【逆向工程核心原理】第11章笔记——视频讲座(去消息框)

一.运行Tut.ReverseMe1.exe

1. 摆脱烦人设定

并找到注册码

二.分析

目标：去除消息框

1. 调用API目录：
   

2. 找到要调用的rctMsgBox,共有4处。
   右击——set breakpoint on every call to rctMsgBox设置断点
   
   设置成功，按F9运行。
   
   注：若是错误显示不出四个，可以把一些临时文件给删除。
   找到view——breakpoints——disabled，全部激活。
   

观察到程序运行到402cFE停下来。

继续运行，弹出消息框，选择确定，出现主画面，按Nag:又会跑到2CFE.
观察EAX为00000001，说明都是相同的运行代码，所以只要对一处打补丁即可。

三. 打补丁（1）:去除消息框

(1)第一次尝试：

修改完成后运行程序，发现没反应。失败。
原因：没有正确处理rctMsgBox函数的返回值（EAX寄存器）
(2)第二次尝试：

运行程序后发现成功去除消息框。
(3)第三次尝试：
在402C17处改为RETN 4；

成功。

四. 查看402c17函数的参数个数

找到2CFE指令所处函数：发现是402C17

给402C17添加断点，重新启动。
F9运行，观察右下角窗口，确认函数的起始代码存储在栈中的返回地址（7401E5A9）

跳转到7401E5A9，找到调用指令7401E5A7，设置断点

运行到7401E5A7，观察到EAX为00402649

转到00402649，最终跳转到402C17。

6. 7401E5A7的CALL EAX命令最终调用的是402C17地址处的函数。