首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 看雪峰会 看雪商城 证书查询
  1. 看雪社区
  2. 经典问答
    3. 发新帖
一个韩国软件，求教如何找CALL
2015-6-15 10:53 4244

一个韩国软件，求教如何找CALL

takemouse 活跃值
2015-6-15 10:53
4244
程序一载入就是在这个位置，如图1

为了找出输入密钥的错误提示未果，用尽各种方法都找不到，如图2，也看了论坛的学习资料，我是新手，请问能指教下我该怎么才能正确找到提示？

[培训]《安卓高级研修班(网课)》月薪三万计划，掌 握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法

上传的附件：
收藏
点赞・0
打赏
分享
最新回复 (7)
takemouse
雪    币： 90
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
takemouse 2015-6-15 10:56
2 楼
0
这是原程序，查壳提示是C++6.0
上传的附件：
LifeVscen
雪    币： 71
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
LifeVscen 2015-6-15 11:09
3 楼
0 
00443230   .  56            push    esi                              ;  STT20_Fo.0049A40F
00443231   .  57            push    edi
00443232   .  8BF1          mov     esi, ecx
00443234   .  E8 087A0500   call    0049AC41
00443239   .  8BCE          mov     ecx, esi
0044323B   .  E8 A0070000   call    004439E0
00443240   .  E8 F6250700   call    004B583B
00443245   .  8B78 04       mov     edi, dword ptr [eax+4]
00443248   .  8BCE          mov     ecx, esi
0044324A   .  E8 D1040000   call    00443720                         ;  网卡
0044324F   .  85C0          test    eax, eax
00443251   .  74 59         je      short 004432AC
00443253   .  8B86 84000000 mov     eax, dword ptr [esi+84]
00443259   .  8946 64       mov     dword ptr [esi+64], eax
0044325C   .  8B8E 88000000 mov     ecx, dword ptr [esi+88]
00443262   .  894E 68       mov     dword ptr [esi+68], ecx
00443265   .  8B96 8C000000 mov     edx, dword ptr [esi+8C]
0044326B   .  8956 6C       mov     dword ptr [esi+6C], edx
0044326E   .  8B86 90000000 mov     eax, dword ptr [esi+90]
00443274   .  8946 70       mov     dword ptr [esi+70], eax
00443277   .  8B8E 94000000 mov     ecx, dword ptr [esi+94]
0044327D   .  894E 74       mov     dword ptr [esi+74], ecx
00443280   .  8B96 98000000 mov     edx, dword ptr [esi+98]
00443286   .  8956 78       mov     dword ptr [esi+78], edx
00443289   .  8B87 AC010000 mov     eax, dword ptr [edi+1AC]
0044328F   .  6A 00         push    0
00443291   .  8946 5C       mov     dword ptr [esi+5C], eax
00443294   .  8B8F B0010000 mov     ecx, dword ptr [edi+1B0]
0044329A   .  894E 60       mov     dword ptr [esi+60], ecx
0044329D   .  8BCE          mov     ecx, esi
0044329F   .  E8 3CA40500   call    0049D6E0                         ;  ？？？？？？？？？？？？？？
004432A4   .  5F            pop     edi
004432A5   .  B8 01000000   mov     eax, 1
004432AA   .  5E            pop     esi
004432AB   .  C3            retn
004432AC   >  8B46 7C       mov     eax, dword ptr [esi+7C]
004432AF   .  3D 01100000   cmp     eax, 1001
004432B4   .  0F84 A5000000 je      0044335F
004432BA   .  3D 02100000   cmp     eax, 1002
004432BF   .  0F84 9A000000 je      0044335F
004432C5   .  3D 03100000   cmp     eax, 1003
004432CA   .  0F84 8F000000 je      0044335F
004432D0   .  8BCE          mov     ecx, esi
004432D2   .  E8 09070000   call    004439E0                         ;  系统版本
004432D7   .  85C0          test    eax, eax
004432D9   .  74 59         je      short 00443334
004432DB   .  8B96 84000000 mov     edx, dword ptr [esi+84]
004432E1   .  8956 64       mov     dword ptr [esi+64], edx
004432E4   .  8B86 88000000 mov     eax, dword ptr [esi+88]
004432EA   .  8946 68       mov     dword ptr [esi+68], eax
004432ED   .  8B8E 8C000000 mov     ecx, dword ptr [esi+8C]
004432F3   .  894E 6C       mov     dword ptr [esi+6C], ecx
004432F6   .  8B96 90000000 mov     edx, dword ptr [esi+90]
004432FC   .  8956 70       mov     dword ptr [esi+70], edx
004432FF   .  8B86 94000000 mov     eax, dword ptr [esi+94]
00443305   .  8946 74       mov     dword ptr [esi+74], eax
