用条件断点寻找E盾的登录、合法、算法和取服务器数据CALL

sxdx1372 · 发表于 2018-7-17 17:36

本帖最后由 sxdx1372 于 2018-7-17 22:42 编辑

先科普一下一个API函数HeapAlloc，在指定的堆上分配内存

所以登录、合法、算法或取服务器数据CALL里面都要经过这里
FF25：

FF25

FF25的跳转到的地方

HeapAlloc

因此我们在FF25那里（图中选中的那一行）下条件断点（OD里条件断点是粉色的）
设置条件断点的方法：在要设置条件断点的地址 Shift+F2 或者右键→断点→条件

下面具体说下怎么来写这个条件断点，进入正题

登录：

先分析登录CALL汇编代码

0041461F push ebp
00414620 mov ebp,esp
00414622 sub esp,0x144
00414628 mov dword ptr ss:[ebp-0x4],0x0
0041462F mov dword ptr ss:[ebp-0x8],0x0
00414636 mov dword ptr ss:[ebp-0xC],0x0
0041463D mov dword ptr ss:[ebp-0x10],0x0
00414644 mov dword ptr ss:[ebp-0x14],0x0
0041464B mov dword ptr ss:[ebp-0x18],0x0
00414652 mov dword ptr ss:[ebp-0x1C],0x0
00414659 mov dword ptr ss:[ebp-0x20],0x0
00414660 mov dword ptr ss:[ebp-0x24],0x0
00414667 push 0x20       这里占用一个地址（4字节）的堆栈空间
0041466C call 0045BD2E 这个CALL就是上面说的内存分配CALL
00414671 add esp,0x4    这里 ESP+4 是还原到原来的144个堆栈空间

我们以前找的特征码主要是这2个，一个是sub esp,0x144；另外一个是push 0x20

所以我们就对这2个特征设置条件断点，下面对条件断点构造进行分析

游客，如果您要查看本帖隐藏内容请回复

xkang · 发表于 2018-7-17 17:58

目测会火占个一楼

一万三 · 发表于 2018-7-17 18:09

谢谢大哥哥分享

栖息丶 · 发表于 2018-7-17 18:13

支持感谢楼主的分享

ziqian6666 · 发表于 2018-7-17 18:23

感谢楼主分享

LBB · 发表于 2018-7-17 18:27

逆向路上感谢有大佬分享教程

576727754 · 发表于 2018-7-17 18:38

看看学习一下··

sxdx1372 · 发表于 2018-7-17 18:46

3某发表于 2018-7-17 18:09
谢谢大哥哥分享

没看到谁找我要啊，其实我想要你的OD。。

谭大超 · 发表于 2018-7-17 18:51

厉害了，小哥哥！！

xiao_ya · 发表于 2018-7-17 18:57

感谢分享这么好的教程！

		自动登录	找回密码
密码			立即注册

[原创逆向图文] 用条件断点寻找E盾的登录、合法、算法和取服务器数据CALL

评分

评分