-
-
[原创]Everedit的试用限制绕过
-
发表于: 2020-8-10 14:59
-
因为蜜汁自信导致我在短短两天内重装了7次系统，导致Everedit当年的注册码生成次数耗尽，所以想着先把试用限制过了凑合着用到明年。
从4.0版本开始授权文件就没有保存在本地的选项了，都是保存在注册表里，试用限制也是如此，先跟一下。
其实都不用查壳都知道是vmp，先拉到x64dbg里面对(RegQueryValueExW)跨模块调用里面的关键函数下断:
跑起来以后断下了：
RDX应该是第二个参数: lpValueName（在x64下对函数的调用都是优先使用寄存器的，第一个参数是RCX），license不是我们想要的，继续跑。F9以后直接跑飞了，说明试用限制的call被加密了。直接对kernelbase.RegQueryValueExW这个函数下断，并记录他的RBX。跑了一遍以后发现了一个可疑的字符串：
跟踪他的来源，发现调用果然被加密了：
但是我们的目的已经达到了，打开注册表编辑器，看看这个项到底有什么玄机：
我觉得这个默认项很像时间戳啊，于是转换之：
5ECCEFBD -> 1590489021 -> 2020-05-26 18:30:21
那我们把试用条件改成今天0点试试：
2020-08-10 00:00:00 -> 1596988800 -> 5F301D80
发现还是提示过期，尝试将Value这个值删除，能正常打开了。
分析部分就到此结束了，下面开始敲代码
采用劫持导入表hook的方案。
由前面的分析已经可以大致确定几个关键点了：
RegQueryValueExW
L"ZQBKAF8AMQA0ADIANGA4"
由于我们并没有去找机器码的算法，所以要做一些额外的工作。
大致思路如下：
hook advapi32.RegOpenKeyW获取项的名称和HKey用于比对。
hook kernelbase.RegQueryValueExW 欺骗程序，告诉它：值“Value”并不存在；生成一个合法的“时间点”，然后改写函数的参数。
dllmain.cpp:
创建一个名为“Out”的导出函数用于导入表劫持。
DllModule.h:
DllModule.cpp：
hooks.cpp:
detour RegOpenKeyW的流程大致如下：
使用一个全局静态变量g_reg_open_key_w_call_count记录其被调用的次数。
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
国产软件的话，不能提供bin。 |
|
|
|
|
|
xorstr_()不是必须的，直接用字符串就行了。
最后于 2020-8-12 16:55
被黑洛编辑
，原因：
|
|
|
让我学到一招搜索call.不错. 2天之内7次重装系统,哈哈哈...
最后于 2020-8-12 18:35
被风中小筑V编辑
，原因：
|
|
|
搜索跨模块调用挺有用的，你看看调用了哪些api就大概能知道程序做了什么，还包括程序自身的模块间的调用，这样分析起来定位比较快一点。 |
|
|
|
|
|
|
|
|
能不能把hooks.h也传一下，谢谢 |
|
|
只有两个函数定义void Install()和void Uninstall() |
|
|
base::hook::install(static_cast<uintptr_t*>(&real::RegOpenKeyW), \ 你好，是不是还有一个类，base::hook::install(static_cast<uintptr_t*>(&real::RegOpenKeyW), \reinterpret_cast<uintptr_t>(fake::RegOpenKeyW), &hook_t::RegOpenKeyW); base::hook::uninstall(&hook_t::RegQueryValueExW);这两个函数没找到 |
|
|
|
|
|
|
|
|
|
|
|
哪里有搜call？ |
|
|
就第一步. 右键 搜索->当前模块-> 调用. 他第一张图片在第二步过滤了. |
|
|
|
|
|
|
|
|
|
方向感 
风中小筑V
黑洛
