天然码输入法

 　　加密特点：在比较注册码前，先产生另外的进程调用vxd绕过window api读指纹盘，如果没有指纹盘就不比较注册码。其实这个软件是明码比较不用脱壳的，但对dll脱壳是很多初学者还没掌握的基本技能，所以还是多此一举把trm32.ime的壳脱了。(trm32.ime说穿了就是一个dll)

　　dll壳脱的难点在于dll是动态加载的(废话!)，所以不能用loader。那么我们只好在dll的entry point加上int 3的指令了。

　　用peditor装入windowssystemtrm32.ime,可看到entry point = 0003D210;Image Base = 10000000;用peditor的FLC计算entry point(1003d210)的偏移为：00013610。再用二进制编辑器在偏移为00013610处机器码为80H的内容改为CC(即 int 3的机器码)。

　　现在运行trw2k，下命令“I3HERE ON”，打开任务条的输入法管理器。选天然码，点“属性”将激活trw2k，停在dll的入口处：

　　017F:1003D210 CC INT3

　　017F:1003D211 7C24 JL 1003D237 (NO JUMP)

　　017F:1003D213 0801 OR [ECX],AL

　　017F:1003D215 0F8581010000 JNZ NEAR 1003D39C

　　017F:1003D21B 60 PUSHA

　　017F:1003D21C BE00A00210 MOV ESI,1002A000

　　“r eip eip-1”，“d eip”，将017F:1003D210处改为80H：

　　017F:1003D210 807C240801 CMP BYTE [ESP+08],01

　　017F:1003D215 0F8581010000 JNZ NEAR 1003D39C

　　017F:1003D21B 60 PUSHA

　　017F:1003D21C BE00A00210 MOV ESI,1002A000

　　017F:1003D221 8DBE0070FDFF LEA EDI,[ESI+FFFD7000]

　　017F:1003D227 57 PUSH EDI

　　f10跟踪，来到这里：

　　017F:1003D344 95 XCHG EAX,EBP

　　017F:1003D345 8A07 MOV AL,[EDI]

　　017F:1003D347 47 INC EDI 《===EDI为引入的函数名

　　017F:1003D348 08C0 OR AL,AL

　　017F:1003D34A 74DC JZ 1003D328

　　017F:1003D34C 89F9 MOV ECX,EDI

　　017F:1003D34E 57 PUSH EDI

　　017F:1003D34F 48 DEC EAX

　　017F:1003D350 F2AE REPNE SCASB

　　017F:1003D352 55 PUSH EBP

　　017F:1003D353 FF9634DA0300 CALL NEAR [ESI+0003DA34] 〈==getprocessaddress

　　017F:1003D359 09C0 OR EAX,EAX

　　017F:1003D35B 7407 JZ 1003D364

　　017F:1003D35D 8903 MOV [EBX],EAX

　　017F:1003D35F 83C304 ADD EBX,BYTE +04

　　017F:1003D362 EBE1 JMP SHORT 1003D345

　　以上代码为恢复引入表。继续f10跟踪，来到这里：

　　017F:1003D38C EBE2 JMP SHORT 1003D370

　　017F:1003D38E 240F AND AL,0F

　　017F:1003D390 C1E010 SHL EAX,10

　　017F:1003D393 668B07 MOV AX,[EDI]

　　017F:1003D396 83C702 ADD EDI,BYTE +02

　　017F:1003D399 EBE2 JMP SHORT 1003D37D

　　017F:1003D39B 61 POPA 〈====很眼熟吧!

　　017F:1003D39C E906BBFCFF JMP 10008EA7〈====OEP

　　所以OEP在10008EA7处。在10008EA7处DUMP出文件。先看一下trm32.ime的IMTE。“MOD32 TRM32.IME”

　　可看到IMTE 为：xxxxxxxx;“PEDUMP C:TRM32.DLL xxxxxxxx”。并挂起进程“SUSPEND”。

　　回到window运行Imprec 1.3。在任务列表选rundll32.exe 点“pick dll”找到trm32.ime。输入OEP(8EA7)

　　“get Imports”可修复IAT。再“fix dump”。将产生TRM32_.DLL，把它改名为trm32.ime 即可。到此脱壳完成。

　　用dump出的trm32.ime替换原来的文件。再次运行输入法管理器。选天然码，点“属性”，将弹出MESSAGEBOX说没有指纹盘或disk serial不对。control-n激活trw2k，“pmodule”，“确定”后，回到trw2k：

