■ 如花 [初试IDA----一个小的ReverseMe]

Squn

CODE:00401000         public start
CODE:00401000 start      proc near
CODE:00401000         push  0        ; lpModuleName
CODE:00401002         call  GetModuleHandleA
CODE:00401007         mov   ds:hInstance, eax
CODE:0040100C         mov   ds:dword_402197, 4003h
CODE:00401016         mov   ds:dword_40219B, offset word_4011A6
CODE:00401020         mov   ds:dword_40219F, 0
CODE:0040102A         mov   ds:dword_4021A3, 0
CODE:00401034         mov   eax, ds:hInstance
CODE:00401039         mov   ds:dword_4021A7, eax
CODE:0040103E         push  4        ; lpIconName
CODE:00401040         push  eax       ; hInstance
CODE:00401041         call  LoadIconA
CODE:00401046         mov   ds:dword_4021AB, eax
CODE:0040104B         push  7F00h      ; lpCursorName
CODE:00401050         push  0        ; hInstance
CODE:00401052         call  LoadCursorA
CODE:00401057         mov   ds:dword_4021AF, eax
CODE:0040105C         push  0        ; hTemplateFile
CODE:0040105E         push  offset unk_40216F ; dwFlagsAndAttributes
CODE:00401063         push  3        ; dwCreationDisposition
CODE:00401065         push  0        ; lpSecurityAttributes
CODE:00401067         push  3        ; dwShareMode
CODE:00401069         push  0C0000000h   ; dwDesiredAccess
CODE:0040106E         push  offset FileName ; "Keyfile.dat"
CODE:00401073         call  CreateFileA
CODE:00401078         cmp   eax, 0FFFFFFFFh
CODE:0040107B         jnz   short loc_40109A
CODE:0040107D         push  0        ; uType
CODE:0040107F         push  offset Caption ; " Key File ReverseMe"
CODE:00401084         push  offset Text   ; "Evaluation period out of date. Purchase"...
CODE:00401089         push  0        ; hWnd
CODE:0040108B         call  MessageBoxA
CODE:00401090         call  ExitProcess
CODE:00401095 ; ---------------------------------------------------------------------------
CODE:00401095         jmp   nullsub_1
CODE:0040109A ; ---------------------------------------------------------------------------
CODE:0040109A
CODE:0040109A loc_40109A:               ; CODE XREF: start+7Bj
CODE:0040109A         push  0        ; lpOverlapped
CODE:0040109C         push  offset NumberOfBytesRead ; lpNumberOfBytesRead
CODE:004010A1         push  46h       ; nNumberOfBytesToRead
CODE:004010A3         push  offset byte_40211A ; lpBuffer
CODE:004010A8         push  eax       ; hFile
CODE:004010A9         call  ReadFile
CODE:004010AE         test  eax, eax
CODE:004010B0         jnz   short loc_4010B4
CODE:004010B2         jmp   short loc_4010F7
CODE:004010B4 ; ---------------------------------------------------------------------------
CODE:004010B4
CODE:004010B4 loc_4010B4:               ; CODE XREF: start+B0j
CODE:004010B4         xor   ebx, ebx
CODE:004010B6         xor   esi, esi
CODE:004010B8         cmp   ds:NumberOfBytesRead, 10h
CODE:004010BF         jl   short loc_4010F7
CODE:004010C1
CODE:004010C1 loc_4010C1:               ; CODE XREF: start+D1j
CODE:004010C1         mov   al, ds:byte_40211A[ebx]
CODE:004010C7         cmp   al, 0
CODE:004010C9         jz   short loc_4010D3
CODE:004010CB         cmp   al, 47h
CODE:004010CD         jnz   short loc_4010D0
CODE:004010CF         inc   esi
CODE:004010D0
CODE:004010D0 loc_4010D0:               ; CODE XREF: start+CDj
CODE:004010D0         inc   ebx
CODE:004010D1         jmp   short loc_4010C1
CODE:004010D3 ; ---------------------------------------------------------------------------
CODE:004010D3
CODE:004010D3 loc_4010D3:               ; CODE XREF: start+C9j
CODE:004010D3         cmp   esi, 8
CODE:004010D6         jl   short loc_4010F7
CODE:004010D8         jmp   loc_401205
CODE:004010D8 ; ---------------------------------------------------------------------------
CODE:004010DD         align 2
CODE:004010DE         dd 0
CODE:004010E2         align 4
CODE:004010E4         dd 4 dup(0)
CODE:004010F4         db 0, 0EBh, 0
CODE:004010F7 ; ---------------------------------------------------------------------------
CODE:004010F7
CODE:004010F7 loc_4010F7:               ; CODE XREF: start+B2j
CODE:004010F7                     ; start+BFj ...
CODE:004010F7         push  0        ; uType
CODE:004010F9         push  offset Caption ; " Key File ReverseMe"
CODE:004010FE         push  offset aKeyfileIsNotVa ; "Keyfile is not valid. Sorry."
CODE:00401103         push  0        ; hWnd
CODE:00401105         call  MessageBoxA
CODE:0040110A         call  ExitProcess
CODE:0040110F ; ---------------------------------------------------------------------------
CODE:0040110F         jmp   nullsub_1
CODE:0040110F ; ---------------------------------------------------------------------------
CODE:00401114         dd 0
CODE:00401118         db 0
CODE:00401119         dd 0
CODE:0040111D         align 10h
CODE:00401120         dd 3 dup(0)
CODE:0040112C         dd 0
CODE:00401130         db 2 dup(0)
CODE:00401132         dd 0
CODE:00401136         align 4
CODE:00401138         dd 0
CODE:0040113C         db 2 dup(0)
CODE:0040113E         dd 0
CODE:00401142         align 4
CODE:00401144         dd 5 dup(0)
CODE:00401158         db 2 dup(0)
CODE:0040115A         dd 0
CODE:0040115E         align 10h
CODE:00401160         dd 0
CODE:00401164         dd 0
CODE:00401168         dd 3 dup(0)
CODE:00401174         db 2 dup(0)
CODE:00401176         dd 0
CODE:0040117A         align 4
CODE:0040117C         dd 2 dup(0)
CODE:00401184         db 2 dup(0)
CODE:00401186         dd 0
CODE:0040118A         align 4
CODE:0040118C         dd 0
CODE:00401190         dd 0
CODE:00401194         dd 2 dup(0)
CODE:0040119C         db 0
CODE:0040119D         dd 0
CODE:004011A1         align 4
CODE:004011A4         db 2 dup(0)
CODE:004011A6 word_4011A6   dw 0          ; DATA XREF: start+16o
CODE:004011A8         dd 13h dup(0)
CODE:004011F4         db 0
CODE:004011F5         dd 0
CODE:004011F9         align 4
CODE:004011FC         dd 2 dup(0)
CODE:00401204         db 0
CODE:00401205 ; ---------------------------------------------------------------------------
CODE:00401205
CODE:00401205 loc_401205:               ; CODE XREF: start+D8j
CODE:00401205         push  0        ; uType
CODE:00401207         push  offset Caption ; " Key File ReverseMe"
CODE:0040120C         push  offset aYouReallyDidIt ; "You really did it! Congratz !!!"
CODE:00401211         push  0        ; hWnd
CODE:00401213         call  MessageBoxA
CODE:00401218         call  ExitProcess
CODE:00401218 start      endp ; sp-analysis failed
CODE:00401218
CODE:0040121D ; [00000001 BYTES: COLLAPSED FUNCTION nullsub_1. PRESS KEYPAD "+" TO EXPAND]

