Ultra Text2PDF 简单分析

Nisy

HomePage:http://www.caisdata.com/index.htm

15天的试用限制，压缩壳，启动时有一个注册的提示。

看一下About部分，弹出



搜索UNICODE码： Unregistered

0048050F    55              PUSH EBP
00480510    8BEC            MOV EBP,ESP
00480512    51              PUSH ECX
00480513    894D FC         MOV DWORD PTR SS:[EBP-4],ECX
00480516    68 A0447200     PUSH dumped_.007244A0                    ; Unregistered
0048051B    68 2A040000     PUSH 42A
00480520    8B4D FC         MOV ECX,DWORD PTR SS:[EBP-4]
00480523    E8 0A971900     CALL dumped_.00619C32
00480528    8BC8            MOV ECX,EAX
0048052A    E8 8B981900     CALL dumped_.00619DBA
0048052F    8BE5            MOV ESP,EBP
00480531    5D              POP EBP
00480532    C3              RETN

004803B8    E8 C138FEFF     CALL dumped_.00463C7E                    ; 这个CALL一定有问题的
004803BD    85C0            TEST EAX,EAX
004803BF    74 0E           JE SHORT dumped_.004803CF
004803C1    8B45 FC         MOV EAX,DWORD PTR SS:[EBP-4]
004803C4    50              PUSH EAX
004803C5    8B4D F4         MOV ECX,DWORD PTR SS:[EBP-C]
004803C8    E8 13000000     CALL dumped_.004803E0
004803CD    EB 08           JMP SHORT dumped_.004803D7
004803CF    8B4D F4         MOV ECX,DWORD PTR SS:[EBP-C]
004803D2    E8 38010000     CALL dumped_.0048050F                    ; 这条路线走未注册
004803D7    B8 01000000     MOV EAX,1
004803DC    8BE5            MOV ESP,EBP
004803DE    5D              POP EBP
004803DF    C3              RETN

修改一下撒：

00463C7E    55              PUSH EBP                                 ; MOV EAX,1 // RETN
00463C7F    8BEC            MOV EBP,ESP
00463C81    51              PUSH ECX
00463C82    894D FC         MOV DWORD PTR SS:[EBP-4],ECX
00463C85    8B4D FC         MOV ECX,DWORD PTR SS:[EBP-4]
00463C88    E8 14FAFFFF     CALL dumped_.004636A1
00463C8D    85C0            TEST EAX,EAX
00463C8F    74 04           JE SHORT dumped_.00463C95
00463C91    33C0            XOR EAX,EAX
00463C93    EB 45           JMP SHORT dumped_.00463CDA
00463C95    8B4D FC         MOV ECX,DWORD PTR SS:[EBP-4]
00463C98    E8 15010000     CALL dumped_.00463DB2
00463C9D    85C0            TEST EAX,EAX
00463C9F    75 04           JNZ SHORT dumped_.00463CA5
00463CA1    33C0            XOR EAX,EAX
00463CA3    EB 35           JMP SHORT dumped_.00463CDA
00463CA5    8B4D FC         MOV ECX,DWORD PTR SS:[EBP-4]
00463CA8    E8 4B010000     CALL dumped_.00463DF8
00463CAD    85C0            TEST EAX,EAX
00463CAF    74 04           JE SHORT dumped_.00463CB5
00463CB1    33C0            XOR EAX,EAX
00463CB3    EB 25           JMP SHORT dumped_.00463CDA
00463CB5    8B4D FC         MOV ECX,DWORD PTR SS:[EBP-4]
00463CB8    E8 79000000     CALL dumped_.00463D36
00463CBD    85C0            TEST EAX,EAX
00463CBF    75 04           JNZ SHORT dumped_.00463CC5
00463CC1    33C0            XOR EAX,EAX
00463CC3    EB 15           JMP SHORT dumped_.00463CDA
00463CC5    8B4D FC         MOV ECX,DWORD PTR SS:[EBP-4]
00463CC8    E8 9F010000     CALL dumped_.00463E6C
00463CCD    85C0            TEST EAX,EAX
00463CCF    74 07           JE SHORT dumped_.00463CD8
00463CD1    B8 01000000     MOV EAX,1
00463CD6    EB 02           JMP SHORT dumped_.00463CDA
00463CD8    33C0            XOR EAX,EAX
00463CDA    8BE5            MOV ESP,EBP
00463CDC    5D              POP EBP
00463CDD    C3              RETN





大家找分析软件的话，可以从这里来找 ：http://download.cnet.com/windows/

然后选择左上角的 New Realeases  这里有软件的最新正式版本

兔小样

/:012 楼主强迫叫看的，不敢不看啊！/:002

Nisy

PS: 注册部分复杂的话 我们就绕过注册 直接通过某些特征来 定位算法CALL或者全局变量

来从侧面突破 实现爆破 现在太多的东西都涉及网验 所以爆破还是很必要的

MeowCat

原帖由 兔小样 于 2010-4-18 23:00 发表
/:012 楼主强迫叫看的，不敢不看啊！/:002

顶二楼~~   观看学习 /:002

oep
005F6F2E    55              PUSH EBP                                 ; (Initial CPU selection)

抄袭一下 /:017

00463C7E    B0 01           MOV AL,1
00463C80    C3              RETN

[ 本帖最后由 MeowCat 于 2010-4-19 14:23 编辑 ]

老万

学习一下，谢谢

boy

原帖由 兔小样 于 2010-4-18 23:00 发表
/:012 楼主强迫叫看的，不敢不看啊！/:002

我是来看小兔子的

consult1026913

简单，实用，一招致敌，顶。

Alar30

支持Nisy的分析文章