逆向学习:crack me之Acid burn.exe

首先使用dumpbin.exe 查看该程序是64位还是32位。

这里确定程序是32位程序,然后使用x32dbg打开该程序。

首先尝试逆向serial:

先什么都不输入,点击验证看看会出现什么:

在这里看到点击验证出现了一个模态提示弹窗。我们知道当出现模态弹窗时,程序代码应该卡在模态弹窗那句直到返回。此时使用xdbg32让程序暂停:

此时程序暂停后,查看调用堆栈以确定程序卡在哪句用户代码:

我们可以看到调用来了messagebox 出现弹窗,那么接下来就是查看 在哪里调用的Messagebox,以及提示的内容。

根据MessageBox的参数含义,我们知道显示的文本,是来自于 edi,esi 参数,在往上看edi,esi 参数的值来自于 ecx,edx, 而当前函数的ecx,edx的值来自于上层调用。

所以我们需要再转到上层调用处分析。

依据上图代码的分析,此时jne acid burn.42F4F1 是关键跳转,然后看到在跳转之前调用了一个函数,然后再跳转。那么猜测这个是比较输入内容的函数。于是乎,更进该函数查看下实现,在 进入0x004039fc函数后,右键选择流程图,如下展示:

对上图的代码分析,其实就是字符串比较是否相等,关键提示点是 最开始的[esi-4]、[edi-4]表示的是长度。

所以,以上代码应该是 先调用0x004039fc函数比较两个字符串是否相等。相等则不跳转到弹出失败的地方。所以 此时在调用0x004039f函数处下一个断点,再尝试一次,应该就能获得答案了。

当断点断下来时,查看答案为:Hello Dude!。 接下来输入验证下:

至此,这个serial算是获得了。

总结

整个过程可分为3步:

  1. 尝试验证serial,出现弹窗时,选择暂停程序
  2. 观察调用堆栈,以定位调用处
  3. 分析调用处相关逻辑,以获得serial.
相关推荐
Katzelala10 分钟前
[K8S学习笔记] Service和Ingress的关系
笔记·学习·kubernetes
有谁看见我的剑了?16 分钟前
k8s-init容器学习
学习·容器·kubernetes
HAH-HAH1 小时前
【Python 入门】(2)Python 语言基础(变量)
开发语言·python·学习·青少年编程·个人开发·变量·python 语法
xian_wwq3 小时前
【学习笔记】Https证书如何升级到国密
笔记·学习·证书
The_Killer.6 小时前
格密码--从FFT到NTT(附源码)
学习·线性代数·密码学·格密码
四谎真好看7 小时前
Java 黑马程序员学习笔记(进阶篇6)
java·笔记·学习·学习笔记
Alice-YUE7 小时前
【css学习笔记8】html5css3新特性
css·笔记·学习
有谁看见我的剑了?8 小时前
k8s-Sidecar容器学习
学习·容器·kubernetes
沐墨专攻技术8 小时前
二、网页的“化妆师”:从零学习 CSS
css·笔记·学习
g_i_a_o_giao9 小时前
Android8 binder源码学习分析笔记(四)——ServiceManager启动
笔记·学习·binder