【S02E04】Shark恒 零基础逆向教程之图文！【无期徒刑】

汇编太枯燥，我写着也很累，你们休息一下，我也休息一下。

汇编还有最后一课，我只讲3课。今天，讲的是时间限制软件如何爆破。

我先介绍一下，这个程序只能在2013年7月1日前运行，如果在这时间之后运行就无法开启了。就好像很多时间限制的试用版软件一样。

这种时间判断只是其中的一种而已，并不适用于所有的时间限制软件。如果你凑巧碰遇到了与这个软件判断形式一样的程序，那你就可以用这种方法爆破了。

我们可以把系统时间调整到2013年7月1日之前，打开软件就可以清晰的看到，这是一个试用版，使用时间截至在2013年7月1日0点。好吧，那现在把系统时间改为7月1日之后，从新运行就无法打开了。现在就进行爆破吧！

还记得我在第一季第三集里说的话吗？

正式逆向的第一步是查壳。

我在这里就略过了这个步骤，查壳与脱壳的问题大家自己去解决吧。

我建议大家不要直接脚本脱壳，尽量锻炼手动脱壳，不管是单步跟踪还是ESP定律或是其他，不管能脱还是不能脱或是遇到种种问题，你都熟悉了一遍脱壳的步骤，这样又可以加深一次印象。

我这里已经脱掉壳并修复完成了，我们来直接载入OD。

直接运行一下就可以发现，程序没有任何异常，直接结束了。

请看下图。

我们可以试试以前学过的知识，查找字符串或F12暂停，都不能达到目的。

那今天我们就学习一个新知识“API断点”BP ExitProcess

这个API的作用就是结束程序。

有了这个断点，我们就可以在程序执行结束的时候让他停下。

我们从载程序，在OD窗口下方Command编辑框内输入BP ExitProcess然后回车。请看下图

此时就下好了断点，我们F9运行程序。

然后可以看到程序停在了下图位置。

因为这是系统领空不能操作，所以我们在OD右下角的堆栈窗口

0018FCAC   004180BB  /CALL 到 ExitProcess 来自 EXIT断点.004180B5

这一行右键，选择“反汇编窗口中跟随”看下图

然后我们就来到了程序的领空，请看下图

现在向上找，找到这段代码的段首F2下断

请看下图

F2下好断，从载程序，F9运行程序。

程序毫无疑问的停在了我们刚才的段首位置。请看下图

继续在堆栈窗口右键，反汇编窗口中跟随。如下图。

就来到了下图位置，我们可以看到这里的跳转很多。

那就可以看看是不是有一个跳转是能跳过我们这个API的。

我们可以在下面的一行就看到了一个跳转进入，来源是上面的JMP。看下图

那既然是JMP，怎么会跳不过来？注意JMP底下又有一个跳转进来。

那肯定是这个跳转的来源跳过了JMP，所以我们跟随这个跳转来到下图位置

因为这个跳转成功了，所以我们程序退出了。
如果这个跳转不成功，那程序应该就不会退出。

为了验证我们的判断是否正确，所以在这里下了断点。

然后从载程序，F9运行到这里被断下。我们可以看到，这个跳转的确实现了。

看下图

那我们就修改一下标志位，让他不实现跳转。

右侧寄存器窗口的ZF标志位双击置零。跳转未实现。如下图

F9运行程序，看看是否成功运行？

既然如此，那就把这个位置的跳转修改一下保存吧！

我们使用这个软件的时候就不会有时间限制的问题了。

有的朋友应该会说，为什么来来回回的从载---运行--反汇编窗口中跟随
而不用我们第二季第一课学习的F12暂停法？

这里我不解释，大家可以试试。

所以今天你们学到的不仅仅是一个API断点的知识，还学会了什么？

第2季第4集.rar (242.32 KB, 下载次数: 871)

2014-10-27 17:15 上传

点击文件名下载附件

跟着恒大,没错

BP ExitProcess
这个API的作用就是结束程序。
选择“反汇编窗口中跟随”
返回程序领空

不错我也多练习几篇

越前越看不懂哎

一步一步的在学习中看到了希望。

为什么解压后 打开不了

软件不知道怎么打不开  真心难看懂

边看着教程边做 不是很熟练