【正文】 磁盤類型參數(shù)送內(nèi)存地址4033EC 地址 0040140F 處的那條指令是調(diào)用 GetDriveTypeA 函數(shù)，一般函數(shù)調(diào)用后的返回值都保存在 EAX 中，所以地址 00401414 處的那一句 MOV BYTE PTR DS:[4033EC],AL 就是傳遞返回值。 |pFileSystemNameBuffer = NULL 0040141D |. 6A 00 PUSH 0 。 如下圖： 系統(tǒng)存儲的原則為 “高高低低 ”，即低字節(jié)存放在地址較低的字節(jié)單元中，高字節(jié)存放在地址較高的字節(jié)單元中。 把crackme 程序所在分區(qū)的卷標(biāo)名稱送到 ESI 00401437 |. 0FB60D EC334000 MOVZX ECX,BYTE PTR DS:[4033EC] 。 現(xiàn)在我們來按一下 ALT+F9 組合鍵，我們來到下面的代碼： 00401431 |. 8D35 9C334000 LEA ESI,DWORD PTR DS:[40339C] 。我們選擇其中的轉(zhuǎn)到 表達式（也可以左鍵點擊數(shù)據(jù)窗口后按 CTR+G 組合 鍵）。 。 比較 0040132F |. 75 42 JNZ SHORT 。 如果輸入的是負數(shù)，則把 1 送到 EDX，即 16 進制 FFFFFFFF 004013EB |. 8A06 MOV AL,BYTE PTR DS:[ESI] 。這個斷點我們不需要，按一下 F2 鍵刪掉它吧。 。另一種方法就是那個 GetWindowTextA 函數(shù)上右擊，在彈出菜單上選擇 “ 查找輸入函數(shù)參考 ” （或者按回車鍵），將會出現(xiàn)下面的對話框： 看上圖，我們可以把兩條都設(shè)上斷點。由此判斷注冊碼應(yīng)該都是數(shù)字，只有輸入正確的注冊碼才有動靜。因為地址 00440F34 處的那個 CALL 我們已經(jīng)分析清楚了，這次就不用再按 F7 鍵跟進去了，直接按 F8 鍵通過。 用 “Registered User”和我們輸入的用戶名作比較 00403B35 |. 0F84 8F000000 JE 。 ASCII Beggar off! 00440F93 |. BA 8C104400 MOV EDX, 。啟動 OllyDBG，選擇菜單 文件 打開 載入 文件，我們會停在這里： 我們在反匯編窗口中右擊，出來一個菜單，我們在 查找 所有參考文本字串 上左鍵點擊： 當(dāng)然 如果用上面那個 超級字串參考＋ 插件會更方便。就寫到這了，改天有空再接著灌。一般情況下我們選第一種方式。我這簡單解釋一下：這個 UDD 目錄的作用是保存你調(diào)試的工作。漢化版的發(fā)布版本是個 RAR 壓縮包，同樣只需解壓到一個目錄下運行 即可： 圖片 1 OllyDBG 中各個窗口的功能如上圖。修改完以后點擊確定，彈出 一個對話框，說我們更改了插件路徑，要重新啟動 OllyDBG。 二、基本調(diào)試方法 OllyDBG 有三種方式來載入程序進行調(diào)試，一種是點擊菜單 文件 打開 （快捷鍵是 F3）來打開一個可執(zhí)行文件進行調(diào)試，另一種是點擊菜單 文件 附加 來附加到一個已運行的進程上進行調(diào)試?？捎糜趶南到y(tǒng)領(lǐng)空快速返回到我們調(diào)試的程序領(lǐng)空。有殼的話我們要盡量脫了殼后再來用 OllyDBG 調(diào)試，特殊情況下也可帶殼調(diào)試。 ASCII Congrats! You cracked this CrackMe! 00440F64 |. A1 442C4400 MOV EAX,DWORD PTR DS:[442C44] 00440F69 |. 8B00 MOV EAX,DWORD PTR DS:[EAX] 00440F6B |. E8 F8C0FFFF CALL 00440F70 |. EB 32 JMP SHORT 00440F72 | 6A 00 PUSH 0 00440F74 |. B9 80104400 MOV ECX, 。 