Mount Image Pro_5.2.8.1156 逆向分析

00759688  /$  55            push ebp
00759689  |.  8BEC          mov ebp,esp
0075968B  |.  33C9          xor ecx,ecx
0075968D  |.  51            push ecx
0075968E  |.  51            push ecx
0075968F  |.  51            push ecx
00759690  |.  51            push ecx
00759691  |.  51            push ecx
00759692  |.  53            push ebx
00759693  |.  56            push esi
00759694  |.  8BF2          mov esi,edx
00759696  |.  8BD8          mov ebx,eax
00759698  |.  33C0          xor eax,eax
0075969A  |.  55            push ebp
0075969B  |.  68 96977500   push MIPGUI.00759796
007596A0  |.  64:FF30       push dword ptr fs:[eax]
007596A3  |.  64:8920       mov dword ptr fs:[eax],esp
007596A6  |.  85F6          test esi,esi
007596A8  |.  0F84 BD000000 je MIPGUI.0075976B
007596AE  |.  6A 03         push 0x3
007596B0  |.  8D45 F4       lea eax,[local.3]
007596B3  |.  50            push eax
007596B4  |.  8D4D F8       lea ecx,[local.2]
007596B7  |.  BA B0977500   mov edx,MIPGUI.007597B0                  ;  UNICODE "charset"
007596BC  |.  8BC6          mov eax,esi
007596BE  |.  E8 ED4BEAFF   call MIPGUI.005FE2B0
007596C3  |.  8B55 F4       mov edx,[local.3]
007596C6  |.  8D43 4C       lea eax,dword ptr ds:[ebx+0x4C]
007596C9  |.  E8 9EF3CAFF   call MIPGUI.00408A6C
007596CE  |.  8BC3          mov eax,ebx
007596D0  |.  E8 E3010000   call MIPGUI.007598B8
007596D5  |.  85C0          test eax,eax
007596D7  |.  74 0A         je XMIPGUI.007596E3
007596D9  |.  F640 1C 02    test byte ptr ds:[eax+0x1C],0x2
007596DD  |.  0F85 98000000 jnz MIPGUI.0075977B
007596E3  |>  837D F8 00    cmp [local.2],0x0
007596E7  |.  75 6F         jnz XMIPGUI.00759758
007596E9  |.  BA CC977500   mov edx,MIPGUI.007597CC                  ;  UNICODE "text"
007596EE  |.  8B43 4C       mov eax,dword ptr ds:[ebx+0x4C]
007596F1  |.  E8 B649EAFF   call MIPGUI.005FE0AC
007596F6  |.  84C0          test al,al
007596F8  |.  74 5E         je XMIPGUI.00759758
007596FA  |.  8D55 FC       lea edx,[local.1]
007596FD  |.  8B43 4C       mov eax,dword ptr ds:[ebx+0x4C]
00759700  |.  E8 734AEAFF   call MIPGUI.005FE178
00759705  |.  6A 00         push 0x0
00759707  |.  B8 E4977500   mov eax,MIPGUI.007597E4                  ;  UNICODE "xml"
0075970C  |.  8945 EC       mov [local.5],eax
0075970F  |.  B8 F8977500   mov eax,MIPGUI.007597F8                  ;  UNICODE "xml-external-parsed-entity"
00759714  |.  8945 F0       mov [local.4],eax
00759717  |.  8D55 EC       lea edx,[local.5]
0075971A  |.  B9 01000000   mov ecx,0x1
0075971F  |.  8B45 FC       mov eax,[local.1]
00759722  |.  E8 D1B3E7FF   call MIPGUI.005D4AF8
00759727  |.  85C0          test eax,eax
00759729  |.  7D 11         jge XMIPGUI.0075973C
0075972B  |.  BA 3C987500   mov edx,MIPGUI.0075983C                  ;  UNICODE "+xml"
00759730  |.  8B45 FC       mov eax,[local.1]
00759733  |.  E8 70E2E7FF   call MIPGUI.005D79A8
00759738  |.  84C0          test al,al
0075973A  |.  74 0F         je XMIPGUI.0075974B
0075973C  |>  8D45 F8       lea eax,[local.2]
0075973F  |.  BA 54987500   mov edx,MIPGUI.00759854                  ;  UNICODE "us-ascii"
00759744  |.  E8 6BF3CAFF   call MIPGUI.00408AB4
00759749  |.  EB 0D         jmp XMIPGUI.00759758
0075974B  |>  8D45 F8       lea eax,[local.2]
0075974E  |.  BA 74987500   mov edx,MIPGUI.00759874                  ;  UNICODE "ISO-8859-1"

