Gushang 逆向 c写的第三个CM

Start

这一次四个dll

先将exe拖入IDA看总体流程
来到Imports导入表发现没有调用dll，这说明是程序执行时手动调用的

F5看反编译，这里利用Win32的函数动态载入dll，所以在导入表中不会显示，关于动态载入dll，可以参考https://blog.csdn.net/roshy/article/details/81944264

将cm.dll拖入IDA，查看字符串

交叉引用+F5

这里又调用了两个dll，先调用了lib.dll中的change函数
记住三个参数v1, 19, -8
来到lib.dll, 找到change函数，与之前的change一样，出对单个字符减8，这次的flag为19位

foreach_lib.dll的foreach函数：

enc = "baflaYfbamr`]qYf_d]"
flag = ''
for i in enc:
    flag += chr(ord(i) + 8)

程序来源: http://52pojie.cn/thread-1180696-1-1.html

End