这种应该是计算CRC（0xEDB88320），从而定位库函数位置

然后是字符串，对于每个signed char转为signed int，xor 996，取低8位就是结果

先写个脚本干，万一直接存在字符串里了呢

不在

有一个看起来像字符串的，异或值是1289，结果是Cabinet.Decompress

先看看起了哪些线程吧

这个线程里又起了

v3906 = *(_DWORD *)(***(_DWORD ***)(*(_DWORD *)(*(_DWORD *)(__readfsdword(0x18u) + 48) + 12) + 12) + 24);究竟是个啥？

https://en.wikipedia.org/wiki/Win32_Thread_Information_Block

https://www.vergiliusproject.com/kernels/x64/Windows%2010%20%7C%202016/1809%20Redstone%205%20(October%20Update)/_PEB

https://www.geoffchappell.com/studies/windows/win32/ntdll/structs/peb/index.htm

https://www.geoffchappell.com/studies/windows/win32/ntdll/structs/peb_ldr_data.htm

https://www.geoffchappell.com/studies/windows/win32/ntdll/structs/ldr_data_table_entry.htm

https://www.vergiliusproject.com/kernels/x86/Windows%2010/2009%2020H2%20(October%202020%20Update)/_PEB_LDR_DATA

https://www.vergiliusproject.com/kernels/x86/Windows%2010/2009%2020H2%20(October%202020%20Update)/_IMAGE_DOS_HEADER

TEB->PEB->PEB_LDR_DATA->InLoadOrderModuleList.Flink->InLoadOrderModuleList.Flink->DllBase(_IMAGE_DOS_HEADER)

想复杂了？直接调试解压的代码，搜字符串看到Correct，定位到C712B0

可以看出因为是内存快照，直接找到字符了。下面找到了输入

只有0123456789ABCDEF有效，按输入字符转为对应0-15。然后是两个字符合并成一个hex byte

后面是每两个hex byte转为两字节word，和两个数作比较

rand进去是这个，搜了一下才知道是伪随机数算法

那么那个0x18的偏移就是srand了

那么算法就是和pos_idx生成rand相等就写入idx，neg_idx生成的rand相等就跳过，相当于可以写入0-89到一个数组里，

进去看了一眼get_something

怎么还有纤程，不过看样子不重要。往下看，输入大于12个word

对作差有要求

后面就是关键算法

要求两两作差的绝对值值互不相等，不会爆破，找了算法队友求解了

解得

构造序列号

解（话说86-89也可以填充和neg_idx的rand数，不算多解？）

参考文献

http://www.datagenetics.com/blog/february22013/

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课