IDM 6.4.1逆向分析笔记

已于 2023-06-10 19:34:54 修改
阅读量8.6k 收藏 27
点赞数 16
分类专栏： 逆向 汇编 笔记 文章标签： 网络 服务器 linux
于 2022-07-24 18:27:37 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/YiLiuF/article/details/125668942
版权
笔记 同时被 3 个专栏收录
4 篇文章 0 订阅
订阅专栏
逆向
3 篇文章 1 订阅
订阅专栏
汇编
2 篇文章 0 订阅
订阅专栏

环境准备

安装过程不做说明

1. x64dbg

官网地址：https://x64dbg.com/

2. 火绒剑

官网地址：https://www.huorong.cn/

３.SPY++

下载地址：https://github.com/westoncampbell/SpyPlusPlus
有安装了Visual Studio2013-2022的在工具栏可以找到
在这里插入图片描述

4.winhex

官网地址：http://www.x-ways.net/winhex/

5.IDM

官网地址：https://www.internetdownloadmanager.com/

软件分析

1. 行为分析

软件在启动过程中肯定会访问注册表或者一些文件,或者发送一些网络请求,来获取自己的注册信息,这里使用火绒剑来观察软件的行为.

1.1 打开火绒剑

在火绒的安全工具的最下方
在这里插入图片描述

1.2 开启监控

打开之后,我们开启监控,然后运行IDM,IDM启动完成之后停止监控
在这里插入图片描述
可以在日志中看到IDM的一些行为日志
在这里插入图片描述

1.3 筛选行为信息

先右键IDMam.exe点击包含’IDMan.exe’,过滤出与IDM相关的行为日志
在这里插入图片描述
然后点击左上方过滤,进行动作过滤
在这里插入图片描述

1.4先看注册表行为

在这里插入图片描述
与注册表相关的行为很多,这里只关注路径里有IDM相关名称的记录就行了,如
在这里插入图片描述

1.5 网络行为

动作过滤中进行筛选,然后在进程过滤中取消IDM
网络行为一般会调用更底层的进程进行请求,所以要取消包含
在这里插入图片描述
在这里插入图片描述
可以看到访问了IDM 相关网站,我在虚拟机中分析,没有网络,所以只对test.internetdownloadmanager.com进行了测试连接.
在这里插入图片描述
然后连上网络再试试
在这里插入图片描述
可以看到有多个idm相关网址的dns请求,猜测一下最下面的registeridm.com就是注册idm时会访问的地址.

2.尝试注册

2.1 序列号获取

通过百度随便找个序列号,我这里就不提供了
问: 为啥要百度找个序列号,自己乱填一个不行吗?
答: 因为程序会对序列号按照一定算法进行校验,就像身份证号一样,最后一位是校验位.校验通过了才会把序列号发给服务器进行再次验证.

2.2 注册行为监控(断网)

同样的我们要知晓软件注册过程中发生了什么

2.2.1 首先,清空火绒剑的监控日志

在这里插入图片描述
然后,断开网络
问:为啥要断网
答:因为有网和没有网结果不一样

2.2.2 清除dns缓存

打开cmd命令行

ipconfig /flushdns

在这里插入图片描述

2.2.3 输入注册信息(先别点注册)

在这里插入图片描述

2.2.4 开启火绒剑监控,并点击注册,注册完成后点击停止监控

在这里插入图片描述

2.2.5 日志过滤

看注册时软件对注册表进行了哪些修改
在这里插入图片描述

2.2.6 分析日志在这里插入图片描述

我们打开注册表(win+R 输入regedit,回车)
找到该地址

HKEY_USERS\S-1-5-21-3414719089-1786182962-4277031652-1000\Software\DownloadManager\

可以看到IDM相关的注册信息就在这个路径下
在这里插入图片描述

2.2.7 点击确定关闭IDM

网络连接失败，IDM自动关闭了

2.2.8 关于IDM关闭(点x关闭只是最小化,并未退出程序)

点击右下角上箭头,右键IDM图标,点击退出
在这里插入图片描述

2.３ 启动行为监控(断网)

2.3.1 同样清空日志,开启监控,打开IDM,停止监控

在这里插入图片描述

2.3.2 软件启动时一定会去查询序列号
2.3.3 查看软件注册信息

发现已成功,其实还没有发给服务器验证,只是本地校验通过
在这里插入图片描述在这里插入图片描述
这里其实有一种思路,就是不让他去连接注册服务器去注册
我试过修改host文件,让它访问错误的地址
不过IDM启动时会检查host文件,又给改回来了,或者自己进行dns查询.

