首页
论坛
专栏
课程

[旧帖] ScriptCryptor. V 2.9.7.0英文版 0.00元

2010-6-19 05:08 2843

[旧帖] ScriptCryptor. V 2.9.7.0英文版 0.00元

2010-6-19 05:08
2843
ScriptCryptor. V 2.9.7.0英文版的下载地址:http://www.abyssmedia.com/scriptcryptor/
---------------------------------------------------------

开场白:

我学破解都有都快两个月了,自己从未真正破解过一个软件,看着看雪的高手们的原创文章不断涌现,心有不甘,下决心要好好实战一回!
这是我第五次碰它了,之前都没有成功. 但我没有放弃。
终于在几个小时不吃不喝的奋战下找到他的”关键”了~ 呵呵. (高手见笑了)
———————————————————————————————————————————

软件:
自己偶尔会写点VBS程序玩玩,经常要用到“ScriptCryptor”编译器,但编译器没有注册当然是件麻烦事,编译成的EXE程序会有那么一个”Demo Version”提示框,有影响美观.

———————————————————————————————————————————

以下是对ScriptCryptor. V 2.9.7.0的破解总结,就说详细点,好让新手看明白:

先打开软件注册下,看有什么可用信息。


在注册框输入用户名和注册码,按Register,注册窗就立即关闭了,没有任何提示。再打开以下注册窗,发现刚才的注册名和KEY还在,如上图.可以判断是重起验证的。
在它的目录没有发现什么可疑的文件,估计是保存在注册表的。

大概了解下软件的注册机制了,接着用PEID查下壳是UPX 0.89的,这个壳不难脱,马上动手:


载入OD用ESP定律脱


下了硬件访问断点后,F9运行,来到这里就能看到跳向OEP的JMP,但这里有个回跳,在回跳下F4,再F8几步到OEP了:
005FD55E    8D4424 80       lea eax,dword ptr ss:[esp-80]
005FD562    6A 00           push 0
005FD564    39C4            cmp esp,eax
005FD566  ^ 75 FA           jnz short ScriptCr.005FD562
005FD568    83EC 80         sub esp,-80
005FD56B  - E9 E0A7F2FF     jmp ScriptCr.00527D50

OEP:
00527D50    55              push ebp
00527D51    8BEC            mov ebp,esp
00527D53    83C4 F0         add esp,-10

到达OEP后,在用LordPE脱壳,先纠 正一下映像大小 ,然后完整转存,保存为dumped.exe


完整转存后,就可以用ImportREC修复了:
在“附加到一个活动进程”的选项框里找到scriptcryptor.exe的进程---再使用OD的脱壳插件把OEP的地址复制下来,填到mportREC的OEP小框上---点自动查找IAT--获取输入表--显示无效函数(如果有无效的就剪掉)--修复转存文件---打开刚才用LordPE脱壳的dumped.exe 就修复完成了。


再用PEID查下刚才已脱壳修复的,发现已经没有壳了,是用Delphi写的:


用OD载入,OD分析代码后,搜索字符串“Register”发现几处标为"Registered Version"(“注册版本”的意思):


双击第一处的"Registered Version"进去,找到段首下F2断点,按Crlt+F2重新载入程序,F9运行起来后,点软件的菜单Help-Register就中断在刚才的地方了:



中断后,跟下去会发现之前输入的用户密码出来了,这里是它的重起验证的第一个地方,找到他们的关键:
00504983   .  E8 38E70100   call ScriptCr.005230C0                   ;  关键CALL
00504988   .  84C0          test al,al
0050498A   .  74 57         je short ScriptCr.005049E3                 ;  关键跳  :
跳是由al控制的,当al等于0时就跳,原本程序是跳的,所以要把al不等于0.



我这里就直接把关键跳NOP掉..保存一下,然后载入保存的文件.

