-
-
[原创]某之盾浅析
-
发表于: 2022-11-7 16:28
-
1.缘起
1 | 笔者的一位朋友喜欢练刀，奈何功力不够遂寻走火入魔之道。吾得之立劝返，拿到demo x1。 |
2.修炼
拿到demo一看虎躯一震，是个老壳。
于是乎开始了快乐的F2,F7,F8，果然他还是有最基本的礼貌的！
根据字符串定位
一目了然sub_401E4A的返回结果影响了它的判断，我们帮这个歪脖子树修正（patch）一下。
整体思路就是简单过一下demo中的验证
根据语言特征上个工具看看
得到0x40B1AB，通过上下文定位到验证的具体函数Sub_40BE0F
windows没什么基础，硬着头皮采用二分法下断点。
在这个函数里进进出出一个小时发现怎么patch都无法指向正确分支。
转战xref上层调用直接nop该函数试一下
一路尝试F8 突然内存看到成功字段于是乎直接F9放飞自我
其中还有一个会导致exit的函数就不上了，有缘人自会碰到
3.总结
苦海无涯，回头是岸。
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
最后于 2022-11-7 19:02
被Azhan_编辑
，原因：
|
|
|---|---|
|
|
|
|
|
我记得那个检查的逻辑写的特别长。。时间仓促具体检测点没来得及看，看到他的返回值做检查，就直接patch了 |
|
|
你的English真好，有事没事add几句，看的我觉得你很fierce
|
|
|
.... :) |
|
|
|
|
|
那全世界所有的软件和游戏都用这个保护就行了, 这世界的攻防战已经结束了？ |
|
|
|
|
|
我说的是爆破 爆破指的是 无正版KEY进行破解 |
|
|
有正版key不用破解 |
|
|
6楼说的没有错，在没有补齐数据的情况下，直接爆破是没有用的。关键数据是有正版卡密在服务器上验证成功才分发数据给客户端。但不是绝对不可能，除非你能分析出他会分发什么数据过来。 |
|
|
盾就只是个汇编的逻辑判断 借用了VMP的虚拟机把代码虚拟化了 3.0以上都有收费插件跑JCC 除非一行代码一个盾 不然无非就是时间成本问题罢了 |
|
|
那全世界所有软件和游戏都用这个保护就完事了, 为何不 |
|
|
无KEY但是他程序本身有测试卡的code，目前我一直在用这个功能。。 |
