目标软件:飞雪桌面日历V1.1
软件下载地址:http://www.shareware.cn/
***************************
发信人:龙城三少爷[BCG]
发文目的:把自己的破解过程写出来,希望得到各位前辈的指点
***************************
接触破解那么久,终于和各位前辈所预言的一样,碰到各种各样的壳了,好不容易弄到了二哥的脱壳教程(豪华版那个),就兴冲冲的看完了脱壳入门十八篇,颇有收获,这不,又到中国下载软件中心找猎物来了.
Peid显示:UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo,很多人都说刚开始学脱壳都是从这个开始的,我也不例外..脱壳过程就不多说了.发现脱壳后的程序一运行就退出了.先按照上次skyege兄弟教的下rtcFilen函数跟踪,可是在某一处,循环了好多次...........
于是OD重新载入程序
命令行下 bp __vbaEnd函数,F9运行
660CBDA8 M>  68 689C0000     push 9C68                         //停在这里了.
660CBDAD     E8 01200000     call MSVBVM60.660CDDB3
660CBDB2 M>  6A 61           push 61
660CBDB4     E8 FA1F0000     call MSVBVM60.660CDDB3
660CBDB9     8B4424 04       mov eax,dword ptr ss:[esp+4]
660CBDBD     85C0            test eax,eax
660CBDBF     7C 05           jl short MSVBVM60.660CBDC6
660CBDC1     33C0            xor eax,eax
到这里我就迷茫好久了,不知道重复按了多少次F8,依次提示什么浮点数异常呀,程序退出代码0呀的.一看到这个异常,我头脑浮现的都是这几天看<加密与解密>中所说的SEH(还不是很明白,被那些结构弄懵了!),满脑子都是prev和handle了.抱着试试看的心理,重复上面的步骤.看右边堆栈显示:
0012F850   004595ED  返回到 UnPackFX.004595ED 来自 MSVBVM60.__vbaEnd

于是ctrl+g输入004595ED

004595A7     50              push eax
004595A8     FF15 90124000   call dword ptr ds:[<&MSVBVM60.rtcFileLen>; MSVBVM60.rtcFileLen                //难道也是通过检查文件长度吗?
004595AE     33C9            xor ecx,ecx
004595B0     3D 00020400     cmp eax,40200
004595B5     0F95C1          setne cl
004595B8     F7D9            neg ecx
004595BA     8BF1            mov esi,ecx
004595BC     8D55 D4         lea edx,dword ptr ss:[ebp-2C]
004595BF     52              push edx
004595C0     8D45 D8         lea eax,dword ptr ss:[ebp-28]
004595C3     50              push eax
004595C4     8D4D DC         lea ecx,dword ptr ss:[ebp-24]
004595C7     51              push ecx
004595C8     8D55 E0         lea edx,dword ptr ss:[ebp-20]
004595CB     52              push edx
004595CC     6A 04           push 4
004595CE     FF15 78124000   call dword ptr ds:[<&MSVBVM60.__vbaFreeS>; MSVBVM60.__vbaFreeStrList
004595D4     83C4 14         add esp,14
004595D7     8D4D D0         lea ecx,dword ptr ss:[ebp-30]
004595DA     FF15 54134000   call dword ptr ds:[<&MSVBVM60.__vbaFreeO>; MSVBVM60.__vbaFreeObj
004595E0     66:3BF3         cmp si,bx
004595E3     74 08           je short UnPackFX.004595ED              //这里程序结束
004595E5     EB 00           jmp short UnPackFX.004595E7             //这里程序也结束
004595E7     FF15 44104000   call dword ptr ds:[<&MSVBVM60.__vbaEnd>] ; MSVBVM60.__vbaEnd
004595ED     FF15 DC104000   call dword ptr ds:[<&MSVBVM60.__vbaExitP>; MSVBVM60.__vbaExitProc                             //来到这里,向上看

于是我把je short UnPackFX.004595ED  ----------->nop      
        机器码由74,08------------------------->9090
      把jmp short UnPackFX.004595E7-------------->jmp short UnPackFX.004595F3(让他跳到下一句继续执行程序)
        机器码由EB00----------------------------->EB0C
用UltraEdit改了上面相应的机器码后保存,发现程序可以正常运行了

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)