2.3.4 联网测试

先下个文件试试先
去IDM官网下载IDM
在这里插入图片描述

2.3.4 重启IDM(右下角退出程序或者任务管理器结束IDM)

发现还是注册成功的…
那就多试几次,直到出现以下界面
在这里插入图片描述
点击确定后，出现重新注册页面，点击×关闭，不要注册

IDM修改注册

1. 首先看现在这个状态下，启动idm是否会有访问注册表来获取序列号

1.1 用xdbg32打开idm，并进入入口点

在这里插入图片描述

1.2 开启监控，并在xdbg32中按F9继续运行

等待出现正在退出窗口，停止日志监控。
在这里插入图片描述
看了一圈日志，没发现啥重要的信息

1.3 xdbg重新运行程序 （Ctrl + F2）

添加MessageBoxW 断点，下方命令行输入

bp MessageBoxW

作用：当显示对话框前中断
按F9继续运行，直到在调用MessageBoxW中断
在这里插入图片描述

在这里插入图片描述
在右下加堆栈窗口中可以看到假冒序列号的提示信息，现在的目标就是找到是谁生成的提示信息。

1.4 反向推是谁生成的这个提示信息

在堆栈中下滑，找到第一次显示 "一个假冒的序列号被用来注册 Internet Download Manager。IDM 正在退出…"的位置
在这里插入图片描述
双击idman.0135E473 ，上方的汇编代码会跳转到该位置.或者ctrl+G输入0135E473跳转到该命令处。
在这里插入图片描述
在该命令的前几条汇编代码处打下断点，然后ctrl+F2重启程序，运行代码直到碰到该断点。
在这里插入图片描述

1.5 找是谁跳转到idman.0016E45C的

翻了一遍该地址周围，发现没有有跳转到该地址的代码，堆栈中也没有。
那在堆栈中往上看
在这里插入图片描述
该地址上面一个明显是我们输入的序列号，再上面应该是我们上一个调用的函数的返回地址，所以我们可以在这个返回地址打下断点。
bp 0016E096
然后重启程序，运行代码直到该断点
注意：代码地址可能会因为程序重新启动发生改变，但我们打下断点还是能找到的

1.6 地址0016E096是如何跳转到 0016E45C的

在这里插入图片描述
到该地址后，按F8进行单步调试，注意跳转指令
在这里插入图片描述
发现运行到这个位置时，会跳转到提示虚假序列号的代码。此时eax = 3

1.7 修改eax 的值 改为4

在这里插入图片描述
按F9继续运行看看会发生什么（有空的同学可以试试别的值，这里只演示此时eax值的作用）
（我这里由于程序长时间不运行，其内部可能存在调试检查，发生了异常，重新运行了一下，就显示了一下界面，并在一会儿后程序因异常暂停）
在这里插入图片描述
经过测试发现在这个跳转点修改eax ,无论何值大多都会出现这个注册窗口。
让我们回顾一下这周围的代码

011BE091 | E8 8AB6FFFF              | call <idman.sub_11B9720>                |判断注册状态
011BE096 | 83C4 04                  | add esp,4                               |
011BE099 | 8945 A0                  | mov dword ptr ss:[ebp-60],eax           | 此处读取了eax, 要在此前修改eax
011BE09C | 8945 94                  | mov dword ptr ss:[ebp-6C],eax           | [ebp-6C]等于eax,此处读取了eax
011BE09F | 8B55 94                  | mov edx,dword ptr ss:[ebp-6C]           |
011BE0A2 | 85D2                     | test edx,edx                            |
011BE0A4 | 74 0A                    | je idman.11BE0B0                        |
011BE0A6 | C705 04EA4B01 01000000   | mov dword ptr ds:[14BEA04],1            |
011BE0B0 | 8B45 94                  | mov eax,dword ptr ss:[ebp-6C]           | eax 来自[ebp-6C]
011BE0B3 | 83F8 0C                  | cmp eax,C                               | C:'\f'
011BE0B6 | 0F87 2A040000            | ja idman.11BE4E6                        |
011BE0BC | FF2485 90EA1B01          | jmp dword ptr ds:[eax*4+11BEA90]        |

