-
-
[旧帖] ScriptCryptor. V 2.9.7.0英文版 0.00雪花
-
发表于: 2010-6-19 05:08
-
ScriptCryptor. V 2.9.7.0英文版的下载地址：e46K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3q4T1P5i4y4K6L8h3g2V1K9h3q4Q4x3X3g2U0L8$3#2Q4x3V1k6K6j5%4u0A6M7s2c8U0M7Y4W2H3N6r3!0J5i4K6u0r3
---------------------------------------------------------
开场白：
我学破解都有都快两个月了，自己从未真正破解过一个软件，看着看雪的高手们的原创文章不断涌现，心有不甘，下决心要好好实战一回！
这是我第五次碰它了，之前都没有成功. 但我没有放弃。
终于在几个小时不吃不喝的奋战下找到他的”关键”了~ 呵呵. （高手见笑了）
———————————————————————————————————————————
软件:
自己偶尔会写点VBS程序玩玩，经常要用到“ScriptCryptor”编译器，但编译器没有注册当然是件麻烦事，编译成的EXE程序会有那么一个”Demo Version”提示框，有影响美观.
———————————————————————————————————————————
以下是对ScriptCryptor. V 2.9.7.0的破解总结,就说详细点，好让新手看明白：
先打开软件注册下，看有什么可用信息。
在注册框输入用户名和注册码，按Register，注册窗就立即关闭了，没有任何提示。再打开以下注册窗，发现刚才的注册名和KEY还在，如上图.可以判断是重起验证的。
在它的目录没有发现什么可疑的文件，估计是保存在注册表的。
大概了解下软件的注册机制了，接着用PEID查下壳是UPX 0.89的，这个壳不难脱，马上动手：
载入OD用ESP定律脱
下了硬件访问断点后，F9运行，来到这里就能看到跳向OEP的JMP，但这里有个回跳，在回跳下F4，再F8几步到OEP了：
005FD55E 8D4424 80 lea eax,dword ptr ss:[esp-80]
005FD562 6A 00 push 0
005FD564 39C4 cmp esp,eax
005FD566 ^ 75 FA jnz short ScriptCr.005FD562
005FD568 83EC 80 sub esp,-80
005FD56B - E9 E0A7F2FF jmp ScriptCr.00527D50
OEP：
00527D50 55 push ebp
00527D51 8BEC mov ebp,esp
00527D53 83C4 F0 add esp,-10
到达OEP后，在用LordPE脱壳，先纠 正一下映像大小 ，然后完整转存，保存为dumped.exe
完整转存后，就可以用ImportREC修复了：
在“附加到一个活动进程”的选项框里找到scriptcryptor.exe的进程---再使用OD的脱壳插件把OEP的地址复制下来，填到mportREC的OEP小框上---点自动查找IAT--获取输入表--显示无效函数（如果有无效的就剪掉）--修复转存文件---打开刚才用LordPE脱壳的dumped.exe 就修复完成了。
再用PEID查下刚才已脱壳修复的，发现已经没有壳了，是用Delphi写的:
用OD载入，OD分析代码后，搜索字符串“Register”发现几处标为"Registered Version"（“注册版本”的意思）：
双击第一处的"Registered Version"进去，找到段首下F2断点，按Crlt+F2重新载入程序，F9运行起来后，点软件的菜单Help-Register就中断在刚才的地方了：
中断后，跟下去会发现之前输入的用户密码出来了，这里是它的重起验证的第一个地方，找到他们的关键：
00504983 . E8 38E70100 call ScriptCr.005230C0 ; 关键CALL
00504988 . 84C0 test al,al
0050498A . 74 57 je short ScriptCr.005049E3 ; 关键跳 ：
跳是由al控制的，当al等于0时就跳，原本程序是跳的，所以要把al不等于0.
我这里就直接把关键跳NOP掉..保存一下，然后载入保存的文件.
接着搜索字符串，查找下一处字符串"Registered Version"，双击进去，可以看到je short 00523D28是跳过mov edx,ScriptCr.0052406C的，零跳转是由上面的EAX的底位al控制，而al的值是由byte ptr ss:[ebp-11]给的，此时byte ptr ss:[ebp-11]是等于0的，所以跳了：
00523D00 |. 0FB645 EF movzx eax,byte ptr ss:[ebp-11]
00523D04 |. 84C0 test al,al
00523D06 |. 74 20 je short ScriptCr.00523D28
00523D08 |. 8B83 60030000 mov eax,dword ptr ds:[ebx+360]
00523D0E |. 8B80 50020000 mov eax,dword ptr ds:[eax+250]
00523D14 |. BA 01000000 mov edx,1
00523D19 |. E8 8AD6F6FF call ScriptCr.004913A8
00523D1E |. BA 6C405200 mov edx,ScriptCr.0052406C ; ASCII "Registered Version"
00523D23 |. E8 DCD5F6FF call ScriptCr.00491304
00523D28 |> 33C9 xor ecx,ecx
直接NOP掉红色的那三句，然后写上mov eax, 1
让eax为true状态（不知有没效果呢^-^）
--跟踪时发现注册信息是保存在注册表的"HKCU\Software\Abyssmedia\ScriptCryptor\Settings"位置.
修改好了，就保存下，以防一起保存不完全. 然后载入保存的文件.
