标签:动态 net 名称 master eid 入口 load img loading
我们先通过peid查看本文件的基本信息:
vb编写,无壳;
看到vb,我们就知道了,如果使用ida打开的话,不改变函数的名称的话看上去就十分吃力,所以我们使用VB Decompiler来静态查看:
虽然使用了VB Decompiler但是我们发现可读性还是很低,所以我可以打开od,动态结合静态一起查看:
首先看到入口地址:
打上断点后,我们输入name,serial运行到这里:
然后我们就可以根据vb Decompiler结合od一起查看:
1.我们在vb Decompiler上看到一个十分明显的计算过程:
我们根据地址,找到od上面的部分:
框起来的部分也和vbdecompiler上一样。然后我们继续往下看,接下来是三个分开的浮点运行:
)
看完之后,我们就可以判断,serial的生成机制就是:
{[(name的位数)0x15B38+首位数字的ascii码]+2}X3-2+15
然后是注册机的代码:
标签:动态 net 名称 master eid 入口 load img loading
原文地址:https://www.cnblogs.com/lex-shoukaku/p/13234771.html