《第2期-15 DLL与补丁》学习笔记

一、按照以前的方法来尝试破解
1、首先不用OD，直接运行程序，输入假码，提示假码长度是32位。再输入32位的假码，出错提示变为了：

出错提示

这个出错提示给了我们两个思路：

• 对MessageBox下断点

• 搜索字符串“SN产生异常”
  2、载入OD运行，对MessageBox下断点，输入32位假码，发现根本没有断下来，证明这个方法是行不通的。
  再试着搜索字符串“SN产生异常”，发现根本搜索不到
  3、这时，我们就陷入了死路。开始思索为什么前面两个方法都不对呢？
  这就是新的知识点来了：登录验证的操作并没有放在程序的exe中，而是放在了DLL中了。
  我们在OD中按Alt+e，发现了这个：

  
  
  加载的模块
  
  

  看到了一个DLL的名字很眼熟：Login。我们猜测登录验证的操作就在它里面。
  二、破解Login.dll
  总的来说，破解DLL和以前破解exe差不多，只是我们需要切换到DLL里面去。
  1、Alt+E，双击Login，这样就来到了DLL代码
  2、再次搜索字符串“SN产生异常”，很快就找到了

  
  
  搜索字符串的结果
  
  3、双击过去，看看代码什么样
  
  代码
  
  我们在上面的 475AC6D处找到了一个jnz，它就是关键跳了，想着把它改为jmp。可是跟踪一下程序执行流程，就发现会执行到475AC7B，，而马上下面又有一个“SN error”。这么直接把jnz改为jmp就行不通了。仔细看的话，在475AC79处有一个jmp，它能够跳过“SN error”错误。
  这就是这个程序的奇特之处了，jnz里面包着一个jmp，如果强行把jnz改为了jmp，就会再跳到一个出错提示。
  
  图示
  
  那么，475AC6D处的jnz就不能作为关键跳了，往上找有没有跳转把这两个出错提示跳过。其实肯定有的，根据我们上面的分析，就这段代码来看，无论怎么执行，都会出来出错提示；而要是输入正确的注册码，必然没有出错提示，那就肯定有一处跳转跳过了这里。
  往上一看就看到了一处跳转
  
  关键跳
  
  

  在475AC60处的jnz跳过了出错提示（红色框里面的）。所以这个jnz才是关键跳，那么上面那个call就是关键call。
  把这个jnz改为jmp就解决了“SN产生异常”。但是我们再次输入假码再次出现“SN产生异常”，这说明还有一处需要修改。
  将这两处都修改完了，也就真正地解决了“SN产生异常”的问题了。
  ** 这是我从这个程序中学得最深刻的地方。 **
  4、输入假码可是又出现了新的问题：

  
  
  再次出错
  
  处理方法和第3步中的一样，也是两处，也是修改关键跳。
  5、输入假码后还是出现：
  
  第3次出错
  
  照着第3步中的方法操作，结果是：
  
  第4次出错
  
  这次提示里面没有任何内容了，怎么处理呢？这个是我感觉最难的地方，没有字符串了，无法查找，怎么跳过呢？
  6、虽然提示里面没内容，可是这对话框中有两个字“提示”，搜索一下，果然找到了，就在第5步代码段的下面。
  
  搜索“提示”
  
  那么想办法跳过提示所在的代码片段不就行了。把上面的jnz改为jmp。
  7、还是出错
  
  第5次出错
  
  搜索字符串，找到了代码片段
  
  代码片段
  
  但这个和第3步中的不一样，在紧接着的上面没有合适的跳转，那就再往上面找。
  在往上翻找的过程中，找到了一个注册成功的代码片段
  
  注册成功
  
  很显然是跳过了。要想不跳过这注册成功的代码，就要把jnz给nop掉。
  8、再次用假码试验一遍，还是提示”SN验证失败“，说明上面还有跳转跳过了注册成功的代码片段。那就继续往上找，竟然有4处，全部nop掉。
  9、注册成功，进入了程序主界面。
  
  注册成功
  
  10、## 总结一下
  这个程序给我最大的感受是对于关键跳的寻找和更改。找的时候，看见一个跳转不行，立即往上面找。更改的时候，想让它跳就改为jmp；不想让它跳就nop掉。

三、打补丁
由于这个软件是加壳的，直接从OD中保存修改是不行的，得打补丁。方法就是写一个小程序，在软件运行后，让这个程序对软件的内存进行修改；再输入假码就行了。
四、杂项
1、在OD中看对于程序进行了哪些修改，可以按Ctrl+p调出”补丁窗口“

补丁窗口

2、在第3步中，我们只是修改475AC6D处的jnz为jmp是不行的，那么我想：是否可以把475AC6D的jnz 475AC78直接改为jmp+别的地址，使得跳过这两个出错提示，但是这个地址选择哪里是个问题，我选择的是一个出错代码的下一句

修改

但是很可惜，程序直接什么都不提示了。看了修改跳转的时候，最好不要修改跳转的地址，因为很难判断到底跳到哪里合适。