吾爱汇编论坛

 找回密码
 立即注册

QQ登录

绑定QQ避免忘记帐号

查看: 885|回复: 76

[原创逆向图文] 入门级逆向②通过提取按钮通杀特征码爆破

  [复制链接]

  离线 

升级   30%

John 发表于 2022-2-6 11:01 | 显示全部楼层 |阅读模式


运行环境:
Windows7 64位
涉及工具:
OD
教程类型:
提取按钮通杀特征码
是否讲解思路和原理:



                               
登录/注册后可看大图

介绍:
今天我们学习特征码的提取与定位

特征码是软件中固定的标志性的代码片段,特征码的用途非常广泛,最常见的就是杀毒软件的查杀。

查杀就是根据特征码定位技术实现的,再或者木马病毒的免杀技术也是通过修改特征码的部分特征从而躲过了杀毒软件的侦查。

------------------------------------------------------------
本章难度:★☆☆☆☆

未加壳
------------------------------------------------------------
部分按钮特征码:
[Asm] 纯文本查看 复制代码
MFC:      sub eax,0a
VC++6.0:  sub eax,0a
VB语言:   81 6C 24
易语言:   FF 55 FC 5F 5E或 (e-debug)
万能断点: F3 A5 8B C8 83 E1 03 F3 A4 E8 Z(User32模块下断)
Delphi:   74 0E 8B D3 8B 83 ?? ?? ?? ?? FF 93 ?? ?? ?? ??
蓝屏保护特征码: 55 8B EC BB 06 00 00 00
蓝屏防御特征码: 55 8B EC 81 EC 14 00 00 00 68 0C 00 00 00


                               
登录/注册后可看大图

1.先看一下这个CM,当我们点击【弹出窗口】的时候,会提示一个MessageBox信息框。
再点击按钮2则程序没有反映,我们现在要做的就是通过按钮1提取到按钮事件的特征码,然后下断点并定位到按钮2的按钮事件中。
搜狗截图22年02月06日1027_1.png

2.打开OD直接将这个程序拖入OD中,会停在程序的OEP位置,这次我们不用上节课讲的通过字符串来找的方法,我们换个思路,
  下一个MessageBox弹窗断点,直接选择【设置API断点】或者【BreakPoint】,选择【消息框】或【MessageBox】。有些人的OD可能是中文有些是英文,请童学自行选择。然后选择MessageBoxA就可以了。

fakename.png

3.接着我们按下【F9】或者点击【播放按钮】让程序跑起来,然后点击程序中的【弹出窗口】按钮,发现OD断在了系统领空,系统领空的东西是不能改的,我们跳出这个CALL。

fakename.png


4.按单步【F8】跳出CALL后,看到以下代码,并没有段首,我们继续F8走出这个call
fakename.png

5.再次出CALL ,并没有首的符号,这里还在函数的内部,我们继续单步到【retn】这个call
fakename.png


6.在狂按了几次F8后,我们终于看到了入口


fakename.png


7.直接下一个【F2】断点,然后运行程序,再次点击弹窗按钮,OD再一次断下了
fakename.png

8.这只是一个独立的弹窗过程并不是按钮的按钮事件,按钮事件一定是调用了这个过程,所以我们需要找到是谁执行了这里的代码。
由于,调用call指令会将当前指令的下一条指令的地址压入栈存储,所以我们就直接观察堆栈中的参数就能够定位到按钮事件的上一层代码的位置了。
fakename.png
9.OD直接搜索这个地址,看一下是不是有call 调用了他。
fakename.png

10.果然,我们果断在这里下一个【F2】断点,然后直接【F9】运行程序。
fakename.png
fakename.png
11.点击【测试定位效果】按钮,程序会被断下,这更能确定,这就是按钮的调用源头。最后提取这段通杀特征【FF 55 FC 5F 5E】。
fakename.png

