OllyDbg 使用笔记 （十五）

参考

书：《加密与解密》

视频：小甲鱼 解密系列 视频

示例程序下载地址：http://pan.baidu.com/s/1i3rCVmH

exescope下载地址：http://pan.baidu.com/s/1eQqxha6

通过对话框的hinstance 破解

win32中对话框分模态对话框与非模态对话框，

模态对话框用

int DialogBoxParam（HINSTANCE hInstance，LPCTSTR IpTemplateName,HWND hWndParent， DLGPROC IPDialogFunc,LPARAM dwlnitParam）；来创建。

非模态对话框用

HWND CreateDialogParam(HINSTANCE hlnstancem,LPCTSTR IpTemplateName，HWND hWndParent，DLGPROCIpDialogFunc, LPARAM dwlniParam）；来创建

我们可以通过搜索创建对话框函数要传入的hInstance参数来破解，即搜索 push hInstance。

此程序，运行结束后会差生nag窗口，既然nag窗口是对话框肯定有他的hinstance，通过exescope查看nag窗口的hinstance

图片1：

nag窗口

图片2

exescope查找到nag窗口的hinstance

可以知道nag窗口的hinstance是103（10进制），16进制就是0x67

用OD加载程序，右键-->查找-->所有命令 搜索push 0x67，

可以搜索到一处push 0x67，可以发现此处的代码正是调用nag窗口的代码

图片2

但是观察前后代码没有发现 有关跳转的代码。我们需要查看调用此处的代码。

查找调用此处的代码的方法有多种

方法一：

因为call xxx 肯定会保存当前的代码的地址，所以，只需运行到断点处，观察堆栈窗口即可。

按F9运行，再关闭程序的窗口，即可到此处。

查看堆栈窗口：

图片3

可以发现绿色框框中即是

绿色方框内即是 调用此处代码的call的后一个命令的地址。

选中它，选中 右键-->反汇编窗口中跟随，即可来到调用此处代码的call。

方法二：

观察push 0x67 前面的代码，找到这个函数函数头（关键找nop 和 push ebp）

图片4

选中函开始的代码 push ebp，右键--> 查找参考-->选中命令，即可看到调用这个函数的call。

找到的call

图片5

观察前后代码，可以发现 jnz     short 004023F6 很关键，它可以跳过  call    00401220。在看看jnz     short 004023F6前面的代码

call    00403E18也非常大关键，00403E18函数有能就是判断是否注册的代码，进入00403E18，查看代码

图片6

把mov     eax, dword ptr [ebp-4]  跟 mov     eax, dword ptr [eax+2C] 改成mov eax,1 ,保存到程序。重新运行改后的程序，可以发现已经被破解。