以上是关于OD 实验(十三) - 对一个程序的逆向的主要内容,如果未能解决你的问题,请参考以下文章