OllyDbg 使用笔记 （十三）

最新推荐文章于 2023-02-25 19:13:04 发布
最新推荐文章于 2023-02-25 19:13:04 发布
阅读量1.9k 收藏 2
点赞数 1
分类专栏： 加密与解密 文章标签： OllyDbg 反汇编
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/billvsme/article/details/39022979
版权

OllyDbg 使用笔记 （十三）


参考

书：《加密与解密》

视频：小甲鱼 解密系列 视频


示例程序下载地址：http://pan.baidu.com/s/1hqBrJWo


方法一：内嵌补丁


加载程序，按F9运行，点击Enter Reg.Code 输入name，key等，先不要按OK ，到OD中 按Ctrl+N打开输入输出表，搜索KillTimer，设置断点。再点击注册窗口的OK，我们可以看见：

（也可以通搜索注册失败时弹出窗口中的“The registration code seems to be not valid” 来找到下面代码）

004DC19D   > \83F8 03       cmp     eax, 3
004DC1A0   .  75 1E         jnz     short 004DC1C0
004DC1A2   .  8B57 1C       mov     edx, dword ptr [edi+1C]          ;  Case 3 of switch 004DBDA4
004DC1A5   .  50            push    eax                              ; /TimerID
004DC1A6   .  52            push    edx                              ; |hWnd
004DC1A7   .  FF15 B4575E00 call    dword ptr [<&USER32.KillTimer>]  ; \KillTimer
004DC1AD   .  6A 00         push    0
004DC1AF   .  6A 00         push    0
004DC1B1   .  68 5C666400   push    0064665C                         ;  ASCII "The registration code seems to be not valid.",LF,"Please check if you didn't made any mistake."
004DC1B6   .  E8 919D0D00   call    005B5F4C
004DC1BB   .  E9 B7000000   jmp     004DC277
004DC1C0   >  83F8 04       cmp     eax, 4
004DC1C3   .  75 1E         jnz     short 004DC1E3
004DC1C5   .  50            push    eax                              ; /TimerID; Case 4 of switch 004DBDA4
004DC1C6   .  8B47 1C       mov     eax, dword ptr [edi+1C]          ; |
004DC1C9   .  50            push    eax                              ; |hWnd
004DC1CA   .  FF15 B4575E00 call    dword ptr [<&USER32.KillTimer>]  ; \KillTimer
004DC1D0   .  6A 00         push    0
004DC1D2   .  6A 00         push    0
004DC1D4   .  68 FC656400   push    006465FC                         ;  ASCII "Thank you for your support!",LF,"Please Exit the Software and start it again to validate the code."
004DC1D9   .  E8 6E9D0D00   call    005B5F4C
004DC1DE   .  E9 94000000   jmp     004DC277
004DC1E3   >  83F8 05       cmp     eax, 5
004DC1E6   .  75 15         jnz     short 004DC1FD
004DC1E8   .  8B4F 1C       mov     ecx, dword ptr [edi+1C]          ;  Case 5 of switch 004DBDA4
004DC1EB   .  50            push    eax                              ; /TimerID
004DC1EC   .  51            push    ecx                              ; |hWnd
004DC1ED   .  FF15 B4575E00 call    dword ptr [<&USER32.KillTimer>]  ; \KillTimer
004DC1F3   .  6A FF         push    -1                               ; /ExitCode = FFFFFFFF
004DC1F5   .  FF15 D0545E00 call    dword ptr [<&KERNEL32.ExitProces>; \ExitProcess
004DC1FB   .  EB 7A         jmp     short 004DC277
004DC1FD   >  83F8 06       cmp     eax, 6
004DC200   .  75 0D         jnz     short 004DC20F
004DC202   .  8B57 1C       mov     edx, dword ptr [edi+1C]          ;  Case 6 of switch 004DBDA4
004DC205   .  50            push    eax                              ; /TimerID
004DC206   .  52            push    edx                              ; |hWnd
004DC207   .  FF15 B4575E00 call    dword ptr [<&USER32.KillTimer>]  ; \KillTimer
004DC20D   .  EB 68         jmp     short 004DC277
004DC20F   >  83F8 0A       cmp     eax, 0A
004DC212   .  75 2D         jnz     short 004DC241
004DC214   .  50            push    eax                              ; /TimerID; Case A of switch 004DBDA4
004DC215   .  8B47 1C       mov     eax, dword ptr [edi+1C]          ; |
004DC218   .  50            push    eax                              ; |hWnd
004DC219   .  FF15 B4575E00 call    dword ptr [<&USER32.KillTimer>]  ; \KillTimer
004DC21F   .  8B17          mov     edx, dword ptr [edi]
004DC221   .  8BCF          mov     ecx, edi
004DC223   .  FF92 C0000000 call    dword ptr [edx+C0]
004DC229   .  85C0          test    eax, eax
004DC22B   .  74 4A         je      short 004DC277
004DC22D   .  8BC8          mov     ecx, eax
004DC22F   .  E8 772D0E00   call    005BEFAB
004DC234   .  85C0          test    eax, eax
004DC236   .  74 3F         je      short 004DC277
004DC238   .  8BC8          mov     ecx, eax
004DC23A   .  E8 F13EFEFF   call    004C0130
004DC23F   .  EB 36         jmp     short 004DC277
004DC241   >  83F8 0B       cmp     eax, 0B
004DC244   .  75 31         jnz     short 004DC277
004DC246   .  50            push    eax                              ; /TimerID; Case B of switch 004DBDA4
004DC247   .  8B47 1C       mov     eax, dword ptr [edi+1C]          ; |
004DC24A   .  50            push    eax                              ; |hWnd
004DC24B   .  FF15 B4575E00 call    dword ptr [<&USER32.KillTimer>]  ; \KillTimer
004DC251   .  E8 F3570E00   call    005C1A49
004DC256   .  8B40 04       mov     eax, dword ptr [eax+4]
004DC259   .  6A 00         push    0
004DC25B   .  68 B03C6400   push    00643CB0                         ;  ASCII "ResetToolbars"
004DC260   .  68 1CF16300   push    0063F11C                         ;  ASCII "Settings"
004DC265   .  8BC8          mov     ecx, eax
004DC267   .  E8 255C0E00   call    005C1E91
004DC26C   .  85C0          test    eax, eax
004DC26E   .  74 07         je      short 004DC277
004DC270   .  8BCF          mov     ecx, edi
004DC272   .  E8 99190000   call    004DDC10
004DC277   >  8BCF          mov     ecx, edi                         ;  Default case of switch 004DBDA4
004DC279   .  E8 51040D00   call    005AC6CF
004DC27E   .  8B4D F4       mov     ecx, dword ptr [ebp-C]
004DC281   .  5F            pop     edi
004DC282   .  5E            pop     esi
004DC283   .  5B            pop     ebx
004DC284   .  64:890D 00000>mov     dword ptr fs:[0], ecx
004DC28B   .  8BE5          mov     esp, ebp
004DC28D   .  5D            pop     ebp
004DC28E   .  C2 0400       retn    4



