首先使用dumpbin.exe 查看该程序是64位还是32位。
这里确定程序是32位程序,然后使用x32dbg打开该程序。
首先尝试逆向serial:
先什么都不输入,点击验证看看会出现什么:
在这里看到点击验证出现了一个模态提示弹窗。我们知道当出现模态弹窗时,程序代码应该卡在模态弹窗那句直到返回。此时使用xdbg32让程序暂停:
此时程序暂停后,查看调用堆栈以确定程序卡在哪句用户代码:
我们可以看到调用来了messagebox 出现弹窗,那么接下来就是查看 在哪里调用的Messagebox,以及提示的内容。
根据MessageBox的参数含义,我们知道显示的文本,是来自于 edi,esi 参数,在往上看edi,esi 参数的值来自于 ecx,edx, 而当前函数的ecx,edx的值来自于上层调用。
所以我们需要再转到上层调用处分析。
依据上图代码的分析,此时jne acid burn.42F4F1 是关键跳转,然后看到在跳转之前调用了一个函数,然后再跳转。那么猜测这个是比较输入内容的函数。于是乎,更进该函数查看下实现,在 进入0x004039fc函数后,右键选择流程图,如下展示:
对上图的代码分析,其实就是字符串比较是否相等,关键提示点是 最开始的[esi-4]、[edi-4]表示的是长度。
所以,以上代码应该是 先调用0x004039fc函数比较两个字符串是否相等。相等则不跳转到弹出失败的地方。所以 此时在调用0x004039f函数处下一个断点,再尝试一次,应该就能获得答案了。
当断点断下来时,查看答案为:Hello Dude!。 接下来输入验证下:
至此,这个serial算是获得了。
总结
整个过程可分为3步:
- 尝试验证serial,出现弹窗时,选择暂停程序
- 观察调用堆栈,以定位调用处
- 分析调用处相关逻辑,以获得serial.