這里跳走就完蛋 當(dāng)我們按 F8 鍵走到 00440F34 |. E8 F32BFCFF CALL 這一句時，我們按一下 F7 鍵，進入這個 CALL，進去后光標(biāo)停在這一句： 我們所看到的那些 PUSH EBX、 PUSH ESI 等都是調(diào)用子程序保存堆棧時用的指令，不用管它，按 F8 鍵一步步過來，我們只關(guān)心關(guān)鍵部分： 00403B2C /$ 53 PUSH EBX 00403B2D |. 56 PUSH ESI 00403B2E |. 57 PUSH EDI 00403B2F |. 89C6 MOV ESI,EAX 。 比較 00403B5B |. 75 58 JNZ SHORT 。仍然選擇 鏡像打包中的一個名稱為 CrackHead 的 crackme?，F(xiàn)在回到我們調(diào)試的程序上來，我們現(xiàn)在就是要找一下我們調(diào)試的程序有沒有調(diào)用 GetDlgItemTextA 或 GetWindowTextA 函數(shù)。 Text = Now write a keygen and tut and you39。 0040148C $ FF25 24204000 JMP DWORD PTR DS:[amp。 指針加 1，指向下一個字符 004013E2 |. 3C 2D CMP AL,2D ?？吹竭@條和下一條指令，我們要考慮一下這個 ESI 的值是哪里運算得出的呢？ 00401405 |. 81F6 53757A79 XOR ESI,797A7553 。今天我們的任務(wù)就是使用 OllyDBG 的內(nèi)存斷點功能找到這個地方，搞清楚這個值是如何算出來的。更多關(guān)于斷點的知識大家可以參考 論壇精華 7基礎(chǔ)知識 斷點技巧 斷點原理 這篇 Lenus 兄弟寫的《如何對抗硬件斷點之一 調(diào)試寄存器》文章，也可以看這個帖： 根據(jù)當(dāng)前我們調(diào)試的具體程序的情況，我們選用內(nèi)存寫入斷點。我們看一下領(lǐng)空，原來是在 內(nèi)。 |RootPathName = NULL 0040142C |. E8 A3000000 CALL JMP.amp。為什么會這樣呢？如果大家對 x86 系列 CPU 的存儲方式了解的話，這里就容易理解了。這里只要大家注意函數(shù)參數(shù)傳遞的次序，即調(diào)用約定。為什么這樣寫？大家把前一句和這一句合起來看一下： 0040140F |. E8 B4000000 CALL JMP.amp。如果我的分區(qū)沒有卷標(biāo)的話，則卷標(biāo)值為 0，最后的注冊碼就是 797A7553H，即十進制 2038068563。 |pVolumeSerialNumber = NULL 00401423 |. 6A 0B PUSH 0B 。注意這里是 DWORD，即 “雙字 ”，由 4 個連續(xù)的字節(jié)構(gòu)成。 磁盤類型參數(shù)送 EAX 00401442 |. 8B1E MOV EBX,DWORD PTR DS:[ESI] 。 。內(nèi)存斷點的特性就是不管你選幾個字節(jié)， OllyDBG 都會分配 4096 字節(jié)的內(nèi)存區(qū)。 比較 0040132F |. 75 42 JNZ SHORT 。我們來看一下信息窗口： ESI=E6B5F2F9 EAX=FF439EBE 左鍵選擇信息窗口 中的 ESI=E6B5F2F9，再按右鍵，在彈出菜單上選 “ 修改寄存器 ” ，我們會看到這樣一個窗口： 可能你的顯示跟我不一樣，因為這個 crackme 中已經(jīng)說了每個機器的序列號不一樣。 每位字符減 16 進制的 30，因為這里都是數(shù)字，如 1 的 ASCII 碼是 “31H”，減 30H 后為 1，即我們平時看到的數(shù)值 004013F2 |. 