首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 社区
  2. 付费问答
    3. 发新帖
[旧帖] [求助]这个限制时间的软件应该怎么破解？ 0.00雪花
发表于: 2011-10-19 14:06 15105

[旧帖] [求助]这个限制时间的软件应该怎么破解？ 0.00雪花

HelloJuly 活跃值
2011-10-19 14:06
15105
我想搜索弹出对话框的信息，但搜不到内容


我尝试找弹出对话框的函数，OD说不能在那下断点

运行后我看到堆栈里写着软件截止时间和当前系统时间，但不知道怎么写进去的


你能给我点提示吗？感谢

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课

上传的附件：
收藏
免费 ・0
支持
分享
最新回复 (29)
Etr
雪    币： 171
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
Etr
2 楼
点窗口然后看看
2011-10-19 15:58
0
rufeifei
雪    币： 47
活跃值： (36)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
建议利用监测软件   查看生成什么文件 对注册表进行了什么操作  动用了哪些API  还看看是不是进行网络验证，记下你PC的信息传到服务器

破解限制时间的软件的主要思路就是这些

以上本人愚见
2011-10-19 16:12
0
yarpee
雪    币： 343
活跃值： (40)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
4 楼

是这样么？
2011-10-19 18:03
0
HelloJuly
雪    币： 20
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
5 楼
感谢提供思路，我会尝试的。
2011-10-19 18:43
0
HelloJuly
雪    币： 20
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
6 楼
[QUOTE=yarpee;1011249]
是这样么？[/QUOTE]

是的。能达到这个程度就好了。
2011-10-19 18:45
0
yarpee
雪    币： 343
活跃值： (40)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
7 楼
说一下我的过程吧，查了下壳是VMP的，不会脱，就只能硬着头皮带壳调了。
试了几个MessageBox的断点没断下来，最后是MessageBoxIndirectA断了下来。
回溯了一下调用栈，发现了LZ图中所示。于是想办法调试那个过程。
对着日期的栈内地址下断，F8粗略过一下，看到了
http://www.symental.com/time/date.asp
这个。没错，它就是服务器验证，返回今天的日期，所以改本机日期是无效的。

剩下的过程我就不啰嗦了，粗粗的写了些记录：
http://www.symental.com/time/date.asp
7348D346    FFD0            call    eax                              ; 五邑大学.0040774C    // 第8次断在这时，下面的push eax为http://www.symental.com/time/date.asp页面的字符串
7348D350    50              push    eax

7348D24A    FF3482          push    dword ptr [edx+eax*4]    // 此处push的值为2011-1-1的地址[4076D0]=40E7EC

73477A25    E8 03000000     call    __vbaStrComp

7348D16F    59              pop     ecx
7348D170    66:0BC9         or      cx, cx
7348D173  ^ 74 E8           je      short 7348D15D    // 跳转实现即可

004BF1DA   > /80FA 0E       cmp     dl, 0E

004BF203      AA            stos    byte ptr es:[edi] // al=32

004CF123   .  F3:A4         rep     movs byte ptr es:[edi], byte ptr [esi] // 40B21A=30 40B21B=00 40B21C=31 40B21D=00 复制31 00 40B220=2D 40B221=00 复制31 00 2D 00 31 00
                                                                           // 30 00 31 00 31 00 2D 00 31 00 2D 00 31 00
                                                                           // 011-1-1
                                                                           // 30又来自40B210
                                                                           // 40B210又来自40B20A
                                                                           // 40B20A又来自40A25D
                                                                           // 40A25D又来自al

改那些2011-1-1地址的值是最浅显的，但是具体定位到文件中的偏移还得了解下VMP的过程。
改7348D170    66:0BC9         or      cx, cx cx=0即让跳转实现也是可以的，测试通过。
最后就是自己修改hosts，劫持到本地，然后架个本地服务器，写个date.asp，也测试通过。
2011-10-19 20:01
0
HelloJuly
雪    币： 20
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
很详细，受益匪浅，多谢！~
2011-10-19 22:15
0
moonflow
雪    币： 102
活跃值： (85)
能力值： ( LV7，RANK：110 )
在线值：
发帖
回帖
粉丝
私信
9 楼
不错，
VMP脱壳可以入下:
文件载入后在反汇编窗口单步几步，然后CTRL+G搜索VirtualProtect
7C801AD4 >  8BFF            mov     edi, edi                                   ; VirtualProtect
下断点后，F9运行，观察堆栈窗口直到NewProtect项变为PAGE_READONLY

