逆向分析资料汇总

一、工具

1. 壳鉴别工具:PEiD

2. 静态反汇编工具:IDA

3. 动态反汇编工具:OllyDBG

二、学习资料 

1. 入门:《加解密入门基础知识》 http://bbs.pediy.com/showthread.php?t=31840

2.  论坛:看雪论坛 http://www.pediy.com/

3. 书籍:《加密与解密》

三、总体思路

1. 先运行一下,有帮助文档的最好先看一下帮助,熟悉一下软件的使用方法,
2. 再看看注册的方式
 1)如果是序列号方式(用户名+序列号)可以先输个假的来试一下,看看有什么反应,也给我们破解留下一些有用的线索。
 2)如果没有输入注册码的地方,要考虑一下是不是读取注册表或 Key 文件(一般称 keyfile,就是程序读取一个文件中的内容来判断是否注册),这些可以用其它工具来辅助分析。
        如果这些都不是,原程序只是一个功能不全的试用版,那要注册为正式版本就要自己来写代码完善了。
3. 还要用查壳的工具来查一下程序是否加了壳
 1)若没壳的话看看程序是什么编译器编的,如 VC、Delphi、VB 等。
 2)有壳的话我们要尽量脱了壳后再来用 OllyDBG 调试。
4. OD调试

四、常见保护方式

1.  用户名和注册码

2. 注册表

3. 读取key文件

五、切入点

1. 先查看下有没有用的字符串,可用智能搜索或错误提示字符串

2. 查找一下函数,看有没有调用一些破解中常见的api函数,快捷键Ctrl+N打开函数列表,bp  函数名设置断点

3. 内存断点法

4. 消息断点及 RUN 跟踪

5. 补丁或爆破:通过屏蔽程序的某些功能或改变程序流程,使程序的保护方式失效。

六、快捷键

F2:设置断点,再按一次F2键则会删除断点。

F9:运行。按下这个键如果没有设置相应断点的话,被调试的程序将直接开始运行。

F8:单步步过。每按一次这个键执行一条反汇编窗口中的一条指令,遇到 CALL 、LOOP等子程序不进入其代码。

F7:单步步入。功能同单步步过(F8)类似,区别是遇到 CALL、LOOP 等子程序时会进入其中,进入后首先会停留在子程序的第一条指令上。

Ctrl + N:显示函数窗口,包括当前函数用到的一些Win32 API函数。

F4:运行到选定位置。作用就是直接运行到光标所在位置处暂停。

CTR+F9:执行到返回。当位于某个CALL中,这时想反悔到调用这个CALL的地方时用它,即从子函数返回到主函数

ALT+F9:执行到用户代码。可用于从系统领空快速返回到我们调试的程序领空(只对系统领空是DLL的API函数时有效,如果是系统代码中则无法返回)

如何从系统代码段返回到用户代码段?

对代码段下内存断点。按“Alt+M”打开内存窗口,对当前应用程序(Owner字段值为当前应用程序)的.text区块下内存访问断点(按F2或右击选择在访问上设置断点),按F9运行即可返回到程序领空。注意:若返回处正好是消息循环处,需要重复执行上述下内存断点的步骤。

如何快速回到当前领空?(注意,不能实现从系统代码段返回用户代码段)

在OllyDbg中有时查看代码可能翻页到其他地方,如想快速回到当前CPU所在的指令上,可以双击寄存器面板中的EIP或单击C窗口按钮。

ALT + B:打开断点窗口

ALT + M:打开内存窗口

Ctrl + A:分析代码功能用的是递归行进算法


七、常识

1. 一般函数调用后的返回值都保存在 EAX 中

2. 常见的 stdcall 函数调用压栈顺序是从后往前

3.  系统存储的原则为高高低低,即低字节存放在地址较低的字节单元中,高字节存放在地址较高的字节单元中。如下图所示,内存地址 40339CH  40339FH 分别按顺序存放的是 47 41 4D 45

逆向分析资料汇总_第1张图片

        而取地址 40339C 的双字单元中的内容时,我们应该得到的是“454D4147”,即由高字节到低字节顺序的值。所以 MOV EBX,DWORD PTR DS:[ESI] 这条指令,就是把从地址 40339C 开始处的值送到 EBX,即EBX的值为“454D4147”

4. 内存断点只在当前调试的进程中有效即重新载入后失效。且内存断点每一时刻只能有一个,不能设置多个内存断点。

5. LEA ECX,DWORD PTR DS:[ECX+ECX*4]            ; 把前面运算后保存在ECX中的结果乘5再送到ECX

6. 命令行常用命令

 1)?表达式:计算表达式的值;

 2)D(DB, DW, DD)表达式:查看内存数据;如,D 401000 , D esp+ c

 3)bp 表达式 [, 条件式]:设置断点; 如,bp GetDlgItemTextA。

 4)bp与bpx的区别:bp是对API模块函数下断(将直接中断在API函数内部),bpx是对程序模块调用API下断(断在程序领空调用API函数的语句上)。

 5)hr XXXXXXXX 设置硬件访问断点,hw XXXXXXXX 设置硬件写断点。

7. 一般,编译器会将初始化变量放在数据区块(.data区块)中;对于注册码包含在程序中的应用程序,可直接查看.data区获取注册码。

8. 对于先关闭对话框才开始验证序列号的应用程序,要在系统领空里先走一段才能回到应用程序领空。

9. 从字符串中读取格式化数据:int sscanf(const char *s, const char *format, ...);例如,sscanf((szSerial+i*2),"%02X",(szBuffer+i))每两位为一个十六进制数存储到szBuffer中,不够时补0。

10. 确定某行代码在内存何处被解压的方法:
 1) 在该行所在的地址处设内存写断点或硬件写断点。

11. 查看某个函数参数的方法

 1)用该函数设断;

 2)在数据窗口中即可查看该函数的参数。


你可能感兴趣的:(资料,逆向,汇总)