OllydbgIda特别版通达信公式密码及导入公式密码.docVIP

Ollydbg Ida 特别版通达信公式密码和导入公式密码 本文来自：理想论坛 作者：从云龙 浏览：23329次　 -------------------------------------------------------------------------------- 原文：/viewthread.php?tid=4452396 理想原创首发(2011.11.2 14:38) 很久以前也用OD做过通达信的公式特别版，但后来一直没怎么分析了， 昨天闲的无聊，对通达信的公式密码部分再次分析了一下。分享一下。 Ollydbg+Ida 特别版通达信公式密码和导入公式密码 第一部分： 1:用ollydbg打开通达信可执行程序；由于通达信有一些反调试的检查，所以点插件，HideOd，option，打钩，点OK。 2:由于在通达信运行过程中，还有一处检测调试的。所以在右下角输入命令，下断点 bp EnumWindows，回车 3:点F9，正常运行通达信，不一会中断到EnumWindows函数断点 4:在红色这行点F2，取消断点，红色栏消失。然后一直单步F8，返回到TdxW程序领空。 5:在Jnz 00507B1B上，双击鼠标，跳出汇编窗口，输入nop，点汇编，最后F9，让通达信正常运行。（此时反调试已经全部解决。） 第二部分： 解决完反调试，通达信可以在Ollydbg调试状态下正常运行。则开始公式密码的特别版 1：原理：通达信是MFC程序，使用的DLL是MFC42.dll，他的公式管理器是在消息循环下的。由此，我们可知在弹出密码框，输入密码后，点击确定时，该MFC流程为CCmdTarget::OnCmdMsg -AfxDispatchCmdMsg(下图为一实验程序，显示MFC的流程) 2：知道点击按钮时，关键MFC的调用为CCmdTarget::OnCmdMsg -AfxDispatchCmdMsg，则我们先要确定AfxDispatchCmdMsg函数的位置。先点查看，可执行模块，显示出MFC42.dll的路径（招商证券的mfc42.dll在程序文件夹里面，而国泰君安的mfc42.dll则在系统目录里面） 3:使用IDA，打开该路径的mfc42.dll，弹出以下框，是告诉你它要去下载MFC42.dll的PDB符号文件，点yes，它会自动把正确版本的符号文件给下载下来。等下载符号文件并且分析完毕后，然后我们输入CCmdTarget::OnCmdMsg，来查找该函数 4:定位了CCmdTarget::OnCmdMsg函数的位置，在该函数中，大概往下找20-50行，找到调用_AfxDispatchCmdMsg函数的地方。可知该位置地址为6BC422A9，得到下断点的关键地址。 第三部分： 1:正常使用通达信，打开公式管理器，选择指标，点修改，弹出密码保护。在密码中随便输入数字，如778899。不要点确定。 2:在OD中下断点 bp 6BC422A9，然后点击通达信密码保护的确定按钮，则立刻在6BC422A9中断 3:在红色栏上点F2，取消断点，然后一直按F7单步，按十几下左右，会走到Tcalc领空。 4:走到Tcalc领空后，改按F8单步，同时注意看右边寄存器的窗口。当单步走到黑色栏的位置，则EAX是你随便输入的密码。而ESI则显示了该指标的真正的密码112233。 5:下图为指标公式密码正确和错误时，所进行的跳转。但不要修改Je 为jmp，因为我这里测试的时候，修改jmp后，则显示的指标公式为乱码。 第四部分：导入公式密码的特别版 1:正常使用通达信，打开公式管理器，点导入公式，选择导入公式，弹出密码保护。在密码中随便输入数字，如778899。不要点确定。 2:在OD中下断点 bp 6BC422A9，然后点击通达信密码保护的确定按钮，则立刻在6BC422A9中断 3:在红色栏上点F2，取消断点，然后一直按F7单步，按十几下左右，会走到Tcalc领空。 可以看出，导入公式的密码保护函数，和指标公式的密码保护函数，都是1004ECC0，都是一个函数。（所以，我们可以越过第2步，只需要在1004ECC0下断点，即可直接断在Tcalc领空。） 4: 走到Tcalc领空后，改按F8单步，当按十几下单步后，会看到检测跳转的。 修改代码，让导入公式密码检测失效。 双击je short 1004EDE2，修改为jmp short 1004EDE2，点汇编。 然后以后不管怎样输入密码，都会认为是真密码。 5：导入公式成功后，若其导入的指标公式也是加密的，则照第三部分的做法，直接在1