第六课 实战INI注册机制

                              前言

由于文件注册和INI 文件注册皆是一样的手法，所以我决定这一课我将一次讲解掉第6 课和第7 课的内容，课件将采取比较复杂的两个VB 程序做为讲解

 

这里我说一个VB 的技巧

VB 多数用于编写一些小软件或者找图类型的外挂

但是VB 多数采取FFFF 也就是-1 作为比较，判断是否为正式版

那么今天我们也就开始我们的摸象计划

 

__vbaEnd      退出

 

__vbaStrCmp    比较

 

0061F8B0    50              push eax

0061F8B1    51              push ecx

0061F8B2    FF15 68114000   call dword ptr ds:[<&MSVBVM60.__vbaStrCm>; MSVBVM60.__vbaStrCmp

 

这一堆是动态读取程序的MD5 作为效验，是否为注册，因为我们要注册这个程序

必须改动代码，一经改动，MD5 即变，所以就很难注册成功

 

0012F75C   0020184C  UNICODE "48A525EB4AFA10EF7FF2128A8BE3D82C"

0012F760   002030E4  UNICODE "CFCD208495D565EF66E7DFF9F98764DA"

 

今天我们还要在说一个VB 的技巧，就是判断段内的部分死码查找

 

66 2D 01 00 51 6A 01 52

 

其实VB 最擅长也就是把-1 和0 作为比较

 

不像其他语言是把1 或者0 作为比较

 

 

 

 

 

 

 

 

 

 

 

 

 

 

00457A60  |.  83C4 04       add esp,0x4

00457A63  |.  E8 A684FFFF   call Unpacked.0044FF0E

00457A68  |.  E8 83AAFCFF   call Unpacked.004224F0

00457A6D  |.  E8 4540FEFF   call Unpacked.0043BAB7

00457A72  |.  E8 8D95FAFF   call Unpacked.00401004

00457A77  |.  E8 AF84FFFF   call Unpacked.0044FF2B

00457A7C  |.  E8 BD95FAFF   call Unpacked.0040103E

00457A81  |.  E8 1440FEFF   call Unpacked.0043BA9A

00457A86  |.  E8 137BFFFF   call Unpacked.0044F59E

00457A8B  |.  E8 783FFEFF   call Unpacked.0043BA08

00457A90  |.  E8 8C95FAFF   call Unpacked.00401021

00457A95  |.  E8 73AAFCFF   call Unpacked.0042250D

00457A9A  |.  E8 C382FFFF   call Unpacked.0044FD62

00457A9F  |.  E8 FEAAFCFF   call Unpacked.004225A2

00457AA4  |.  E8 423FFEFF   call Unpacked.0043B9EB

00457AA9  |.  E8 6976FFFF   call Unpacked.0044F117

00457AAE  |.  68 01000152   push 0x52010001

00457AB3  |.  E8 11000000   call Unpacked.00457AC9

00457AB8  |.  83C4 04       add esp,0x4

00457ABB  |.  E8 03000000   call Unpacked.00457AC3

00457AC0  |.  33C0          xor eax,eax

00457AC2  \.  C3            retn

 

ebp=0012FFF0

本地调用来自 0040146B, 00401737, 0041C57A, 0041C5A9, 0041C6F4, 0041C742, 00423831, 00423B3E, 00424021, 004263F5, 0042D0EA, 0042D24F, 0042D273, 0042D297, 0042D2BB, 0042D2DF, 0042D303, 0042D327, 0042D34B, 0042D36F, 0042D393, 0042D3B7, 0042D3DB, M)