软件名称：系统查看大师1.0.0
软件大小：595KB
保护方式：WWPack32 1.x加壳+异常处理+注册码
难度等级：容易
破解作者：WXHing[BCG][FCG]
破解工具：OllyDbg1.10，ImprotREC1.6，DeDe
破解声明：初学破解，旨在学习，别无它意，如有不妥，还请指正！
软件简介：一个简单易用，可以方便查看系统所有进程的小软件，他可以查看Ctrl+Alt+Del看不到的进程，这一特色恐怕是其他同类软件无
法比拟的（最有用的是他可以查看病毒程序的进程，构COOL吧）！
OD载入，停在入口点
0059D000 1> 53 push ebx
0059D001 55 push ebp
0059D002 8BE8 mov ebp,eax
0059D004 33DB xor ebx,ebx
0059D006 EB 60 jmp short 10925_xp.0059D068
0059D008 0D 0A0D0A57 or eax,570A0D0A
0059D00D 57 push edi
0059D00E 50 push eax
0059D00F 61 popad
.....................
.......................
0059D068 E8 00000000 call 10925_xp.0059D06D //F7跟进
0059D06D 58 pop eax
0059D06E 2D 6D000000 sub eax,6D
0059D073 50 push eax
0059D074 60 pushad
0059D075 33C9 xor ecx,ecx
0059D077 50 push eax
0059D078 58 pop eax
0059D079 50 push eax
..........................
.........................
0059D160 3C 04 cmp al,4
0059D162 74 27 je short 10925_xp.0059D18B //这里跳出循环
0059D164 04 07 add al,7
0059D166 3C 0D cmp al,0D
0059D168 72 28 jb short 10925_xp.0059D192
0059D16A 74 0D je short 10925_xp.0059D179
0059D16C B1 0F mov cl,0F
0059D16E E8 42FFFFFF call 10925_xp.0059D0B5
0059D173 66:05 E15F add ax,5FE1
0059D177 EB 2E jmp short 10925_xp.0059D1A7
0059D179 B1 0E mov cl,0E
0059D17B E8 35FFFFFF call 10925_xp.0059D0B5
0059D180 66:05 E11F add ax,1FE1
0059D184 EB 21 jmp short 10925_xp.0059D1A7
0059D186 E9 9E000000 jmp 10925_xp.0059D229
0059D18B E8 4DFFFFFF call 10925_xp.0059D0DD
....................................
0059D212 B1 0E mov cl,0E
0059D214 E8 9CFEFFFF call 10925_xp.0059D0B5
0059D219 66:5A pop dx
0059D21B 66:8BC8 mov cx,ax
0059D21E 87F2 xchg edx,esi
0059D220 F3:A4 rep movs byte ptr es:[edi],byte ptr >
0059D222 8BF2 mov esi,edx
0059D224 ^ E9 C3FEFFFF jmp 10925_xp.0059D0EC //大循环
0059D229 58 pop eax
0059D22A 83C0 04 add eax,4
0059D22D 2BC7 sub eax,edi
......................
0059D281 58 pop eax
0059D282 61 popad //平衡堆栈
0059D283 58 pop eax
0059D284 8BE8 mov ebp,eax
0059D286 2E:0385 95020000 add eax,dword ptr cs:[ebp+295]
0059D28D 05 99020000 add eax,299
0059D292 5D pop ebp
0059D293 5B pop ebx
0059D294 ^ E9 6F61F4FF jmp 10925_xp.004E3408 //跳到真正入口点处
0059D299 0000 add byte ptr ds:[eax],al
0059D29B 40 inc eax
0059D29C 0000 add byte ptr ds:[eax],al
...........................
004E3408 55 push ebp //OEP，插件脱壳
004E3409 8BEC mov ebp,esp
004E340B 83C4 F4 add esp,-0C
004E340E 53 push ebx
004E340F B8 702F4E00 mov eax,10925_xp.004E2F70
004E3414 E8 0B32F2FF call 10925_xp.00406624
用improtREC1.6修复输入表，全部指针有效，fix，运行正常，PEID查是Delphi程序，看DeDe的了，Unit Name:reg一定是他了，选TeThemeButton1Click 4D8BBC，bp 4D8BBC
004D8BBC 55 push ebp //断在这里
004D8BBD 8BEC mov ebp, esp
004D8BBF 33C9 xor ecx, ecx
004D8BC1 51 push ecx //这么多push ecx，不知是什么意思
004D8BC2 51 push ecx
004D8BC3 51 push ecx
004D8BC4 51 push ecx
004D8BC5 51 push ecx
004D8BC6 51 push ecx
[注意]看雪招聘，专注安全领域的专业人才平台！
