C++语言程序双击提示找不到从哪执行过来的

eeyou

程序跑到关键字处找不到jmp来的上一句，翻遍了都没看到。程序双击运行后显示主界面然后运行了 01253B5C  |.  68 E40F3601   push zhuanzhu.01360FE4                   ;  获取系统配置失败，是否重新获取配置 ?
这句不知道从哪跳转来的。所以没有思路。就是转转大师 这个程序

冥界3大法王

手机号先登录下


随便打开个文件就上面提示

暂停后，反正我是三看：
1.从上向下
2.再找公共
3.再找近点
显然第四行双击跟过去，当然也可能是第三行，这个凭感觉，凭断点论证了。。。
过去后，似乎不太明显，没记录到
但是 我们可以知道窗口标题啊~~

Ctrl+A,Ctrl-

。。。加上注释 分析，重复几轮来到下面的地方
（为了防跑飞，起一起   打开pdf ，是不是 打开菜单项 也是断点和入口？
同理 .pdf 当然也可以定位啦~~
）

[Asm] 纯文本查看 复制代码

004894A0 | 55                            | push ebp                                            |
004894A1 | 8BEC                          | mov ebp,esp                                         |
004894A3 | 83E4 F8                       | and esp,FFFFFFF8                                    |
004894A6 | 6A FF                         | push FFFFFFFF                                       |
004894A8 | 68 F8534A00                   | push <zpdfedit.sub_4A53F8>                          |
004894AD | 64:A1 00000000                | mov eax,dword ptr fs:[0]                            |
004894B3 | 50                            | push eax                                            |
004894B4 | 83EC 50                       | sub esp,50                                          |
004894B7 | A1 00A04B00                   | mov eax,dword ptr ds:[4BA000]                       |
004894BC | 33C4                          | xor eax,esp                                         |
004894BE | 894424 48                     | mov dword ptr ss:[esp+48],eax                       |
004894C2 | 53                            | push ebx                                            |
004894C3 | 56                            | push esi                                            |
004894C4 | 57                            | push edi                                            |
004894C5 | A1 00A04B00                   | mov eax,dword ptr ds:[4BA000]                       |
004894CA | 33C4                          | xor eax,esp                                         |
004894CC | 50                            | push eax                                            |
004894CD | 8D4424 60                     | lea eax,dword ptr ss:[esp+60]                       |
004894D1 | 64:A3 00000000                | mov dword ptr fs:[0],eax                            |
004894D7 | 8BF1                          | mov esi,ecx                                         |
004894D9 | 8B4E 2C                       | mov ecx,dword ptr ds:[esi+2C]                       |
004894DC | C74424 3C 00000000            | mov dword ptr ss:[esp+3C],0                         |
004894E4 | 85C9                          | test ecx,ecx                                        |
004894E6 | 75 0A                         | jne zpdfedit.4894F2                                 |
004894E8 | 68 03400080                   | push 80004003                                       |
004894ED | E8 9EB00100                   | call <zpdfedit.sub_4A4590>                          |
004894F2 | 8B01                          | mov eax,dword ptr ds:[ecx]                          |
004894F4 | 8D5424 3C                     | lea edx,dword ptr ss:[esp+3C]                       |
004894F8 | 52                            | push edx                                            |
004894F9 | 51                            | push ecx                                            |
004894FA | FF50 6C                       | call dword ptr ds:[eax+6C]                          |
004894FD | 83CB FF                       | or ebx,FFFFFFFF                                     |
00489500 | 66:3B5C24 3C                  | cmp bx,word ptr ss:[esp+3C]                         |
00489505 | 0F85 5F020000                 | jne zpdfedit.48976A                                 |
0048950B | 8B4E 2C                       | mov ecx,dword ptr ds:[esi+2C]                       |
0048950E | 8B3D B0CB4B00                 | mov edi,dword ptr ds:[4BCBB0]                       |
00489514 | C74424 38 00000000            | mov dword ptr ss:[esp+38],0                         |
0048951C | 85C9                          | test ecx,ecx                                        |
0048951E | 75 0A                         | jne zpdfedit.48952A                                 |
00489520 | 68 03400080                   | push 80004003                                       |
00489525 | E8 66B00100                   | call <zpdfedit.sub_4A4590>                          |
0048952A | 8B01                          | mov eax,dword ptr ds:[ecx]                          |
