OD 实验(十七) - 对一个程序的逆向分析

程序：

运行程序

弹出一个对话框，点击 OK

来到主界面，点击 Help -> Register Now

这是输入注册码的地方

按关闭程序的按钮

会提示剩下 30 天的使用时间

用 Resscope 载入程序

在 Dialog 下找到程序要退出时的那个对话框

在 100 处找到该对话框

103 为 lpTemplateName 对话框模板

逆向：

用 OD 载入程序

右键 -> 查找 -> 所有命令

64 为 100 的十六进制

找到很多 push 0x64 的指令

右键 -> 在每个命令上设置断点

跑一下程序

程序停在该断点处，此时程序还没运行起来，而且那个对话框是在程序被关闭的时候弹出的

按 F9 继续运行

程序运行起来后，直接关闭程序

此时停在该断点处，该处就是要弹出对话框的地方，可以把其它断点都去掉了

这个 call 指令就是显示模态对话框的指令

往上拉一点

这里有个 je 跳转指令，如果执行跳转的话，将跳过那个 call 指令

je 指令上面的 cmp 指令把 eax 和 1 进行比较，如果 eax 等于 1，就能执行跳转

而 eax 的值是 call 指令调用的函数返回的值

在 call 指令下一个断点，跑一下程序

按退出程序的按钮之后，停在了 call 断点处

按 F7 步入

按 F8 往下走

在这里调用了一个 API 函数 RegOpenKeyEx，这个 API 函数用于打开一个注册表的键，注册表键值不区分大小写

该函数如果调用成功，则返回0（ERROR_SUCCESS）。否则，返回值为文件 WINERROR.h 中定义的一个非零的错误代码

按 F8 接着往下走

这条指令把 API 函数 RegQueryValueEx 的地址传给 esi

按 F8 接着往下走

这里有个 call esi，就是调用 RegQueryValueEx 函数

RegQueryValueEx 用于检索一个已打开的注册表句柄中，指定的注册表键的类型和设置值

函数调用成功的话返回 0，如果失败返回错误代码

函数原型：

LONG WINAPI RegQueryValueEx(
    HKEY hKey,            // 一个已打开项的句柄，或者指定一个标准项名
    LPCTSTR lpValueName,  // 要查询注册表键值的名字字符串，注册表键的名字，以空字符结束
    LPDWORD lpReserved,   // 未用，设为零
    LPDWORD lpType,       // 用于装载取回数据类型的一个变量
    LPBYTE lpData,        // 用于装载指定值的一个缓冲区
    LPDWORD lpcbData      // 用于装载lpData缓冲区长度的一个变量，一旦返回，它会设为实际装载到缓冲区的字节数
);

RegQueryValueEx 会把找到的键的值存放到数据缓冲区