用比较“另类”的push大法破解一个网络验证CM

梦游枪手

前情提要
不想提了，直接干。
https://www.52pojie.cn/thread-1001452-1-1.html
帖子删掉了，放个下载链接：https://www.lanzouj.com/i5a58qj
准备
OD（带SOD和SharpOD插件，SharpOD插件方便过vmp3.x的新检测，想手动过检测的同学注意Cracked.dll也加了vmp壳，要过两遍检测）
分析过程
运行CM后，搜索push 0x10001找到窗体信息。

在主程序只能找到这一个窗口，尝试在dll文件也搜索一下。

行吧，功能窗口大概就是这个了，地址记录一下备用 1000CCCB。
我们在主程序的按钮事件00433ADD 下断，随便输入账号密码，点击登录后F7。

V成天书了，怎么办？
接下来就是push大法登场的时候了，我们可以直接跳到上面提到的dll的载入窗口函数，直接载入窗口就完事了。
把代码修改一下。

修改完尝试运行，发现CM卡死，且占满CPU的一个核的资源，说明有死循环暗桩，下面来解决掉这个。
重载程序运行，照上述步骤修改完代码后，定位到dll的按钮事件100528AD 下断，然后运行程序。
注意dll多发送了几个事件干扰分析，经过这些事件程序并不会死循环，可以用条件断点排除掉，我们只记录程序不会停下来的那个事件的地址。



下条件断点排除掉这两个地址，运行，就能得到暗桩地址10029D19 。

直接retn掉，运行程序即可。

但是我有点强迫症，程序登录后是有皮肤的，这里却没有，所以我继续操作，把皮肤也弄出来。push大法到这里结束，下面的步骤不会有分析过程。
弄出皮肤
上面说到有个死循环暗桩，它在VM虚拟机里面，先把它解决了。
按上面的步骤jmp 1000CCCB后，在1039F0B0下断，运行。
停下后，取消断点，在101BC162 下条件断，edx==0x106bf4e4。
停下后，取消断点，在1072FE6D 下断，运行，停下后修改[esi]为-1。

修改完后，取消断点，转到10029D90 （出了VM虚拟机就到这里），把jnz nop掉运行即可。

带皮肤版

总结
说是比较另类，其实就是把按钮事件跳转到载入窗口的代码了，当然push大法也可以自己构造code来运行，重点是找到窗体和解决暗桩。
易语言的按钮事件实际上是窗体事件分发，利用这一点可以解决一些push窗体的暗桩。还有就是
VM不够多，这边建议下次的CM把代码全V了，一句正常代码都不要让人看到，这样就能防破了。

梦游枪手

Dyingchen 发表于 2019-8-4 00:21
代码被v成花了该怎么破

最好的办法就是从没有VM的地方下手，易语言程序的话，会有各种按钮事件，调用库函数等等，一般来说库的代码是不会被VM的，可以先用E-Reverse找到程序使用的库函数，在库函数代码下断分析就行。比如这个CM调用库命令的地方就在00433A30，004339F0，100527C0，10052800，下断跟一下能分析出一些东西。

魔弑神

不发程序发出来 谁都破解不了

梦游枪手

魔弑神 发表于 2019-8-4 00:13
不发程序发出来 谁都破解不了

这也是个好办法

Dyingchen

代码被v成花了该怎么破

libaiddufu

膜拜大神，分析这个是不是要懂汇编语言啊，对于这个还是一点都不懂呢

梦游枪手

libaiddufu 发表于 2019-8-4 00:36
膜拜大神，分析这个是不是要懂汇编语言啊，对于这个还是一点都不懂呢

一点都不懂就有点难，知道几句汇编还是可以的。

kindbigbear0

向大佬学习！
请教大佬能否对条件断点部分再解释清楚一点？
如何选择条件，具体是如何下条件断点和筛选的？
小白一个，请大佬多指点，谢谢！

梦游枪手

kindbigbear0 发表于 2019-8-4 11:16
向大佬学习！
请教大佬能否对条件断点部分再解释清楚一点？
如何选择条件，具体是如何下条件断点和筛选的 ...

dll的按钮事件要排除掉那两个没用的事件，条件断点设置成[ebp-4]!=xxx&&[ebp-4]!=yyy（两个事件的地址）就行了，至于要怎么写条件断点的条件，你可以百度一下。

itellyouok

感谢分享 需要学习的东西还有很多啊