其实idman.sub_11B9720这个函数对序列号的有效性进行了验证，进入这个函数内部可以看到其读取了序列号、用户名等信息

1.8 提前修改eax

在这里插入图片描述
修改完后我们F9运行代码，可以看到我们的程序窗口已经出现了，不过多了一个对话框。其中的内容翻译过来就是下面这些。
“Internet下载管理器已使用假序列号注册。请注意，被**的产品可能无法正确工作，下载文件时可能会出错。因此，我们建议您购买功能齐全的产品”

在这里插入图片描述
由此可以看到eax的值是关键，此外程序还有其他部分对代码进行了验证，导致了弹窗的出现。

此外我们可以使用IDM反编译一下，看看

2. 解破序列号验证

2.1 现在我们需要找到是谁将eax改为3

显然在我们刚刚修改eax的汇编代码上方，call <idman.sub_11B9720> 代码修改了eax
我们重启程序，并运行到该函数内

2.2 进入获取注册状态的代码

在这里插入图片描述
按ctrl+F9运行到返回
在这里插入图片描述
我们根据代码反向推断，箭头所指处之后是我们最后能确定肯定会执行的地方。我们在此打下断点，重启并运行到该位置。在这里插入图片描述
从堆栈中我们可以知道，代码在此之前执行了箭头所指函数，我们跳转到该位置并打下断点

2.3 找到关键汇编代码

在这里插入图片描述
可以看到此处的下两行代码将eax赋值成了3,我们修改，我们点击该处代码，按空格修改代码
mov eax, 0x0，然后运行程序，就能发现程序能正常启动了
在这里插入图片描述

2.4 使用winhex修改idman.exe

找到IDM源程序位置，复制一份命名位idman_1.exe
在这里插入图片描述
用winhex打开idman_1.exe
在这里插入图片描述
按下ctrl+alt+x搜索十六进制数值搜索该位置的汇编十六进制代码，（下图中十六进制代码下有下划线的是可变地址，每次启动都会变，不能用来搜索）
在这里插入图片描述
搜索 B803000000E95EFBFFFF
在这里插入图片描述
找到该位置后将 EB03改为EB00,保存文件

