原创力文档- 1、本文档共8页，可阅读全部内容。
- 2、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。
- 3、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
-
. z.
【文章标题】一个骗钱软件的分析
【程序名称】伊娃2.08
【加壳保护】否
【文章作者】a8987216
【所需工具】OD??PEID
【文章说明】无技术含量,给新手看的,老鸟直接飞过无视之
方便新手，附上常用命令：
JMP 无条件跳转
JE 相等则跳
JNZ 不相等则跳
JGE 大于等于则跳
JLE 小于等于则跳
retn 返回
1.首先PEID查壳，没有加壳。
2.OD载入，软件没加壳，直接查找ASCII字符串，找到与登陆有关的信息，以下是代码片段
00426E81? ???/73 21? ?? ?? ?jnb short 伊娃2_08.00426EA4? ?卡号不为空就跳，我们改为JMP
00426E83? ?. |6A 30? ?? ?? ?push 0*30? ?? ?? ?? ?? ?? ?? ?? ?? ?? ???; /Style = MB_OK|MB_ICONE*CLAMATION|MB_APPLMODAL
00426E85? ?. |68 ?push 伊娃2_08 ?? ?? ?? ?? ?? ?? ?; |提示
00426E8A? ?. |68 ?push 伊娃2_08 ?? ?? ?? ?? ?? ?? ?; |请输入卡号!!
00426E8F? ?. |8B85 E8F7FFFF mov ea*,dword ptr ss:[ebp-0*818]? ?? ?? ?; |
00426E95? ?. |8B48 20? ?? ? mov ec*,dword ptr ds:[ea*+0*20]? ?? ?? ? ; |
00426E98? ?. |51? ?? ?? ?? ?push ec*? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?; |hOwner
00426E99? ?. |FF15call dword ptr ds:[<&USER32.MessageBo*A>>; \MessageBo*A
00426E9F? ?. |E9 9C030000? ?jmp 伊娃2_0800426EA4? ?> \8D95 F0F7FFFF lea ed*,dword ptr ss:[ebp-0*810]
00426EAA? ?.??52? ?? ?? ?? ?push ed*? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?; /s
00426EAB? ?.??E8 CCB30200? ?call <jmp.&MSVCRT.strlen>? ?? ?? ?? ?? ? ; \strlen
00426EB0? ?.??83C4 04? ?? ? add esp,0*4
00426EB3? ?.??83F8 20? ?? ? cmp ea*,0*20
00426EB6? ?? ?74 23? ?? ?? ?je short 伊娃2_08.00426EDB?? 同上，改为JMP
00426EB8? ?.??6A 30? ?? ?? ?push 0*30? ?? ?? ?? ?? ?? ?? ?? ?? ?? ???; /Style = MB_OK|MB_ICONE*CLAMATION|MB_APPLMODAL
00426EBA? ?.??8D85 F0F7FFFF lea ea*,dword ptr ss:[ebp-0*810]? ?? ?? ?; |
00426EC0? ?.??50? ?? ?? ?? ?push ea*? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?; |Title
00426EC1? ?.??68 ?push 伊娃2_08 ?? ?? ?? ?? ?? ?? ?; |卡号长度不正确，应为32个字节!!
00426EC6? ?.??8B8D E8F7FFFF mov ec*,dword ptr ss:[ebp-0*818]? ?? ?? ?; |
00426ECC? ?.??8B51 20? ?? ? mov ed*,dword ptr ds:[ec*+0*20]? ?? ?? ? ; |
00426ECF? ?.??52? ?? ?? ?? ?push ed*? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?? ?; |hOwner
00426ED0? ?.??FF15call dword ptr ds:[<&USER32.MessageBo*A>>; \MessageBo*A
00426ED6? ?
文档评论（0）