进入后需要键->分析->从模块中删除分析，重新分析一下，会出现
00401000   .  D9CA4673      dd      msvbvm60.rtcRgb
00401004   .  683B4973      dd      msvbvm60.MethCallEngine
00401008   .  6B624873      dd      msvbvm60.rtcVarFromFormatVar
0040100C   .  7ECF4673      dd      msvbvm60.rtcMsgBox
00401010   .  65744773      dd      msvbvm60.rtcTrimVar
00401014   .  D9804873      dd      msvbvm60.rtcInStrRev
00401018   .  736E4773      dd      msvbvm60.rtcMidCharVar
0040101C   .  CF994573      dd      msvbvm60.EVENT_SINK_AddRef
00401020   .  8E5B4673      dd      msvbvm60.rtcKillFiles
00401024   .  E5A03973      dd      msvbvm60.DllFunctionCall
00401028   .  E2994573      dd      msvbvm60.EVENT_SINK_Release
0040102C   .  133A4973      dd      msvbvm60.rtcArray
00401030   .  E0984573      dd      msvbvm60.EVENT_SINK_QueryInterfa>
00401034   .  24464773      dd      msvbvm60.__vbaExceptHandler
00401038   .  04884873      dd      msvbvm60.rtcReplace
0040103C   .  6A7C4773      dd      msvbvm60.rtcStringBstr
00401040   .  917D4773      dd      msvbvm60.rtcStringVar
00401044   .  930D4773      dd      msvbvm60.rtcVarBstrFromAnsi
00401048   .  1D964673      dd      msvbvm60.rtcCreateObject2
0040104C   .  2D8E4773      dd      msvbvm60.rtcStrConvVar2
00401050   .  5DD04873      dd      msvbvm60.ProcCallEngine
00401054   .  E5DC4673      dd      msvbvm60.VarPtr
00401058   .  44524673      dd      msvbvm60.rtcDir
0040105C   .  7F414673      dd      msvbvm60.rtcEndOfFile

由此可以发现是vb的，查了下VB的特征可以搜索xor byte ptr ds:[eax],al

由此发现
00401128    68 E51225D8     push    D82512E5
0040112D    E8 62930B00     call    004BA494
00401132    0000            add     byte ptr [eax], al
00401134    0000            add     byte ptr [eax], al
00401136    0000            add     byte ptr [eax], al
00401138    3000            xor     byte ptr [eax], al

这个地方就是OEP了，并在OD中设置新的EIP
接下来就可以dump啦。通常选择OD的dump插件脱壳
然后发现可以运行，就基本上如此了

可以按照yarpee分析的，挺好的。

2011-10-20 19:16
0
yarpee
雪    币： 343
活跃值： (40)
能力值： ( LV5，RANK：60 )
在线值：
发帖
回帖
粉丝
私信
10 楼
表示膜拜尼玛NB。按尼玛NB教导的脱掉VMP壳后，修改40E7EC处即可！
2011-10-20 20:12
0
moonflow
雪    币： 102
活跃值： (85)
能力值： ( LV7，RANK：110 )
在线值：
发帖
回帖
粉丝
私信
11 楼
还是曾NB是NB，思路不错滴
2011-10-20 20:15
0
taoairong
雪    币： 232
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
牛人啊还是自己把服务器地址，劫持到本地架的asp服务器省事
2011-10-21 16:54
0
啊风
雪    币： 9
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
13 楼
大哥  你把时间都调出来了  用OD 修改时间 或者写个DLL文件注入进去 HOOK地址 修改时间也行啊.
2011-10-28 17:36
0
shangrila
雪    币： 1585
活跃值： (182)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
很好，邪恶
2011-10-30 20:03
0
wawt
雪    币： 123
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
15 楼
太强大了，学习下！
2011-11-1 12:34
0
ttgood
雪    币： 386
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
16 楼
太强大了，学习下！
2011-11-1 17:46
0
刘志文
雪    币： 35
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
17 楼
思路不错,学习!
2011-11-5 20:02
0
刘志文
雪    币： 35
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
18 楼
跟着高手学习下！
2011-11-8 22:58
0
电速极光
雪    币： 159
活跃值： (16)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
19 楼
这样的软件一般可以通过修改注册表来达到破解的目的，另外，你也可以用anti-timer来试试，如果你运气好的话就可以搞定这个软件了。
2011-11-14 10:24
0
BianChengN
雪    币： 527
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
20 楼
nb,向yarpee多多学习
2011-11-14 17:47
0
sysdzw
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
21 楼
域名是我的 那个返回时间的asp文件也是我写了放上去的，但是那个软件不是我的。。。。郁闷
2011-12-22 18:40
0
glefox
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
22 楼
解释的很详细了，学习了！
2011-12-22 21:57
0
yikeshu
雪    币： 27
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
23 楼
都是牛人啊……学习了。
2011-12-22 22:04
0
yifengda
雪    币： 161
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
24 楼
原来还可以这样，受教了。
发现以前一个人折腾的好累，痛苦！
2011-12-22 22:04
0
seuer
雪    币： 139
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
25 楼
"最后就是自己修改hosts，劫持到本地，然后架个本地服务器，写个date.asp，也测试通过。"

这个真是让小弟我长见识了！！！
2011-12-23 09:54
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//