关于WinRAR的简单爆破分析

霖韵嫣然 · 发表于 2016-8-12 16:37

本帖最后由霖韵嫣然于 2016-8-12 17:51 编辑

对WinRAR的爆破分析（英文最新版）

注意：毕竟本人菜鸟，无法作出算法分析，所以做了一篇爆破分析。各位大神轻喷。
已录制视屏，360云盘链接： http://yunpan.cn/c6p6gARevVHud

1.养成良好的习惯，查壳。
捕获2.PNG

就算明明知道这种正规的公司出品的软件不可能加壳，仍旧如此查。

2.拖入OD愉快的破解
1.开始
众所周知，WinRAR在会在他的标题上写上评估版本，可以以此入手。如图，搜索关键字，下硬件访问断点，运行。
捕获3.PNG

2.尝试
现在，就可以查看堆栈了。如图所示，第一个返回到WinRAR是一个加载字符串的地方，调用的地方还不少，所以没有多大的可利用性。下一个就是我们要找的地方了。右键，反汇编窗口跟随。
捕获4.PNG

3.分析
接下来就是对它无聊的分析了，如下反汇编结果。

[Asm] 纯文本查看 复制代码

004D834C  |.  803D F4565600>cmp byte ptr ds:[0x5656F4],0x0  ;这一句，比较EAX寄存器的AL值和0，相等那么就咔嚓~ 关键跳在后面
004D8353  |.  A1 404C5100   mov eax,dword ptr ds:[0x514C40]
004D8358  |.  8901          mov dword ptr ds:[ecx],eax
004D835A  |.  A1 444C5100   mov eax,dword ptr ds:[0x514C44]
004D835F  |.  8941 04       mov dword ptr ds:[ecx+0x4],eax
004D8362  |.  A1 484C5100   mov eax,dword ptr ds:[0x514C48]
004D8367  |.  8941 08       mov dword ptr ds:[ecx+0x8],eax
004D836A  |.  A1 4C4C5100   mov eax,dword ptr ds:[0x514C4C]
004D836F  |.  8941 0C       mov dword ptr ds:[ecx+0xC],eax
004D8372  |.  A1 504C5100   mov eax,dword ptr ds:[0x514C50]
004D8377  |.  8941 10       mov dword ptr ds:[ecx+0x10],eax
004D837A  |.  0F85 D8000000 jnz WinRAR.004D8458 ;就是这里了，如果相等，那么跳，不相等，跳。
004D8380  |.  8B0D 289A5300 mov ecx,dword ptr ds:[0x539A28]
004D8386  |.  8D41 EC       lea eax,dword ptr ds:[ecx-0x14]
004D8389  |.  83F8 13       cmp eax,0x13
004D838C  |.  77 27         ja short WinRAR.004D83B5
004D838E  |.  B8 28000000   mov eax,0x28
004D8393  |.  2BC1          sub eax,ecx                              ;  WinRAR.<ModuleEntryPoint>
004D8395  |.  50            push eax
004D8396  |.  68 6A030000   push 0x36A
004D839B  |.  E8 A002FBFF   call WinRAR.00488640

对下面的分析没有多么大的作用，只是供给娱乐，在此不再赘述。可以思考，上文中提到的，如果相等，注册失败的字符就出来了，那么这个地址究竟是哪里赋的值？
强大的OD自然有搜索全局变量的伟大功能，我们可以借此找出第一次赋值的地方，从而“一劳永逸”的爆破掉它。
在所有找出来的地址下断点，不放过任何一个可疑的地方！如图所示：
捕获5.PNG