這個(gè)CM做了很久爆破很容易找到注冊(cè)碼也很容易但是讀懂算法比較難下面來一步一步的進(jìn)行分析第一：爆破首先運(yùn)行程序觀察出現(xiàn)的字符串將程序載入OD查找字符串在程序中找到這個(gè)的位置這樣就可以找到關(guān)鍵的跳轉(zhuǎn)了然后將0040258B7458jeXAfkayas_.004025E5給nop掉第二：找注冊(cè)碼這次是第一次逆向VB寫的代碼然后開始不知道怎么入手查了一下資料VB中一些常見的斷點(diǎn)比較字符串的有bpxmsvbvm50!__vbaStrCmp比較字符串是否相等bpxmsvbvm50!__vbaStrComp比較字符串是否相等bpxmsvbvm50!__vbaVarTstNe比較變量是否不相等bpxmsvbvm50!__vbaVarTstEq比較變量是否相等找到跳轉(zhuǎn)出的那個(gè)位置繼續(xù)向上找我們就會(huì)不小心看到這個(gè)地方00402533.FF1528414000calldwordptrds:[<&MSVBVM50.__vbaStrCm>;MSVBVM50.__vbaStrCmp然后在這里下斷點(diǎn)然后重新載入然后運(yùn)行然后F8觀察堆棧你就可以看到注冊(cè)碼了第三：讀算法讀算法是最難的了找了好久各種跟各種坑不過學(xué)到很多東西下面開始讀算法最開始我想下消息斷點(diǎn)但是失敗了不知道是不是自己姿勢(shì)不對(duì)后來學(xué)會(huì)了一種方法用一個(gè)工具VBEXplorer這個(gè)工具可以找到按鈕的事件的地址然后在OD中找到這個(gè)地址開始往下分析0040241D.8B4DE8movecx,dwordptrss:[ebp-0x18]00402420.69FFFB7C0100imuledi,edi,0x17CFB;字符串的長(zhǎng)度*17CFB00402426.51pushecx;/String00402427.0F8091020000joAfkayas_.004026BE;|0040242D.FF15F8404000calldwordptrds:[<&MSVBVM50.#516>];\rtcAnsiValueBstr00402433.0FBFD0movsxedx,ax;edx=54=T00402436.03FAaddedi,edx我們觀察寄存器中edi的值我們繼續(xù)走的時(shí)候會(huì)發(fā)現(xiàn)當(dāng)我們F8下面一個(gè)Call的時(shí)候注冊(cè)碼就出來了所以這里我們要跟進(jìn)去注意觀察堆棧如果單步步過一個(gè)函數(shù)出現(xiàn)了注冊(cè)碼那我們就要跟進(jìn)去然后我們發(fā)現(xiàn)了這個(gè)我們注意到當(dāng)前執(zhí)行到反匯編信息窗口可以看到eax被賦給的值是我們剛剛的edi里面的值然后下面就是一個(gè)做除法的一個(gè)運(yùn)算75EFE8BA8B4508moveax,dwordptrss:[ebp+0x8]75EFE8BD33D2xoredx,edx75EFE8BF6A0Apush0xA75EFE8C15Bpopebx75EFE8C2F7F3divebx75EFE8C483C230addedx,0x3075EFE8C766:8911movwordptrds:[ecx],dx75EFE8CA41incecx75EFE8CB41incecx75EFE8CC894508movdwordptrss:[ebp+0x8],eax75EFE8CF85C0testeax,eax75EFE8D1^77E7jaXOLEAUT32.75EFE8BA在下面的就是將的到的余數(shù)逆位75EFE8B953pushebx75EFE8BA8B4508moveax,dwordptrss:[ebp+0x8]75EFE8BD33D2xoredx,edx75EFE8BF6A0Apush0xA75EFE8C15Bpopebx75EFE8C2F7F3divebx75EFE8C483C230addedx,0x3075EFE8C766:8911movwordptrds:[ecx],dx75EFE8CA41incecx75EFE8CB41incecx75EFE8CC894508