某学籍照片采集程序5.0爆破、追码+导出注册文件

tangdragon

    【软件名】：某学籍照片采集软件5.0
    【来源】：自己下载
    【工具】：PEid 0.96、OD
    【说明】：只是研究一下，分享一下易语言程序分析的一般思路而已。要软件的请自己搜索，很容易下载到，这里就不传附件了。仅供分析、测试，如果需要请购买正版。
     安装后启动显示“未注册”：




    未注册导出照片也不让。

    主程序拖入PEiD v0.96 显示：E Language -> WuTao * Sign.By.fly * 很明显是 易语言 程序。

    OD载入，运行程序，让它跑起来，然后F12暂停，按Alt+E，在krnln上点右键，选择“查看内存”：

    向上找到主程序的 .data 处下断：

    F9继续运行程序，它就会断在这里：

    然后按右键，搜索字符串吧。

    搜完后很容易找到注册成功的提示信息，如图：

   双击进入简单分析一下，向上找到一些线索，在其中几个CALL后按F2下断，运行至60B448处出现假码（我输入的假码是8989898989898989）和疑似真码（1028859292）。

    将疑似真码（1028859292）复制出来注册，一次成功（未发现暗桩，幸运^_^）。

    既然找到了注册码，具体算法就不深究了，太累人了。

    【总结】
     出现真码处：60B448，保存在 ECX，有兴趣做内存注册机的朋友看下图可以弄了。

     爆破点：60B47D，NOP掉或者84改85一字节解决。

      注册标志：注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\reg\ceshi值填入十六进制3e7（十进制999）即可。看下图有启示吧？


     注册表标志导出后的样子：

      附上注册表文件，保存成.reg文件后导入注册表即可（评分回复可见）。
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\reg]
"ceshi"=dword:000003e7
      弄这么多图还不评分？视评分多少发下一个：某学籍照相软件9.X的爆点分析^_^

btzx

老周学籍照片采集系统功能强大，拍出的照片安全符合国家标准，自动命名一步到位，打包就可以上传，大大减轻老师的繁重劳动。本软件免安装，可以带在u盘上面。解压就能用，适合新手。老周学籍照片采集系统，是专门为国家教育部最新的学籍而专门设计的，本系统设计独特，极易上手，操作简单，拍照、命名一步到位。

tangdragon

annittasha 发表于 2015-11-23 14:27
软件下载地址在哪？

这里可以吧。http://www.xdowns.com/soft/6/56/2014/Soft_121927.html，度娘也很容易找到啊。

蜗牛丶

我想说的是 把软件发出来好么？

小兔崽

查学籍用的啊0.0

btzx

老周学籍照片采集系统 5.0

jw8013

都发原创这里了，软件也给出来不是更好？

asus21

好文章，图文并茂。谢谢楼主

snwfnh

谢谢楼主分享  来学习一下。

manbajie

嗯嗯，好的学习了