这些代码其实是 swith，现在代码eax为3，正要运行case 3 处的代码。观察每个case，可以发现 case 4 中的"Thank you for your support!"，我们可以知道可能case 4 就是注册成功。我们就要想办法把swith 3 改成 swith 4。


我们先前看看，看看swith开始的代码


004DBD80   .  55            push    ebp
004DBD81   .  8BEC          mov     ebp, esp
004DBD83   .  6A FF         push    -1
004DBD85   .  68 17B85D00   push    005DB817                         ;  SE 处理程序安装
004DBD8A   .  64:A1 0000000>mov     eax, dword ptr fs:[0]
004DBD90   .  50            push    eax
004DBD91   .  64:8925 00000>mov     dword ptr fs:[0], esp
004DBD98   .  81EC 68010000 sub     esp, 168
004DBD9E   .  8B45 08       mov     eax, dword ptr [ebp+8]
004DBDA1   .  53            push    ebx
004DBDA2   .  56            push    esi
004DBDA3   .  57            push    edi
004DBDA4   .  83F8 01       cmp     eax, 1                           ;  Switch (cases 1..B)
004DBDA7   .  8BF9          mov     edi, ecx
004DBDA9   .  75 53         jnz     short 004DBDFE
004DBDAB   .  50            push    eax                              ; /TimerID; Case 1 of switch 004DBDA4
004DBDAC   .  8B47 1C       mov     eax, dword ptr [edi+1C]          ; |
004DBDAF   .  50            push    eax                              ; |hWnd
004DBDB0   .  FF15 B4575E00 call    dword ptr [<&USER32.KillTimer>]  ; \KillTimer
004DBDB6   .  E8 8E5C0E00   call    005C1A49


在004DBD80   下断点，删除前面KillTimer设置的断点，重新运行程序。多按几次F9（下断点处的地方，在程序界面产生前就调用了，所以多按几次F9），可以看到程序的界面，打开注册窗口，输入信息，点击OK，发现程序断在前面下断点的地方。

