環(huán)境：

Windows xp sp3

打開(kāi)，這次的界面炫酷多了，就像輸保險(xiǎn)箱密碼。

旁邊一個(gè)“UNREGISTRIERT”表示還沒(méi)注冊(cè)

輸入個(gè)666666，沒(méi)反應(yīng)又沒(méi)有確認(rèn)按鈕，可以猜測(cè)是用timer來(lái)檢測(cè)輸入的正確性

查殼，無(wú)殼的VB程序

OD載入，繼續(xù)是查字符串：

00404A6B mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "0817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C" 00404AA3 push Andréna.00401EBC UNICODE "REGISTRIERT" 00404C88 mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "0817E747D7A7D7C7F82836D74747A7F7E7G7C7D826D817E7B7C" 00404CC0 push Andréna.00401EBC UNICODE "REGISTRIERT" 00404EA5 mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "Q817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KEZB7C" 00404EDD push Andréna.00401EBC UNICODE "REGISTRIERT" 004050C2 mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "0817E747D7AFP7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C" 004050FA push Andréna.00401EBC UNICODE "REGISTRIERT" 004052DF mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "0817E747G7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C" 00405317 push Andréna.00401EBC UNICODE "REGISTRIERT" 004054FC mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "0817E747D" 00405534 push Andréna.00401EBC UNICODE "REGISTRIERT" 00405719 mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "0817E7WOD7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C" 00405751 push Andréna.00401EBC UNICODE "REGISTRIERT" 00405936 mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "http://beam.to/cugABCDEFGHIJKLMNOPQRSTUVWXYZ1234567" 0040596E push Andréna.00401EBC UNICODE "REGISTRIERT" 00405B53 mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "0817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D8KKE7B7C" 00405B8B push Andréna.00401EBC UNICODE "REGISTRIERT" 00405D70 mov dword ptr ss:[ebp-0xAC],Andréna.004 UNICODE "0817E747$7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C" 00405DA8 push Andréna.00401EBC UNICODE "REGISTRIERT" 省略下面內(nèi)容...

這么多個(gè)注冊(cè)，隨便跟一個(gè)進(jìn)去：

00404C7D ? > \8D45 CC ? ? ? lea eax,dword ptr ss:[ebp-0x34] 00404C80 ? . ?8D8D 4CFFFFFF lea ecx,dword ptr ss:[ebp-0xB4] 00404C86 ? . ?50 ? ? ? ? ? ?push eax ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ; /var18 00404C87 ? . ?51 ? ? ? ? ? ?push ecx ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ; |var28 00404C88 ? . ?C785 54FFFFFF>mov dword ptr ss:[ebp-0xAC],Andréna.0040>; |UNICODE "0817E747D7A7D7C7F82836D74747A7F7E7G7C7D826D817E7B7C" 00404C92 ? . ?C785 4CFFFFFF>mov dword ptr ss:[ebp-0xB4],0x8008 ? ? ? ; | 00404C9C ? . ?FF15 5C104000 call dword ptr ds:[<&MSVBVM60.__vbaVarTs>; \__vbaVarTstEq 00404CA2 ? . ?66:85C0 ? ? ? test ax,ax ; 這個(gè)很樣子很熟悉吧 00404CA5 ? . ?74 4C ? ? ? ? je XAndréna.00404CF3 00404CA7 ? . ?8B45 08 ? ? ? mov eax,dword ptr ss:[ebp+0x8] 00404CAA ? . ?50 ? ? ? ? ? ?push eax 00404CAB ? . ?8B10 ? ? ? ? ?mov edx,dword ptr ds:[eax] 00404CAD ? . ?FF92 38030000 call dword ptr ds:[edx+0x338] 00404CB3 ? . ?50 ? ? ? ? ? ?push eax 00404CB4 ? . ?8D45 AC ? ? ? lea eax,dword ptr ss:[ebp-0x54] 00404CB7 ? . ?50 ? ? ? ? ? ?push eax 00404CB8 ? . ?FF15 3C104000 call dword ptr ds:[<&MSVBVM60.__vbaObjSe>; ?MSVBVM60.__vbaObjSet 00404CBE ? . ?8B08 ? ? ? ? ?mov ecx,dword ptr ds:[eax] 00404CC0 ? . ?68 BC1E4000 ? push Andréna.00401EBC ? ? ? ? ? ? ? ? ? ?; ?UNICODE "REGISTRIERT"

又是通過(guò)輸入的內(nèi)容來(lái)計(jì)算一個(gè)值，然后和那一大串字符進(jìn)行比較。

關(guān)鍵這個(gè)值是怎么來(lái)的，這次不能“goodname”了，那就“123456789”，在[ebp-2c]就可以看到你輸入的內(nèi)容計(jì)算出來(lái)的值了。

居然是“032333435363738393A”，居然只是轉(zhuǎn)成16進(jìn)制然后在前加個(gè)0而已。這樣的話搞不到一個(gè)“81”出來(lái)啊，試一下

“987654321”，結(jié)果還是一樣。那就應(yīng)該和那兩個(gè)“*”“#”有關(guān)了。換成“1#23456789”和“1*23456789”還是沒(méi)有“81”出來(lái)。

那就“9*87654321”吧，這次居然不一樣了，變成了“042341403F3E3D3C3B3A”，那“98*7654321”計(jì)算出來(lái)的結(jié)果又太大了。

終于，“87*654321”搞出一個(gè)“08F”來(lái)，這樣就可以猜出來(lái)，還是通過(guò)映射出來(lái)的字符串與字符串進(jìn)行比較。映射出來(lái)的字符串

可以肯定是16進(jìn)制范圍的，也就是“0-F”。仔細(xì)觀察用來(lái)比較的字符串，符合規(guī)定的只有兩個(gè)：

004065E4 "0817E747D7A7D7C7F82836D74747A7F7E7B7C7D826D817E7B7C“ 004054FC “0817E747D”

但是短的那個(gè)是不行的，至于原因不清楚，猜測(cè)應(yīng)該是有個(gè)長(zhǎng)度要求。

映射關(guān)系可以通過(guò)多次輸入的出（我覺(jué)得比看程序更有意思）：

1 ? ? 7B ? ? ? 5 ? ?7F ? ? ?9 ? ? ?83
2 ? ? 7C ? ? ? 6 ? ?80 ? ? ?* ? ? ?74
3 ? ? 7D ? ? ? 7 ? ?81 ? ? ?# ? ? ?6D
4 ? ? 7E ? ? ? 8 ? ?82 ? ? ?0 ? ? ?7A

參照這個(gè)表，對(duì)著上面[004065E4]的內(nèi)容，就可以得出：

74*3032589#**0541238#7412

總結(jié)

以上是生活随笔為你收集整理的160 - 11 Andrnalin.4的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺(jué)得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。