Example 1

运行abex’ crackme

1. 运行
   
2. 点击确定按钮
   
3. 程序弹出Error按钮就终止运行了，下面直接调试分析它。

用Olldbg调试

1. EP代码非常短，与我们前面分析的HelloWorld有非常大的不同，这是因为abex’ crackme程序是使用汇编语言编写出来的可执行文件。
   
2. 函数调用顺序.

• MessageBox(“Make me think your HD is a CD-Rom.”)->GetDriveType(“C:\”)->MessageBox(“Nah… This is not a CD-ROM Drive!”) or MessageBox(“OK,I really think that your HD is a CD-ROM!:p”)
• 在消息窗口按确定后，程序会调用GetDriveType()API，获取C盘驱动器的类型，大部分返回的是HDD类型，我们要做的就是操作它，使之被识别为CD-ROM类型，再在消息窗口中输出“OK,I really think that your HD is a CD-ROM!:p”。

3. 分析

00401024  |. 3BC6           CMP EAX,ESI
00401026  |. 74 15          JE SHORT abexcm1-.0040103D

• 这两行通过比较EAX，ESI的值来控制程序跳转到哪里执行，JE表示若EAX，ESI相等则跳转到0040103D处执行，否则接着向下执行。
• 我们将鼠标移动到401026处，按下空格键，将JE指令修改成JMP指令就可以修改程序的执行流程。
  
• 点击右键，使用Copy to executable命令，可以把修改后的代码保存为文件，在运行程序，破解成功。
  

参数入栈顺序

1. 看地址00401000~0040100E之间的命令，可以发现调用MessageBoxA()函数之前使用了4个Push命令，把函数需要的参数逆序压入栈。
   
2. 将上述汇编代码转换为C语言代码。

MessageBox(NULL,"Make me think your HD is a CD-Rom.","abex’ 1st crackme“, MB_OK|MB_APPLMODAL);

3. 栈的结构是先进后出，所以把参数压入栈时，只有按逆序压入，MessageBoxA()函数才能按顺序接收参数。