OD破解程序自校驗之bp CreateFileA
當(dāng)前位置：點晴教程→知識管理交流
→『 技術(shù)文檔交流 』
程序PEid查殼，顯示為 UPX-Scrambler RC1.x，OD載入，兩次查找pushad，下斷，運行，直接跳到OEP  我們修復(fù)輸入表后，再次用PEid查看，用vc++ 6.0所寫，但是程序打開后，顯示圖片后就退出了，程序使用了自校驗防止被破解。我們同時用OD打開脫殼前（運行至OEP）和脫殼后的程序，然后同時下段 bp CreateFileA  F9運行，程序運行后被斷了下來，我們看看堆棧窗口，程序是在讀取自己  Alt+F9返回程序領(lǐng)空，我們兩邊同時單步跟蹤，重點注意程序的跳轉(zhuǎn)的實現(xiàn)與否是否一致。在地址0041C094處，我們發(fā)現(xiàn)脫殼后的跳轉(zhuǎn)實現(xiàn)了，而脫殼前的跳轉(zhuǎn)沒有實現(xiàn)，如圖下  我們分別查看脫殼前后的eax值，將其轉(zhuǎn)化為10進(jìn)制后，我們發(fā)現(xiàn)其為程序本身的大小（字節(jié)數(shù)）。也就是說，程序把自身的大小和835b8進(jìn)行比較，如果大于則條轉(zhuǎn)實現(xiàn)。脫殼后，程序變大，導(dǎo)致跳轉(zhuǎn)實現(xiàn)，所以我們將835b8改為比008EC000（脫殼后程序的大小）更大的值即可。經(jīng)測試，程序正常運行。 該文章在 2014/4/10 11:07:09 編輯過 |
關(guān)鍵字查詢
相關(guān)文章
正在查詢... 
|
400 186 1886
