1,国软,出于保护,不公布名字
2,PEID查看,无壳,VC6编写
3,弹窗提示注册错误(注册码未被清空,可内存搜索到再对其下断内存访问断点),下断 MessageBoxA,来到:
00473DF8 . E8 E3050000 CALL TPhoto.004743E0
00473DFD . 85C0 TEST EAX,EAX
00473DFF . 75 1B JNZ SHORT TPhoto.00473E1C
其中004743E0为关键call,两处调用,一是注册,一是启动验证
0047450A |. E8 D1610500 CALL TPhoto.004CA6E0 ; /重要call
0047450F |. 85C0 TEST EAX,EAX
00474511 75 07 JNZ SHORT TPhoto.0047451A ; 跳到成功,改为jmp爆破
00474513 |. 5F POP EDI
00474514 |. 5E POP ESI
00474515 |. 5D POP EBP
00474516 |. 5B POP EBX
00474517 |. C2 1000 RETN 10
0047451A |> 0FBE8B B60300>MOVSX ECX,BYTE PTR DS:[EBX+3B6]
00474521 |. 81C1 90070000 ADD ECX,790
00474527 |. B8 01000000 MOV EAX,1 ; 置标志位为1
算法未分析,等周末写了小注册机出来,自己用。