標 題:ACProtect V1.1主程式
發信人:loveboom
時 間:2004年3月21日 06:54
詳細資訊:
不用脫衣也強暴ACProtect
不用脫衣也強暴
【目 標】:ACProtect V1.1主程式
【工 具】:Olydbg1.1(diy版)、LORDPE、ImportREC1.6F
【任 務】:不脫殼給它做一個記憶體修改補丁
【操作平臺】:WINDOWS 2000 ADV
【作 者】:loveboom[DFCG]
【相關連結】: www.anticrack.cn
【簡要說明】：上次脫了一下acp1.09的主程式（偽脫）,沒想到不能跨平臺，最近看到有人把那個殼加的段也不刪除，讓殼裡的東西也放進去，所以我就想幹脆不脫它的衣服來強暴它(別以為你穿了馬甲，就不可以“強姦”!)。
【詳細過程】:
執行ACPROTECT先,現在開啟改裝後的ollydbg，File->Attach 一下acp的程式.
77F9F9E0 C3 RETN //這裡停住了，F9執行
77F9F9E1 > CC INT3
F9執行後，點右鍵view->module /Acprotec/ 兩次
77DF3892 C3 RETN //第一次
77DF3893 > 55 PUSH EBP
……
00401000 04 10 ADD AL,10 //第二次
00401002 40 INC EAX
第二次後輸入AC或^A分析程式碼,完成之後就清楚很多了，再右鍵->Search for(查詢)->All referenced text strings(查詢所有字串).這樣之後會出現參考窗:
任務一：去除開啟後的未註冊標題.
右鍵查詢字串”Unreg”
Text strings referenced in ACProtec:CODE, item 6765
Address=004C628B
Disassembly=MOV EDX,ACProtec.004C978C
Text string=ASCII " Unregistered Limited Version "
就在這一欄,雙擊後，到cpu視窗中:
004C6282 . 83BD 64FFFFFF >CMP DWORD PTR SS:[EBP-9C],0
004C6289 . 75 18 JNZ SHORT ACProtec.004C62A3
004C628B . BA 8C974C00 MOV EDX,ACProtec.004C978C ; ASCII " Unregistered Limited Version "
004C6290 . 8B45 FC MOV EAX,DWORD PTR SS:[EBP-4]
將004C6289改成 EB 18(也就是jmp 004C62A3).
任務二：去除加殼後的程式提示未註冊對話方塊。
先加一個程式並執行它，看看它的未註冊資訊，再在字串參考視窗中找by 這樣不久找到這裡：
Text strings referenced in ACProtec:CODE, item 6481
Address=004B272B
Disassembly=MOV ECX,ACProtec.004B2E94
Text string=ASCII "by unregistered ACProtect"
再次雙擊來到這裡：
004B270D |. 8B45 A0 MOV EAX,DWORD PTR SS:[EBP-60]
004B2710 |. BA 782E4B00 MOV EDX,ACProtec.004B2E78
004B2715 |. E8 BA27F5FF CALL ACProtec.00404ED4
004B271A |. 0F85 AA000000 JNZ ACProtec.004B27CA //NOP
004B2720 |> 6A 01 PUSH 1
004B2722 |. 6A 00 PUSH 0
004B2724 |. A1 74035100 MOV EAX,DWORD PTR DS:[510374]
004B2729 |. 8B00 MOV EAX,DWORD PTR DS:[EAX]
004B272B |. B9 942E4B00 MOV ECX,ACProtec.004B2E94 ; ASCII "by unregistered ACProtect"
004B2730 |. BA FFE30100 MOV EDX,1E3FF
004B2735 |. E8 3606FCFF CALL ACProtec.00472D70
004B273A |. 8945 F8 MOV DWORD PTR SS:[EBP-8],EAX
把004B271A處NOP掉，這樣加殼後的程式就不會有未註冊提示。
任務三：更改註冊資訊和段名，也就是把它的Register to：改成你的大名：
更改註冊資訊：
在Dump欄找Register,找到這裡：
004C97E6 52 65 67 69 73 74 65 72 20 74 6F 3A Register to:
這裡改成你的喜歡寫上的東西,我改成這樣：
004C97E6 43 72 61 63 6B 69 6E 67 44 46 43 47 CrackingDFCG
改段名：
004CB2E0 2E 70 65 72 70 6C 65 78 .perplex
004CB2E0 2E 5B 44 46 43 47 5D 20 .[DFCG]
得到我們要改的東西和改後的東西后再用keymaker做一個記憶體補丁就簡單的強暴ACPR的主程式了(什麼還不會,暈)，現在應該不用考慮跨平臺的問題了吧.更多的看官們自己去找吧，我懶了.要睡了。附上我做的記憶體補丁.希望大家能喜歡。
獻給我親愛的DFCG，願它能夠蒸蒸日上!
Thanks:
Fly 輝仔yock、jingulong、二哥、所有曾經關心支援或幫助過我的朋友！謝謝您們!
Btw:最近心總是煩燥不安，這是我第一次用vmware,也許是最後一次，第一次在DFCG發破文，也許是很久以後回來發，也許永遠不會回來，也許最後一次上網咖，最後一次在網咖發破文，也許以後解密論壇不再有loveboom這個人，也許有;也許從此在地球上消失。
也許上天讓我在這也世上本來就是多餘的.願大家一路走好!
by loveboom[DFCG]
Email:bmd2chen@tom.com
2004-3-14