基本操作
1、 OD字符串搜索：插件 - 中文搜索引擎
2、 OD下斷點(diǎn)：Ctrl+G查找API，F(xiàn)2下斷點(diǎn)；Ctrl + N查找輸入表中所有調(diào)用API的位置，右鍵在每個(gè)命令下設(shè)置斷點(diǎn)；插件中的斷點(diǎn)工具。
3、procmon的使用：可以監(jiān)控文件、注冊(cè)表、網(wǎng)絡(luò)、進(jìn)線程信息
4、文件操作API
- CreatFileA(W)：創(chuàng)建文件
- ReadFile：讀取文件
- WriteFile：寫(xiě)入文件
- CloseHandle：關(guān)閉句柄
讀取文件：CreateFile -> ReadFile -> CloseHandle
寫(xiě)入文件：CreateFile -> WriteFile -> CloseHandle
5、注冊(cè)表操作API
- RegCreateKey：創(chuàng)建注冊(cè)表Key
- RegOpenKey：打開(kāi)注冊(cè)表Key
- RegQueryValue(Ex)：查詢(xún)注冊(cè)表鍵值
- RegSetValueEx：寫(xiě)入注冊(cè)表鍵值
重啟驗(yàn)證
在程序啟動(dòng)時(shí)驗(yàn)證注冊(cè)信息
1、 執(zhí)行流程
- 基本的執(zhí)行流程：注冊(cè)信息輸入-->程序重啟-->執(zhí)行驗(yàn)證機(jī)制-->正常執(zhí)行
- 擴(kuò)展的執(zhí)行流程：注冊(cè)信息輸入-->執(zhí)行部分驗(yàn)證機(jī)制/執(zhí)行假驗(yàn)證機(jī)制-->程序重啟-->執(zhí)行真驗(yàn)證機(jī)制-->正常執(zhí)行
??對(duì)于有經(jīng)驗(yàn)的作者來(lái)說(shuō)，可以在注冊(cè)信息輸入和程序重啟之間加入假的驗(yàn)證機(jī)制，假的驗(yàn)證機(jī)制一般比較簡(jiǎn)單，比如說(shuō)只是單純的明碼比較，當(dāng)我們輸入這個(gè)假的注冊(cè)碼時(shí)，程序一般會(huì)提示注冊(cè)成功，此時(shí)程序就會(huì)知道我們是逆向者，在程序重啟時(shí)就會(huì)假裝注冊(cè)成功，在執(zhí)行程序功能時(shí)就會(huì)報(bào)錯(cuò)或者無(wú)反應(yīng)，這就是所謂的暗樁。
2、重啟驗(yàn)證的類(lèi)型
注冊(cè)信息寫(xiě)入文件、注冊(cè)表中
3、定位關(guān)鍵代碼
- 字符串定位
利用OD掃描敏感字符串，一般出現(xiàn)的文件路徑或者注冊(cè)路徑都可能是 - 監(jiān)控工具定位
- API定位
Demo
重啟驗(yàn)證1：寫(xiě)入信息到txt
重啟驗(yàn)證2：寫(xiě)入信息到配置文件
重啟驗(yàn)證3：寫(xiě)入信息到注冊(cè)表
7829
