Day_1 OD破解基本的认识

一、机械码,又称机器码.

ultraedit打开,编辑exe文件时你会看到许许多多的由0,1,2,3,4,5,6,7,8,9,A,B,C,D,E,F组成的数码,这些数码就是机器码

修改程序时必须通过修改机器码来修改exe文件.

学汇编的同学,建议掌握 debug 操作指令,可以快速的调试你的代码。

其次,建议掌握 OD 的使用方法。

二、需要熟练掌握的全部汇编知识(只有这么多)

cmp a,b 比较a与b

mov a,b 把b的值送给a

ret 返回主程序

nop 无作用,英文“no operation”的简写,意思是“do nothing”(机器码90)
(解释:ultraedit打开编辑exe文件时你看到90,等同于汇编语句nop)

call 调用子程序

je 或jz 若相等则跳(机器码74 或0F84)

jne或jnz 若不相等则跳(机器码75或0F85)

jmp 无条件跳(机器码EB)

jb 若小于则跳

ja 无符-若大于则跳

jg 有符-若大于则跳

jge 若大于等于则跳

jl 若小于则跳

jle 若小于等于则跳

pop 出栈

push 压栈

三、常见修改(机器码)

74=>75  74=>90  74=>EB

75=>74  75=>90  75=>EB

jnz->nop

75->90(相应的机器码修改)

jnz -> jmp

75 -> EB(相应的机器码修改)

jnz -> jz

75->74 (正常) 0F 85 -> 0F 84(特殊情况下,有时,相应的机器码修改)

四、两种不同情况的不同修改方法

1.修改为jmp

je(jne,jz,jnz) =>jmp相应的机器码EB (出错信息向上找到的第一个跳转)

jmp的作用是绝对跳,无条件跳,从而跳过下面的出错信息

xxxxxxxxxxxx 出错信息,例如:注册码不对,sorry,未注册版不能…,”Function Not Avaible in Demo” 或 “Command Not Avaible” 或 “Can’t save in Shareware/Demo”等 (我们希望把它跳过,不让它出现)

xxxxxxxxxxxx 正确路线所在

2.修改为nop

je(jne,jz,jnz) =>nop相应的机器码90 (正确信息向上找到的第一个跳转)

nop的作用是抹掉这个跳转,使这个跳转无效,失去作用,从而使程序顺利来到紧跟其后的正确信息处

xxxxxxxxxxxx 正确信息,例如:注册成功,感谢您的支持等(我们希望它不被跳过,让它出现,程序一定要顺利来到这里)

xxxxxxxxxxxx 出错信息(我们希望不要跳到这里,不让它出现)

这条是破解无敌口诀,希望大家想学会破解的呢都把他背下来,破解其实并不难,关键要背一些基本的知识。

一条(跳)就死,九筒(90)就胡 (对应上面的2.修改为nop)

一条(跳)就胡,一饼(EB)伺候 (对应上面的1.修改为jmp)

妻死(74)便妻无(75)

爸死(84)便爸无(85)

———————以下内容补充说明—————————

跳转指令分三类:
一、无条件跳转: JMP;
二、根据 CX、ECX 寄存器的值跳转: JCXZ(CX 为 0 则跳转)、JECXZ(ECX 为 0 则跳转);
三、根据 EFLAGS 寄存器的标志位跳转, 这个太多了.

JE   ;等于则跳转
JNE ;不等于则跳转

JZ   ;为 0 则跳转
JNZ ;不为 0 则跳转

JS   ;为负则跳转
JNS ;不为负则跳转

JC   ;进位则跳转
JNC ;不进位则跳转

JO   ;溢出则跳转
JNO ;不溢出则跳转

JA   ;无符号大于则跳转
JNA ;无符号不大于则跳转
JAE ;无符号大于等于则跳转
JNAE ;无符号不大于等于则跳转

JG   ;有符号大于则跳转
JNG ;有符号不大于则跳转
JGE ;有符号大于等于则跳转
JNGE ;有符号不大于等于则跳转

JB   ;无符号小于则跳转
JNB ;无符号不小于则跳转
JBE ;无符号小于等于则跳转
JNBE ;无符号不小于等于则跳转

JL   ;有符号小于则跳转
JNL ;有符号不小于则跳转
JLE ;有符号小于等于则跳转
JNLE ;有符号不小于等于则跳转

JP   ;奇偶位置位则跳转
JNP ;奇偶位清除则跳转
JPE ;奇偶位相等则跳转
JPO ;奇偶位不等则跳转

五、OllyDbg

(一)OllyDbg 有四个主要窗口:

