一、工具
1. 壳鉴别工具:PEiD
2. 静态反汇编工具:IDA
3. 动态反汇编工具:OllyDBG
二、学习资料
1. 入门:《加解密入门基础知识》 http://bbs.pediy.com/showthread.php?t=31840
2. 论坛:看雪论坛 http://www.pediy.com/
3. 书籍:《加密与解密》
三、总体思路
1. 先运行一下,有帮助文档的最好先看一下帮助,熟悉一下软件的使用方法,
2. 再看看注册的方式
1)如果是序列号方式(用户名+序列号)可以先输个假的来试一下,看看有什么反应,也给我们破解留下一些有用的线索。
2)如果没有输入注册码的地方,要考虑一下是不是读取注册表或 Key 文件(一般称 keyfile,就是程序读取一个文件中的内容来判断是否注册),这些可以用其它工具来辅助分析。
如果这些都不是,原程序只是一个功能不全的试用版,那要注册为正式版本就要自己来写代码完善了。
3. 还要用查壳的工具来查一下程序是否加了壳
1)若没壳的话看看程序是什么编译器编的,如 VC、Delphi、VB 等。
2)有壳的话我们要尽量脱了壳后再来用 OllyDBG 调试。
4. OD调试
四、常见保护方式
1. 用户名和注册码
2. 注册表
3. 读取key文件
五、切入点
1. 先查看下有没有用的字符串,可用智能搜索或错误提示字符串
2. 查找一下函数,看有没有调用一些破解中常见的api函数,快捷键Ctrl+N打开函数列表,bp 函数名设置断点。
3. 内存断点法
4. 消息断点及 RUN 跟踪
5. 补丁或爆破:通过屏蔽程序的某些功能或改变程序流程,使程序的保护方式失效。
六、快捷键
F2:设置断点,再按一次F2键则会删除断点。
F9:运行。按下这个键如果没有设置相应断点的话,被调试的程序将直接开始运行。
F8:单步步过。每按一次这个键执行一条反汇编窗口中的一条指令,遇到 CALL 、LOOP等子程序不进入其代码。
F7:单步步入。功能同单步步过(F8)类似,区别是遇到 CALL、LOOP 等子程序时会进入其中,进入后首先会停留在子程序的第一条指令上。
Ctrl + N:显示函数窗口,包括当前函数用到的一些Win32 API函数。
F4:运行到选定位置。作用就是直接运行到光标所在位置处暂停。
CTR+F9:执行到返回。当位于某个CALL中,这时想反悔到调用这个CALL的地方时用它,即从子函数返回到主函数。
ALT+F9:执行到用户代码。可用于从系统领空快速返回到我们调试的程序领空(只对系统领空是DLL的API函数时有效,如果是系统代码中则无法返回)。
如何从系统代码段返回到用户代码段?
对代码段下内存断点。按“Alt+M”打开内存窗口,对当前应用程序(Owner字段值为当前应用程序)的.text区块下内存访问断点(按F2或右击选择在访问上设置断点),按F9运行即可返回到程序领空。注意:若返回处正好是消息循环处,需要重复执行上述下内存断点的步骤。
如何快速回到当前领空?(注意,不能实现从系统代码段返回用户代码段)
在OllyDbg中有时查看代码可能翻页到其他地方,如想快速回到当前CPU所在的指令上,可以双击寄存器面板中的EIP或单击C窗口按钮。
ALT + B:打开断点窗口
ALT + M:打开内存窗口
Ctrl + A:分析代码功能用的是递归行进算法
七、常识
1. 一般函数调用后的返回值都保存在 EAX 中
2. 常见的 stdcall 函数调用压栈顺序是从后往前
3. 系统存储的原则为“高高低低”,即低字节存放在地址较低的字节单元中,高字节存放在地址较高的字节单元中。如下图所示,内存地址 40339CH 到 40339FH 分别按顺序存放的是 47 41 4D 45
而取地址 40339C 的双字单元中的内容时,我们应该得到的是“454D4147”,即由高字节到低字节顺序的值。所以 MOV EBX,DWORD PTR DS:[ESI] 这条指令,就是把从地址 40339C 开始处的值送到 EBX,即EBX的值为“454D4147”。
4. 内存断点只在当前调试的进程中有效即重新载入后失效。且内存断点每一时刻只能有一个,不能设置多个内存断点。
5. LEA ECX,DWORD PTR DS:[ECX+ECX*4] ; 把前面运算后保存在ECX中的结果乘5再送到ECX
6. 命令行常用命令
1)?表达式:计算表达式的值;
2)D(DB, DW, DD)表达式:查看内存数据;如,D 401000 , D esp+ c
3)bp 表达式 [, 条件式]:设置断点; 如,bp GetDlgItemTextA。
4)bp与bpx的区别:bp是对API模块函数下断(将直接中断在API函数内部),bpx是对程序模块调用API下断(断在程序领空调用API函数的语句上)。
5)hr XXXXXXXX 设置硬件访问断点,hw XXXXXXXX 设置硬件写断点。
7. 一般,编译器会将初始化变量放在数据区块(.data区块)中;对于注册码包含在程序中的应用程序,可直接查看.data区获取注册码。
8. 对于先关闭对话框才开始验证序列号的应用程序,要在系统领空里先走一段才能回到应用程序领空。
9. 从字符串中读取格式化数据:int sscanf(const char *s, const char *format, ...);例如,sscanf((szSerial+i*2),"%02X",(szBuffer+i))每两位为一个十六进制数存储到szBuffer中,不够时补0。
10. 确定某行代码在内存何处被解压的方法:
1) 在该行所在的地址处设内存写断点或硬件写断点。
11. 查看某个函数参数的方法
1)用该函数设断;
2)在数据窗口中即可查看该函数的参数。