本帖最后由 longlonglong 于 2026-5-10 20:48 编辑
工具：52下的OD、ExeinfoPe、Scylla_x86；
研究对象：金色阳光集合竞价擒龙决策2507；
来源：网络
理由：和谐过程中的一点心得；
软件类型：TdxW.exe；
要达到目的：解决登录限制
听一个破解爱好者讲天盾网络加密又升级了，因此拿来特意研究了一下。
查壳：
强壳：VMProtect v3.00 - 3.5.0 2003-2020 VMProtect Software - www.vmpsoft.com
OD正常加载TdxW.exe，卡号位置输入111111111111111111111111111111111111，点击登录出现：
使用工具Scylla_x86.exe查找天盾在内存中ZwMapViewOfSection出来的验证的DLL
这个DLL就是WinTD.dll，在内存中地址是0x0685000。
在OD中CPU转到地址0x06850000
查找特征码：0F 8D 27 00 00 00、0F 8F 34 00 00 00。
找到：
06868297 /0F8D 27000000 jge 068682C4
068682F4 /0F8F 34000000 jg 0686832E
0686837C /0F8F 34000000 jg 068683B6
0686840A /0F8F 34000000 jg 06868444
06868477 /0F8F 34000000 jg 068684B1
全部改为jmp，都下F2断点，一直F9
到这一步老版本的天盾网络加密应该可以过了，看2023年12月18日发表的文章《竞价擒牛系统的一种和谐方法》，点击登录按钮，软件没有出现登录成功界面，出现错误提示
程序运行结束。看来天盾通过级又加强了防护，让和谐更加难了。
OD重新加载TdxW.exe，重复前面找DLL找特征码的步骤，按前面方法改jmp、下F2，一直F9运行到最后一个F2断点，改为F7、F8，程序走到0x069B9BAC
后面很长一段虚拟代码。F7一路运行下去，运行到0x 069BDF06
正常运行下去no jump，运行到0x069BDF24，出现无效地址0x 8F09647B，继续运行，程序异常结束。OD重新加载TdxW.exe，重复前面找DLL找特征码的步骤，利用F7、F8，程序走到0x 0688DF06，
下面地址0x0688DF24：
0688DF24 - 0F85 51856D88 jnz 8EF6647B
出现无效地址，地址0x 0688DF06改为：
0688DF06 /EB 76 jmp short 0688DF7E ; //jump
一路F7、F8，我把这个过程称为过陷阱，这段程序中的陷阱按上面方法jump，来到这段程序尾0x0688F6DC
F9，出现
升级版天盾网络验证和谐成功。
| 
[复制链接]
发表于 2026-5-10 20:48