1.反汇编窗口:OllyDbg 在这里显示反汇编代码

2.寄存器窗口:在32位汇编中,通用寄存器包括了8个32位的寄存器:EAX、EBX、ECX、EDX、ESP、EBP、EDI及ESI。其中EAX、EBX、ECX、EDX在一般情况下作为通用的数据寄存器,用来暂时存放计算过程中所用到的操作数、结果或其他信息。 在破解中32位汇编与64最大不同就体现在寄存器与内存地址上,32位内存的最大值为0xFFFFFFFF,而64位汇编内存最大值是0xFFFFFFFFFFFFFFFF,此外64位汇编中有16个寄存器,是32位汇编的两倍,这些寄存器分别为:RAX、RBX、RBP、RSP、RSI、RDI、R8、R9、R10、R11、R12、R13、R14、R15,用途与32位汇编的寄存器相似,用来暂时存放计算过程中所用到的操作数、结果或其他信息。

EAX作为累加器用,所以它是算术运算的主要寄存器。在乘除指令中指定用来存放操作数。另外,所有的I/O指令都使用AX或AL与外部设备传送信息。       
EBX在计算存储器地址时,可作为基址寄存器使用。     
ECX常用来保存计数值,如移位指令、循环指令和串处理指令中用作隐含的计数器。   
EDX在作双字长运算时,可把DX和AX组合在一起存放一个双字长数,DX用来存放高16位数据。此外,对某些I/O操作,DX可用来存放I/O的端口地址。     
ESI是源变址寄存器     
EDI是目的变址寄存器     
ESP称为堆栈指针寄存器,用来指出栈顶的偏移地址。   
EBP称为基址指针寄存器,在寻址时作为基地址寄存器使用,但它必须与堆栈段寄存器SS联用来确定堆栈段中的存储单元地址

EIP 指向当前将要执行的指令

在 OllyDbg 中,它们的内容以十六进制显示。

标志寄存器(标志位):

进位标志——CF:记录运算时最高有效位产生的进位值,这里的进位指二进制的无符号数据。
符号标志——SF:记录运算结果的符号。结果为负时为1,否则为0。
零标志——ZF:运算结果为0时ZF位为1,否则为0。
溢出标志——OF:用于判断溢出(注意:溢出这个概念只对于有符号数据而言,就如同进位只对于无符号数据而言)当OF=0时,说明没有溢出;当OF=1时,说明溢出了。
辅助进位标志——AF:记录运算时第3位产生的进位值。
奇偶标志——PF:用来为机器中传送信息时可能产生的代码出错情况提供检验条件。当结果操作数中1的个数为偶数时为1,否则为0。
定时器溢出标志——TF:当cpu在执行完一条指令后,如果检测到TF位的值为1,则产生单步中断,引发中断过程。通过这个位,就可以在debug中对程序进行单步跟踪。
中断允许标志位——IF:中断允许标志位。当IF=1时,cpu在执行完当前指令后响应中断,引发中断过程;当IF=0时,则不响应可屏蔽中断。
方向标志位——DF:当DF=0时,每次操作后,ESI、EDI递增;DF=1时,每次操作后,ESI、EDI递减。

3.堆栈窗口:涉及到 ESP EBP 寄存器指向地址的信息显示。

4.数据窗口(dump):默认模式为 8-byte Hex / ASCII

(二)快捷图标

L 图标或 View-> Log,显示日志窗口,通过配置,可以显示 OllyDbg 启动时保存在日志窗口 的不同类型信息,也涉及条件断点的信息。以后我们会再次用到它,现在让我们看一下当前 运行进程(CrackMe)的信息和它加载的库文件。

这个窗口最重要的选项就是保存到文件。

E 按钮 View ->Executables 显示程序运行使用的模块:exe,dll,ocx 和其它。

M 按钮或 View->Memory 显示我们的程序映射到内存的信息,一个内存块可能被分为几个部分。

T 按钮或 View->Threads 显示程序的线程窗口。

W 按钮或 View-> Windows 显示程序窗口。

H 按钮或 View-> Handles,句柄窗口。

C 按钮或 View->CPU,允许我们返回到 OllyDbg 的主窗口,CPU 窗口。

/按钮或 View->Patches,如果程序经过了修改,这里显示修改的信息。

K 按钮或 View->Call stack 显示调用堆栈的窗口信息,可以尝试反向跟踪函数的调用顺序。

B 按钮或 View->Breakpoints 显示程序普通断点的列表窗口,这里不显示硬件断点和内存断点。

R 按钮或 View->Reference 参考窗口,显示我们在 OllyDbg 中搜索的结果。

”按钮或 View->Run trace 显示 RUN TRACERUN 跟踪)命令的结果。这里我们也可以通 过 Log to file 保存输出结果到文件。

(三)OllyDbg 中最常用的快捷键

F7 执行一行代码,遇到 CALL 等子程序时会进入其中,进入后首先会停留在子程序的第一条 指令上。

F8 执行一行代码,遇到 CALL 等子程序不进入其代码。

这两个键的功能有所不同,以后将会看到。

F2 在显著行设置断点,再次按 F2 删除断点。

F9 运行调试程序,直到遇到断点停止运行。

F12 临时暂停程序,可以按 Debug-> Pause

赞(21) 打赏
未经允许不得转载:我的工作经历分享 » Day_1 OD破解基本的认识

相关推荐

  • 暂无文章

评论 抢沙发

评论前必须登录!

 

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