.
接着搜索最后一处字符串"Registered Version"，会看到这里有个"Registration Successful!"（注册成功）可想到我们已经来到注册的地方了，刚才的那两处是重起验证的。
这里的修改方法和上面的一样，直接NOP掉这三句：
005246C6 8BC3 mov eax,ebx
005246C8 84C0 test al,al
005246CA 74 38 je short ScriptCr.00524704
再填上mov eax, 1.
可能有的朋友会问了，直接修改这里不就可以了吗？
答案：是不可以的，因为这个软件是重起验证的，就因为是重起验证的，我们只要通过验证，那么这个改不改也无所谓，所以这个可以不改.只改上面那两个就可以了
所有都改完了，打开一看哈终于是注册版本了，真高兴：
生个程序看..可以生成EXE程序，打开这个EXE看看，晕了，还是有”Demo Version”提示框，.想它应该是启动就放入了一个判断值。
那这个值会在什么时候出现用到呢？软件既然前面的都过了，但编译出的程序依然是试用版的，那么这个值应该就在编译的代码段那了。
Delphi写的可以用DEDE找它的编译（compile）按钮事件，放入到DEDE里，用PE Explorer辅助查找到编译按钮属性名称为：ProjectCompile1Execute 地址：00524398
只能再载入OD里找找看了，跳到地址00524398 ，下F2断点，F9运行，打开一个VBS文件，点编译，就断在00524398了。
然后在辛苦的F7进入每个CALL跟踪，终于找到了编译主CALL，接下只要进这个CALL找提示处理的CALL即可：
F7进入编译CALL里后，不久就找到处理提示的关键CALL了，是根据下面的分析得知的
（意外的让这个CALL里的一个jns跳实现了，结果运行生成的程序是没有"Demo Version"提示的！所以肯定是这里.）：
00525818 . E8 87FBEDFF call ScriptCr.004053A4 ; 处理提示的关键CALL
0052581D . 75 02 jnz short ScriptCr.00525821
--------------------------------------------------------------------------------------------
这个“处理提示的CALL”可以分析下，但也可以不理哈：
F7进入关键发现果然了前面提到的关键值，实际是个内存值（dword ptr ds:[eax-4]），使用这个值mov给ecx，再跳到逻辑运行代码，然后下面用一个jns（非负数转移指令）来判断ECX的值是不是负数，负数的就不跳，如果正数就跳回已注册，但跟踪这个内存值发现是ebx动态放入的，进去研究了2个小时的算法- -~（看不懂）汗，很多办法用上了都不行，提示错误.
还是回来看看这个CALL的关键部分好了：
004053BA |. 53 push ebx
004053BB |. 83D1 FF adc ecx,-1
004053BE |. 21D9 and ecx,ebx \\与运行，ecx等于0
004053C0 |. 2B48 FC sub ecx,dword ptr ds:[eax-4] \\ds:[eax-4]此时等于十六进制的20，相减后等于负数FFFFFFE0（-32）
004053C3 |. 29C8 sub eax,ecx
004053C5 |. 29CA sub edx,ecx
004053C7 |> 8B1C01 /mov ebx,dword ptr ds:[ecx+eax]
004053CA |. 331C11 |xor ebx,dword ptr ds:[ecx+edx]
004053CD |. 75 0A |jnz short ScriptCr.004053D9 \\跳了
004053CF |. 83C1 04 |add ecx,4
004053D2 |.^ 78 F3 \js short ScriptCr.004053C7
004053D4 |> 58 pop eax
004053D5 |. 01C0 add eax,eax
004053D7 |. 5B pop ebx
004053D8 |> C3 retn
004053D9 |> 0FBCDB bsf ebx,ebx \\跳到这 什么指令?
004053DC |. C1EB 03 shr ebx,3 \\08逻辑右移三位等于1
004053DF |. 01D9 add ecx,ebx \\ECX加1，还是等于负数
004053E1 |.^ 79 F1 jns short ScriptCr.004053D4 \\关键跳，但没有跳回去，下面retn是去到非注册的，这里不能改，改了会出错.
004053E3 |. 8A0401 mov al,byte ptr ds:[ecx+eax]
004053E6 |. 3A0411 cmp al,byte ptr ds:[ecx+edx]
004053E9 |. 5B pop ebx
004053EA |. 5B pop ebx
004053EB |. C3 retn
既然这里是编译部分的判断注册关键 ，那我们NOP掉这个处理提示的关键CALL和CALL下面的jnz跳，不让他调用不就可以了吗？
------------------------------------------------------------------------------------------------------
.. 结果直接NOP掉这两句，保存就可以了 ，最终还是NOP好使 呵呵！
已经没有"Demo Version"的提示框了：
|
|
|---|---|
|
|
弄了好久才搞好，大家帮忙顶下。
|
|
|
嗯，不错，支持！
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
谢谢帮忙顶啊 加油~
|
|
|
|
|
|
多泡论坛 多看贴 还有视频教程也不能少，自己上机实践，能坚持一个月，我相信你已经很厉害了！
|
|
|
呵呵 我也照着楼主的方法实践下
|
|
|
|
|
|
顶起来。很详细吗。学习下
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
详细呀，没理由不顶一下
|
|
|
高手
|
|
|
|