　　:00401514 89442410 mov dword ptr [esp+10], eax

　　:00401518 8B442434 mov eax, dword ptr [esp+34]

　　:0040151C 50 push eax

　　:0040151D E88EFCFFFF call 004011B0 〈=====进入

　　:00401522 8BD8 mov ebx, eax

　　:00401524 3BDE cmp ebx, esi

　　:00401526 7528 jne 00401550

　　:00401528 56 push esi

　　* Possible StringData Ref from Data Obj ->"DiskSerial"

　　|

　　:00401529 68DC704000 push 004070DC

　　:0040152E B8847F4000 mov eax, 00407F84

　　* Possible StringData Ref from Data Obj ->"Disk not exists or process failed "

　　->"!"

　　|

　　:00401533 68B8704000 push 004070B8

　　:00401538 56 push esi

　　:00401539 89442424 mov dword ptr [esp+24], eax

　　:0040153D 89442428 mov dword ptr [esp+28], eax

　　:00401541 89442420 mov dword ptr [esp+20], eax

　　* Reference To: USER32.MessageBoxA, Ord:01BEh

　　|

　　:00401545 FF15C8604000 Call dword ptr [004060C8]

　　:0040154B E9A1000000 jmp 004015F1

　　注意这时是在getdiskserial.exe的领空。(也就是说trm32.ime产生getdiskserial.exe进程)。往上看，注意0040151D处的call 004011B0，在此处下断点，再次运行进入“call 004011B0”来到这：

　　017F:00401439 50 PUSH EAX

　　017F:0040143A 8D8C2488030000 LEA ECX,[ESP+0388]

　　017F:00401441 6A04 PUSH BYTE +04

　　017F:00401443 51 PUSH ECX

　　017F:00401444 6A00 PUSH BYTE +00

　　017F:00401446 6A00 PUSH BYTE +00

　　017F:00401448 6A01 PUSH BYTE +01

　　017F:0040144A 56 PUSH ESI

　　017F:0040144B FF1514604000 CALL `KERNEL32!DeviceIoControl` 〈=调用vxd

　　017F:00401451 56 PUSH ESI

　　017F:00401452 FF151C604000 CALL `KERNEL32!FindCloseChangeNotification`

　　017F:00401458 8BB42490130000 MOV ESI,[ESP+1390]

　　017F:0040145F 8A843484030000 MOV AL,[ESP+ESI+0384]

　　017F:00401466 84C0 TEST AL,AL 〈==是否有指纹盘或disk serial ?

　　017F:00401468 744D JZ 004014B7 〈==没有就跳

　　017F:0040146A 8BC6 MOV EAX,ESI

　　017F:0040144B处调用diskserial.vxd绝对读磁盘，017F:00401468处是判断。因为没有指纹盘，将此处改为nop;nop;替换getdiskserial.exe(在window的system下)。

　　再次运行，这次可以来到“属性”窗口，点“确定”可来到注册窗口，我的机器码为123456789012，输入用户名leo_cyl,注册码12121212。下断点hmemcpy,跟踪来到这里：

　　:10001FC2 8D4C240C lea ecx, dword ptr [esp+0C]

　　:10001FC6 8D542414 lea edx, dword ptr [esp+14]

　　:10001FCA 51 push ecx

　　:10001FCB 8D442434 lea eax, dword ptr [esp+34]

　　:10001FCF 52 push edx

　　:10001FD0 50 push eax

　　:10001FD1 E85A5E0000 call 10007E30

　　:10001FD6 83C40C add esp, 0000000C

　　:10001FD9 E822600000 call 10008000 《=====注意

　　:10001FDE A1ACF90110 mov eax, dword ptr [1001F9AC]

　　:10001FE3 6A00 push 00000000

　　:10001FE5 85C0 test eax, eax

　　:10001FE7 7425 je 1000200E 〈===跳的话就注册失败

　　:10001FE9 6878F10010 push 1000F178

　　:10001FEE 686CF10010 push 1000F16C

　　:10001FF3 56 push esi

　　* Reference To: user32.MessageBoxA, Ord:01B7h

　　|

　　:10001FF4 FF15A0D10010 Call dword ptr [1000D1A0]