8D0C89 LEA ECX,DWORD PTR DS:[ECX+ECX*4] 。 關(guān)鍵，要按 F7 鍵跟進去 0040132D |. 3BC6 CMP EAX,ESI 。s Crack Head”，對話框顯示的內(nèi)容是 “Now write a keygen and tut and you39。斷點設(shè)好后我們轉(zhuǎn)到我們調(diào)試的程序上來，現(xiàn)在我們在被我們調(diào)試的程序上點擊那個 “Check It”按鈕，被 OllyDBG 斷下： 00401323 |. E8 4C010000 CALL JMP.amp。先不要點那個 “Check It” 按鈕，保留上圖的 狀態(tài)。 ASCII GFX754IER954 00440F51 |. E8 D62BFCFF CALL 。 用戶名為空則跳 00403B3F |. 85FF TEST EDI,EDI 00403B41 |. 74 6B JE SHORT 00403B43 |. 8B46 FC MOV EAX,DWORD PTR DS:[ESI4] 。如果你在 調(diào)試選項CPU 標(biāo)簽中把 “顯示跳轉(zhuǎn)路徑 ”及其下面的兩個 “如跳轉(zhuǎn)未實現(xiàn)則顯示灰色路徑 ”、 “顯示跳轉(zhuǎn)到選定命令的路徑 ”都選上的話，就會看到是從什么地方跳到出錯字串處的： 我們在上圖中地址 00440F2C 處按 F2 鍵設(shè)個斷點，現(xiàn)在我們按 F9 鍵，程序已運行起來了。 ASCII Wrong Serial,try again! 00440F7E |. A1 442C4400 MOV EAX,DWORD PTR DS:[442C44] 00440F83 |. 8B00 MOV EAX,DWORD PTR DS:[EAX] 00440F85 |. E8 DEC0FFFF CALL 00440F8A |. EB 18 JMP SHORT 00440F8C | 6A 00 PUSH 0 00440F8E |. B9 80104400 MOV ECX, 。原版加了個 UPX 的殼。每按一次這個鍵執(zhí)行一條反匯編窗口中的 一條指令，遇到 CALL 等子程序不進入其代碼。 另外一個重要的選項就是調(diào)試選項，可通過菜單 選項 調(diào)試設(shè)置 來配置： 新手一般不需更改這里的選項，默認已配置好，可以直接使用。 寄存器窗口： 顯示當(dāng)前所選線程的 CPU 寄存器內(nèi)容。 啟動后我們要把插件及 UDD 的目錄配置為絕對路徑，點擊菜單上的 選項 界面，將會出來一個界面選項的對話框 ，我們點擊其中的目錄標(biāo)簽：因為我這里是把 OllyDBG 解壓在 F:\OllyDBG 目錄下，所以相應(yīng)的 UDD 目錄及插件目錄按圖上配置。要注意的是 OllyDBG 對插件的個數(shù)有限制，最多不能超過 32 個，否則會出錯。（相當(dāng)于 SoftICE 中的 F5） CTR+F9：執(zhí)行到返回。有點跑題了，呵呵。 關(guān)鍵，要用 F7 跟進去 00440F56 |. 75 1A JNZ SHORT 。 把我們輸入的內(nèi)容送到 EAX，我這里是“CCDebuger” 00440F2F |. BA 14104400 MOV EDX, 。 上 面的指令及這條指令就是判斷用戶名長度最少不能低于 4 00403B55 | 8B0E MOV ECX,DWORD PTR DS:[ESI] 。還是先禁用一下，如果經(jīng)過實際驗證證明我們的分析是正確的，再刪不遲。而 NT 系統(tǒng)則從底層支持 UNICODE，它可以在操作系統(tǒng)內(nèi)對字串進行轉(zhuǎn)換，同時支持 ASCII 和 UNICODE 版本函數(shù)的調(diào)用。 Style = MB_OK|MB_APPLMODAL 00401361 |. 68 0F304000 PUSH 。] 。 ECX 清零 004013DD |. 33D2 XOR EDX,