【翻译】R4ndom破解教程全文翻译（For新手）：第十二章

yysniper · 发表于 2015-5-17 08:51

本帖最后由 yysniper 于 2015-5-19 17:13 编辑

翻译说明：
1、本教程在 52破解论坛及看雪论坛全球同步首发！
2、本教程翻译自国外的The Legend of Random的系列教程，英文原文地址：http://thelegendofrandom.com/blog/sample-page。本翻译教程只是为了给不愿看英文教程以及英文水平不好的人提供方便，同时也是自己的学习过程。该教程对英文水平要求不是很高，不过个人水平有限，有些地方翻译不准的请批评指正。
3、本翻译教程请勿用于商业用途。另，转载请注明！！！
4、感谢The Legend of Random！

发帖说明：
根据译者的时间安排，快的话2-3天会上传一章，慢的话就不造了。如果有段时间没更新请勿怪，因为译者的工作性质，有时是接触不到网络的。

其他章节：

全系列章节导航帖

第十二章：一个难啃的NOOB例子

一、简介

本章我们将研究一个有点更具挑战性的程序。它叫ReverseMe1，我写的。我也会讨论一个Olly的插件“ASCII码表”。可以在工具页下载它。这个ReverseMe是用来说明为什么LAME补丁方式通常就是那么lame（烂）的一个极好的例子。

你可以在教程页下载相关文件及本文的PDF版。

二、准备开始

运行下程序看看：(p1)

我们能看到它说还没有注册，需要序列号。那就给它一个：(p2)

点“Check Serial”：(p3)

我们看到我们是错的（再一次）！Olly载入应用，用咱们信得过的“搜索字符串”：(p4)

好哇，看起来前途光明呀。咱们来检查下“That is not correct”字符串：(p5)

咱们来到了问题的核心。因为每一个都是单独的方法，我们需要看看哪里调用了它们，所以咱们要这么做：(p6)

Olly弹出了References窗口：(p7)

我们能够看到有一个对该函数的调用。咱们双击它，看看它是啥样的：(p8)

这里，我们能看到坏消息是在401078处调用的，并且我们马上就能看到40106A处有个跳转指令跳到这里：(p9)

向上滚几行，我们就能看到一个CALL，用来检测程序/比较/跳转，和我们前面看到的一样。从这里我们能够猜到，主要的检测程序是在4010FC，401063处调用了它。在返回后，EAX寄存器被检测其值是否是0，如果不是就跳到坏消息。(p10)

测试下我们的假设，在40106A处设置断点，然后重启应用。在输入一个序列号以后（我输入的还是“12121212”），我们断在了调用序列号校验的那个CALL后面的跳转处：(p11)

现在咱们帮Olly走正确的路，所以我们不能让跳转实现（直接到调用好消息的CALL那）：(p12)

点一下运行：(p13)

耶，so easy（妈妈再也不用担心我破不了了）!!点OK：(p14)

噢，艹%$@，这里他爸的发生了啥，你个阿西吧$$$%^#!!!!!很明显，我们的程序没有注册成功。这说明我们肯定错过了啥。

三、进一步分析

重启应用，输入序列号，让Olly再次断在40106A：(p15)

看看这个，如果我们阻止Olly跳到坏消息那，直接执行40106C的那个CALL，就是调用4010AA。沿着那条路往下走，我们能看到它是相当的标准：它弹出一个显示“That is correct”的消息框，然后将主窗口的标签修改成“This program is registered!”。(p16)

等等！一旦我们从那个CALL返回了，在401071还有另一个CALL等着咱：(p17)

该CALL调用的是401130，所以咱们看看那个子程序。首先，我们注意它调用了SetDlgItemTextA，不过有一个看起来很奇怪的字符串。咱们来一行一行的执行。401130有个CALL调用了4010FC。往上看，我们看到这是一个序列号校验子程序。然后EAX自身做了OR操作看是否为0，如果不是，它执行了许多看起来很怪异的玩意儿：(p18)

到目前为止，我们从这些收集到的信息是，在我们给程序打了补丁后它显示了好消息，然后另一个CALL执行了，在这个CALL里，又有一个CALL再次执行了序列号校验子程序，对结果做了同样的分析。这是一个备份检测点！现在我们来看看如果我们在这个备份检测点失败的话会怎样（这里我们是可以让它检测失败的，因为我们只给那个跳转打了补丁）：(p19)

首先，ECX被设置值为1F（十进制是31）***对不住了，被切掉了一点（译者注：指的是上面图片中MOV ECX，1F那行）***。然后ESI被赋值为0，EAX被清0。然后就进入一个循环。咱们一步一步执行这个循环。第一行从ESI+403070拷贝了一个字节到AL寄存器中，我们知道ESI等于0，所以地址实际上就是403070。咱们看看内存中这个地址里是什么。右键并选择Follow in dump->constant，或者就右键dump窗口，选择goto并输入地址403070。(p20)

如果仔细看的话，就会发现这就是上面传给SetDlgTextItemA的字符串参数。所以它就是将那串奇怪的字符串的第一个字符拷贝到AL中。

***有件事你应该知道，许多汇编语言指令会按默认的使用方式使用某些寄存器，例如ECX被用来作为计数器，ESI被用来作为源地址，EDI被用来作为目的地址。本例中就是这样的。***

接下来，我们将该字符与2C进行XOR，然后再将其存回原来的地址中：(p21)

最后，给ESI（源址寄存器）加1，再做LOOPD操作。LOOPD意思是ECX寄存器减1，然后循环直至ECX为0。也就是说，我们原来给ECX赋的值，十进制的31，就是循环的次数。

总的来看，该循环遍历奇怪字符串的每一个字符，将它们与2C进行XOR操作，再保存回原内存。这些操作将持续到ECX等于0，或31次。单步执行一次LOOPD指令后回到顶部，然后看看数据窗口：(p22)

你会发现，字符串的第一个数字已经变了。原来的字符被执行XOR操作后变成了“T”。如果你单步执行这个循环几次的话，会看到数据窗口中的字符串的变化。你也会发现传给SetDlgTextItemA的参数也变了：(p23)

单步执行完这个循环，就会看到最后生成的消息，看起来相当熟悉呀，“This program is not registered!”。这和程序事实上还没有注册时主窗口中显示的消息是一样的：(p24)

可以看到这个字符串变成了传递给SetDlgTextItemA的值，事实上用之前在那里的坏消息替换了已注册的好消息：(p25)

下面就是主窗口中显示的：(p26)

所以，现在我们知道了，给该应用打补丁的巧妙的方法是进入到序列号检测子程序，确保它总是返回正确的值，因为它不只是在第一次检测时被调用，而且在显示成功后再次被调用。再提醒你一下，序列号检测的相关CALL被调用，然对eax进行0测试。如果不是0，就跳到坏消息，所以我们想让子程序返回0！然后，序列号检测子程序再次被调用，如果它再次返回0，那么我们的第二次检测就通过了：(p27)