GIF Movie Gear逆向+注册代码+补丁
1.        准备
逆向已经被前辈们搞烂了，我这里发个前段时间写的，感觉润色的可以了。有不足之处，还望大虾指出。
我是在windows 8.1 x64上进行的操作。

1.1.        获取资源
网站下载：90fK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3N6S2L8h3q4F1K9g2)9J5k6h3y4G2L8g2)9J5c8X3N6E0k6$3c8G2N6$3&6Q4x3X3g2Z5N6r3#2Q4c8f1k6Q4b7V1y4Q4z5p5y4Q4c8e0g2Q4z5f1u0Q4b7V1c8Q4c8e0g2Q4z5o6k6Q4z5o6g2Q4c8e0N6Q4b7f1u0Q4z5e0W2Q4c8e0N6Q4z5o6u0Q4b7U0W2Q4c8e0k6Q4z5e0S2Q4b7f1k6Q4c8e0k6Q4b7U0q4Q4z5o6W2Q4c8e0g2Q4z5p5y4Q4z5e0k6Q4c8e0N6Q4b7e0m8Q4b7U0c8Q4c8e0S2Q4b7e0N6Q4b7e0y4Q4c8e0g2Q4b7e0g2Q4b7V1c8Q4c8e0N6Q4z5f1q4Q4z5o6c8Q4c8e0y4Q4z5o6m8Q4z5o6t1`.
GIF Movie Gear4.2.3是一款GIF动画制作软件，几乎有需要 制作GIF动画的编辑功能它都有，无须再用其它的图型软件辅助。GIF Movie Gear可以处理背景透明化而且做法容易，做好的图片可以做最佳化处理使图片减肥，另外它除了可 以把做好的图片存成GIF的动画图外，还可支援PSD，JPEG，AVI，BMP，GIF，与AVI格式输出。

1.2.        受限预先查看

1.3.        运行
确实受限了，其实在推出时也恼人，弹窗不然直接退出要等下出现个按钮，点ok关闭。

1.4.        查看pe信息
貌似没有欺骗我们，没加壳


1.5.        找看看有无注册窗口Version 4.2.3


2.        定位
2.1.        程序要判断注册的对不对，首先获取输入值。
回到od，查找一些符号，这里找GetDlgItemText或者GetWindowText，这里直接找GetWindowText（因为GetDlgItemText=GetDlgItem+GetWindowText，没有找到也没关系（如LoadLibary），直接到User2.dll模块找）并且是ASCII版的。方便点的有cmdBar插件直接入下图方式下断。

2.2.        回到界面点ok按钮，断点起作用了，和预想的一样。
看看堆栈，或者直接Alt+F9执行到程序模块。


可以看到两次调用GetWindowTextA，后面一个call，入参是EDX和ECX，来自于获取到编辑框里的值的缓冲区[LOCAL.49]和[LOCAL.24]。控件1103是Name，1104是Code。
后面还有一个根据返回值来jz的，并且有创建注册表项的字符串。这也太明显了，太快了，怎么这个就不设防。。。

注册信息保存在注册表HKEY_LOCAL_MACHINE \Software\gamani\GIFMovieGear\2.0下的两个键SubKey = "RegName3"和SubKey = "RegCode3" ，过期时间来自HKLM\SOFTWARE\Wow6432Node\Loani\MG4\stamp，保存的是秒数。
new Date(0x540b1713 * 1000) = Sat Jan 17 1970 15:40:12 GMT+0800 (China Standard Time)
需要注意x64位，这里的调用，注册表会被重定向：
3:29:05.3795926 PM        movgear.exe        5756        RegQueryValue        HKCU\Software\Classes\VirtualStore\MACHINE\SOFTWARE\Wow6432Node\gamani\GIFMovieGear\2.0\RegName3        SUCCESS        Type: REG_SZ, Length: 10, Data: 苏北小麦
3:29:06.8898693 AM        movgear.exe        4380        RegQueryValue        HKCU\Software\Classes\VirtualStore\MACHINE\SOFTWARE\Wow6432Node\gamani\GIFMovieGear\2.0\RegCode3        SUCCESS        Type: REG_SZ, Length: 26, Data: mg37sfhh4045
3:29:53.9921742 AM        movgear.exe        4380        RegQueryValue        HKLM\SOFTWARE\Wow6432Node\Loani\MG4\stamp        SUCCESS        Type: REG_BINARY, Length: 4, Data: 13 17 0B 54

2.3.        注册获取窗口信息

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课