步骤:
1.首先应该看看这个外挂,安装好后打开外挂,需要注册,怎么办呢???随便输入几个数字吧!!!就来输入777777777777777777(个人习惯),点注册后说无效的注册码,早在预料之内,无所谓啊.就是要看他出现什么提示.
2.抓住他的提示哦,我们现在用W32Dams来把外挂进行反汇编,然后点参考,然后点串式数据参考,在里面找到刚才的提示.双击然后点取消对话匡.好了!就到了这里:
00407125 . 52 PUSH EDX ********再此处下断点*******
00407126 . FF15 406C4100 CALL DWORD PTR DS:[416C40]*******关键的比较语句******
0040712C . 85C0 TEST EAX,EAX
0040712E . 75 5C JNZ SHORT CRONOUS_.0040718C
00407130 . 6A 10 PUSH 10 MB_OK|MB_ICONHAND|MB_A LMODAL
00407132 . 68 EC614100 PUSH CRONOUS_.004161EC
00407137 . 68 DC614100 PUSH CRONOUS_.004161DC ******我们来到这里******* 0040713C . 50 PUSH EAX
我们来到这里,现在我往上看,看看上面有没有关键的语句 :
上面00407126的call就是,这个就是关键call.通过这个call执行下面的比较和0040712e 处的跳转,而0040712ejne SHORT CRONOUS_.0040718C 就是跳转到失败的地方,所以我们要进到00407126的call里面看看,看他个究竟.
3.运行TRW后CtrlN,让它最小话,再打开外挂,再里面输入777777777777777777,注意!不要按注册啊!~~~~这个时候再按CrtlN呼出TRW2000,下命令 x hmemcpy 回车,再下命令 g 回车! 好了!现在可以按确定了!这时候TRW2000拦截住了外挂程序,当然,现在不是在外挂的领空,我们要到外挂的领空.连续按F12 60次(郁闷吧)!!!!就来到它的领空了!不要按多了啊!按多一次就要出现注册失败了!
4.现在我们要分析程序了!准备好啊!眼睛不要花了啊!看着点!不要分心啊(是不是觉的我很废话…………)
还记得刚才的哪个call附近的地址吗？什么！！！！？？没有记下！我晕！那就重来1--3步吧！记下哪些地址啊！记下的同志们可以继续了！我们用命令g 00407125 回车，来到刚才哪个call的上面一行了吧！！好了！注意！我们现在要按一次F10,一次啊！一次哦！就一次哦~~~~~~哈哈！是不是到了哪个call那行了啊？？？到了就好！我们再按一次F8进入到这个call中间！！！！
我们来到这里：
10001F10现在我们注意打起百分之二百的精神注意啊！尤其要注意关键的比较语句附近，我们用F10单步往下走，一直走到10001fac jl10001f8d这个地址，这个地址又把我们送回到 10001f8d，我们继续用f10，这时候你会发现就在这个地方做循环，当每次走到10001fa9的时候，用d ecx看下，是不是每次都加一啊！哈哈！这也许是他内部的运算，不管，当它为循环到第6次的时候就不再执行10001fac的跳转，而继续走，到了10001fb7的时候又返回到1000018b ，这个循环好象做5次，记不太清楚了！^0^
不管,让他做完后继续走就好了,还是用f10走啊!不要错了!
10001F8B 33C9 XOR ECX,ECX ***0001fb7送我们来这里*******
10001F8D 8BC7 MOV EAX,EDI ******把我们送到这里了****
10001F8F 99 CDQ
10001F90 F7FB IDIV EBX
10001F92 8A8414 98000000 MOV AL,BYTE PTR SS:[ESP+EDX+98]
10001F99 8DB414 98000000 LEA ESI,DWORD PTR SS:[ESP+EDX+98]
10001FA0 8A1429 MOV DL,BYTE PTR DS:[ECX+EBP]
10001FA3 32C2 XOR AL,DL
10001FA5 47 INC EDI
10001FA6 41 INC ECX
10001FA7 8806 MOV BYTE PTR DS:[ESI],AL
10001FA9 83F9 06 CMP ECX,6 *******用d ecx 看看*********
10001FAC ^ 7C DF JL SHORT YLINFOSN.10001F8D *******到这个地方送我们上去******
10001FAE 83C5 06 ADD EBP,6
10001FB1 81FD 5C900010 CMP EBP,YLINFOSN.1000905C
10001FB7 ^ 7C D2 JL SHORT YLINFOSN.10001F8B ******又送我们到1000018b*****
10001FB9 8D049D 00000000 LEA EAX,DWORD PTR DS:[EBX*4]
后面还有跳转和循环的,都可以不用管,我们只要注意到一个地址,那就是10002090,
10001FC0 50 PUSH EAX
10001FC1 E8 D9050000 CALL YLINFOSN.1000259F
10001FC6 83C4 04 ADD ESP,4
10001FC9 33F6 XOR ESI,ESI
10001FCB 85DB TEST EBX,EBX
10001FCD 8BE8 MOV EBP,EAX
10001FCF 7E 3E JLE SHORT YLINFOSN.1000200F
10001FD1 8BFB MOV EDI,EBX
10001FD3 81E7 01000080 AND EDI,80000001
10001FD9 79 05 JNS SHORT YLINFOSN.10001FE0
10001FDB 4F DEC EDI
10001FDC 83CF FE OR EDI,FFFFFFFE
10001FDF 47 INC EDI
10001FE0 33C9 XOR ECX,ECX
10001FE2 8BC1 MOV EAX,ECX
10001FE4 99 CDQ
10001FE5 F7FB IDIV EBX
10001FE7 33C0 XOR EAX,EAX
10001FE9 8D1452 LEA EDX,DWORD PTR DS:[EDX+EDX*2]
10001FEC 8A8457 38900010 MOV AL,BYTE PTR DS:[EDI+EDX*2+10009038]
10001FF3 33D2 XOR EDX,EDX
10001FF5 8A940C 98000000 MOV DL,BYTE PTR SS:[ESP+ECX+98]
