發信人: shizg (刀客☆永遠的痛), 信區: Hacker
標 題: Re: 大自然輸入系統2000 for NT/2K到期了:(
發信站: BBS 水木清華站 (Fri Jun 23 14:00:12 2000)
我將破解的檔案放到lib.pku/incoming/zrm_crack/zrm32.exe
覆蓋安裝目錄下的原檔案就可以了。
下面內容供有興趣的朋友看，否則有點像灌水，呵呵。
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
這東東是加Pecompact殼的，有關PECompact殼可以看很多FTP站點介紹，可以壓縮
exe,dll等，最高可達20%，太酷。可惜有關這軟體的脫殼不多，我嘗試用pcdump
脫，但沒有成功（哪位有成功經驗，請告訴我，謝謝）。只好用TRW2000(S-ICE一樣）來自己脫，倒是很順利，脫殼後，
就很easy了。有興趣的朋友，可以自己脫試試。
提示：441ac8附近，有一條指令push 4196e3，這就是真正的入口了。前面有一段
是反覆解碼，不要搞暈了，呵呵。
在4196e3處，你將發現熟悉的pe檔案開頭的程式碼，如果是trw2000，直接makepe，
就完全脫殼了。S-Ice可以裝icedump來脫，具體我就不說了。
下面就是將脫殼後的程式關於過期程式碼解除掉。下命令bpx getsystemtime，執行
脫出來的的程式，中斷，f12跳出後，下面就是一大堆比較日期，如下：
4185e8是不能去的，去了就過期了。
倒數第2句41858c是要去的，否則會提示你快到期了。就這兩點。
* Reference To: KERNEL32.GetSystemTime, Ord:0000h
|
:004184F8 FF15B8F04100 Call dword ptr
[0041F0B8]
:004184FE 0FB745F0 movzx
eax, word ptr [ebp-10]
:00418502 8D4810
lea ecx, dword ptr [eax+10]
:00418505 81F9E0070000 cmp ecx, 000007E0
:0041850B 7C10
jl 0041851D
:0041850D 0FB74DF2 movzx
ecx, word ptr [ebp-0E]
:00418511 83C119
add ecx, 00000019
:00418514 83F91F
cmp ecx, 0000001F
:00418517 0F8FCB000000 jg 004185E8
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0041850B(C)
|
:0041851D 8D48DA
lea ecx, dword ptr [eax-26]
:00418520 81F9AA070000 cmp ecx, 000007AA
:00418526 0F8FBC000000 jg 004185E8
:0041852C 8D48BD
lea ecx, dword ptr [eax-43]
:0041852F 81F98D070000 cmp ecx, 0000078D
:00418535 7F10
jg 00418547
:00418537 0FB74DF2 movzx
ecx, word ptr [ebp-0E]
:0041853B 83C137
add ecx, 00000037
:0041853E 83F93B
cmp ecx, 0000003B
:00418541 0F8CA1000000 jl 004185E8
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00418535(C)
|
:00418547 8D48CF
lea ecx, dword ptr [eax-31]
:0041854A 81F99F070000 cmp ecx, 0000079F
:00418550 0F8C92000000 jl 004185E8
:00418556 83C056
add eax, 00000056
:00418559 33F6
xor esi, esi
:0041855B 3D26080000 cmp eax,
00000826
:00418560 752A
jne 0041858C
:00418562 0FB745F2 movzx
eax, word ptr [ebp-0E]
:00418566 83C05F
add eax, 0000005F
:00418569 83F865
cmp eax, 00000065
:0041856C 751E
jne 0041858C
:0041856E 0FB745F6 movzx
eax, word ptr [ebp-0A]