某注册表清理工具的分析与爆破

yll20024 · 发表于 2021-12-28 18:44

本帖最后由 yll20024 于 2021-12-30 04:58 编辑

将程序载入OD，运行，随便输入注册码
图片1.png

暂停程序，在堆栈窗口找压入的用户名和注册码
图片2.png

在下面有个返回到 00A84462，右键->反汇编窗口跟随
图片3.png

上面的call就是判断注册码是否正确的call，在这个call下断点，运行程序，继续点注册按钮。断下来后F7进入这个call，F8往下跟，有个jnz，用于判断邮箱地址是否输入，如果没输入会弹对话框，为了方便起见，把它改成jmp
图片4.png

继续单步跟踪，把一些无用的跳转改jmp
图片5.png

00B4284E处有个je，此时这个跳转未实现，继续执行将会显示“Invalid license key”，因此，此处je改jmp
图片8.png

00B428D5处，这个je已实现，执行后会显示“Invalid license key”，不进入网络验证，因此，此处je用nop填充
图片9.png

F9运行程序，发现已经变成PRO版本了
图片10.png

保存刚才的所有修改，复制到可执行文件，再次运行时发现有自校验
图片11.png

再次将修改后的程序载入OD，运行，出现错误提示框后暂停程序，Alt+K查看调用堆栈
图片12.png

发现MessageBox来自004AD38F处的调用，右键->显示调用
图片13.png

在MessageBoxW上面有个跳转可以跳过，改成jmp，保存文件，自校验就去除了到这里程序算破解了一半，因为目前还有个问题，就是每次打开程序时都需要注册才能变成PRO版本，比较麻烦.... 猜测程序应该在启动时读取注册表或配置文件，根据注册表或配置文件中保存的注册码判断是否注册。再次载入程序，在读注册表API下断点
图片14.png

多次运行程序，直到堆栈窗口出现“License Key”
图片15.png

Alt+K查看调用堆栈
图片16.png

逐级分析函数调用，在如图所示项右键->显示调用发现关键信息
图片17.png

删除读注册表断点，点击call的下一行，按F4，运行到当前位置，然后F8单步运行，在00B6F2B5处有个大跳转，如果这个跳转实现就是FREE版本，因此nop填充
图片18.png

紧接着的jnz改成jmp
图片19.png

破解完成

kabalailai · 发表于 2021-12-30 19:04

有没有批量修改注册表权限的软件，之前装CAD，相关的注册表都是手动修改权限再删除，弄了一上午，太机械了！

yll20024 · 发表于 2021-12-30 13:56

一路无忧发表于 2021-12-30 13:52
为什么有的软件注册表清理了就不能用了？win10还原以后注册表都清理了

注册表保存的有软件的一些配置，这些配置是在安装软件的时候写进去的，删了当然就不能用了

yll20024 · 发表于 2021-12-30 05:00

@FleTime

niefeng0429 · 发表于 2021-12-30 08:28

思路非常清晰，感谢

出云归晚 · 发表于 2021-12-30 10:01

讲解的很清晰明白，给个赞

longskr · 发表于 2021-12-30 12:33

提示: 作者被禁止或删除内容自动屏蔽

copywl · 发表于 2021-12-30 13:24

学习学习，谢谢！

一路无忧 · 发表于 2021-12-30 13:52

为什么有的软件注册表清理了就不能用了？win10还原以后注册表都清理了

xiaoqisky · 发表于 2021-12-30 14:26

思路清晰，学习内核技术，也谢谢楼主分享这么好的经验！

yll20024 · 发表于 2021-12-30 14:35

原版链接：https://pan.baidu.com/s/1u_UxyCGaagGVW5T18zGzfQ 提取码：2333

帐号		自动登录	找回密码
密码			注册[Register]

[原创] 某注册表清理工具的分析与爆破

免费评分

longskr longskr 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	longskr 发表于 2021-12-30 12:33 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报