Squn

[s:45] 这个小玩意儿很简单的说.所以就不写分析了,如果不会的话,相信大家看那个截图以及那些代码也可以弄懂了.. 自己动手操作,比看一百篇破文都要强的多~~ [s:45]

niliu

我靠 沙发啊  如花如花 。。。。  感觉还是这么怪。。

小生我怕怕

学习下美女的方法!,我还玩不来呢

Squn

引用第3楼小生我怕怕于2008-06-25 14:25发表的 :
学习下美女的方法!,我还玩不来呢

汗... 真的是初试哦... 也就是静态分析一下.这个cm用来练习IDA还真不错的说~~ o(∩_∩)o

sfl4800

艾。。不用了。就一个OD会用。。。

mycsy

[s:40] [s:40] [s:40]

姐姐 当然要支持起来哦

絕戀de煩神

IDA貌似很複雜的樣子。。嘻嘻。。

ximo

花花啊,还隐藏啊,,,,
[s:38] [s:38]

sizhaoming

到底IDA是啥呀？？偶直接用OD解决鸟~~


0040107B   /75 1D     jnz   short 0040109A          ; jmp
004010B0   /75 02     jnz   short 004010B4          ; jmp
004010BF   /7C 36     jl   short 004010F7          ; NOP
004010D6   /7C 1F     jl   short 004010F7          ; NOP