接着搜索字符串,查找下一处字符串"Registered Version",双击进去,可以看到je short 00523D28是跳过mov edx,ScriptCr.0052406C的,零跳转是由上面的EAX的底位al控制,而al的值是由byte ptr ss:[ebp-11]给的,此时byte ptr ss:[ebp-11]是等于0的,所以跳了:

00523D00  |.  0FB645 EF     movzx eax,byte ptr ss:[ebp-11]
00523D04  |.  84C0          test al,al
00523D06  |.  74 20         je short ScriptCr.00523D28

00523D08  |.  8B83 60030000 mov eax,dword ptr ds:[ebx+360]
00523D0E  |.  8B80 50020000 mov eax,dword ptr ds:[eax+250]
00523D14  |.  BA 01000000   mov edx,1
00523D19  |.  E8 8AD6F6FF   call ScriptCr.004913A8
00523D1E  |.  BA 6C405200   mov edx,ScriptCr.0052406C   ;  ASCII "Registered Version"
00523D23  |.  E8 DCD5F6FF   call ScriptCr.00491304
00523D28  |>  33C9          xor ecx,ecx



直接NOP掉红色的那三句,然后写上mov eax, 1
让eax为true状态(不知有没效果呢^-^)



--跟踪时发现注册信息是保存在注册表的"HKCU\Software\Abyssmedia\ScriptCryptor\Settings"位置.
修改好了,就保存下,以防一起保存不完全.  然后载入保存的文件.
.
接着搜索最后一处字符串"Registered Version",会看到这里有个"Registration Successful!"(注册成功)可想到我们已经来到注册的地方了,刚才的那两处是重起验证的。



这里的修改方法和上面的一样,直接NOP掉这三句:
005246C6      8BC3          mov eax,ebx
005246C8      84C0          test al,al
005246CA      74 38         je short ScriptCr.00524704
再填上mov eax, 1.
可能有的朋友会问了,直接修改这里不就可以了吗?
答案:是不可以的,因为这个软件是重起验证的,就因为是重起验证的,我们只要通过验证,那么这个改不改也无所谓,所以这个可以不改.只改上面那两个就可以了

所有都改完了,打开一看哈终于是注册版本了,真高兴:



生个程序看..可以生成EXE程序,打开这个EXE看看,晕了,还是有”Demo Version”提示框,.想它应该是启动就放入了一个判断值。
那这个值会在什么时候出现用到呢?软件既然前面的都过了,但编译出的程序依然是试用版的,那么这个值应该就在编译的代码段那了。
Delphi写的可以用DEDE找它的编译(compile)按钮事件,放入到DEDE里,用PE Explorer辅助查找到编译按钮属性名称为:ProjectCompile1Execute 地址:00524398
只能再载入OD里找找看了,跳到地址00524398 ,下F2断点,F9运行,打开一个VBS文件,点编译,就断在00524398了。
然后在辛苦的F7进入每个CALL跟踪,终于找到了编译主CALL,接下只要进这个CALL找提示处理的CALL即可:



F7进入编译CALL里后,不久就找到处理提示的关键CALL了,是根据下面的分析得知的
(意外的让这个CALL里的一个jns跳实现了,结果运行生成的程序是没有"Demo Version"提示的!所以肯定是这里.):

00525818   .  E8 87FBEDFF   call ScriptCr.004053A4       ;  处理提示的关键CALL
0052581D   .  75 02         jnz short ScriptCr.00525821

--------------------------------------------------------------------------------------------
这个“处理提示的CALL”可以分析下,但也可以不理哈:
F7进入关键发现果然了前面提到的关键值,实际是个内存值(dword ptr ds:[eax-4]),使用这个值mov给ecx,再跳到逻辑运行代码,然后下面用一个jns(非负数转移指令)来判断ECX的值是不是负数,负数的就不跳,如果正数就跳回已注册,但跟踪这个内存值发现是ebx动态放入的,进去研究了2个小时的算法- -~(看不懂)汗,很多办法用上了都不行,提示错误.
还是回来看看这个CALL的关键部分好了:
004053BA  |.  53            push ebx
004053BB  |.  83D1 FF       adc ecx,-1
004053BE  |.  21D9          and ecx,ebx        \\与运行,ecx等于0
004053C0  |.  2B48 FC       sub ecx,dword ptr ds:[eax-4]     \\ds:[eax-4]此时等于十六进制的20,相减后等于负数FFFFFFE0(-32)
004053C3  |.  29C8          sub eax,ecx
004053C5  |.  29CA          sub edx,ecx
004053C7  |>  8B1C01        /mov ebx,dword ptr ds:[ecx+eax]
004053CA  |.  331C11        |xor ebx,dword ptr ds:[ecx+edx]
004053CD  |.  75 0A         |jnz short ScriptCr.004053D9     \\跳了
004053CF  |.  83C1 04       |add ecx,4
004053D2  |.^ 78 F3         \js short ScriptCr.004053C7
004053D4  |>  58            pop eax
004053D5  |.  01C0          add eax,eax
004053D7  |.  5B            pop ebx
004053D8  |>  C3            retn
004053D9  |>  0FBCDB        bsf ebx,ebx                 \\跳到这 什么指令?
004053DC  |.  C1EB 03       shr ebx,3                        \\08逻辑右移三位等于1
004053DF  |.  01D9          add ecx,ebx                         \\ECX加1,还是等于负数
004053E1  |.^ 79 F1         jns short ScriptCr.004053D4   \\关键跳,但没有跳回去,下面retn是去到非注册的,这里不能改,改了会出错.
004053E3  |.  8A0401        mov al,byte ptr ds:[ecx+eax]
004053E6  |.  3A0411        cmp al,byte ptr ds:[ecx+edx]
004053E9  |.  5B            pop ebx
004053EA  |.  5B            pop ebx
004053EB  |.  C3            retn
既然这里是编译部分的判断注册关键 ,那我们NOP掉这个处理提示的关键CALL和CALL下面的jnz跳,不让他调用不就可以了吗?
------------------------------------------------------------------------------------------------------

