逆向分析abex'crackme #2

这里接着逆向分析abex' crackme #2。

运行程序，要求填入Name和Serial：

随意填写后点击Check：

 

可以看到，显示这个序列号错误。

由此可知，该程序是通过获取用户输入的Name字符串，再通过加密的方式加密Name字符生成相应的Serial值。这里可以明确一下目标，即逆向分析该加密算法具体是如何实现的。

 

OllyDbg打开该exe文件：

 

MSVBVM60.dll为VB专用引擎。

EP代码前面的代码为IAT区域，是一些调用VB引擎的函数，如ThunRTMain()。接着PUSH指令将RT_MainStruct结构体的地址作为ThunRTMain()函数的参数压入栈，再执行CALL指令即调用ThunRTMain()函数。这里用到的是间接调用的方法调用ThunRTMain()函数，是VC++和VB编译器中常用的间接调用方法。

这里查看一下RT_MainStruct结构体的内容：

 

RT_MainStruct结构体的成员是其他结构体成员的地址，即VB引擎通过参数传递过来的RT_MainStruct结构体获取程序运行需要的所有信息。

接着进入ThunRTMain()函数继续调试：

 

这里是MSVBVM60.dll模块的地址区域，是VB引擎代码而不是程序代码，因而不用对其进行分析。

回想一下，可以利用字符串检索法进行查找：

找到相关字符串点击进去查看，找到条件分支语句：