某USB数据恢复软件详细追码过程

一别两宽丶 · 发表于 2019-7-30 03:55

老规矩查壳，显示VC++9.0无壳程序。直接丢OD了
]QS]D5D9WN465DU]{J37.png

先切换到英文吧，发现好多英文的切换到中文什么都搜不到
$UIWD8)TU)OA`E7RARZ{C0D.png

随便输入，看看有什么突破口
1J4I0V@UX{R~UC[P9MPRFNY.png

字符串最直接最有效，智能搜索“sddress”吧
(%XD2PZY{6U7}%HQ[{Q@QZF.png

什么都没搜到，既然是VC++那就使用按钮事件吧，特征码还记得吧sub eax，0a
0MQGOF6GW9]0@6UY}{JSH)M.png

结果是按钮事件不能用，下一个就找不到了。然后既然它是对话框，那就下messageBoxA,还是断不下来A/W都用了还是断不下来
WV0FR((Y{{ZV5FM1G%YUZ)8.png

那就无脑全部下断对话框API断点，反正它是对话框，就不信断不下来。
]ELIK(}LS_AOHLOPIU%OWCD.png

结果可想而知，无差别杀伤，各种断。刚把程序切出来就断了下来，显然这不是我们想要的断点，取消它，让程序继续执行
0LE[W7C77GPLN{`6Q()~6]N.png

取消后再次运行，点了注册断下来了。重点来了，既然断下来了，那就回溯吧
$%O{31XM_ZS7SPT[DH68}KTA.png$
回溯第一次发现并没有跳转跳过它
$0PH4V]D]%I64F_](FV77{JO.png$
继续回溯，第二次好多了跳转，经测试这里不是核心
[3W)23}8_`B(T`4@UA8XGPP.png

接着F8发现程序运行了，点了确定断下再次F8单步，感觉越来越接近真相了，出了这个call应该就是核心地带了。
JKNVT60)`(PL6~~3C7OT4PF.png

F2段首下断，重新点注册
96UHSJZ7S)OL[VI{5A(TX{F.png

再次注册，果真程序断在段首。那就F8单步分析它吧
UAU0`7~JZYO(R4UT}1HDCZU.png

这个判断应该是判断邮箱不能为空
BISAWQ7)8WN2EG4%1}8%5HW.png

这里应该是判断注册码不能为空
R~Y6V2XD5S{U[[S8[F4JAFI.png

这个判断就是刚才提示我们邮箱不正确的地方了，我就要用“一别两宽”，所以给他jnz改jmp无条件跳转
8N0A%%K~JZ%1T4I3~1]TVOE.png

都通过了，剩下应该就是对比注册码了，注意观察寄存器窗口和堆栈窗口
44X_F%]D_GGTQ%SOZTU4@]C.png

出现了一个疑似注册码的数组。继续F8又出现一组。统统复制下来，备用
)Q(C0}3~ZYO[VP6@RCGJY[4.png

再向下单步就是注册失败提示了
7)IT0UMSHHO}BU8JF)21K77.png

那就测试下那一组才是真正的注册码吧。我用的不是邮箱，所以没退OD方便调试，是邮箱的可以直接退出OD了。实在不行把判断邮箱的jnz改成jmp直接保存无论是不是邮箱他都不会再提示不是邮箱格式了
Q)T}AD6TPCB]ZL196SNJ[S6.png

第一组失败。
$NEPQ2){8266%7]78_TJ~E4F.png$
第二组成功注册。
关闭程序再次打开注册和购买的按钮都消失了。
0PLKU_WR@1I4QON0A@89DDW.png

至此，价值39.99美元的USB数据恢复软件追码完结，约合人民币275元

附上程序链接http://一别两宽amazing-share.com/usb-flash-drive-recovery.html删除文字即可

有兴趣的可以做下内存注册机

END

zch11230 · 发表于 2019-7-30 11:15

小白心里苦啊。
经常看到的教程都是，我们查找命令 xxx：为什么要用这个命令查找。不知道。。。。
然后我们找到了XXX，这一看就不对，下一个：我也不知道对不对啊，我看着都一样。
没理解到精髓，按教程来对同一个软件确实有用，换个软件就不通用了。

无闻无问 · 发表于 2019-7-30 12:16

本帖最后由无闻无问于 2019-7-30 13:05 编辑

这个软件厂商有点强悍，好多软件，各种转换与恢复软件呢？但奇怪的是，防范逆向的措施是否不到位？是不想防？还是故意不防？

这个软件，用暂停法要快些，在输入假码后，弹出错误对话框后，直接暂停。

然后堆栈往下找，一下就可定位关键判断函数0x00453490……

下断后，单步跟不了多久，即可追到真码……

Jivian · 发表于 2019-7-30 04:45

学习了，感谢楼主辛苦劳动，受益匪浅^_^

yujie0880 · 发表于 2019-7-30 05:31

谢谢分享的追码技术~！！

axc156123 · 发表于 2019-7-30 06:24

提示: 作者被禁止或删除内容自动屏蔽

zw5200520 · 发表于 2019-7-30 06:24

学子了看上起有点复杂啊

qdmjf · 发表于 2019-7-30 06:31

膜拜，学习一下

yz1207712077 · 发表于 2019-7-30 06:47

大神，感谢分享

lulang77 · 发表于 2019-7-30 06:59

高手啊，啥时才有这技术

l441669899 · 发表于 2019-7-30 07:07

感谢楼主分享！

asiafox · 发表于 2019-7-30 07:21

谢谢分享的追码技术~！！

帐号		自动登录	找回密码
密码			注册[Register]

[原创] 某USB数据恢复软件详细追码过程

免费评分

axc156123 axc156123 当前离线好友阅读权限 0 听众最后登录 1970-1-1 头像被屏蔽	axc156123 发表于 2019-7-30 06:24 提示: 作者被禁止或删除内容自动屏蔽

	回复支持举报