0167:00440347 jnz 00440375

n  Исправляем флаг нуля в окне регистров и жмём F5, вуаля – мы зарегистрированы.

P.S. Можно было в HIEW заменить этот переход на jz.

mIRC v. 6.01

Загрузить SoftICE, поставить точку прерывания на MessageBoxA.

bpx MessageBoxA

Затем заполнить поля формы и нажать «ОК». Появится окно SoftICE. Выйдем из User32.dll и затем проанализируем код, предшествующий сообщению об ошибке.

Выше вызова MessageBoxA я натолкнулся на следующий вызов функции:

push 0056d737    ; Помещается в стек смещение серийного номера

push 0056d350    ; Помещается в стек смещение имени

call 004c37b1    ; Вызов функции, которая проверяет корректность

test eax,eax     ; Проверка результата функции

jz   004c3ce1    ; !!!!!!!!!!!!!

Команду условного перехода необходимо либо обратить (jnz 004c3ce1), либо забить nop.

Адрес инструкции условного перехода следующий: 004с3с24.

Customiser

Данная программа работает определённое количество времени и потом сообщает о том, что время её использования кончилось. И больше работать не хочет – это выражается в том, что пропадает кнопка «Continue».

Начнём наше исследование с того, что взглянём, какие функции данная программа импортирует. Нас особо будут интересовать функции из USER32.dll, так как диалог, на котором была кнопка «Continue», импортируется скорее всего оттуда. Мое внимание привлекла функция – DialogBoxParamA.

Загружаем SoftICE и ставим брейкпоинт на эту функцию:

bpx DialogBoxParamA

После этого запускаем программу и сразу же всплывёт SoftICE в недрах USER32.dll, и мы поднимемся из этой функции (нажатием F12).

Протрассируем до адреса 41f8c4, и там мы заметим подозрительный условный переход, следом за которым идёт ещё один. Второй переход указывает на вызов функции EnableWindow. Становится ясно, что нам нужно перейти по этому переходу. Для этого мы инвертируем флаг нуля в SoftICE и нажимаем F5, что возвращает управление программе, и мы видим, что программа заработала.

Теперь мы должны пропатчить её. Запускаем HIEW, переходим по адресу 41f8c4 и меняем байты «75 03» на «EB 18».

После этого снимем брейкпоинт в SoftICE.

bc *

Запустим программу, нажмём кнопку «Exit», и программа не завершится, а, наоборот, запустится. Но по-прежнему будет постоянно появляться это мерзкое окно с сообщением, что время твое прошло. Поэтому мы попытаемся избавиться от него. Найдём вызов функции рисования данного окна. Получится адрес 41f89c, и там будет вызов подпрограммы из 3 байт, которые перезапишем 3 nop («90»).

Перезаписывать будем при помощи HIEW.

Вот полная информация о проведённых изменениях:

41f89c: 90 90 90

41f8c4: EB 18