按F8单步运行， 可以发现 mov     eax, dword ptr [ebp+8] ，就是设置swith中eax的值。可以尝试把它改成mov eax ，4，但是我们可以发现原来的代码占用3个字节，改后的代码占用5个字节，后面的代码push    ebx, push    esi被覆盖了。


这时我们可以用内嵌补丁，先把mov     eax, dword ptr [ebp+8]改成jmp xxx到空白的代码处，再在空白的代码处写上要执行的代码，再跳回来。


这里我们可以把mov     eax, dword ptr [ebp+8]  改成jmp     005E47CC

再在005E47CC 写上下面的代码

005E47CB      00            db      00
005E47CC      B8 04000000   mov     eax, 4
005E47D1   .  53            push    ebx
005E47D2   .  56            push    esi
005E47D3   .^ E9 CB75EFFF   jmp     004DBDA3
005E47D8      00            db      00


复制到可执行程序，正常运行程序，可以发现，程序打开时一直弹出"Thank you for your support!"的窗口。调试改后的程序，我们可以发现原来程序一直在循环的执行swith，因为我们改成了switch 4，所以一直弹出"Thank you for your support!"的窗口。其实这个程序只是因为过期后前面有一个让我们输入key的nag窗口而不可以使用，我们只要让这个nag窗口不出现就可以了。我们可以让他switc  0B，0b既不会弹出“The registration code seems to be not valid” 窗口，也不会弹出"Thank you for your support!"的窗口。把  mov     eax, 4  改成  mov     eax, 0b 复制到可执行程序，再正常运行程序，可以发现程序可以正常运行。