0048952C | 8D5424 38                     | lea edx,dword ptr ss:[esp+38]                       |
00489530 | 52                            | push edx                                            |
00489531 | 51                            | push ecx                                            |
00489532 | FF50 1C                       | call dword ptr ds:[eax+1C]                          |
00489535 | FF15 18984A00                 | call dword ptr ds:[<&?GetInstance@User@@SAPAV1@XZ>] |
0048953B | 8A80 E2000000                 | mov al,byte ptr ds:[eax+E2]                         |
00489541 | 84C0                          | test al,al                                          |
00489543 | 0F84 03010000                 | je zpdfedit.48964C                                  |
00489549 | FF7424 38                     | push dword ptr ss:[esp+38]                          |
0048954D | 8D4C24 18                     | lea ecx,dword ptr ss:[esp+18]                       |
00489551 | E8 1AB1FFFF                   | call <zpdfedit.sub_484670>                          |
00489556 | 8D4424 14                     | lea eax,dword ptr ss:[esp+14]                       | [esp+14]:"鹜J"==&"喽H"
0048955A | C74424 68 01000000            | mov dword ptr ss:[esp+68],1                         |
00489562 | 50                            | push eax                                            |
00489563 | FF15 A4984A00                 | call dword ptr ds:[<&?BytesSize@File@@SAHABV?$basic |
00489569 | 83C4 04                       | add esp,4                                           |
0048956C | C74424 68 FFFFFFFF            | mov dword ptr ss:[esp+68],FFFFFFFF                  |
00489574 | 837C24 28 08                  | cmp dword ptr ss:[esp+28],8                         |
00489579 | 894424 34                     | mov dword ptr ss:[esp+34],eax                       |
0048957D | 72 11                         | jb zpdfedit.489590                                  |
0048957F | FF7424 14                     | push dword ptr ss:[esp+14]                          | [esp+14]:"鹜J"==&"喽H"
00489583 | FF15 00994A00                 | call dword ptr ds:[<&Ordinal#266>]                  |
00489589 | 8B4424 38                     | mov eax,dword ptr ss:[esp+38]                       |
0048958D | 83C4 04                       | add esp,4                                           |
00489590 | 3D 00002000                   | cmp eax,200000                                      |
00489595 | 0F8C B1000000                 | jl zpdfedit.48964C                                  |
0048959B | FF15 18984A00                 | call dword ptr ds:[<&?GetInstance@User@@SAPAV1@XZ>] |
004895A1 | 8BC8                          | mov ecx,eax                                         |
004895A3 | FF15 14984A00                 | call dword ptr ds:[<&?Prime@User@@QAE_NXZ>]         | 难道这里是判断专业用户？
004895A9 | 84C0                          | test al,al                                          |
004895AB | 0F84 9B000000                 | je zpdfedit.48964C                                  | ==>修改这里成功！
004895B1 | 68 48AB4A00                   | push zpdfedit.4AAB48                                | 4AAB48:L"确定"
004895B6 | 8D4C24 44                     | lea ecx,dword ptr ss:[esp+44]                       |
004895BA | E8 B1B0FFFF                   | call <zpdfedit.sub_484670>                          |
004895BF | 68 38A94A00                   | push zpdfedit.4AA938                                |
004895C4 | 8D4C24 18                     | lea ecx,dword ptr ss:[esp+18]                       |
004895C8 | C74424 6C 02000000            | mov dword ptr ss:[esp+6C],2                         |
004895D0 | E8 9BB0FFFF                   | call <zpdfedit.sub_484670>                          |
004895D5 | 8D4424 14                     | lea eax,dword ptr ss:[esp+14]                       | [esp+14]:"鹜J"==&"喽H"
004895D9 | C64424 68 03                  | mov byte ptr ss:[esp+68],3                          |
004895DE | 8B8E 24010000                 | mov ecx,dword ptr ds:[esi+124]                      | [esi+124]:sub_4A4157
004895E4 | 50                            | push eax                                            |
004895E5 | 8D4424 44                     | lea eax,dword ptr ss:[esp+44]                       |
004895E9 | 50                            | push eax                                            |
004895EA | 83EC 08                       | sub esp,8                                           |
004895ED | E8 4ED3FFFF                   | call <zpdfedit.sub_486940>                          | 这里调用未注册 不能大于2M

