脱壳后破自校验：（破文

冥界3大法王

超好用的笔记软件,哥我想着爆破它好几天都没睡好觉了
这是一个我做梦都想着要把它PJ的一个，也是唯一有花钱购买欲的唯一一个。
对了 忘说了，便携版去几个文件，就会变成pro版本，就有了输入KEY的地方了。




IDA,">从网上下载了7　8个版本，这是从宝——岛TW某人博客下载到的唯一字体超大超清晰超养眼的一个版本，用来做笔记或写汇编日志真的不错（字体颜色可直接点选，来的真方便），比myBase（15340K）的内存占用（它才800K）小很多。怎奈顶上的广告太烦人。
http://bbs.pediy.com/attachment.php?attachmentid=77100&stc=1&d=1362880913
网上国内竟然没有一个可注册或PJ 的或达标的版本。
只是棺方的翻译有问题，有些地方汉化的不全。
脱壳之后的文件，可直接查看到不同授权的信息在w32dasm中，在winhex能看到顶上的广告的字样。
下载地址：
http://pan.baidu.com/share/link?shareid=313217&uk=2852213429
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
程序本身哪怕修改下文件名，都会：
报错1
主程序用peid查，upx 加之，upx -d 可脱
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
把脱后的文件用od加载，按一下F9，竟然直接出来上面的报错1
无法调试下去，
用winhex搜索以上字串，找不到。此路行不通了，不与之纠缠
换武器：Mdebug   （故事转折点：）   

帖子未完，继续加工，随编随存盘，版主莫咔嚓~~~

按下F5执行后，一路按着F10，直到出现报错1
给那处设断，重运行，再次到那时 单步进入，进入后再设断，再按F10一路走，走到后再单步进入
，此时往上找call cmp 跳之类的。依次记录16进制代码改之：

最后来到一处叫做 ：a62ca8 的call           NOP之
其下也有killuseExe之类字样，就是了。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
搜索 不同
notebook.exe.exe: 9,222,440 字节
           3.exe: 9,222,440 字节
Offsets: 十六进制

6620A8:        E8        90  
6620A9:        8B        90
6620AA:        99        90
6620AB:        AB        90
6620AC:        FF        90

5 不同 被发现。
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
暴了之后出来新的报错2

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
现在我们再度换武器：winhex ,ctrl+F,搜索An error occurred in the application，

共有2处：
用这东西
转换一下：
3369C －－－》：43429C
87CB56－－－》：47BF56

顺路在winhex中用替换功能把字串改下，结果第二处：
果然发生变化，也就说明下一步，我们的重点打击对象该放在第二处代码：87CB56－－－》：47BF56周边地带。

源文件在w32dasm中打开后，ctrl+l运行，设断，往下走，看能不能拦下，

：47BF56上推得
:9F77C0 jz  此断点
=================================
009F77C0                           /75 4F                 jnz short 3-5.009F7811   w32dasm中这里设断可拦下
009F77C2                           |33D2                  xor edx,edx
009F77C4                           |8B83 7C030000         mov eax,dword ptr ds:[ebx+37C]
009F77CA                           |8B08                  mov ecx,dword ptr ds:[eax]
009F77CC                           |FF51 64               call dword ptr ds:[ecx+64]
009F77CF                           |33D2                  xor edx,edx
009F77D1                           |8B83 84030000         mov eax,dword ptr ds:[ebx+384]
009F77D7                           |8B08                  mov ecx,dword ptr ds:[eax]
009F77D9                           |FF51 64               call dword ptr ds:[ecx+64]
009F77DC                           |33D2                  xor edx,edx
009F77DE                           |8B83 80030000         mov eax,dword ptr ds:[ebx+380]
009F77E4                           |8B08                  mov ecx,dword ptr ds:[eax]
009F77E6                           |FF51 64               call dword ptr ds:[ecx+64]
009F77E9                           |8D55 E4               lea edx,dword ptr ss:[ebp-1C]
009F77EC                           |B8 56080000           mov eax,856
009F77F1                           |E8 BAE8EEFF           call 3-5.008E60B0
009F77F6                           |8D45 E4               lea eax,dword ptr ss:[ebp-1C]
009F77F9                           |BA 10799F00           mov edx,3-5.009F7910                ; UNICODE "  (PRO-Edition)"
009F77FE                           |E8 2900A1FF           call 3-5.0040782C
009F7803                           |8B55 E4               mov edx,dword ptr ss:[ebp-1C]
009F7806                           |8B83 7C030000         mov eax,dword ptr ds:[ebx+37C]
009F780C                           |E8 EB0BB0FF           call 3-5.004F83FC
009F7811                           \8B93 90030000         mov edx,dword ptr ds:[ebx+390]
009F7817                            8B8A 94040000         mov ecx,dword ptr ds:[edx+494]
009F781D                            A1 80C8A800           mov eax,dword ptr ds:[A8C880]
009F7822                            8B80 F8000000         mov eax,dword ptr ds:[eax+F8]
009F7828                            0348 10               add ecx,dword ptr ds:[eax+10]按到这里F8走不动了



CPU Disasm
地址                     HEX 数据            指令                                       注释
7C92E47C KiUserExcepti   8B4C24 04       mov     ecx, dword ptr [es+4]           ; ntdll.KiUserExceptionDispatcher(pExceptionRecord,pContext
7C92E480                 8B1C24          mov     ebx, dword ptr [es]
7C92E483                 51              push    ecx
7C92E484                 53              push    ebx
7C92E485                 E8 84C00100     call    7C94A50E 到这时玩完！



接下来，就是在这段代码中动手术了，水平有限先发到此。研究和折腾中~~如有疑问欢迎共同讨论学习和进步。





        

wuaixuexi

沙发 期待完善 学习

Emil

留名，等楼主更新！·

五菱

留名慢慢看

king6725

收藏，关注你~~~~~~~~~~

bestow

MARK下 太晚了 就不看了 回头过来再看。

yanggis

佩服楼主探索精神！

思念曹操

支持你继续更新