OD跟无明码注册码软件的问题

[lwj_1986]

十分想知道答案 在线等

脱了壳显示的是vc6 但是在TEMP文件夹释放了FNR文件 baidu后知道是E语言

但是不知道为什么E语言的程序显示的是VC 不象是加花过

注册点确定 提示错误

到字符串中查找 尽然有关的一个汉字都没有
再到EXESCOPE中看 资源没有被释放 只有图标

但是在OD载入 时也没有提示加密啊

导入, KERNEL32.dll
顺序 (示意) 名字
0000013E GetProcAddress
000001C2 LoadLibraryA
0000001B CloseHandle
000002DF WriteFile
0000002D CreateDirectoryA
00000165 GetTempPathA
00000218 ReadFile
0000026A SetFilePointer
00000034 CreateFileA
00000124 GetModuleFileNameA
00000153 GetStringTypeA
000001C0 LCMapStringW
000001BF LCMapStringA
00000199 HeapAlloc
0000019F HeapFree
00000126 GetModuleHandleA
00000150 GetStartupInfoA
000000CA GetCommandLineA
00000174 GetVersion
0000007D ExitProcess
0000019D HeapDestroy
0000019B HeapCreate
000002BF VirtualFree
000002BB VirtualAlloc
000001A2 HeapReAlloc
0000029E TerminateProcess
000000F7 GetCurrentProcess
000002AD UnhandledExceptionFilter
000000B2 FreeEnvironmentStringsA
000000B3 FreeEnvironmentStringsW
000002D2 WideCharToMultiByte
00000106 GetEnvironmentStrings
00000108 GetEnvironmentStringsW
0000026D SetHandleCount
00000152 GetStdHandle
00000115 GetFileType
0000022F RtlUnwind
000000BF GetCPInfo
000000B9 GetACP
00000131 GetOEMCP
000001E4 MultiByteToWideChar
00000156 GetStringTypeW

请问 这样的软件 如何追到注册码

[大熊猫侯佩]

晕..不是你想得这么简单。

注册码并不都是定义成明文string放在exe文件里的,你要跟踪指令流。

[lwj_1986]

这样的没有遇到过

希望楼上的 可以说的明白点

[lwj_1986]

在00407084 .rdata 导入 ( KERNEL32.GetEnvironmentStrings （2个断点）
00407088 .rdata 导入 ( KERNEL32.GetEnvironmentStringsW （1个断点）