00443308   .  8B8E 98000000 mov     ecx, dword ptr [esi+98]
0044330E   .  894E 78       mov     dword ptr [esi+78], ecx
00443311   .  8B97 AC010000 mov     edx, dword ptr [edi+1AC]
00443317   .  6A 00         push    0
00443319   .  8956 5C       mov     dword ptr [esi+5C], edx
0044331C   .  8B87 B0010000 mov     eax, dword ptr [edi+1B0]
00443322   .  8BCE          mov     ecx, esi
00443324   .  8946 60       mov     dword ptr [esi+60], eax
00443327   .  E8 B4A30500   call    0049D6E0
0044332C   .  5F            pop     edi
0044332D   .  B8 01000000   mov     eax, 1
00443332   .  5E            pop     esi
00443333   .  C3            retn
00443334   >  6A 30         push    30
00443336   .  68 14A04F00   push    004FA014                         ;  licensediscordant license!\n 肋给等 牢刘内靛涝聪促!license discordance(&l)license confirm(&l)secondserial
0044333B   .  68 FC9F4F00   push    004F9FFC                         ;  fail to the license.   licensediscordant license!\n 肋给等 牢刘内靛涝聪促!license discordance(&l)license confirm(&l)secondserial
00443340   .  8BCE          mov     ecx, esi
00443342   .  E8 22970500   call    0049CA69
00443347   .  8BCE          mov     ecx, esi
00443349   .  E8 58790500   call    0049ACA6
0044334E   .  6A 00         push    0
00443350   .  8BCE          mov     ecx, esi
00443352   .  E8 89A30500   call    0049D6E0
00443357   .  5F            pop     edi
00443358   .  B8 01000000   mov     eax, 1
0044335D   .  5E            pop     esi
0044335E   .  C3            retn
0044335F   >  C746 64 9C000>mov     dword ptr [esi+64], 9C
00443366   .  C746 68 67010>mov     dword ptr [esi+68], 167
0044336D   .  C746 6C 99020>mov     dword ptr [esi+6C], 299
00443374   .  C746 70 E2010>mov     dword ptr [esi+70], 1E2
0044337B   .  C746 74 78000>mov     dword ptr [esi+74], 78
00443382   .  C746 78 00000>mov     dword ptr [esi+78], 0
00443389   .  8B8F AC010000 mov     ecx, dword ptr [edi+1AC]
0044338F   .  6A 00         push    0
00443391   .  894E 5C       mov     dword ptr [esi+5C], ecx
00443394   .  8B97 B0010000 mov     edx, dword ptr [edi+1B0]
0044339A   .  8BCE          mov     ecx, esi
0044339C   .  8956 60       mov     dword ptr [esi+60], edx
0044339F   .  E8 3CA30500   call    0049D6E0
004433A4   .  5F            pop     edi
004433A5   .  B8 01000000   mov     eax, 1
004433AA   .  5E            pop     esi
004433AB   .  C3            retn
高适
雪    币： 1
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
高适 2015-6-15 11:27
4 楼
0
厉害啊 真的
高适
雪    币： 1
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
高适 2015-6-15 11:28
5 楼
0
顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶顶
goddkiller
雪    币： 485
活跃值： (78)
能力值： ( LV4，RANK：40 )
在线值：
发帖
回帖
粉丝
私信
goddkiller 2015-6-15 11:39
6 楼
0 
00443567   > \8B47 5C       mov     eax, dword ptr [edi+0x5C]
0044356A   .  8B8F 9C000000 mov     ecx, dword ptr [edi+0x9C]
00443570   .  3BC1          cmp     eax, ecx
00443572      0F85 33010000 jnz     004436AB //这里NOP
00443578   .  8B4F 60       mov     ecx, dword ptr [edi+0x60]
0044357B   .  8B97 A0000000 mov     edx, dword ptr [edi+0xA0]
00443581   .  3BCA          cmp     ecx, edx
00443583      0F85 22010000 jnz     004436AB //这里NOP
00443589   .  8986 AC010000 mov     dword ptr [esi+0x1AC], eax
0044358F   .  8B86 90010000 mov     eax, dword ptr [esi+0x190]
00443595   .  8B57 60       mov     edx, dword ptr [edi+0x60]
00443598   .  50            push    eax
00443599   .  68 FCA04F00   push    004FA0FC                         ;  SerialNumber0
0044359E   .  68 F0A04F00   push    004FA0F0                         ;  Authority
004435A3   .  8BCE          mov     ecx, esi
004435A5   .  8996 B0010000 mov     dword ptr [esi+0x1B0], edx
004435AB   .  E8 C6410600   call    004A7776


