逆向学习：crack me之Acid burn.exe

首先使用dumpbin.exe 查看该程序是64位还是32位。

这里确定程序是32位程序，然后使用x32dbg打开该程序。
首先尝试逆向serial：

先什么都不输入，点击验证看看会出现什么：

在这里看到点击验证出现了一个模态提示弹窗。我们知道当出现模态弹窗时，程序代码应该卡在模态弹窗那句直到返回。此时使用xdbg32让程序暂停：

此时程序暂停后，查看调用堆栈以确定程序卡在哪句用户代码：

我们可以看到调用来了messagebox 出现弹窗，那么接下来就是查看 在哪里调用的Messagebox，以及提示的内容。

根据MessageBox的参数含义，我们知道显示的文本，是来自于 edi,esi 参数，在往上看edi,esi 参数的值来自于 ecx,edx, 而当前函数的ecx,edx的值来自于上层调用。
所以我们需要再转到上层调用处分析。


依据上图代码的分析，此时jne acid burn.42F4F1 是关键跳转，然后看到在跳转之前调用了一个函数，然后再跳转。那么猜测这个是比较输入内容的函数。于是乎，更进该函数查看下实现，在 进入0x004039fc函数后，右键选择流程图，如下展示：

对上图的代码分析，其实就是字符串比较是否相等，关键提示点是 最开始的[esi-4]、[edi-4]表示的是长度。
所以，以上代码应该是 先调用0x004039fc函数比较两个字符串是否相等。相等则不跳转到弹出失败的地方。所以 此时在调用0x004039f函数处下一个断点，再尝试一次，应该就能获得答案了。


当断点断下来时，查看答案为：Hello Dude!。 接下来输入验证下：

至此，这个serial算是获得了。

总结

整个过程可分为3步：

1. 尝试验证serial，出现弹窗时，选择暂停程序
2. 观察调用堆栈，以定位调用处
3. 分析调用处相关逻辑，以获得serial.