12.直接按下【F7】,进入按钮二的核心代码处。
fakename.png

13.如果要使用特征码定位的话,可以在OD反汇编窗口按下【ctrl + B】,直接搜索【FF 55 FC 5F 5E】即可。

fakename.png



总结:学会了这一个小技能,对于软件的破解大有帮助,虽然简单,但很实用


以下文件为教程所用的CM程序以及易语言编写的CM源码。可自行下载学习使用
XM2.zip (332.19 KB, 下载次数: 2)


fakename.png
fakename.png
fakename.png

评分

参与人数 19HB +30 THX +12 收起 理由
ldljlzw + 1
thunderiser + 1
ghostxu + 1 [吾爱汇编论坛52HB.COM]-学破解防破解,知进攻懂防守!
xmwd123 + 1
柳正清 + 1 [吾爱汇编论坛52HB.COM]-感谢楼主热心分享,小小评分不成敬意!
6378895 + 3 + 1
kll545012 + 1 [吾爱汇编论坛52HB.COM]-学破解防破解,知进攻懂防守!
jflmao + 1
king51999 + 1 [吾爱汇编论坛52HB.COM]-软件反汇编逆向分析,软件安全必不可少!
东方 + 2 + 1 [吾爱汇编论坛52HB.COM]-感谢楼主热心分享,小小评分不成敬意!
成丰羽 + 1 [吾爱汇编论坛52HB.COM]-感谢楼主热心分享,小小评分不成敬意!
zsr849408332 + 1 + 1 [吾爱汇编论坛52HB.COM]-吃水不忘打井人,给个评分懂感恩!
我是好人 + 1
kpyg456 + 1 + 1 [吾爱汇编论坛52HB.COM]-感谢楼主热心分享,小小评分不成敬意!
brswbx201610 + 1
nypht1228 + 1
zxjzzh + 1
ST手怎么白了 + 6 + 1 [吾爱汇编论坛52HB.COM]-学破解防破解,知进攻懂防守!
Shark恒 + 10 + 1 [吾爱汇编论坛52HB.COM]-软件反汇编逆向分析,软件安全必不可少!

查看全部评分

吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   60.87%

hZW13 发表于 2022-2-6 11:02 | 显示全部楼层
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   16.67%

猎豹1054 发表于 2022-2-6 11:04 | 显示全部楼层


学习永不间断!
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   36%

CRQTnMsFS 发表于 2022-2-6 11:05 | 显示全部楼层
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   61.59%

Rrquk3 发表于 2022-2-6 11:07 | 显示全部楼层


谢谢分享
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   56.52%

JaKFGXc1 发表于 2022-2-6 11:07 | 显示全部楼层
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   47.83%

ByEij534 发表于 2022-2-6 11:08 | 显示全部楼层


John大神。你就是我的偶像!
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   67.39%

CBJ6245 发表于 2022-2-6 11:11 | 显示全部楼层


膜拜大神!
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   64.49%

CQPyO618 发表于 2022-2-6 11:20 | 显示全部楼层


谢谢分享
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM

  离线 

升级   24%

WsOZzodHtcip 发表于 2022-2-6 11:23 | 显示全部楼层


无敌了!你怎么知道我想要什么!
吾爱汇编论坛-学破解,防破解!知进攻,懂防守!逆向分析,软件安全!52HB.COM
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则 警告:本站严惩灌水回复,尊重自己从尊重他人开始!

1层
2层
3层
4层
5层
6层
7层
8层
9层
10层

免责声明

吾爱汇编论坛(www.52hb.com)所发布的破解补丁、注册机、逆向教程、逆向文章等,包含但不限于上述内容,仅限用于学习和研究目的,不得用于非法途径或商业行为。否则,一切后果请用户自行承担。本站内容源于网络,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑中彻底删除。如果您喜欢某程序,请购买正版,支持正版,获得正版优质服务。如有侵权请邮件或微信与我们联系处理。

站长邮箱:SharkHeng@iCloud.com
站长微信:SharkHeng


QQ|RSS|手机版|小黑屋|帮助|吾爱汇编论坛 ( 京公网安备11011502005403号 , 京ICP备20003498号 )

GMT+8, 2022-5-21 07:30 , Processed in 0.346334 second(s), 91 queries .

Powered by Discuz!

吾爱汇编论坛 www.52hb.com

快速回复 返回顶部 返回列表