『鼠标键盘记录回放器 V2.58重起验证』BY gxkm
【破文标题】『鼠标键盘记录回放器 V2.58重起验证』BY gxkm【破文作者】gxkm
【作者邮箱】[email protected]
【作者主页】www.dsmao.cn
【破解工具】PEID,OD,LOADPE,IR
【破解平台】WIN2000
【软件名称】鼠标键盘记录回放器 V2.58
【软件大小】1195 KB
【原版下载】http://www.skycn.com/soft/27400.html
【保护方式】ASPack 2.12 -> Alexey Solodovnikov
【软件简介】一款功能强大的键盘鼠标辅助工具。它能忠实地记录下您的鼠标\键盘的所有操作，并可在您需要的时候随时进行回放，使您从繁重的重复操作中解脱出来。同时在操作上非常简便，您不妨下载试试^_^
【破解声明】看到前面两位兄弟的毕业破文，学到了点，所以鄙人也发发自己第一次的处女破文，写的不好请多多见谅！！------------------------------------------------------------------------
【破解过程】一 对PEiD对这个软件查有壳！ASPack 2.12 -> Alexey Solodovnikov
载入要脱壳的文件MKRecorder.exe ，出现确定窗口点确定。。。进入正题：
00566001 >60 PUSHAD //按F8
00566002 E8 03000000 CALL MKRecord.0056600A //观看寄存器窗口中 ESP 0012FFA4
在命令窗口中输入 HR 12FFA4 按回车点F9程序自己跳到下面代码中
005663B0 /75 08 JNZ SHORT MKRecord.005663BA //按F8跳到下面 5663BA
005663B2 |B8 01000000 MOV EAX,1
005663B7 |C2 0C00 RETN 0C
005663BA \68 BC094D00 PUSH MKRecord.004D09BC //按F8
005663BF C3 RETN //F8
-----------------------------便来到下面我们要找到的OEP入口点------------------------------------------------------------------
004D09BC 55 PUSH EBP
004D09BD 8BEC MOV EBP,ESP
004D09BF 83C4 F0 ADD ESP,-10
004D09C2 53 PUSH EBX
004D09C3 B8 3C064D00 MOV EAX,MKRecord.004D063C
004D09C8 E8 6F5FF3FF CALL MKRecord.0040693C
现在调出我们的LOADPE，选择到我们运行的MKRecorder.exe，选择“完全转存”，便出现DUMPED.EXE
使用IR修复我们的脱壳出来的文件，用PEID检测查出是：Borland Delphi 6.0 - 7.0
二、运行软件，进行注册，输入用户名：gxkm注册码：88888888，软件提示要我们重新启动验证，关闭软件，
查看没有生成其他注册文件，估计为读取注册表类的重启验证！
打开注册表编辑器 REGEDIT，查找 gxkm，并发现8888888的名叫REGNO
OD载入脱壳后的程序，超级字符串参考里搜索“RegNo”，总共发现两处，我们分别下断点 在运行
我们就来到这里拉
004CFD7D|.BA F8FE4C00 MOV EDX,dumped_.004CFEF8 // regno我们来到此处，按F8单步想下走！
004CFD82|.8BC6 MOV EAX,ESI //按F8 ，注意观看寄存器窗口变化
004CFD84|.E8 178AF9FF CALL dumped_.004687A0 //按F8 ，注意观看寄存器窗口变化
004CFD89|.8B45 F8 MOV EAX,DWORD PTR SS: //按F8 ，寄存器已经出现了我们自己的假码
004CFD8C|.50 PUSH EAX //按F8
004CFD8D|.8D4D F4 LEA ECX,DWORD PTR SS: //按F8
004CFD90|.BA 08FF4C00 MOV EDX,dumped_.004CFF08 ;ASCII "mkrecorderChina"
004CFD95|.A1 EC614D00 MOV EAX,DWORD PTR DS: //按F8
004CFD9A|.E8 9DECFFFF CALL dumped_.004CEA3C //按F8
004CFD9F|.8B55 F4 MOV EDX,DWORD PTR SS: //按F8
004CFDA2|.58 POP EAX //此处已经出现一码，基本上真码出现！
004CFDA3|.E8 444BF3FF CALL dumped_.004048EC //真码与假码放在寄存器中进行比较，
004CFDA8|.75 07 JNZ SHORT dumped_.004CFDB1 //此处改跳即可以爆破！！！
004CFDAA|.C605 E8614D00>MOV BYTE PTR DS:,1
004CFDB1|>8BC6 MOV EAX,ESI
004CFDB3|.E8 AC39F3FF CALL dumped_.00403764
004CFDB8|.803D E8614D00>CMP BYTE PTR DS:,0
004CFDBF|.75 27 JNZ SHORT dumped_.004CFDE8
004CFDC1|.8D55 F0 LEA EDX,DWORD PTR SS:
004CFDC4|.8BB3 FC020000 MOV ESI,DWORD PTR DS:
004CFDCA|.8BC6 MOV EAX,ESI
004CFDCC|.E8 2BF9FBFF CALL dumped_.0048F6FC
004CFDD1|.8D45 F0 LEA EAX,DWORD PTR SS:
004CFDD4|.BA 20FF4C00 MOV EDX,dumped_.004CFF20 ; - 未购买用户
004CFDD9|.E8 D249F3FF CALL dumped_.004047B0
004CFDDE|.8B55 F0 MOV EDX,DWORD PTR SS:
004CFDE1|.8BC6 MOV EAX,ESI
004CFDE3|.E8 A805FCFF CALL dumped_.00490390
004CFDE8|>A1 64414D00 MOV EAX,DWORD PTR DS:
004CFDED|.8B00 MOV EAX,DWORD PTR DS:
------------------------------------------------------------------------
【破解总结】将我们的看到的真码放入测试成功了！！！
说明我们已经破了她了呵呵。。。。
此文适合我们菜鸟，不足之处请多多指点！！！谢谢
中断地址：4CFDA3
中断次数 1
第一字节 E8
指令长度 5
内存方式 寄存器EDX
------------------------------------------------------------------------
【版权声明】本破文纯属技术交流, 转载请注明作者并保持文章的完整, 谢谢!
[ 本帖最后由 gxkm 于 2008-2-14 22:02 编辑 ] 坐沙发~~！ 支持！ 以前用过啊，谢谢分享。 谢谢分享，我是新手，学习中 谢谢分享，学习中 好破文~
多谢分享 好东东。谢谢老大分享。 很详细，不错，谢谢楼主。
页:
[1]