运行分析
- 除了主程序还有一个dll文件，应该是要加载pf1.dll这个动态链接库
- 运行主程序，需破解Name和Serial，点击注册无反应
PE分析
- C++程序，32位，无壳
静态分析&动态调试
- 尝试ida动调加载动态链接库pf1.dll，弹出错误，推测存在反反调试
- 使用OD的StrongOD插件绕过反反调试，设置参数如上
- 程序拖入OD，点击F9，发现程序正常运行
- 点击菜单栏下方的’e’按钮，查看加载的dll，双击进入pf1.dll
- 来到pf1模块，右键 -> 中文搜索引擎 -> 智能搜索
- 发现successful字符串，双击进入
- 发现关键跳转地址02571108，为了满足判断条件test eax,eax，需要执行025710E4的jmp跳转
- 从关键跳转处向上查找，发现2个循环，和一个常量"fytugjhkuijonlbpvqmcnxbvzdaeqrwtryetdgfkgphonuivmdbxfanqydexzwztqnkcfkvcpvlbmhotyiufdkdnjxuzyqhfstae"
- 第1个循环：提取Name每个字符，除以0x62求余，将余数和余数+1作为上面常量的下标，提取其字母，然后依次存入地址1中
- 第2个循环：判断地址1和Serial每个字符串是否相等
算法分析
Name = 'concealbear'
str1 = 'fytugjhkuijonlbpvqmcnxbvzdaeqrwtryetdgfkgphonuivmdbxfanqydexzwztqnkcfkvcpvlbmhotyiufdkdnjxuzyqhfstae'address1 = ''
for i in range(len(Name)):address1 += str1[ord(Name[i])%0x62]address1 += str1[ord(Name[i])%0x62 + 1]Serial = address1print(Name + '的Serial为：\n' + Serial)
- 验证成功