　　:10001FFA 6A01 push 00000001

　　:10001FFC 56 push esi

　　* Reference To: user32.EndDialog, Ord:00B9h

　　|

　　:10001FFD FF1590D20010 Call dword ptr [1000D290]

　　:10002003 5F pop edi

　　:10002004 5E pop esi

　　:10002005 33C0 xor eax, eax

　　:10002007 5B pop ebx

　　:10002008 83C438 add esp, 00000038

　　:1000200B C21000 ret 0010

　　进入:10001FD9 处的call 10008000：

　　。。。。。

　　。。。。。

　　:10008038 894C2450 mov dword ptr [esp+50], ecx

　　:1000803C 89542410 mov dword ptr [esp+10], edx

　　:10008040 89442420 mov dword ptr [esp+20], eax

　　:10008044 894C2454 mov dword ptr [esp+54], ecx

　　:10008048 56 push esi

　　:10008049 6689542418 mov word ptr [esp+18], dx

　　:1000804E 6689442428 mov word ptr [esp+28], ax

　　:10008053 66894C245C mov word ptr [esp+5C], cx

　　:10008058 57 push edi

　　:10008059 8854241E mov byte ptr [esp+1E], dl

　　:1000805D 8844242E mov byte ptr [esp+2E], al

　　:10008061 884C2462 mov byte ptr [esp+62], cl

　　:10008065 E826A4FFFF call 10002490 〈======注意此call

　　:1000806A 8BF8 mov edi, eax

　　:1000806C 83C9FF or ecx, FFFFFFFF

　　:1000806F 33C0 xor eax, eax

　　:10008071 8D542410 lea edx, dword ptr [esp+10]

　　:10008075 F2 repnz

　　:10008076 AE scasb

　　:10008077 F7D1 not ecx

　　10008065 处的call将调用ShellExecuteA的window api 产生getdiskserial.exe进程。假设刚才没改getdiskserial.exe的话，有两个进程要跟踪，比较麻烦，如果非法用户的话getdiskserial将弹出MESSAGEBOX，注册失败。

　　继续跟踪来到这里：

　　* Referenced by a (U)nconditional or (C)onditional Jump at Address:

　　|:10008191(C)

　　|

　　:1000817D 8A540430 mov dl, byte ptr [esp+eax+30] 〈==这是假注册码

　　:10008181 8A4C0468 mov cl, byte ptr [esp+eax+68] 〈==正确注册码

　　:10008185 3AD1 cmp dl, cl

　　:10008187 0F851BFFFFFF jne 100080A8

　　:1000818D 40 inc eax

　　:1000818E 83F809 cmp eax, 00000009

　　:10008191 7CEA jl 1000817D

　　:10008193 5F pop edi

　　:10008194 C705ACF9011001000000 mov dword ptr [1001F9AC], 00000001

　　:1000819E 5E pop esi

　　:1000819F 81C480000000 add esp, 00000080

　　:100081A5 C3 ret

　　到此pj完成。打了那么多字，好累啊!

时间： 2024-03-05 07:37:32

天然码输入法的相关文章

XP系统内码输入法如何添加到Vista中

  XP系统内码输入法如何添加到Vista中 1:从WinXP将"c:WINDOWSsystem32WINGB.IME"和"c:WINDOWSHelpWINGB.CHM"这两个文件复制到Vista中的相同路径下,当然你也可以从其他的计算机中复制过来. 2:在运行框中输入"regedit",运行后进入注册表编辑器,依次定位至"HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlKeyboard

Win2000中文版防范输入法漏洞攻击

漏洞描述 大家都知道,在安装Windows 2000简体中文版的过程中,默认情况下同时安装了各种简体中文输入法.这些随系统装入的输入法可以在系统登录界面中使用,以便用户能使用基于字符的用户标识和密码登录到系统,在这种情况下,应限制提供给用户的功能.然而,在默认安装的情况下,Windows 2000中的简体中文输入法不能正确地检测当前的状态,导致在系统登录界面中提供了不应有的功能.进而,一些别有用心的用户可以通过直接操作该计算机的键盘得到当前系统权限,运行他选择的代码.更改系统配置.新建用户.添加