2.5 测试修改后的结果

首先我们需要停止调试，然后双击idman_1.exe运行代码查看状态
在这里插入图片描述
程序已经能启动，不过在过一会儿之后会出现这个弹窗导致程序终止。

弹窗问题

睡觉去了，明天见

另一种解决方案

不要输入序列号，无限试用

YiLiuF
关注
  • 16
    点赞
  • 踩
  • 27
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
IDM免注册码
03-06
下载后解压。 先把解压包里的 IDMGCExt.crx 文件 集成到（鼠标直接拖吧）chrome的扩展程序中。（针对chrome，别再谷歌商店下，版本和绿色包里的crx版本不一样可能不能用）IE的应该是可以直接用。 IDMan.exe是运行即可。
【教程】个人使用idm笔记汇总 视频
03-26
【教程】个人使用IDM笔记汇总视频 IDM（Internet Download Manager）是一款强大的下载管理工具，深受用户喜爱。本教程将全面介绍如何有效利用IDM提高下载效率，优化下载体验，以及解决使用过程中可能遇到的问题。 ...
Internet Download Manager ( 极速下载器 ) 序列号注册码 IDM中文激活安装教程
2401_82916694的博客
03-18 2万+
IDM2024下载地址:https://sourl.cn/Mu7FWt默认安装即可。1. 修改hosts文件路径 C:\Windows\system32\drivers\etc2. 使用记事本或者notepad++编辑添加如下DNS127.0.0.1 registeridm.com 127.0.0.1 www.registeridm.com 127.0.0.1 www.internetdownloadmanager.com注意：此文件不能修改！！要另存，之后覆盖原文件即可！！！3. 运行Int
Internet Download Manager ( 极速下载器 ) 序列号注册码 IDM下载器注册机中文激活破解版
2401_84763852的博客
06-10 3680
(Internet Download Manager)是一款专业的下载管理软件，它通过多线程技术和智能文件分段技术，有效提升下载速度，并支持断点续传，还具有计划下载功能，用户可以设置特定的下载时间，非常适合需要在特定时间段下载文件的场合。IDM还支持视频抓取功能，可以自动检测网页中的视频文件，并提供一键下载选项，对于喜欢观看在线视频的用户来说，这是一个极大的便利。IDM(Internet Download Manager)备用下载地址（百度网盘提取）：提取码：odpf下载完成后按流程安装即可。
关于新版IDM激活码的最新教程
qq_46235929的博客
05-08 4448
idm
正版IDM多少钱？如何便宜购买序列号
weixin_46723478的博客
02-25 1385
IDM是一款互联网下载神器，它的全称是Internet Download Manager，可以将下载速度提升至5倍以上。那么IDM正版多少钱？如何才能买到正版IDM序列号呢？正版IDM的价格根据付费模式和购买渠道不同，所需要的价格也是不同的。
IDM序列激活永久授权版下载 v6.4.1 电脑版
2401_83010593的博客
05-04 4479
IDM序列激活永久授权版也叫做Internet Download Manager是一款流行的下载管理器软件，由美国的Tonec公司开发。它可以帮助用户更加方便快捷地下载各种类型的文件，包括音频、视频、文档、应用程序等等。IDM可以将文件下载分割成数个部分，同时使用多个连接进行下载，使得下载速度更快。此外，该软件还支持断点续传，即在下载过程中出现网络中断或其他问题时，可以自动恢复下载进度，避免了重新下载的麻烦。
IDM6.41最新版下载器Internet Download Manager
CaiHuaZeiPoJie的博客
03-02 3090
IDM下载器软件是一款非常好用的下载工具，可以帮助用户更加方便快捷地下载各种文件。广大用户对它的评价也非常好，特别是它的下载速度和稳定性受到了大家的高度评价。IDM下载器一点不比迅雷差，非常好用。Internet Download Manager （简称IDM） 是 Windows平台老牌而功能强大的下载工具，软件提供了下载队列、站点抓取和映射服务器等功能的同时，支持多款浏览器，对于经常有下载需求的用户来说，是个不可多得的选择。
Internet Download Manager（IDM6.41）软件安装教程及最新版下载
2401_83443388的博客
06-01 444
可以说IDM下载器是一款先进的下载工具,能够升级您的下载速度高达5倍,支持续传，IDM能够让使用者自动下载某些类型的文件，它可将文件划分为多个下载点以更快速度下载，并列出最近的下载，方便访问文件。大家都知道强大的下载引擎：强大的下载引擎使用独特的算法以最快的方式接收互联网数据，IDM由于其创新的动态文件分割技术，将始终加速下载， 与其他下载管理器和加速器不同，IDM 在下载过程中动态分段下载的文件，并且无需额外的连接和登录阶段即可重用可用连接，以实现最佳的加速性能。
internet download manager6.41最新版本下载及功能介绍
CaiHuaZeiPoJie的博客
02-23 1320
IDM是一款多线程下载和视频嗅探 神器。(全称:Internet Download Manager)是一款很不错的下载工具。有了internet download manager软件，可以提高你下载文件的速度，如果您在下载文件的时候，突然没网了，您可以使用IMD下载器的续传功能非常的方便，地瓜哥为您提供internet download manager下载。
Internet Download Manager(IDM) 6.42.2一键激活特别版
