阿达自动定时关机器破解分析

ThanksBoy

阿达自动定时关机器破解分析

软件是用Microsoft Visual Basic 5.0 / 6.0编写
无有加壳
用LocPlus查找字串
没有发现有注册错误提示的字串
用OD载入运行就退出...
打开任务任务管理器看了一下发现了一个loadqm.exe文件路C:\WINDOWS\SYSTEM32\asd
有地址上打开跳到控制面板。。。闷~~~
想了一下~~
用UniExtract解开安装包~~
里面有3个文件夹我在{sys}文件夹里找到asd文件打开来看里面在loadqm.exe
运行一下可以运行啊~~~哈哈~~
用LocPlus查找字串
发现有
84268:注册失败！
注册失败！

84284:请检查您的注册码以及计算机是否接入互联网！
请检查您的注册码以及计算机是否接入互联网！

84332:恭喜您！软件注册十分成功，再次打开本软件您将可以使用所有功能，感谢您的支持！
恭喜您！软件注册十分成功，再次打开本软件您将可以使用所有功能，感谢您的支持！



把注册失败！替换成  11111
打开ODs查找字串 11111
0047B467   .  0F84 DA000000 JE loadqm.0047B547              这里有一个跳转
0047B46D   .  C745 FC 24000>MOV DWORD PTR SS:[EBP-4],24
0047B474   .  66:C785 1CFFF>MOV WORD PTR SS:[EBP-E4],0FFFF
0047B47D   .  C785 18FFFFFF>MOV DWORD PTR SS:[EBP-E8],0
0047B487   .  C785 48FFFFFF>MOV DWORD PTR SS:[EBP-B8],loadqm.0041492>;  11111
0047B491   .  C785 40FFFFFF>MOV DWORD PTR SS:[EBP-C0],8
0047B49B   .  6A 0A         PUSH 0A
0047B49D   .  8D4D 90       LEA ECX,DWORD PTR SS:[EBP-70]
0047B4A0   .  51            PUSH ECX
0047B4A1   .  FF15 2C124000 CALL DWORD PTR DS:[<&MSVBVM60.#608>]     ;  MSVBVM60.rtcVarBstrFromAnsi
0047B4A7   .  6A 0D         PUSH 0D
0047B4A9   .  8D95 70FFFFFF LEA EDX,DWORD PTR SS:[EBP-90]
0047B4AF   .  52            PUSH EDX
0047B4B0   .  FF15 2C124000 CALL DWORD PTR DS:[<&MSVBVM60.#608>]     ;  MSVBVM60.rtcVarBstrFromAnsi
0047B4B6   .  C785 38FFFFFF>MOV DWORD PTR SS:[EBP-C8],loadqm.0041493>
0047B4C0   .  C785 30FFFFFF>MOV DWORD PTR SS:[EBP-D0],8
0047B4CA   .  8D85 1CFFFFFF LEA EAX,DWORD PTR SS:[EBP-E4]
0047B4D0   .  50            PUSH EAX
0047B4D1   .  8D8D 18FFFFFF LEA ECX,DWORD PTR SS:[EBP-E8]
0047B4D7   .  51            PUSH ECX
0047B4D8   .  8D95 40FFFFFF LEA EDX,DWORD PTR SS:[EBP-C0]
0047B4DE   .  52            PUSH EDX
0047B4DF   .  8D45 90       LEA EAX,DWORD PTR SS:[EBP-70]
0047B4E2   .  50            PUSH EAX
0047B4E3   .  8D4D 80       LEA ECX,DWORD PTR SS:[EBP-80]
0047B4E6   .  51            PUSH ECX
0047B4E7   .  FF15 54124000 CALL DWORD PTR DS:[<&MSVBVM60.__vbaVarCa>;  MSVBVM60.__vbaVarCat
0047B4ED   .  50            PUSH EAX
0047B4EE   .  8D95 70FFFFFF LEA EDX,DWORD PTR SS:[EBP-90]
0047B4F4   .  52            PUSH EDX
0047B4F5   .  8D85 60FFFFFF LEA EAX,DWORD PTR SS:[EBP-A0]
0047B4FB   .  50            PUSH EAX
0047B4FC   .  FF15 54124000 CALL DWORD PTR DS:[<&MSVBVM60.__vbaVarCa>;  MSVBVM60.__vbaVarCat
0047B502   .  50            PUSH EAX
0047B503   .  8D8D 30FFFFFF LEA ECX,DWORD PTR SS:[EBP-D0]
0047B509   .  51            PUSH ECX
0047B50A   .  8D95 50FFFFFF LEA EDX,DWORD PTR SS:[EBP-B0]
0047B510   .  52            PUSH EDX
0047B511   .  FF15 54124000 CALL DWORD PTR DS:[<&MSVBVM60.__vbaVarCa>;  MSVBVM60.__vbaVarCat
0047B517   .  50            PUSH EAX
0047B518   .  E8 F352FDFF   CALL loadqm.00450810                     ;  弹出注册错误
0047B51D   .  8D85 50FFFFFF LEA EAX,DWORD PTR SS:[EBP-B0]
省。。。。。。。。。。。