什么是仓颉输入法？

仓颉输入法 是一种常用的中文输入法,由有"中文电脑之父"称誉的台湾人朱邦复先生于1976年创制.初期只有繁体字版本,原名"形意检字法 ",用以解决电脑处理汉字的问题,包括汉字输入.字形输出.内码储存.汉字排序等.朱邦复发明此输入法时正值他为三军大学发展中文通讯系统之际,为纪念上古时期仓颉造字之精神,蒋纬国于1978年将此输入法重新定名为"仓颉输入法".1980年,与宏碁公司共同发表世上首部具有「中文操作系统.中文程式语言.中文套装软体」之中文电脑

如何给输入法设置排序方法？

  相信很多朋友都会在自己的电脑里面安装自己熟悉的输入法,这些输入法由于安装顺序等种种原因,造成输入法排序乱七八糟的,使得我们要按好多次Ctrl+Shift才能找到我们想用的输入法(当然可以给每个输入法设置快捷键,这里只讨论输入法排序问题),下面就介绍一下如何给输入法设置排序方法. 方法一:修改注册表(看起来麻烦,实际上非常简单) ①开始→运行→输入regedit,打开注册表编辑器,找到HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlKeyboar

Windows中输入法排序的解决方法

  方法一:修改注册表(看起来麻烦,实际上非常简单) ①开始→运行→输入regedit,打开注册表编辑器,找到HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlKeyboard Layouts项并展开,这里列出了电脑中所有的输入法主键名称,随便点击某项,在右边的窗口中查看Layout Text键值即可知道输入法的名称了,如下图所示: 做这一步的目的是为了查看输入法的主键名称,一般中文输入法的主键名称都是以E开头的,所以我们只要看E开头的就可以了,下面

几种输入法介绍

输入法 简介: 输入法是指为了将各种符号输入计算机或其他设备(如手机)而采用的编码方法. 汉字输入的编码方法,基本上都是采用将音.形.义与特定的键相联系,再根据不同汉字进行组合来完成汉字的输入的. 英文字母只有26个,它们对应着键盘上的26个字母,所以,对于英文而言是不存在什么输入法的. 汉字的字数有几万个,它们和键盘是没有任何对应关系的,但为了向电脑中输入汉字,我们必须将汉字拆成更小的部件,并将这些部件与键盘上的键产生某种联系. 才能使我们通过键盘按照某种规律输入汉字,这就是汉字编码. 汉字编

深蓝词库转换2.0发布——支持仓颉、注音、五笔、郑码、二笔等

经过了2个多月的改进,终于深蓝词库转换2.0版正式与大家见面了.在1.9版本中增加了对Rime拼音输入法的支持,也得到了网友的反馈,所以在2.0版本中增加了几个新功能: 一.支持多种编码的Rime输入法. Rime输入法是一款跨平台的输入法框架,在Windows下叫小狼毫,Linux下叫中州韵,Mac下叫鼠须管.这个输入法框架异常强大,支持各种常用的输入法,而且还可以通过简单的配置自定义输入法.深蓝词库转换在1.9版本中增加了对Rime拼音输入法的支持,现在在2.0中进行了增强,除了拼音外,还能

“郑码”告微软一审胜诉

本报讯微软的输入法中,使用郑码输入法10年之久,却没有支付任何费用.拥有该输入法著作权的北京中易中标电子信息技术公司以美国微软公司违法使用郑码输入法.侵犯相关知识产权将微软公司起诉.昨天,北京市一中院对此案作出了一审判决.法院认定微软公司侵权成立,判令微软公司停止生产和销售涉及侵犯中易公司知识产权的操作系统. 郑码输入法是由<英华大辞典>主编郑易里先生及其女儿郑珑共同发明的,1989年获得中国发明专利. 1992年,北京中易电子公司经郑易里先生及郑珑授权,对该专利进行使用,开发.研制.设计了符

输入法的一些小技巧_WindowsXP

微软拼音输入法超级技巧 1. 错字修改的技巧 因为微软拼音输入法的基本输入单位为语句,所以在输入语句时,发现有错别字不用忙于修正,而是在确认语句之前对整句一起修改.在输入的过程中,微软拼音输入法会自动根据上下文做出调整,将语句修改为它认为最可能的情形.往往经过它的调整,很多错误就会自动被修正了.在修改句子最好从句首开始. 2. 快速回到句首的技巧 输入完一个句子,按右方向键可以快速回到句首.因为光标移动键的作用是循环的. 3. 零声母与音节切分符 汉语拼音中有一些零声母字,即没有声母的字,例如"