YU_bibo的博客
12-23 4209
Internet Download Manager，简称 IDM，是国外的一款优秀下载工具。目前凭借着下载计算的速度优势在外媒网站中均受好评，现在已被多数国人熟知。Internet Download Manager 提升你的下载速度最多达5倍，安排下载时程，带有续传功能，可以恢复因为断线、网络问题、计算机当机甚至无预警的停电导致下传到一半的资料。IDM具有动态文件分割、多重下载点技术，而且它会重复使用现有的联机，而不需再重新联机登入一遍。
WinHex 18.0 Keygen
01-12
WinHex 18.0 Keygen 支持官网最新版本，WinHex直接去官网下载即可。 会报毒，请先关闭杀毒软件，不放心的放虚拟机运行。 WinHex 官网下载地址：http://www.x-ways.net/winhex.zip
v6.4.1 flowable war包
11-18
Flowable是一款开源的工作流引擎，它提供了业务流程管理和应用程序开发的能力。在提供的"v6.4.1 flowable war包"中，...无论你是开发者、管理员还是业务分析师，这个包都能满足你在Flowable平台上进行各种操作的需求。
IDM使用临时权限重置时间
07-13
**IDM全称为Internet Download Manager**，是一款广受好评的下载管理软件，尤其以其高效的下载速度和智能的断点续传功能闻名。IDM能够帮助用户优化下载过程，提升网络连接速度，使得大文件下载变得更加迅速和便捷。...
idm.rar_idm
09-19
【标题】"idm.rar_idm" 指的是Internet Download Manager（IDM）的压缩文件，IDM是一个流行的下载管理器，它提供了强大的下载加速功能，尤其在处理大文件和多线程下载时表现优秀。 【描述】"idm code used for ...
IDM注册表及卸载残留清理2.0.zip
01-28
**IDM（Internet Download Manager）** 是一款广受欢迎的下载管理器，以其高效的速度和强大的下载功能而闻名。然而，随着时间的推移和版本的升级，用户可能会遇到一些问题，如旧版本的IDM在卸载后留下的注册表项和...
IDM6.42.3中文版是一款全球下载最快的IDM下载工具软件
tubage2023的博客
01-20 1690
IDM中文版是一款全球下载最快的IDM下载工具软件.Internet Download Manager(简称IDM下载器)是一款Windows平台功能强大的多线程下载工具,国外非常受欢迎.IDM中文破解版支持断点续传,支持嗅探视频音频,接管所有浏览器,具有站点抓取,批量下载队列,计划任务下载,自动识别文件名,静默下载,网盘下载支持等功能.IDM中文版是一款全球下载最快的IDM下载工具软件.
Internet Download Manager（IDM）v6.41.11 免激活不弹窗版
热门推荐
weixin_55412152的博客
04-11 5万+
Internet Download Manager（IDM）v6.41.11 免激活不弹窗版可提升你的下载速度多达5倍，安排下载时程，或续传一半的软件。Internet Download Manager的续传功能可以恢复因为断线、网络问题、计算机宕机甚至无预警的停电导致下传到一半的软件。此程序具有动态档案分割、多重下载点技术，而且它会重复使用现有的联机，而不需再重新联机登入一遍。聪明的in-speed技术会动态地将所有设定应用到某种联机类型，以充分利用下载速度。
【实用软件】Internet Download Manager（IDM6.41）下载及安装教程
最新发布
gg124501的博客
06-25 742
我们都知道支持所有流行的浏览器：IDM无缝集成到Google Chrome，FireFox，Microsoft Edge，Opera，Safari，Internet Explorer，AOL，MSN，Maxthon和所有其他流行的浏览器中，IDM为Chrome，Firefox，新旧Edge， Opera和其他浏览器提供其插件的安装。与其他下载管理器和加速器不同，互联网下载管理器在下载过程中动态分段下载的文件，并重用可用的连接，无需额外的连接和登录阶段，以实现最佳的加速性能。你会惊讶于IDM下载文件的速度。
我的csv文件中跟驰车辆运动信息，用pycharm提取出来做idm跟驰分析
05-24
首先，你需要安装pandas库，以便读取csv文件和进行数据分析。可以使用以下代码安装pandas： ```python !pip install pandas ``` 然后，使用以下代码读取csv文件并将其存储在一个名为data的变量中： ```python import pandas as pd data = pd.read_csv('your_csv_file.csv') ``` 接下来，你可以使用pandas库的各种函数和方法对数据进行分析和处理。根据你的需求，可以使用以下代码选择特定的列： ```python selected_data = data[['time', 'speed', 'distance']] ``` 然后，你可以使用选择的列进行分析和处理，例如将数据可视化。在使用IDM模型进行跟驰分析时，可能需要计算速度、距离和加速度等参数。可以使用以下代码计算加速度： ```python selected_data['acceleration'] = selected_data['speed'].diff() / selected_data['time'].diff() ``` 这样，你就可以使用Python和pandas库对csv文件进行分析和处理了。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值