OllyDbg 使用笔记 （八）

参考

书：《加密与解密》

视频：小甲鱼 解密系列 视频

示例程序下载：http://pan.baidu.com/s/1jG5NKBs

分析

这个程序，未注册版本限制了一些功能。

尝试在register界面写入email和密钥

会弹出注册未成功的窗口。可以利用窗口中的文字作为突破口。在OD中 查找 所有参考文本字串

图片1

暴力破解

查看 未注册成功后弹出窗口中的字符串的代码：

004299AB   .  57            push    edi
004299AC   .  50            push    eax
004299AD   .  E8 9AD7FDFF   call    0040714C
004299B2   .  59            pop     ecx
004299B3   .  33DB          xor     ebx, ebx
004299B5      84C0          test    al, al
004299B7   .  59            pop     ecx
004299B8   .  53            push    ebx
004299B9      75 36         jnz     short 004299F1
004299BB   .  6A 30         push    30
004299BD   .  68 70134C00   push    004C1370                         ;  ASCII "You have entered an invalid email address or license number.  Please try again."
004299C2   .  E8 74270800   call    004AC13B
004299C7   .  8D8E 20010000 lea     ecx, dword ptr [esi+120]
004299CD   .  E8 567CFDFF   call    00401628
004299D2   .  8BCF          mov     ecx, edi
004299D4   .  E8 4F7CFDFF   call    00401628
004299D9   .  53            push    ebx
004299DA   .  8BCE          mov     ecx, esi
004299DC   .  E8 D5A60700   call    004A40B6
004299E1   .  8D8E 7C010000 lea     ecx, dword ptr [esi+17C]
004299E7   .  E8 83D00700   call    004A6A6F
004299EC   .  E9 29010000   jmp     00429B1A
004299F1   >  6A 40         push    40
004299F3   .  68 50134C00   push    004C1350                         ;  ASCII "Thank you for registering!"
004299F8   .  E8 3E270800   call    004AC13B
004299FD   .  6A 01         push    1
004299FF   .  8BCE          mov     ecx, esi
00429A01   .  E8 2F8E0700   call    004A2835
00429A06   .  E8 C1E9FDFF   call    004083CC

可以发现   jnz     short 004299F1 很关键。但是如果只是吧jnz     short 004299F1 改成 jmp    short 004299F1，只是在点击注册时，出现 "Thank you for registering!" 窗口，实质还是没有注册。

可以看看jnz     short 004299F1 前面的代码，影响它跳不跳的是 test    al, al，影响al是前面的call    0040714C。call    0040714C很关键，下断点，重新运行，F7进入。

进入call    0040714C可以看到下面的代码

0040714C   $  55            push    ebp
0040714D   .  8BEC          mov     ebp, esp
0040714F   .  FF75 0C       push    dword ptr [ebp+C]
00407152   .  FF75 08       push    dword ptr [ebp+8]
00407155   .  E8 77FEFFFF   call    00406FD1
0040715A   .  84C0          test    al, al
0040715C   .  59            pop     ecx
0040715D   .  59            pop     ecx
0040715E   .  A2 A0765000   mov     byte ptr [5076A0], al
00407163   .  75 1B         jnz     short 00407180
00407165   .  FF75 0C       push    dword ptr [ebp+C]
00407168   .  FF75 08       push    dword ptr [ebp+8]
0040716B   .  E8 ADFEFFFF   call    0040701D
00407170   .  84C0          test    al, al
00407172   .  59            pop     ecx
00407173   .  59            pop     ecx
00407174   .  A2 A0765000   mov     byte ptr [5076A0], al
00407179   .  A2 A2765000   mov     byte ptr [5076A2], al
0040717E   .  74 0D         je      short 0040718D
00407180   >  FF75 0C       push    dword ptr [ebp+C]
00407183   .  FF75 08       push    dword ptr [ebp+8]
00407186   .  E8 45F8FFFF   call    004069D0
0040718B   .  59            pop     ecx
0040718C   .  59            pop     ecx
0040718D   >  5D            pop     ebp
0040718E   .^ E9 D6FEFFFF   jmp     00407069
00407193  /$  56            push    esi
00407194  |.  FF7424 08     push    dword ptr [esp+8]
00407198  |.  8BF1          mov     esi, ecx
0040719A  |.  8366 04 00    and     dword ptr [esi+4], 0

我们可以看到前面有两个call ：call    00406FD1跟call    0040701D。这个俩个call前后的代码都差不多。边观察 eax寄存器，边按F8单步运行，可以发现，如果第一个call之后如果al==0 就会执行第二个call，如果a！=0就不会执行第二个call，可以猜想，第二个call只是多一次验证，防止错误。

在第一个call下断点，重新运行进入。

进入call    00406FD1 可以看到：

00406FD1  /$  B8 AB374B00   mov     eax, 004B37AB
00406FD6  |.  E8 EDF00700   call    004860C8
00406FDB  |.  51            push    ecx
00406FDC  |.  53            push    ebx
00406FDD  |.  FF35 A4415000 push    dword ptr [5041A4]               ;  MrBills.004BA704
00406FE3  |.  8D4D F0       lea     ecx, dword ptr [ebp-10]
00406FE6  |.  E8 84B1FFFF   call    0040216F
00406FEB  |.  FF75 0C       push    dword ptr [ebp+C]
00406FEE  |.  8365 FC 00    and     dword ptr [ebp-4], 0
00406FF2  |.  FF75 08       push    dword ptr [ebp+8]
00406FF5  |.  8D45 F0       lea     eax, dword ptr [ebp-10]
00406FF8  |.  50            push    eax
00406FF9  |.  E8 4DFFFFFF   call    00406F4B
00406FFE  |.  8B4D F0       mov     ecx, dword ptr [ebp-10]
00407001  |.  83C4 0C       add     esp, 0C
00407004  |.  83C1 F0       add     ecx, -10
00407007  |.  8AD8          mov     bl, al
00407009  |.  E8 3AA1FFFF   call    00401148
0040700E  |.  8B4D F4       mov     ecx, dword ptr [ebp-C]
00407011      8AC3          mov     al, bl
00407013  |.  5B            pop     ebx
00407014  |.  64:890D 00000>mov     dword ptr fs:[0], ecx
0040701B  |.  C9            leave
0040701C  \.  C3            retn

边按F8，边观察al，可以发现call    00406F4B很关键，call    00406F4B后al就变为0。

可以发现，下面这段代码也很关键

00407007  |.  8AD8          mov     bl, al
00407009  |.  E8 3AA1FFFF   call    00401148
0040700E  |.  8B4D F4       mov     ecx, dword ptr [ebp-C]
00407011      8AC3          mov     al, bl

运行 call    00401148前它把al保存起来，然后又恢复al，说明 call    00401148要用到al。

可以利用mov     al, bl，把它改成mov     al, 1，即可破解。