夜航星
雪 币: 772
活跃值: (113)
能力值:
( LV3,RANK:20 )
在线值:
本文通过分析一个非明码比较的序列号保护程序,展示x64dbg的常见用法以及逆向的基本思路,在实战中讲解x64dbg的一些用法:
分析程序功能
这程序就长这样:
在help里面可以找到一个注册功能,注册界面如下:
输入正确的用户名和密码即可注册成功,当然,如果输入错误,会弹出一个messagebox显示错误信息
查壳
可以看出,目标程序是使用汇编写的,貌似没壳。
分析目标程序
将目标程序用x64dbg(实际上是x32dbg)打开,看看x64dbg的界面,这里常用的窗口都使用红字标注出来了
字符串搜索功能,我们可以通过x64dbg的字符串搜索功能来查看内存中加载的字符串,具体操作步骤为:CPU(反汇编)窗口->鼠标右键->搜索->选择模块(根据个人需求选择,一般选择当前模块,前提是得先执行到主模块)->字符串
我们单步到主模块(单步调试快捷键和od一样,F7单步步入,F8单步步过),字符串搜索得到如下结果,可以看到很明显的字符串:
双击该字符串即可跳到反汇编窗口中相应位置。
下软件断点,运行程序,观察是何处调用了该代码(鼠标点击相应行,按下F2即可快速使用软件断点),下软件断点后,地址处会变为红色,断点窗口能看到相应信息。
让程序运行起来(快捷键F9),输入注册信息,点击确认,等待命中软件断点
可以看到,程序的EIP指向了我们的软件断点,此时信息框信息为失败。
单步步过,一直走到返回ret,即可查看上层代码
可以看到,源程序是使用了2个处理函数,分别对用户名和密码进行了运算,用户名运结果放到了eax中,密码运算结果放在ebx中,比较二者运算结果是否相同,决定调用注册成功函数还是注册失败函数。(由于此时只是介绍工具使用,故不展示算法分析部分,大致流程为eax = F1(用户名),ebx = F2(注册码),cmp eax,ebx)
这时候,我们使用x64dbg的代码修改功能,将对应的注册失败验证跳过,即可完成破解:将0x401243处的je 0x40124C改为jmp 0x40124C(双击代码行即可修改)
保存到文件(反汇编窗口右键->补丁->修补文件)
现在,验证我们的破解成果吧
可以看到,已经破解成功了,当然,完美的破解应当是写出注册机,这里只是展示工具使用,主要不是展示逆向,所以暂时不写注册流程。
[公告]看雪论坛2020激励机制上线了:“活跃值”、“能力值”、“雪币”!发帖、回帖不减雪币了!赶紧回帖看看你的活跃值?
|
|
---|---|
|
高级命令没提 脚本命令没说 3A转换技巧没说 帮助看得不细 最后于 4天前 被ninebell编辑 ,原因: 提建议 |
|
ninebell 高级命令没提条件断点没说脚本命令没说给力插件没讲3A转换技巧没说帮助看得不细 好嘞,知道了,就是寻思着不是入门教程嘛,就写了一些基本的分析技巧。 |
|
夜航星 好嘞,知道了,就是寻思着不是入门教程嘛,就写了一些基本的分析技巧。 ninebell已经把下一篇文章的大纲已经给你了!!! |
|
可否告知CTRL+G搜索函数后定位不到关键函数怎解? |
|
细叶远志 可否告知CTRL+G搜索函数后定位不到关键函数怎解? 本来应该在0040.....区域,他定位到76C....的了。 这个要看2个方面,一是你搜索的时候模块是不是运行到主模块了,二是程序的入口点是否是动态分配的。 |
|
666 |
返回