0040512E /$ 51 push ecx
0040512F |. 51 push ecx
00405130 |. A1 D0BB4000 mov eax,dword ptr ds:[40BBD0]
00405135 |. 53 push ebx
00405136 |. 55 push ebp
00405137 |. 8B2D 88704000 mov ebp,dword ptr ds:[<&KERNEL32.G>; kernel32.GetEnvironmentStringsW
0040513D |. 56 push esi
0040513E |. 57 push edi
0040513F |. 33DB xor ebx,ebx
00405141 |. 33F6 xor esi,esi
00405143 |. 33FF xor edi,edi
00405145 |. 3BC3 cmp eax,ebx
00405147 |. 75 33 jnz short 新春无奈.0040517C
00405149 |. FFD5 call ebp ; [GetEnvironmentStringsW（第一处）
0040514B |. 8BF0 mov esi,eax
0040514D |. 3BF3 cmp esi,ebx
0040514F |. 74 0C je short 新春无奈.0040515D
00405151 |. C705 D0BB4000>mov dword ptr ds:[40BBD0],1
0040515B |. EB 28 jmp short 新春无奈.00405185
0040515D |> FF15 84704000 call dword ptr ds:[<&KERNEL32.GetE>; [GetEnvironmentStrings（二）
00405163 |. 8BF8 mov edi,eax
00405165 |. 3BFB cmp edi,ebx
00405167 |. 0F84 EA000000 je 新春无奈.00405257
0040516D |. C705 D0BB4000>mov dword ptr ds:[40BBD0],2
00405177 |. E9 8F000000 jmp 新春无奈.0040520B
0040517C |> 83F8 01 cmp eax,1
0040517F |. 0F85 81000000 jnz 新春无奈.00405206
00405185 |> 3BF3 cmp esi,ebx
00405187 |. 75 0C jnz short 新春无奈.00405195
00405189 |. FFD5 call ebp
0040518B |. 8BF0 mov esi,eax
0040518D |. 3BF3 cmp esi,ebx
0040518F |. 0F84 C2000000 je 新春无奈.00405257
00405195 |> 66:391E cmp word ptr ds:[esi],bx
00405198 |. 8BC6 mov eax,esi
0040519A |. 74 0E je short 新春无奈.004051AA
0040519C |> 40 /inc eax
0040519D |. 40 |inc eax
0040519E |. 66:3918 |cmp word ptr ds:[eax],bx
004051A1 |.^ 75 F9 |jnz short 新春无奈.0040519C
004051A3 |. 40 |inc eax
004051A4 |. 40 |inc eax
004051A5 |. 66:3918 |cmp word ptr ds:[eax],bx
004051A8 |.^ 75 F2 \jnz short 新春无奈.0040519C
004051AA |> 2BC6 sub eax,esi
004051AC |. 8B3D 80704000 mov edi,dword ptr ds:[<&KERNEL32.W>; kernel32.WideCharToMultiByte
004051B2 |. D1F8 sar eax,1
004051B4 |. 53 push ebx ; /pDefaultCharUsed
004051B5 |. 53 push ebx ; |pDefaultChar
004051B6 |. 40 inc eax ; |
004051B7 |. 53 push ebx ; |MultiByteCount
004051B8 |. 53 push ebx ; |MultiByteStr
004051B9 |. 50 push eax ; |WideCharCount
004051BA |. 56 push esi ; |WideCharStr
004051BB |. 53 push ebx ; |Options
004051BC |. 53 push ebx ; |CodePage
004051BD |. 894424 34 mov dword ptr ss:[esp+34],eax ; |
004051C1 |. FFD7 call edi ; \WideCharToMultiByte
004051C3 |. 8BE8 mov ebp,eax
004051C5 |. 3BEB cmp ebp,ebx
004051C7 |. 74 32 je short 新春无奈.004051FB
004051C9 |. 55 push ebp
004051CA |. E8 0FE8FFFF call 新春无奈.004039DE
004051CF |. 3BC3 cmp eax,ebx
004051D1 |. 59 pop ecx
004051D2 |. 894424 10 mov dword ptr ss:[esp+10],eax
004051D6 |. 74 23 je short 新春无奈.004051FB
004051D8 |. 53 push ebx ; /pDefaultCharUsed
004051D9 |. 53 push ebx ; |pDefaultChar
004051DA |. 55 push ebp ; |MultiByteCount
004051DB |. 50 push eax ; |MultiByteStr
004051DC |. FF7424 24 push dword ptr ss:[esp+24] ; |WideCharCount
004051E0 |. 56 push esi ; |WideCharStr
004051E1 |. 53 push ebx ; |Options
004051E2 |. 53 push ebx ; |CodePage
004051E3 |. FFD7 call edi ; \WideCharToMultiByte
004051E5 |. 85C0 test eax,eax
004051E7 |. 75 0E jnz short 新春无奈.004051F7
004051E9 |. FF7424 10 push dword ptr ss:[esp+10]
004051ED |. E8 44E6FFFF call 新春无奈.00403836
004051F2 |. 59 pop ecx
004051F3 |. 895C24 10 mov dword ptr ss:[esp+10],ebx
004051F7 |> 8B5C24 10 mov ebx,dword ptr ss:[esp+10]
004051FB |> 56 push esi ; /EnvironmentBlock
004051FC |. FF15 7C704000 call dword ptr ds:[<&KERNEL32.Free>; \FreeEnvironmentStringsW
00405202 |. 8BC3 mov eax,ebx
00405204 |. EB 53 jmp short 新春无奈.00405259
00405206 |> 83F8 02 cmp eax,2
00405209 |. 75 4C jnz short 新春无奈.00405257
0040520B |> 3BFB cmp edi,ebx
0040520D |. 75 0C jnz short 新春无奈.0040521B
0040520F |. FF15 84704000 call dword ptr ds:[<&KERNEL32.GetE>; [GetEnvironmentStrings（三）
00405215 |. 8BF8 mov edi,eax
00405217 |. 3BFB cmp edi,ebx
00405219 |. 74 3C je short 新春无奈.00405257
0040521B |> 381F cmp byte ptr ds:[edi],bl
0040521D |. 8BC7 mov eax,edi
0040521F |. 74 0A je short 新春无奈.0040522B
00405221 |> 40 /inc eax
00405222 |. 3818 |cmp byte ptr ds:[eax],bl
00405224 |.^ 75 FB |jnz short 新春无奈.00405221
00405226 |. 40 |inc eax
00405227 |. 3818 |cmp byte ptr ds:[eax],bl
00405229 |.^ 75 F6 \jnz short 新春无奈.00405221
0040522B |> 2BC7 sub eax,edi
0040522D |. 40 inc eax
0040522E |. 8BE8 mov ebp,eax
00405230 |. 55 push ebp
00405231 |. E8 A8E7FFFF call 新春无奈.004039DE

在以上三处下断后 运行 程序出来了 但是点注册 输入完机器名和注册码后
程序没有停下来啊

如果我要在栈中看到 注册码或是进算法 我应该在哪里下断呢？？

[WAKU]

E语言编译的程序用探壳器查都是VC写的

[lwj_1986]

问题是怎么跟他的注册码 呢？？

[lwj_1986]

我没跟出来啊

[lwj_1986]

OD 跟到 PUSH 没有找到CALL 就直接输出了

[fxxygg]

易语言一般都是显示VC的.而且易语言有自己的支持库文件,
断点不能在外面打转下断,你下的断点都没用.
易语言记得好象有特定的断点,具体忘了, 建议去看雪或者UNPACK搜索一下,似乎记得
有位叫什么小子的写过几篇易语言调试的帖子.