逆向学习:crack me之Acid burn.exe

首先使用dumpbin.exe 查看该程序是64位还是32位。

这里确定程序是32位程序,然后使用x32dbg打开该程序。

首先尝试逆向serial:

先什么都不输入,点击验证看看会出现什么:

在这里看到点击验证出现了一个模态提示弹窗。我们知道当出现模态弹窗时,程序代码应该卡在模态弹窗那句直到返回。此时使用xdbg32让程序暂停:

此时程序暂停后,查看调用堆栈以确定程序卡在哪句用户代码:

我们可以看到调用来了messagebox 出现弹窗,那么接下来就是查看 在哪里调用的Messagebox,以及提示的内容。

根据MessageBox的参数含义,我们知道显示的文本,是来自于 edi,esi 参数,在往上看edi,esi 参数的值来自于 ecx,edx, 而当前函数的ecx,edx的值来自于上层调用。

所以我们需要再转到上层调用处分析。

依据上图代码的分析,此时jne acid burn.42F4F1 是关键跳转,然后看到在跳转之前调用了一个函数,然后再跳转。那么猜测这个是比较输入内容的函数。于是乎,更进该函数查看下实现,在 进入0x004039fc函数后,右键选择流程图,如下展示:

对上图的代码分析,其实就是字符串比较是否相等,关键提示点是 最开始的[esi-4]、[edi-4]表示的是长度。

所以,以上代码应该是 先调用0x004039fc函数比较两个字符串是否相等。相等则不跳转到弹出失败的地方。所以 此时在调用0x004039f函数处下一个断点,再尝试一次,应该就能获得答案了。

当断点断下来时,查看答案为:Hello Dude!。 接下来输入验证下:

至此,这个serial算是获得了。

总结

整个过程可分为3步:

  1. 尝试验证serial,出现弹窗时,选择暂停程序
  2. 观察调用堆栈,以定位调用处
  3. 分析调用处相关逻辑,以获得serial.
相关推荐
CYRUS_STUDIO12 小时前
一文搞懂 Frida Stalker:对抗 OLLVM 的算法还原利器
android·逆向·llvm
CYRUS_STUDIO13 小时前
Frida Stalker Trace 实战:指令级跟踪与寄存器变化监控全解析
android·逆向
CYRUS_STUDIO2 天前
用 Frida 控制 Android 线程:kill 命令、挂起与恢复全解析
android·linux·逆向
CYRUS_STUDIO2 天前
Frida 实战:Android JNI 数组 (jobjectArray) 操作全流程解析
android·逆向
CYRUS_STUDIO3 天前
利用 Linux 信号机制(SIGTRAP)实现 Android 下的反调试
android·安全·逆向
CYRUS_STUDIO3 天前
Android 反调试攻防实战:多重检测手段解析与内核级绕过方案
android·操作系统·逆向
2303_Alpha3 天前
SpringBoot
笔记·学习
萘柰奈3 天前
Unity学习----【进阶】TextMeshPro学习(三)--进阶知识点(TMP基础设置,材质球相关,两个辅助工具类)
学习·unity
沐矢羽3 天前
Tomcat PUT方法任意写文件漏洞学习
学习·tomcat
好奇龙猫3 天前
日语学习-日语知识点小记-进阶-JLPT-N1阶段蓝宝书,共120语法(10):91-100语法+考え方13
学习