方法二： 查看调用堆栈


此程序，因为产生了一个不可以跳过的nag窗口而不能使用，可以通过改变跳转，使程序不执行nag窗口的代码，来破解。


查找产生nag窗口的代码


重新加载程序，删掉前面设置的断点，按F9运行程序，看到nag窗口出现时，暂停程序，按 alt+K 查看堆栈调用，


图片1


点击最下面的 ”调用来自“。查看代码（点击 函数过程 是看函数的具体代码，点击 调用来自 是看call）


在这个call上下断点，重新运行程序，

图片2



可以发现真是这个call产生了nag窗口。


查找这段代码的开头（即找push ebp）

图片3


在push ebp 下断点重新运行程序，按F9运行，来到断点处。

按F8单步运行，变按边注意跳转，改变寄存器 ，使程序跳过call    005ABE4D。


可以发现只要使 jnz     short 004DBDE6 不跳转即可以实现跳过call    005ABE4D。









billvsme
关注
专栏目录
Ollydbg使用教程学习总结（四）
m0_67194883的博客
09-05 76
用PEID查看，是VC6编写的程序，用OD载入API下断方法：a.右键=>查找=>所有模块间的调用，直接输入API，找到后右键该行=>在每个调用到上设置断点；b.Ctrl+N，找到后右键=>在每个参考上设置断点；按F9运行程序，删除输入注册码之前就触发的断点，最后输入注册信息之后，在如下位置断下。
OllyDbg使用学习 笔记
Fly Follow the Heart
12-31 4807
1. 运行命令：         F7 -- 单步执行，遇到Call跟进         F8 -- 单步执行，遇到Call跳过，不进入         F9 -- 运行起来，相当于Visual Studio的F5         Ctrl+F9 -- 运行到本函数结束（Ret指令后）         Alt+F9 -- 跳出系统调用，回到应用程序中         
利用OllyDbg进行源码级调试(Win32汇编语言)
04-03 1469
OllyDbg是一款能够在Windows环境下的动态调试软件，与Softice不同的是，它运行在用户模式下，且结合了动态调试与静态分析的功能。 OllyDbg通常用于反汇编调试，但事实上，它也能进行源码级调试，这对众多程序员来说是个福音。 下面我就以Win32汇编语言为例，简单介绍一下OllyDbg的源码级调试方法。 ========================================
OllyDbg的基本使用
weixin_34307464的博客
01-31 757
注：内容整理自《逆向工程核心原理》，结合我的OllyDbg版本修改了一些内容 1. OllyDbg常用命令及其快捷键 指令 快捷键 含义 Restart Ctrl+F2 重新开始调试 Step Into F7 执行一句OP code，若遇到CALL，进入函数代码内部 Step Over F8 执行一句OP code，若遇到CALL，仅执...
用OllyDbg做破解
weixin_30596735的博客
06-10 261
朋友所托，要帮忙破解一个MFC的小程序，他急等着用 （背景：几个人合伙创业，其中一个负责写这个有点小核心的项目，为了巩固自己的”地位“搞的小把戏，给加了密，要用必须通过他 - 我艹~~~）。 虽说自己搞C++比较多，相对来讲native一点，但是对于汇编与破解，了解相当有限，去年这朋友也找过我，因为当时刚换公司比较忙，是求助另外一好友才搞定的。这次还是自己花点时间研究研究吧。工具吗，用windb...
Ollydbg使用指南
于高山之巅，方见大河奔涌；于群峰之上，更觉长风浩荡。
02-23 8840
Ollydbg基本操作的汇总
ollyDbg学习笔记
11-10
破解三种方法： 1.字符串查找 2.调用栈，运行程序，然后暂停，按下alt+k 3.用exe分析器,查找对话框的值，然后在OＤ里查找push 0x* （18,19） 实用技巧 1.内嵌补丁（堆栈不平衡时，可借助插件 17） 2.实时调试（第...
【加解密学习笔记：第二天】动态调试工具OllyDbg使用基础介绍
sinat_35794373的博客
08-16 1059
首先说一下OllyDbg的界面，如下图所示 下面依次介绍： 反汇编面板：有四列，从左到右依次为：地址（Address），机器码（Hex dump），反汇编代码（Disassembly），注释（Comment） 信息面板：在进行动态跟踪时，信息面板窗口（Information window）将显示与指令相关的各寄存器的值，API函数调用提示和跳转信息提示等信息。 数据面板：显示程序在内存中的数据，...
看雪学院-OllyDBG入门系列（三）笔记
有被小窝
02-04 1048
原作地址：http://bbs.pediy.com/showthread.php?threadid=21330 作者：CCDebuger   看雪学院-OllyDBG入门系列（三）笔记 这样的编辑框中输注册码的程序，要设断点，首选的 API 函数就是 GetDlgItemText 及 GetWindowText。 每个函数都有两个版本，一个是 ASCII 版，在函数
【加解密学习笔记：第三天】OllyDbg断点介绍
sinat_35794373的博客
08-17 542
INT 3 断点 常用断点，使用“F2”快捷键设置的就是 INT 3 断点。这类断点采用修改机器码的方式，将设断处的代码更改为 “CC”，当程序运行至设断处时，会抛出一个异常，OllyDbg会捕捉到这个异常，使得程序暂停，然后恢复程序机器码。INT 3 断点可以设置无限多个，但是由于 INT 3 断点更改了机器码，所以很容易被目标软件检测到。 硬件断点 硬件断点与 DRx 调试寄存器有关，在Int...
ollydbg
02-19
ollydbg
OllyDbg软件
09-22
OllyDbg英文版+汉化版+美化,是一款很不错的逆向工具
OllyDBG(反汇编神器)
10-20
OLLYDBG是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。同时还支持插件扩展功能，是目前最强大的调试工具。
OllyDbg工具
11-08
OllDbg工具,OLLYDBG是一个新的动态追踪工具，将IDA与SoftICE结合起来的思想，Ring 3级调试器，非常容易上手，己代替SoftICE成为当今最为流行的调试解密工具了。同时还支持插件扩展功能，是目前最强大的调试工具。
OllyDbg 2.1
10-30
win phone 8专用安装32位，希望对大家有帮助吧
OllyDBG教程！
热门推荐
yxyhack's blog
07-21 2万+
一、OllyDBG 的安装与配置OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行 OllyDBG.exe 就可以了。汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可：screen.width*0.6) {this.width=screen.width*0.6;this.alt=此图已经缩小，点击察看原图。;}
OllyDBG 入门系列（一）－认识OllyDBG
子曰小玖的博客
10-29 5423
一、OllyDBG 的安装与配置 OllyDBG 1.10 版的发布版本是个 ZIP 压缩包，只要解压到一个目录下，运行 OllyDBG.exe 就可以了。汉化版的发布版本是个 RAR 压缩包，同样只需解压到一个目录下运行 OllyDBG.exe 即可： OllyDBG 中各个窗口的功能如上图。简单解释一下各个窗口的功能，更详细的内容可以参考 TT 小组翻译的中文帮助： 反汇编窗口：显示被调试程序的反汇编代码，标题栏上的地址、HEX 数据、反汇编、注释可以通过在窗口中右击出现的菜单 界面选项->隐藏标
OllyDbg
最新发布
cyynid的博客
02-25 3061
本文通过吾爱破解论坛上提供的OllyDbg版本为例，讲解该软件的使用方法。
OllyDbg 2.0 使用简介
本文档提供了关于OllyDbg 2.0的简要帮助，包括其主要功能、设置、使用技巧和注意事项。" 1. **版本差异**： OllyDbg 2.0相较于1.10版有了一些改进和变化。虽然没有具体列出这些差异，但通常更新可能涉及性能提升、...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值