0047B547   > \C745 FC 26000>MOV DWORD PTR SS:[EBP-4],26
0047B54E   .  66:C785 1CFFF>MOV WORD PTR SS:[EBP-E4],0FFFF
0047B557   .  C785 18FFFFFF>MOV DWORD PTR SS:[EBP-E8],0
0047B561   .  C785 48FFFFFF>MOV DWORD PTR SS:[EBP-B8],loadqm.0041496>
0047B56B   .  C785 40FFFFFF>MOV DWORD PTR SS:[EBP-C0],8
0047B575   .  8D95 40FFFFFF LEA EDX,DWORD PTR SS:[EBP-C0]
0047B57B   .  8D4D 90       LEA ECX,DWORD PTR SS:[EBP-70]
0047B57E   .  FF15 EC124000 CALL DWORD PTR DS:[<&MSVBVM60.__vbaVarDu>;  MSVBVM60.__vbaVarDup
0047B584   .  8D95 1CFFFFFF LEA EDX,DWORD PTR SS:[EBP-E4]
0047B58A   .  52            PUSH EDX
0047B58B   .  8D85 18FFFFFF LEA EAX,DWORD PTR SS:[EBP-E8]
0047B591   .  50            PUSH EAX
0047B592   .  8D4D 90       LEA ECX,DWORD PTR SS:[EBP-70]
0047B595   .  51            PUSH ECX
0047B596   .  E8 7552FDFF   CALL loadqm.00450810                     ;  弹出注册成功


0047B467   .  0F84 DA000000 JE loadqm.0047B547   0f84改0f85保存~~
运行注册成功~
重新运行还没有成功~~~~

用OD重新载入。一步步要跟一下发现这段代码好长～～
不知跟了多长时间来到0047B889
0047B889   .  0F84 03070000 JE loadqm.0047BF92
0047B88F   .  C745 FC 29000>MOV DWORD PTR SS:[EBP-4],29
0047B896   .  8B45 DC       MOV EAX,DWORD PTR SS:[EBP-24]
0047B899   .  50            PUSH EAX
0047B89A   .  68 300B4100   PUSH loadqm.00410B30                     ;  \

我发现这个跳的好长啊～～感觉这个跳有问题～～
0F84改0F85保存一下，运行注册注册成功，重新打开注册成功
我发现目录上多了一个文件poki.sys

sromi

学习了 不错的说明详细

老万

学习了，谢谢喽。。。。。。。。。

JOHN

周未得空来试试

xinldy

很不错的方法！

mage200

不错不错
下来看看
谢谢

源少

:handshake 学习了，谢谢!!

sun50

楼主好厉害啊:loveliness:

shy6621840

谢谢分享，学习了

bhqt

学习了，去试试