然后修改吧，超2M可打开，图片可编辑，输出没水印。

当然你也可以用破解定式：
第5式，自动跟踪记录法
第12式，对比插件跑位法
第18式，python脚本记录法
第30式，编满足条件的记录脚本法
当然高手们也可能用IDA来静态的看代码，万一那个DLL是动态调用的呢？（要知道有静动之分啊）所以说每种方法都有优点和缺点
其实都是辅助手段，看看跑位，走势，几轮下来就可以判断正确的走位啦~~
当然也可以配合我的《Ollydbg/x36dbg贴心伴侣》中的注释航标法标出序号来~~
还是前面说的，要打谁？始终明确目标，走位才不会糊涂和迷茫。

eeyou

冥界3大法王 发表于 2021-3-31 12:43
或者修改shareplugin.dll
80 B9 E4 00 00 00 00 75 03
修改为：C6 81 E4 00 00 00 01 C3

法王，您下到第二个软件了，俺的是第一个。转转大师。。。http://softdown.55.la/soft/down/ZZDS_4.9.5.4_zzpdf.exe  装好后。可以用我的替换下主程序，https://cloud.189.cn/t/RF3A7fJ7zi2i ，这个是半暴品，断网双击程序后会弹提示，联网后不显示。右上角关闭程序也弹后台运行保持吗的提示。
当然你也可以忽略我的半暴品（用的功能暴了,al的数值改成非0，不多说）。
这里特意想知道双击弹提示的那个你用暂停法的操作原则是什么？俺需要深刻理解下。包括显示调用栈窗口后，如何找目标的那一语句的原则。请法王赐教。
随便提一下俺现在暴过去了，但也是瞎搞，直接把整个语句段直接废掉。结果双击的弹窗和关闭的弹窗一起杀了。因为都是引用的这段语句跑的。。。造成的后果就是右上角关闭时没用，得用任务栏右键关闭。不完美破解，不知道有没有办法断点到右上角关闭写个两句按正常关程序的调用系统函数或者直接定义个属性就老实关了，这个就需要法王教下了。
11(1).png

这是俺暂停弄的堆栈的方法。但总是没理解选择的原则，如果可以请法王能结合其他各种经典情况补充点图片来，多评论几句小白状态时的理解方向去讲透点

川爷

弄不明白

romobin

3b38不就是吗

贫道不是频道

头部下个断点？？？

xiangzz

下个获取路径的API

冥界3大法王

@eeyou
Alt+K的窗口会自己报告你很多地址的，这么牛的功能咋不会利用呢？

获取系统配置失败

既然你都知道这句话了，那不就简单了。。。
配置文件总有个名吧？
既然失败，肯定得先读取吧？
头自然不就有了。。。

破解自问自答三要素：打死谁？得打哪？怎么打？

ciker_li

往上翻，
或者跟到返回，看看谁调用的

eeyou

冥界3大法王 发表于 2021-3-31 08:49
@eeyou
Alt+K的窗口会自己报告你很多地址的，这么牛的功能咋不会利用呢？

法王你说的是暂停法是吧？我刚学习这个方法还有些细节没建立概念。所以麻烦法王了。图中我这样选程序领空的函数过程和调用来自都是程序领空的是不是才是对的？还是说不看这个而是看关键字最近的一个？程序我打包下吧，不然不好讲清，请法王指导下。 他需要联网安装第一次打开时也需要联网补充功能模块，之后就不存在了，但一断网的话双击会向外要会员信息配置，因为我本地爆了限制，可以用，但每次他本地肯定运行时校验过然后想去联网再核，就会弹那个 获取系统配置失败的提示，这个东西我估计就是联网要的配置而不是本地，因为我联网时他不提示。虽然暴过了。
原程序http://pdf.55.la/    我的半暴品https://cloud.189.cn/t/RF3A7fJ7zi2i （7天内）  请法王下来直接调试下成全俺。另一个烦人的就是右上角关闭时他会弹要不要后台运行（我想默认不后台运行），这样的下断暴的方法请法王也顺便指导下。

冥界3大法王

或者修改shareplugin.dll
80 B9 E4 00 00 00 00 75 03
修改为：C6 81 E4 00 00 00 01 C3
功能未做太多测试。