LogSee软件分析

小生我怕怕第二课，破解分析LogSee软件

前言

很老的程序了，支持QQ聊天记录解密，其实QQ聊天记录主要是加密的sqlite，hook到密钥就能解密，这其实并不难很好实现，目前主要是实现对LogSee软件的注册破解练习。

分析

查壳

用OD载入口发现入口点不是正常的OEP，看特征应该是TMD的WL虚拟机加密壳，部分核心代码应该是被VM虚拟化了。

分金定穴

遇到这种强加密的壳，并不用怕，为什么要怕他？就是淦，带壳破解。

首先思路是找字符串关键字未注册，然后在关键字附近下断点，查看是否有JZ 等跳转语句即可。

右键->查找所有常量->0x47BA30 ,差不多会得到如下的所有匹配结果。

//查找所有常量返回的结果
00408558   cmp dword ptr ds:[0x47BA30],ebx
00408768   mov dword ptr ds:[0x47BA30],ebx
00409460   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001
00410B7E   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001
00410F3F   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001
00411186   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001
004114BF   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001
004117FE   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001
00411EDC   cmp dword ptr ds:[0x47BA30],ebp
004123E7   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001
004126F8   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001

//主要关心这两句赋值的语句，影响了全局变量的内容，从而影响了比较判断跳转。
00412A6F   mov dword ptr ds:[0x47BA30],0x1           ds:[0047BA30]=00000001
00412CF6   mov dword ptr ds:[0x47BA30],0x1           ds:[0047BA30]=00000001
/////////////////////////////////////////////////////////////////////////////
00414278   cmp dword ptr ds:[0x47BA30],0x0           ds:[0047BA30]=00000001

00412A6F 地址处汇编代码

//这里面的Call 返回值eax是否为0直接影响了 全局变量的赋值，
//所以这个Call是爆破方式一的关键点！
00412A66    E8 C5410000     call LogSee.00416C30
00412A6B    85C0            test eax,eax
//如果eax是0的话就跳转到下一句，不进行赋值操作。
00412A6D    74 0A           je short LogSee.00412A79
//查找所有常量处跳转至此.
00412A6F    C705 30BA4700 0>mov dword ptr ds:[0x47BA30],0x1
00412A79    85F6            test esi,esi
...

下断后将原来的汇编代码修改如下，然后F9继续运行 即可完成方式一爆破！

//原本汇编
00416C30    81EC A4000000   sub esp,0xA4                             ; 爆破方式一：关键Call
00416C36    A1 D4664700     mov eax,dword ptr ds:[0x4766D4]
...

//修改后
00416C30    B8 01000000     mov eax,0x1                              ; 爆破方式一：关键Call
00416C35    C3              retn
...

Amazing

爆破方式二：

爆破方式三：