10001FFC 03C2 ADD EAX,EDX
10001FFE 46 INC ESI
10001FFF 89448D 00 MOV DWORD PTR SS:[EBP+ECX*4],EAX
10002003 8BCE MOV ECX,ESI
10002005 81E1 FFFF0000 AND ECX,0FFFF
1000200B 3BCB CMP ECX,EBX
1000200D ^ 7C D3 JL SHORT YLINFOSN.10001FE2
1000200F 33C0 XOR EAX,EAX
10002011 B9 00010000 MOV ECX,100
10002016 8DBC24 98040000 LEA EDI,DWORD PTR SS:[ESP+498]
1000201D 3BD8 CMP EBX,EAX
1000201F F3:AB REP STOS DWORD PTR ES:[EDI]
10002021 894424 14 MOV DWORD PTR SS:[ESP+14],EAX
10002025 7E 59 JLE SHORT YLINFOSN.10002080
10002027 8B4485 00 MOV EAX,DWORD PTR SS:[EBP+EAX*4]
1000202B 8D4C24 18 LEA ECX,DWORD PTR SS:[ESP+18]
1000202F 50 PUSH EAX
10002030 68 A8900010 PUSH YLINFOSN.100090A8
10002035 51 PUSH ECX
10002036 E8 95020000 CALL YLINFOSN.100022D0
1000203B 8D7C24 24 LEA EDI,DWORD PTR SS:[ESP+24]
1000203F 83C9 FF OR ECX,FFFFFFFF
10002042 33C0 XOR EAX,EAX
10002044 83C4 0C ADD ESP,0C
10002047 F2:AE REPNE SCAS BYTE PTR ES:[EDI]
10002049 F7D1 NOT ECX
1000204B 2BF9 SUB EDI,ECX
1000204D 8D9424 98040000 LEA EDX,DWORD PTR SS:[ESP+498]
10002054 8BF7 MOV ESI,EDI
10002056 8BFA MOV EDI,EDX
10002058 8BD1 MOV EDX,ECX
1000205A 83C9 FF OR ECX,FFFFFFFF
1000205D F2:AE REPNE SCAS BYTE PTR ES:[EDI]
1000205F 8BCA MOV ECX,EDX
10002061 4F DEC EDI
10002062 C1E9 02 SHR ECX,2
10002065 8B4424 14 MOV EAX,DWORD PTR SS:[ESP+14]
10002069 F3:A5 REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
1000206B 8BCA MOV ECX,EDX
1000206D 83E1 03 AND ECX,3
10002070 40 INC EAX
10002071 894424 14 MOV DWORD PTR SS:[ESP+14],EAX
10002075 25 FFFF0000 AND EAX,0FFFF
1000207A 3BC3 CMP EAX,EBX
1000207C F3:A4 REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[>
1000207E ^ 7C A7 JL SHORT YLINFOSN.10002027
10002080 55 PUSH EBP
10002081 E8 0E050000 CALL YLINFOSN.10002594
10002086 8BBC24 A0080000 MOV EDI,DWORD PTR SS:[ESP+8A0]
1000208D 83C4 04 ADD ESP,4
10002090 8BF7 MOV ESI,EDI ****这里的是你输入的注册号****
10002092 8D8424 98040000 LEA EAX,DWORD PTR SS:[ESP+498]
10002099 8A10 MOV DL,BYTE PTR DS:[EAX]
1000209B 8A1E MOV BL,BYTE PTR DS:[ESI]
1000209D 8ACA MOV CL,DL
1000209F 3AD3 CMP DL,BL
100020A1 75 1E JNZ SHORT YLINFOSN.100020C1
100020A3 84C9 TEST CL,CL
100020A5 74 16 JE SHORT YLINFOSN.100020BD
100020A7 8A50 01 MOV DL,BYTE PTR DS:[EAX+1]
100020AA 8A5E 01 MOV BL,BYTE PTR DS:[ESI+1]
100020AD 8ACA MOV CL,DL
100020AF 3AD3 CMP DL,BL
100020B1 75 0E JNZ SHORT YLINFOSN.100020C1
100020B3 83C0 02 ADD EAX,2
100020B6 83C6 02 ADD ESI,2
100020B9 84C9 TEST CL,CL
100020BB ^ 75 DC JNZ SHORT YLINFOSN.10002099
100020BD 33C0 XOR EAX,EAX
100020BF EB 05 JMP SHORT YLINFOSN.100020C6
100020C1 1BC0 SBB EAX,EAX *****这里注册号码出现*****
100020C3 83D8 FF SBB EAX,-1
100020C6 85C0 TEST EAX,EAX
100020C8 74 0F JE SHORT YLINFOSN.100020D9
100020CA 5F POP EDI
100020CB 5E POP ESI
100020CC 5D POP EBP
100020CD 33C0 XOR EAX,EAX
100020CF 5B POP EBX
100020D0 81C4 88080000 ADD ESP,888
100020D6 C2 0400 RETN 4
在10002090处用 d 命令看看,是不是发现你输入的注册码,注意,可能真的注册码就在附近.f10到了100020c1下面行下命令 d eax是不是看见了一串数字啊??我的是:6112812514210115187219,你们的可要你们自己看了啊!
