0041988C FF15 90D54500 call dword ptr ds:[0x45D590] ; USER32.SetTimer

0012F90C 00419892 /CALL 到 SetTimer 来自 gun.0041988C
0012F910 00000000 |hWnd = NULL
0012F914 00000000 |TimerID = 0
0012F918 000927C0 |Timeout = 600000. ms
0012F91C 00405F3E \Timerproc = gun.00405F3E

Patch Nop掉这个时钟回调

00405F41 E8 E7FFFFFF call gun.00405F2D

如果不行，证明还有其他地方。但无所谓，结束进程要ExitProcess 可以在那里装个钩子拦截。

这个软件很好爆破，为什么要去弄那个时间，只要改2个字节就可以爆破了。。。。。（改2处，1个重启验证，1个注册验证）

这根本不行不通。因为程序初始化时00405F41    0000            ADD BYTE PTR DS:[EAX],AL

OD打开文件　运行　注册　出现提示框按F12 查看调用堆栈　在两个messagebox下断　单步跟踪20步左右　查找串　找到“注册成功”　找到关键跳　　修改关键跳可以使用一次　　　如想要后继使用　自己找到关键跳出处　修改ＯＫ　　其它还没有试……

我找到的一段代码修改处。（这段可能有变）
004A0DCD   .  8D3428        LEA ESI,DWORD PTR DS:[EAX+EBP]
004A0DD0   >  8A06          MOV AL,BYTE PTR DS:[ESI]
004A0DD2   .  46            INC ESI
004A0DD3   .  884424 73     MOV BYTE PTR SS:[ESP+73],AL
004A0DD7   .  8802          MOV BYTE PTR DS:[EDX],AL
004A0DD9   .  42            INC EDX
004A0DDA   .  FF4424 74     INC DWORD PTR SS:[ESP+74]
004A0DDE   .  49            DEC ECX
004A0DDF   .  74 0F         JE SHORT gun.004A0DF0
004A0DE1   .  8BAC24 A40000>MOV EBP,DWORD PTR SS:[ESP+A4]
004A0DE8   .  396C24 74     CMP DWORD PTR SS:[ESP+74],EBP
004A0DEC   .^ 72 E2         JB SHORT gun.004A0DD0
004A0DEE   .  EB 11         JMP SHORT gun.004A0E01
004A0DF0   >  8B8424 A40000>MOV EAX,DWORD PTR SS:[ESP+A4]

[QUOTE=wutianao;1161549]这根本不行不通。因为程序初始化时00405F41    0000            ADD BYTE PTR DS:[EAX],AL[/QUOTE]

脱壳先

…………
403032  处eax所指向的就是注册码

Hook时间地址，然后无限试用

5L应该是正解吧，我刚用这种爆破方式解决了一个解密pdf加密的软件~