Nisy 发表于 2010-4-18 22:58:33

Ultra Text2PDF 简单分析

HomePage:http://www.caisdata.com/index.htm

15天的试用限制，压缩壳，启动时有一个注册的提示。

看一下About部分，弹出



搜索UNICODE码： Unregistered

0048050F    55            PUSH EBP
00480510    8BEC            MOV EBP,ESP
00480512    51            PUSH ECX
00480513    894D FC         MOV DWORD PTR SS:,ECX
00480516    68 A0447200   PUSH dumped_.007244A0                  ; Unregistered
0048051B    68 2A040000   PUSH 42A
00480520    8B4D FC         MOV ECX,DWORD PTR SS:
00480523    E8 0A971900   CALL dumped_.00619C32
00480528    8BC8            MOV ECX,EAX
0048052A    E8 8B981900   CALL dumped_.00619DBA
0048052F    8BE5            MOV ESP,EBP
00480531    5D            POP EBP
00480532    C3            RETN

004803B8    E8 C138FEFF   CALL dumped_.00463C7E                  ; 这个CALL一定有问题的
004803BD    85C0            TEST EAX,EAX
004803BF    74 0E         JE SHORT dumped_.004803CF
004803C1    8B45 FC         MOV EAX,DWORD PTR SS:
004803C4    50            PUSH EAX
004803C5    8B4D F4         MOV ECX,DWORD PTR SS:
004803C8    E8 13000000   CALL dumped_.004803E0
004803CD    EB 08         JMP SHORT dumped_.004803D7
004803CF    8B4D F4         MOV ECX,DWORD PTR SS:
004803D2    E8 38010000   CALL dumped_.0048050F                  ; 这条路线走未注册
004803D7    B8 01000000   MOV EAX,1
004803DC    8BE5            MOV ESP,EBP
004803DE    5D            POP EBP
004803DF    C3            RETN

修改一下撒：

00463C7E    55            PUSH EBP                                 ; MOV EAX,1 // RETN
00463C7F    8BEC            MOV EBP,ESP
00463C81    51            PUSH ECX
00463C82    894D FC         MOV DWORD PTR SS:,ECX
00463C85    8B4D FC         MOV ECX,DWORD PTR SS:
00463C88    E8 14FAFFFF   CALL dumped_.004636A1
00463C8D    85C0            TEST EAX,EAX
00463C8F    74 04         JE SHORT dumped_.00463C95
00463C91    33C0            XOR EAX,EAX
00463C93    EB 45         JMP SHORT dumped_.00463CDA
00463C95    8B4D FC         MOV ECX,DWORD PTR SS:
00463C98    E8 15010000   CALL dumped_.00463DB2
00463C9D    85C0            TEST EAX,EAX
00463C9F    75 04         JNZ SHORT dumped_.00463CA5
00463CA1    33C0            XOR EAX,EAX
00463CA3    EB 35         JMP SHORT dumped_.00463CDA
00463CA5    8B4D FC         MOV ECX,DWORD PTR SS:
00463CA8    E8 4B010000   CALL dumped_.00463DF8
00463CAD    85C0            TEST EAX,EAX
00463CAF    74 04         JE SHORT dumped_.00463CB5
00463CB1    33C0            XOR EAX,EAX
00463CB3    EB 25         JMP SHORT dumped_.00463CDA
00463CB5    8B4D FC         MOV ECX,DWORD PTR SS:
00463CB8    E8 79000000   CALL dumped_.00463D36
00463CBD    85C0            TEST EAX,EAX
00463CBF    75 04         JNZ SHORT dumped_.00463CC5
00463CC1    33C0            XOR EAX,EAX
00463CC3    EB 15         JMP SHORT dumped_.00463CDA
00463CC5    8B4D FC         MOV ECX,DWORD PTR SS:
00463CC8    E8 9F010000   CALL dumped_.00463E6C
00463CCD    85C0            TEST EAX,EAX
00463CCF    74 07         JE SHORT dumped_.00463CD8
00463CD1    B8 01000000   MOV EAX,1
00463CD6    EB 02         JMP SHORT dumped_.00463CDA
00463CD8    33C0            XOR EAX,EAX
00463CDA    8BE5            MOV ESP,EBP
00463CDC    5D            POP EBP
00463CDD    C3            RETN





大家找分析软件的话，可以从这里来找 ：http://download.cnet.com/windows/

然后选择左上角的 New Realeases这里有软件的最新正式版本

兔小样 发表于 2010-4-18 23:00:58

/:012 楼主强迫叫看的，不敢不看啊！/:002

Nisy 发表于 2010-4-18 23:01:00

PS: 注册部分复杂的话 我们就绕过注册 直接通过某些特征来 定位算法CALL或者全局变量

来从侧面突破 实现爆破 现在太多的东西都涉及网验 所以爆破还是很必要的

MeowCat 发表于 2010-4-18 23:19:02

原帖由 兔小样 于 2010-4-18 23:00 发表 https://www.chinapyg.com/images/common/back.gif
/:012 楼主强迫叫看的，不敢不看啊！/:002

顶二楼~~   观看学习 /:002

oep
005F6F2E    55            PUSH EBP                                 ; (Initial CPU selection)

抄袭一下 /:017
00463C7E    B0 01         MOV AL,1
00463C80    C3            RETN




[ 本帖最后由 MeowCat 于 2010-4-19 14:23 编辑 ]

老万 发表于 2010-4-19 06:54:43

学习一下，谢谢

boy 发表于 2010-4-19 14:42:10

原帖由 兔小样 于 2010-4-18 23:00 发表 https://www.chinapyg.com/images/common/back.gif
/:012 楼主强迫叫看的，不敢不看啊！/:002
我是来看小兔子的

consult1026913 发表于 2010-4-19 15:25:13

简单，实用，一招致敌，顶。

Alar30 发表于 2010-4-20 08:27:05

支持Nisy的分析文章
页: [1]
查看完整版本: Ultra Text2PDF 简单分析