猜测网络验证找返回值，竟然断下来了，抓包数据全是加密

==================================================

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{499EA1BC-499E-499E-49OE-499EA1BC14D3}]
"ProgVersionId"=hex:49,9e,a1,bc,14,d3,3d,80,29,60,81,2d,ce,49,83,19,70,19,0c,\
  58,38,b5,c4,87,e9,a9,d9,ca,fe,96,4b,45
"Binary"=hex:ce,d1,b5,b0,31,ca,4b,05,e8,24,3f,a3,1f,0e,ce,7c,39

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{4F553791-4F55-4F55-4FO5-4F5537918C15}]
"ProgVersionId"=hex:4f,55,37,91,8c,15,c2,8d,0c,f1,51,9d,19,86,0a,b7,34,42,2e,\
  5e,48,03,e0,95,17,0e,3d,b9,09,e1,a3,9e
"Binary"=hex:73,c4,01,fa,71,bb,ed,ed,fa,a2,02,fb,4e,ac,08,4d,32,30,77,88,ec,d0,\
  57,86,ad,86,c5,f8,97,f9,03,72

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{8EE3D3E4-8EE3-8EE3-8EO3-8EE3D3E4AB65}]
"ProgVersionId"=hex:8e,e3,d3,e4,ab,65,30,de,4f,1e,a1,e8,f9,ac,96,a8,91,af,17,\
  24,16,d4,17,50,a6,ec,2d,11,93,6c,14,ec
"Binary"=hex:4d,ba,95,99,f5,67,d7,a9,f8,77,c6,d7,f2,5d,c0,13,1b,e2,f1,72,22,6c,\
  d6,0d,c9,c9,47,50,3a,02,25,bf

[HKEY_LOCAL_MACHINE\SOFTWARE\WIBU-SYSTEMS\CodeMeter\Server\CurrentVersion\CmAct]

[HKEY_LOCAL_MACHINE\SOFTWARE\WIBU-SYSTEMS\CodeMeter\Server\CurrentVersion\CmAct\ActivatedLicenses]
"bdafa5a1a0417fa41f5da2198a00ac976e3b9616"="14Apr18/10:20:16"

[HKEY_LOCAL_MACHINE\SOFTWARE\WIBU-SYSTEMS\CodeMeter\Server\CurrentVersion\CmAct\CryptIndexCache]
"{TDC_FC_5000143_MC_128_SC_4552929}"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\WIBU-SYSTEMS\CodeMeter\Server\CurrentVersion\CmAct\ErrorLogger]

[HKEY_LOCAL_MACHINE\SOFTWARE\WIBU-SYSTEMS\CodeMeter\Server\CurrentVersion\CmAct\PSNs]

[HKEY_LOCAL_MACHINE\SOFTWARE\WIBU-SYSTEMS\CodeMeter\Server\CurrentVersion\CmAct\SerialNumberMapper]
"{SNM_FC_5000143_PRODMAJ_0001_PRODMIN_0}"=hex:ff,7f,00,00,c1,e2,1f,a0

 

================================

这个软件的时间判读来源于多个部分，其中不必要的文件全是跟校验相关的，要想移植到WINPE中，可以大幅度的缩水。

 

 

下载地址：http://dd.ma/0gjeOoli