[原创]某账本v3.7破解过程-逆向工程-看雪安全社区

学习逆向一段时间了，还没有独自实战过，于是有了这次破解过程。

---

1. 脱壳
![](upload/attach/202603/946669_G54VRU9CYMSBJW9.png)

发现是nsPack 加壳，百度查又叫北斗程序压缩。

上论坛查一下有没有nsPack脱壳案例，发现可以用ESP定律脱壳。

EOP:
![](upload/attach/202603/946669_4KYA9KU334N5DV2.png)

然后使用Scylla dump下来，自动搜索IAT地址，修复IAT，但是发现运行报错。

入口函数如下

首先他会执行6798C_funcs处所有的函数地址初始化

![](upload/attach/202603/946669_QMCBKC62BVRPANA.png)

![](upload/attach/202603/946669_3E9NGU6ERRNV6F5.png)

![](upload/attach/202603/946669_5VUCNK56CDQFWEX.png)

运行报错就在这初始化函数列表里面，dump如下

![](upload/attach/202603/946669_PD7VD4CHFN8H749.png)

大概率可能是需要特殊处理某些函数地址，可能跟下面的反调试有关。

于是放弃修复脱壳，直接x64dbg 动态 + ida 静态脱壳后dump.exe 结合分析程序注册逻辑。

2. 找关键点

![](upload/attach/202603/946669_4DDKFW99A4SYEZR.png)

在逆向过程中，发现主体函数基本都会用到结构化异常处理SEH，形式如下

![](upload/attach/202603/946669_9VC6KXKY9R7NGMM.png)

通过断点CreateWindowsExA，可以断下弹窗注册失败提示

![](upload/attach/202603/946669_5A5EET6B6YTKQ68.png)

根据栈堆，可以看到密钥和错误关键信息

![](upload/attach/202603/946669_CM2QKCFJQB98KFA.png)

排查到地址00665D94 即密钥校验的地方，这里用了混淆，导致ida分析不出来

![](upload/attach/202603/946669_RGWN9VZM26TCJ4J.png)

他的特点是，执行完关键程序后，jmp到6663B4，该函数会修改线程上下文，强制改变代码执行流

![](upload/attach/202603/946669_2E42Y2Y5U9Y2UX3.png)

执行完该函数后，会ret到下面地址，但是该处地址在ida中是上述的函数地址表中的数据。

很明显这是一段代码混淆

![](upload/attach/202603/946669_ZPUZXEXEWKJZW4K.png)

这里我没有尝试反混淆，我通过观察栈堆字符串来观察关键函数。

这里操作了可疑字符串，该函数是一个封装的字符串比较函数。

![](upload/attach/202603/946669_S7UNPYN5KYE6AKA.png)
![](upload/attach/202603/946669_F7EAVK9F4VYZRQS.png)

这里断下，F9几次，就来到了关键的字符串比较地方。123456789就是我输入的假码，56是后面拼接

![](upload/attach/202603/946669_AEKVP3A2D7WZDPA.png)

使用33658643 字符串测试一下

![](upload/attach/202603/946669_62QEGPW85R47G8U.png)

3. 学习

既然知道了密钥，那么分析密钥是从哪里产生的，对字符串密钥的源头下硬件写入断点，结果得到如下

![](upload/attach/202603/946669_HS3YUD6M93MTPH7.png)

L"provider=Microsoft.Jet.OLEDB.4.0;user ID=Admin;Data Source=C:\\Users\\k\\Desktop\\xxx\\Data.ycd;Mode=Share Deny None;Extended Properties=\"\";Jet OLEDB:System database=\"\";Jet OLEDB:Registry Path=\"\";Jet OLEDB:Database Password=\"ycrj970129\";Jet OLEDB:Engine Type=5;Jet OLEDB:Database Locking Mode=1;Jet OLEDB:Global Partial Bulk Ops=2;Jet OLEDB:Global Bulk Transactions=1;Jet OLEDB:New Database Password=\"\";Jet OLEDB:Create System Database=False"

使用该密钥，DBeaver Ce去打开，没有看到跟注册码明显的关联表。

![](upload/attach/202603/946669_6ASHFFN673C2MSC.png)

由于对作者的尊重，我就不放成品出来了，仅记录破解过程，学习软件防破解思路。

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

#调试逆向

最新回复 (3)
考拉雪币： 2517 活跃值： (6775) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 165 粉丝 14 关注私信	考拉 2 楼主程序加了北斗壳还有个dll也加了upx 2026-1-2 18:29 0
缪江雪币： 138 活跃值： (709) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 11 粉丝 1 关注私信	缪江 3 楼考拉主程序加了北斗壳还有个dll也加了upx 是的 2026-1-4 14:54 0
毛民8868 雪币： 766 活跃值： (576) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 7 粉丝 2 关注私信	毛民8868 4 楼成功修复 2026-9-1 15:57 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复