易語言3.5很暗的暗樁分析：）

標 題:易語言3.5很暗的暗樁分析：）

發信人:linson

時 間:2003年11月08日 10:36 

詳細資訊: 

這個程式很多人破解不成功其實是因為它發現你修改了他 :lol: 
作者的方法是檢測程式執行後程式碼段校驗和是否為作者預先設定好的，不是就無聲無息的編譯垃圾出來:twisted:這個是他的發現你修改它程式碼的程式碼（有點繞口），可以透過構造資料（CRC）或者爆破掉這個樁子。
同時很佩服作者呀 :wink: 
.text:004BDD50 ; 記憶體程式碼段校驗
.text:004BDD50 
.text:004BDD50 MemoryCodeCheck proc near               ; CODE XREF: .text:00454AA6p
.text:004BDD50                 push    ebx
.text:004BDD51                 push    ebp
.text:004BDD52                 mov     ebp, ecx
.text:004BDD54                 push    esi
.text:004BDD55                 push    edi
.text:004BDD56                 push    4               ; DataSize = 0x4(DWORD)
.text:004BDD58                 mov     edi, [ebp+68h]  ; ImageBase -> EDI
.text:004BDD5B                 push    edi             ; DataAddress = 0x00400000
.text:004BDD5C                 call    ds:IsBadReadPtr ; IsBadReadPtr
.text:004BDD62                 test    eax, eax
.text:004BDD64                 jnz     short loc_4BDDC5 ; IsBadReadPtr返回不為0直接返回
.text:004BDD66                 mov     eax, [edi+3Ch]  ; DOS Stub -> EAX
.text:004BDD69                 xor     ecx, ecx
.text:004BDD6B                 add     eax, edi        ; PE Header -> EAX
.text:004BDD6D                 mov     ebx, dword_533C88 ; 預設校驗和 -> EBX
.text:004BDD73                 xor     esi, esi
.text:004BDD75                 mov     cx, [eax+14h]   ; File Header -> CX
.text:004BDD79                 lea     edx, [ecx+eax+18h] ; Section Name -> EDX
.text:004BDD7D                 xor     ecx, ecx
.text:004BDD7F                 mov     cx, [eax+6]     ; NumberOfSections -> CX
.text:004BDD83                 test    ecx, ecx
.text:004BDD85                 jle     short loc_4BDDC5 ; NumberOfSections不大於0直接返回
.text:004BDD87                 mov     eax, 20000000h  ; 0x20000000 -> EAX
.text:004BDD8C 
.text:004BDD8C loc_4BDD8C:                             ; CODE XREF: MemoryCodeCheck+47j
.text:004BDD8C                 test    [edx+24h], eax
.text:004BDD8F                 jnz     short loc_4BDD9E ; Characteristics不為0x20000000則為程式碼段
.text:004BDD8F                                         ; 跳到校驗部分
.text:004BDD91                 add     edx, 28h
.text:004BDD94                 inc     esi             ; 計數器自加
.text:004BDD95                 cmp     esi, ecx        ; 沒有取完節迴圈
.text:004BDD97                 jl      short loc_4BDD8C
.text:004BDD99                 pop     edi             ; 沒有找到程式碼段返回
.text:004BDD9A                 pop     esi
.text:004BDD9B                 pop     ebp
.text:004BDD9C                 pop     ebx
.text:004BDD9D                 retn
.text:004BDD9E ; 哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪?
.text:004BDD9E 
.text:004BDD9E loc_4BDD9E:                             ; CODE XREF: MemoryCodeCheck+3Fj
.text:004BDD9E                 mov     ecx, [edx+0Ch]
.text:004BDDA1                 mov     eax, [edx+8]
.text:004BDDA4                 add     ecx, edi
.text:004BDDA6                 push    eax
.text:004BDDA7                 push    ecx
.text:004BDDA8                 call    CRC32_hash      ; 進行迴圈冗餘校驗
.text:004BDDAD                 mov     edx, [ebp+674h]
.text:004BDDB3                 add     esp, 8          ; 清理堆疊
.text:004BDDB6                 cmp     eax, [ebx+edx*4] ; 比較記憶體程式碼校驗和與預設的是否符合
.text:004BDDB9                 jz      short loc_4BDDC5 ; 勝利
.text:004BDDBB                 or      dword ptr [ebp+77Ch], 938Fh ; 往下就不好玩了:(
.text:004BDDC5 
.text:004BDDC5 loc_4BDDC5:                             ; CODE XREF: MemoryCodeCheck+14j
.text:004BDDC5                                         ; MemoryCodeCheck+35j ...
.text:004BDDC5                 pop     edi
.text:004BDDC6                 pop     esi
.text:004BDDC7                 pop     ebp
.text:004BDDC8                 pop     ebx
.text:004BDDC9                 retn
.text:004BDDC9 MemoryCodeCheck endp
---
written by linson