『鼠标键盘记录回放器 V2.58重起验证』BY gxkm

gxkm

【破文标题】『鼠标键盘记录回放器 V2.58重起验证』BY gxkm
【破文作者】gxkm
【作者邮箱】[email protected]
【作者主页】www.dsmao.cn
【破解工具】PEID,OD,LOADPE,IR
【破解平台】WIN2000
【软件名称】鼠标键盘记录回放器 V2.58
【软件大小】1195 KB
【原版下载】http://www.skycn.com/soft/27400.html
【保护方式】ASPack 2.12 -> Alexey Solodovnikov

【软件简介】  一款功能强大的键盘鼠标辅助工具。它能忠实地记录下您的鼠标\键盘的所有操作，并可在您需要的时候随时进行回放，使您从繁重的重复操作中解脱出来。同时在操作上非常简便，您不妨下载试试^_^

【破解声明】看到前面两位兄弟的毕业破文，学到了点，所以鄙人也发发自己第一次的处女破文，写的不好请多多见谅！！------------------------------------------------------------------------
【破解过程】一 对PEiD对这个软件查有壳！ASPack 2.12 -> Alexey Solodovnikov
载入要脱壳的文件MKRecorder.exe ，出现确定窗口点确定。。。进入正题：
00566001 >  60              PUSHAD                                                //按F8
00566002    E8 03000000     CALL MKRecord.0056600A           //观看寄存器窗口中   ESP 0012FFA4
在命令窗口中输入 HR 12FFA4 按回车  点F9  程序自己跳到下面代码中
005663B0   /75 08           JNZ SHORT MKRecord.005663BA    //按F8  跳到下面 5663BA
005663B2   |B8 01000000     MOV EAX,1                                   
005663B7   |C2 0C00         RETN 0C
005663BA   \68 BC094D00     PUSH MKRecord.004D09BC       //按F8
005663BF    C3              RETN                                                     //F8
-----------------------------便来到下面我们要找到的OEP入口点------------------------------------------------------------------
004D09BC    55              PUSH EBP
004D09BD    8BEC            MOV EBP,ESP
004D09BF    83C4 F0         ADD ESP,-10
004D09C2    53              PUSH EBX
004D09C3    B8 3C064D00     MOV EAX,MKRecord.004D063C
004D09C8    E8 6F5FF3FF     CALL MKRecord.0040693C

现在调出我们的LOADPE，选择到我们运行的MKRecorder.exe  ，选择“完全转存”，便出现DUMPED.EXE
使用IR修复我们的脱壳出来的文件，用PEID检测查出是：Borland Delphi 6.0 - 7.0
二、运行软件，进行注册，输入用户名：gxkm  注册码：88888888，软件提示要我们重新启动验证，关闭软件，
查看没有生成其他注册文件，估计为读取注册表类的重启验证！
打开注册表编辑器 REGEDIT，查找 gxkm，并发现8888888的名叫REGNO
OD载入脱壳后的程序，超级字符串参考里搜索“RegNo”，总共发现两处，我们分别下断点 在运行
我们就来到这里拉
004CFD7D  |.  BA F8FE4C00   MOV EDX,dumped_.004CFEF8                // regno我们来到此处，按F8单步想下走！
004CFD82  |.  8BC6          MOV EAX,ESI                                                 //按F8 ，注意观看寄存器窗口变化
004CFD84  |.  E8 178AF9FF   CALL dumped_.004687A0                       //按F8 ，注意观看寄存器窗口变化
004CFD89  |.  8B45 F8       MOV EAX,DWORD PTR SS:[EBP-8]            //按F8 ，寄存器已经出现了我们自己的假码
004CFD8C  |.  50            PUSH EAX                                                         //按F8
004CFD8D  |.  8D4D F4       LEA ECX,DWORD PTR SS:[EBP-C]           //按F8
004CFD90  |.  BA 08FF4C00   MOV EDX,dumped_.004CFF08                 ;  ASCII "mkrecorderChina"
004CFD95  |.  A1 EC614D00   MOV EAX,DWORD PTR DS:[4D61EC]     //按F8
004CFD9A  |.  E8 9DECFFFF   CALL dumped_.004CEA3C                        //按F8
004CFD9F  |.  8B55 F4       MOV EDX,DWORD PTR SS:[EBP-C]            //按F8
004CFDA2  |.  58            POP EAX                                                         //此处已经出现一码，基本上真码出现！
004CFDA3  |.  E8 444BF3FF   CALL dumped_.004048EC                     //真码与假码放在寄存器中进行比较，
004CFDA8  |.  75 07         JNZ SHORT dumped_.004CFDB1               //此处改跳即可以爆破！！！
004CFDAA  |.  C605 E8614D00>MOV BYTE PTR DS:[4D61E8],1
004CFDB1  |>  8BC6          MOV EAX,ESI
004CFDB3  |.  E8 AC39F3FF   CALL dumped_.00403764
004CFDB8  |.  803D E8614D00>CMP BYTE PTR DS:[4D61E8],0
004CFDBF  |.  75 27         JNZ SHORT dumped_.004CFDE8
004CFDC1  |.  8D55 F0       LEA EDX,DWORD PTR SS:[EBP-10]
004CFDC4  |.  8BB3 FC020000 MOV ESI,DWORD PTR DS:[EBX+2FC]
004CFDCA  |.  8BC6          MOV EAX,ESI
004CFDCC  |.  E8 2BF9FBFF   CALL dumped_.0048F6FC
004CFDD1  |.  8D45 F0       LEA EAX,DWORD PTR SS:[EBP-10]
004CFDD4  |.  BA 20FF4C00   MOV EDX,dumped_.004CFF20                 ;   - 未购买用户
004CFDD9  |.  E8 D249F3FF   CALL dumped_.004047B0
004CFDDE  |.  8B55 F0       MOV EDX,DWORD PTR SS:[EBP-10]
004CFDE1  |.  8BC6          MOV EAX,ESI
004CFDE3  |.  E8 A805FCFF   CALL dumped_.00490390
004CFDE8  |>  A1 64414D00   MOV EAX,DWORD PTR DS:[4D4164]
004CFDED  |.  8B00          MOV EAX,DWORD PTR DS:[EAX]










------------------------------------------------------------------------
【破解总结】将我们的看到的真码放入测试成功了！！！
说明我们已经破了她了呵呵。。。。
此文适合我们菜鸟，不足之处请多多指点！！！谢谢

中断地址：4CFDA3
中断次数 1
第一字节 E8
指令长度 5
内存方式 寄存器  EDX
------------------------------------------------------------------------
【版权声明】本破文纯属技术交流, 转载请注明作者并保持文章的完整, 谢谢!

[ 本帖最后由 gxkm 于 2008-2-14 22:02 编辑 ]

天颖

坐沙发~~！ 支持！

lxhong

以前用过啊，谢谢分享。

hclzss

谢谢分享，我是新手，学习中

yybns

谢谢分享，学习中

anson2416

好破文~
多谢分享

qfdn

好东东。谢谢老大分享。

yjh

很详细，不错，谢谢楼主。