.. 结果直接NOP掉这两句,保存就可以了 ,最终还是NOP好使 呵呵!

已经没有"Demo Version"的提示框了:


[公告]安全测试和项目外包请将项目需求发到看雪企服平台:https://qifu.kanxue.com

上传的附件:
最新回复 (28)
sky科 2010-6-19 06:37
2
0
弄了好久才搞好,大家帮忙顶下。
墨石 2010-6-19 06:52
3
0
嗯,不错,支持!
missandy 2010-6-19 07:54
4
0
很好,.很详细,帮你顶下
王心生 2010-6-19 08:07
5
0
别说不帮助临时会员哈。我也来给你加油帮顶
colinjian 2010-6-19 08:49
6
0
看来真不错。。。。要什么基础才可以学好呢?
崭云剑 2010-6-19 09:55
7
0
看着就头晕,看不懂,以后还要慢慢学习
kondo 2010-6-19 10:49
8
0
为啥我下的加壳了呢?
yangzhiwei 2010-6-19 10:58
9
0
不错的东西呵呵
sky科 2010-6-19 15:44
10
0
谢谢帮忙顶啊  加油~
sky科 2010-6-19 15:47
11
0
重新下了个发现是加了UPX 8.0壳 ,可能壳是我上次脱了,太久就忘记了呵呵。

脱壳部分已补上。

谢谢提醒.
sky科 2010-6-19 16:51
12
0
多泡论坛 多看贴 还有视频教程也不能少,自己上机实践,能坚持一个月,我相信你已经很厉害了!
大peng 2010-6-19 19:14
13
0
呵呵  我也照着楼主的方法实践下
麟殇の雪 2010-6-19 20:07
14
0
呵呵 帮顶了 我也快要转正了
xtusrllll 2010-6-19 20:19
15
0
顶起来。很详细吗。学习下
快雪时晴 4 2010-6-19 21:05
16
0
支持转正!!!
cnviva 2010-6-19 21:34
17
0
学习一下,下下来照着做!
psymonkey 2010-6-20 10:33
18
0
帮LZ把帖顶上去
我是sld 2 2010-6-20 22:15
19
0
呵呵.....学习了...偶也成功破解了.....
风雷坎泽 2010-6-21 07:40
20
0
支持新手发技术贴,高手们发的贴我们这些新手很难看懂
zsuxiong 2010-6-21 20:57
21
0
不错,谢谢楼主。很好
alicool 2010-6-23 12:57
22
0
两个月就可以学到这种境界,佩服,呵呵,顶!!
zhangweizw 2010-6-24 21:23
23
0
详细呀,没理由不顶一下
东沟 2010-6-25 06:44
24
0
高手
fengw 2010-6-25 14:56
25
0
本人菜鸟,对工具的应用还不熟练。有些地方看不懂!不过感谢楼主!
sky科 2010-6-29 00:39
26
0
一直在关注大家的热心回复,今天刚好是第10天,回来帮自己顶下帖子
oatzhang 2010-7-23 15:25
27
0
每一个原创帖子都要顶一下
flyingayi 2010-7-23 19:02
28
0
每一个原创帖子都要顶一下
大头和尚 2010-7-23 20:13
29
0
很有耐心。日后必是大牛。
游客
登录 | 注册 方可回帖
返回