OllyDbg 使用笔记 （二）
參考
书：《加密与解密》
视频：小甲鱼 解密系列 视频
TraceMe.exe下载地址：http://pan.baidu.com/s/1c0s2twO
TraceMe.exe 程序破解
程序见下图。破解目标：使我们可以验证成功。
图片1
因为输入肯定会用到获取对话框文本的API。所以在反汇编面板 按Ctrl+G搜索GetDlgItemTextA，试试看。
图片2
也能够按Ctrl+N 打开程序的导入表。
查看程序导入了那些函数，选中GetDlgItemTextA，右键 选择在反汇编窗体中尾随输入函数。
图片3
能够看到搜索到了对应的API函数。
按F2下断点。再按Ctrl+F2 又一次加载。再按F9，会先弹出窗体。任意写入username和序列号，按Check。之后就会执行到断点处。
接着一边按F8，一边观察以下的信息面板的提示信息，直到发现前面填的username和序列号。
图片4
004011D7 . 8D5424 4C lea edx, dword ptr [esp+4C] 004011DB . 53 push ebx 004011DC . 8D8424 A00000>lea eax, dword ptr [esp+A0] 004011E3 . 52 push edx 004011E4 . 50 push eax 004011E5 . E8 56010000 call 00401340 004011EA . 8B3D BC404000 mov edi, dword ptr [<&USER32.GetDlg>; USER32.GetDlgItem 004011F0 . 83C4 0C add esp, 0C 004011F3 . 85C0 test eax, eax 004011F5 . 74 37 je short 0040122E
观察此时的代码，call 00401340 前面有3个PUSH，是00401340这个函数的參数，各自是username，序列号和序列号长度。还有以下的test eax,eax 值得注意，函数的返回值都是储存在eax中的。
能够从上面得出call 00401340 就是推断输入的username和序列号是否正确的函数。
暴力破解
接着按F8接着执行。执行到 je short 0040122E 处停下。
但我们输入的是错误的时候，我们能够发现这个地方 je 是跳转的，我们能够通过在右边改动标志寄存器（点击Z 后面的1）让je不跳转 或者直接把 je short 0040122E改成 nop（选中，按下空格键输入nop），进行暴力破解。
图片5
图片6
然后执行就能够看到“恭喜你成功”
获取正确序列号
执行到
004011E5 . E8 56010000 call 00401340
后按F7进入函数，能够看到以下的代码
00401340 /$ 55 push ebp 00401341 |. 8B6C24 0C mov ebp, dword ptr [esp+C] 00401345 |. 56 push esi 00401346 |. 57 push edi 00401347 |. 8B7C24 18 mov edi, dword ptr [esp+18] 0040134B |. B9 03000000 mov ecx, 3 00401350 |. 33F6 xor esi, esi 00401352 |. 33C0 xor eax, eax 00401354 |. 3BF9 cmp edi, ecx 00401356 |. 7E 21 jle short 00401379 00401358 |. 53 push ebx 00401359 |> 83F8 07 /cmp eax, 7 0040135C |. 7E 02 |jle short 00401360 0040135E |. 33C0 |xor eax, eax 00401360 |> 33D2 |xor edx, edx 00401362 |. 33DB |xor ebx, ebx 00401364 |. 8A1429 |mov dl, byte ptr [ecx+ebp] 00401367 |. 8A98 30504000 |mov bl, byte ptr [eax+405030] 0040136D |. 0FAFD3 |imul edx, ebx 00401370 |. 03F2 |add esi, edx 00401372 |. 41 |inc ecx 00401373 |. 40 |inc eax 00401374 |. 3BCF |cmp ecx, edi 00401376 |.^ 7C E1 jl short 00401359 00401378 |. 5B pop ebx 00401379 |> 56 push esi ; /<%ld> 0040137A |. 68 78504000 push 00405078 ; |Format = "%ld" 0040137F |. 55 push ebp ; |s 00401380 |. FF15 9C404000 call dword ptr [<&USER32.wsprintfA>; wsprintfA 00401386 |. 8B4424 1C mov eax, dword ptr [esp+1C] 0040138A |. 83C4 0C add esp, 0C 0040138D |. 55 push ebp ; /String2 0040138E |. 50 push eax ; |String1 0040138F |. FF15 04404000 call dword ptr [<&KERNEL32.lstrcmp>; lstrcmpA 00401395 |. F7D8 neg eax 00401397 |. 1BC0 sbb eax, eax 00401399 |. 5F pop edi 0040139A |. 5E pop esi 0040139B |. 40 inc eax 0040139C |. 5D pop ebp 0040139D . C3 retn
我们能够发现call dword ptr [<&KERNEL32.lstrcmp>; lstrcmp指令。说明前面的两參数一定是用来比較的，一个是自己写的错误序列号，一个是这个函数计算出来的正确的序列号。
按F8执行到call dword ptr [<&KERNEL32.lstrcmp>; 处。我们能够发现ebp存放的是“6854”字符串的地址。eax就是我们写的字符串“12345678”的地址（输入的username为billvsme，序列号为12345678）。
从而我们就能够仅仅到username“billvsme”的序列号为6854。