分析ReverseMe1
一.运行
打开程序,首先出现了一个Nag,都是废话没有什么用,点击确定,接下来是一个序列号的界面,要求我们输入Regcode。
两个目标:
1.删除消息框
2.寻找Regcode
二.分析
1.去除消息框
用OD打开,看一眼是非常熟悉的Visual Basic代码,猜一下,要调用消息框,要调用MtrcMsgBox函数,直接右键搜索函数
找到调用函数的地方,发现一共有四处调用的地方,给他们下断点
F9运行到第一个断点的地方,往上面再看看就可以看到Nag Screen的字眼,就是显示出来的消息框
那我们要如何修改,才能让他不显示
本来想直接把call指令修改掉,都是栈内就乱了无法传回去
接着往上找找看看这段的首在哪里,找到了函数的开头,直接把他改成retn 0x4直接返回,不执行接下来的内容
2.寻找Regcode
先随便输入一个看看是什么结果,看到是Sorry!、、、、通过这个字符串去寻找函数
这里就看到了一个I’mlena151,push到栈中,接下来调用了vbaStrCmp的函数,字面上就可以看出来这是一个比较的函数
所以这就是我们要寻找的
成功!