-
-
[原创]Crack Me技术等级自测 3级一个CrackMe分析
-
发表于: 2012-2-29 18:20
-
Crack Me技术等级自测 3级一个CrackMe分析
1 用到的工具
peid 查壳, depends 查看导入函数, ida (idapython)静态分析
2 开始
下载完这个Crack me后一看才7kb, 先用peid查壳，什么也没有，Win32控制 台程序。
然后用depends查看导入函数，只有7个，不确定是否加壳。
先用od来调下吧。载入之后，傻了，全是问号，看来有od反汇编引擎不能识别的指 令。如下图：
那就上ida。
3 ida分析
ida只分析出了开头的代码,后面的就没有了。如下图：
看到IDA识别出了开头的机器码，nop dword ptr [eax+233CFAA6h] nop后面还能带操作码？
查查Intel手册，原来是多字节nop。各种多字节nop如下表：
Length AssemblyByte Sequence 2 bytes 66 NOP 66 90H 3 bytes NOP DWORD ptr [EAX] 0F 1F 00H 4 bytes NOP DWORD ptr [EAX + 00H] 0F 1F 40 00H 5 bytes NOP DWORD ptr [EAX + EAX*1 + 00H] 0F 1F 44 00 00H 6 bytes 66 NOP DWORD ptr [EAX + EAX*1 + 00H] 66 0F 1F 44 00 00H 7 bytes NOP DWORD ptr [EAX + 00000000H] 0F 1F 80 00 00 00 00H 8 bytes NOP DWORD ptr [EAX + EAX*1 + 00000000H] 0F 1F 84 00 00 00 00 00H 9 bytes 66 NOP DWORD ptr [EAX + EAX*1 + 00000000H] 66 0F 1F 84 00 00 00 00 00H
push offset loc_40103E retn
nop mem ;纯粹占地方的，可以同时有多行nop
push reg1 xchg reg2,[esp] pop reg2 ;等于什么都没有做， 其中任何一行都可能有上面一种混淆 ;也会有jz jnz和push offset ret形式的混淆夹在其中
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
 加油，支持一个.........
|
|
|
|
|
|
|
|
|
根据这段加密代码的最后几个指令，猜测最开始的几个指令，然后找到几个比较惟一的值，算出对应位置的KEY，再找KEY有没规律，发现KEY果然没有规律。。
|
|
|
MFC的看不怎么懂,只知道有检测调试器
|
|
|
继续努力,拿6K薪水
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
 好帖子 学习了。 我只能爆破，没技术含量 |
|
|
放个L5带码的
，求大牛搞定
|
|
|
|
|
|
|