弄完就可以用了
takemouse
雪    币： 90
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
takemouse 2015-6-15 11:40
7 楼
0
佩服！！！我到现在都没有找到，我CTRL+F9或者是F8都没有看到这个东西啊？F2下断点也一直在
这个地方循环？
77D1881D    E8 1F000000     call    77D18841
77D18822    8B45 E4         mov     eax, dword ptr [ebp-1C]
77D18825    E8 D6FDFFFF     call    77D18600
77D1882A    C2 2000         retn    20
77D1882D    90              nop
77D1882E    90              nop
77D1882F    90              nop
77D18830    FFFF            ???                                      ; 未知命令
77D18832    FFFF            ???                                      ; 未知命令
77D18834    0000            add     byte ptr [eax], al
77D18836    0000            add     byte ptr [eax], al
77D18838    5A              pop     edx
77D18839    AA              stos    byte ptr es:[edi]
77D1883A    D4 77           aam     77
77D1883C    90              nop
77D1883D    90              nop
77D1883E    90              nop
77D1883F    90              nop
77D18840    90              nop
77D18841    395D E0         cmp     dword ptr [ebp-20], ebx
77D18844    75 14           jnz     short 77D1885A
77D18846    395D DC         cmp     dword ptr [ebp-24], ebx
77D18849    74 05           je      short 77D18850
77D1884B    E8 78030000     call    77D18BC8
77D18850    8D45 C0         lea     eax, dword ptr [ebp-40]
77D18853    50              push    eax
77D18854    FF15 3414D177   call    dword ptr [<&ntdll.RtlDeactivate>; ntdll.RtlDeactivateActivationContextUnsafeFast
77D1885A    C3              retn
77D1885B    90              nop
77D1885C    90              nop
77D1885D    90              nop
77D1885E    90              nop
77D1885F    90              nop
77D18860    8BFF            mov     edi, edi
77D18862    55              push    ebp

另外，你们复制是怎么复制的，怎么我复制出来是这样的。。。？
创业团队HR
雪    币： 51
能力值： (RANK：10 )
在线值：
发帖
回帖
粉丝
私信
创业团队HR 2015-6-15 16:15
8 楼
0
虽然不知道是什么，不过看上去很厉害的样子
游客
登录 | 注册 方可回帖
　回帖　 表情 雪币赚取及消费
高级回复
返回