* Reference To: MSVBVM60.__vbaFreeVar, Ord:0000h
一看就知道对我们没什么用的, 不知道是这些语句是干什么用的.好像是vb6.0里面的对api函数的申明.
第二个地方是:
* Reference To: MSVBVM60.__vbaStrComp, Ord:0000h
|
:0041305A FF1598104000 Call dword ptr [00401098]
:00413060 6685C0 test ax, ax
:00413063 0F8508010000 jne 00413171
:00413069 A110404100 mov eax, dword ptr [00414010]
:0041306E 85C0 test eax, eax
:00413070 7519 jne 0041308B
一看这样的结构就知道,就是这里了,
但是jne有两个改哪个呢:
(当时已经知道jne=75,je=74)
一个一个试吧.就三种情况
改第二个不成功.要改:00413063 0F8508010000 jne 00413171这句时,傻了.
没有75这样的数据啊.倒,于是去问别人,没人回答,因为当时小李不在.
(第二天通过用olly改,知道其实把85改称84就行了)
假设当时我就知道85改84的话,当时就成功了.
)用w32dasm发现一个问题,有的时候,改过数据后提示保存为另一个文件,但是那个文件经常是0字节根本打不开,请问高手是怎么回事?)
我怀疑是汉化的问题,所以我就用ultraedit改数据.他们的行数是不一致的,
在w32dasm中行数就是相对地址,在ultraedit中行数是文件偏移量.
当在w32dasm中选中相应行后,在状态栏就显示相对地址和文件偏移量
记下文件偏移量就可以在ultraedit中快速定位到相应的语句了.
如:00413063 0F8508010000 jne 00413171这句在状态栏显示为:
code data @:00413063 @offset 00013063h in file:crackme2.exe
记下00013063h,就可以找到相应行,这要比查找16进制代码要精确,因为0F8508010000这样的数据可能出现多次.
但是文件偏移量是唯一的,在定位到行时.程序提示如是16进制地址请前面加0x,不然会找错地方了.
用这种方法,发现改:00413063 0F8508010000 jne 00413171就行,:00413070 7519 jne 0041308B这句是不需要改的.
倒.写文字汇报怎么这么累,怪不得小李要用动画呢.哎.继续!
晚上没事干看看了pediy上的动态w32dasm,方法是这样的.
打开文件后,选择调试_加载进程,弹出一个对话框,要求输命令行,不要管它,点击载入!
弹出许多窗口主要是寄存器的状态.
此时再通过函数导入函数找vbastrcomp在的行.
* Reference To: MSVBVM60.__vbaStrComp, Ord:0000h
|
:0041305A FF1598104000 Call dword ptr [00401098]
:00413060 6685C0 test ax, ax
:00413063 0F8508010000 jne 00413171
:00413069 A110404100 mov eax, dword ptr [00414010]
:0041306E 85C0 test eax, eax
:00413070 7519 jne 0041308B
在0041305A按f2下个断点!然后再 调试_运行进程.
注册填入
姓名填入001jaye,注册码:abcdefgh
在堆栈esp+0处没有内容
esp+4处看到abcdefgh在esp+8处看到YE0001(和用smarkcheck的结果一致哦.后来用ollydbg也是一样的结果.)
但是小李的要求是'暴"而不是要简单地得到注册码哦.
(我的w32dasm真是的,不知怎么回事他调试的程序老是不弹到前面,总是w32dasm在前面不知怎么回事!高手指教!)
第二天好不容易等到小李.
说给我传个ollydbg的动画,看怎么破这个crackme2 的.其实就是怎么使用ollydbg哈哈.因为我当时就是不知道怎么改 jne 00413171,以为需要张ams和机器码的对照表.其实在ollydbg中好简单双击,就弹出个对话框让你可以改asm,超爽.从此也知道其实就是把85改称84就是jne改成je.
