双色球 脱壳加去效验

【破文标题】双色球 脱壳加去效验 BY lvcaolhx
【破文作者】lvcaolhx
【作者邮箱】 [email]hafiwu@sohu.com[/email]
【作者主页】lvcaolhx.blog.51cto.com
【破解工具】OD/PEID
【破解平台】XPsp2
【软件名称】双色球
【软件大小】
【原版下载】自己到网上搜索
【保护方式】
【软件简介】
【破解声明】菜鸟破解，无技术可言!
------------------------------------------------------------------------
破解过程】一、查壳，为ASProtect 2.1x SKE -> Alexey Solodovnikov，
用ＯＤ载入，运行Asprotect.V2.X.UnpacKer.V1.0E.By.Volx.oSc脚本脱壳，
查看脚本窗口，发现修复所用的相关数据：
OEP 的相对地址 = 00003938，
IAT 的相对地址 = 00001000  
IAT 的大小 =000000394  ，
Import Fix 1.6载入，输入上面数据进行修复
运行后提示：文件数据损坏！有自效验

二、去自效验。ＯＤ载入修复后的文件，下bp rtcFileLen断点，运行，Ｆ８后返回到：
004C93CB   .  FF15 D4B25300 call    dword ptr ds:[<&msvbvm60.rtcFile>;  msvbvm60.rtcFileLen
上面的ＣＡＬＬ取得文件大小存入ＥＡＸ中。
004C93D1      3D F4600A00   cmp     eax, 0A60F4 //              
004C93D6   .  7E 36         jle     short SSQXHDS.004C940E　//0A60F4改为13C000
此处改为jmp  short SSQXHDS.004C9439,在我的电脑上不能去自效验，看其他学员的破文好像能行不知怎么回事?
004C93D8   .  BE E7030000   mov     esi, 3E7
004C93DD   .  BA 01000000   mov     edx, 1
004C93E2   .  33C9          xor     ecx, ecx
004C93E4   >  3BCE          cmp     ecx, esi
004C93E6   .  7F 24         jg      short SSQXHDS.004C940C
004C93E8   .  8BF8          mov     edi, eax
004C93EA   .  0FAFF8        imul    edi, eax
004C93ED   .  0F80 9B000000 jo      SSQXHDS.004C948E　　　　
004C93F3   .  0FAFF8        imul    edi, eax
004C93F6   .  0F80 92000000 jo      SSQXHDS.004C948E　　　　
004C93FC   .  8BC7          mov     eax, edi
004C93FE   .  8BFA          mov     edi, edx
004C9400   .  03F9          add     edi, ecx
004C9402   .  0F80 86000000 jo      SSQXHDS.004C948E　　　　
004C9408   .  8BCF          mov     ecx, edi
004C940A   .^ EB D8         jmp     short SSQXHDS.004C93E4
004C940C   >- EB FE         jmp     short SSQXHDS.004C940C
004C940E   >  83E8 01       sub     eax, 1
004C9411      B9 F4600A00   mov     ecx, 0A60F4 //0A60F4改为13C000              
004C9416   .  70 76         jo      short SSQXHDS.004C948E
004C9418   .  2BC8          sub     ecx, eax
004C941A   .  70 72         jo      short SSQXHDS.004C948E
004C941C   .  894D 98       mov     dword ptr ss:[ebp-68], ecx
004C941F   .  DB45 98       fild    dword ptr ss:[ebp-68]
004C9422   .  DD5D 90       fstp    qword ptr ss:[ebp-70]
004C9425   .  8B55 94       mov     edx, dword ptr ss:[ebp-6C]
04C9428   .  8B45 90       mov     eax, dword ptr ss:[ebp-70]
004C942B   .  52            push    edx
004C942C   .  50            push    eax
004C942D   .  FF15 30104000 call    dword ptr [<&msvbvm60.rtcLog>]   ;  msvbvm60.rtcLog     这里会跳出自校验提示窗口
004C9433   .  FF15 28134000 call    dword ptr [<&msvbvm60.__vbaFpI4>>;  msvbvm60.__vbaFpI4 
这里会跳出自校验提示窗口  
004C9439   .  8945 E0       mov     dword ptr [ebp-20], eax

把0A60F4改为13C000,即脱壳后文件的大小,即可去自效验


------------------------------------------------------------------------
【版权声明】本破文纯属技术交流, 转载请注明作者并保持文章的完整, 谢谢! 版权归PYG所有

本文转自 lvcaolhx 51CTO博客，原文链接:http://blog.51cto.com/lvcaolhx/48580