ActArp算法分析
【文章标题】: ActArp算法分析
【文章作者】: Monster
【作者邮箱】: suphack@vip.qq.com
【作者主页】: http://www.hackerm.com.cn/
【作者QQ号】: 389264167
【软件名称】: ActArp
【软件大小】: 319 KB
【下载地址】: 自己搜索下载
【加壳方式】: UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo
【保护方式】: 注册码
【编写语言】: Borland Delphi 6.0 - 7.0
【使用工具】: OD+IDA+Dede
【操作平台】: WinXp
【软件介绍】: 就是一个Arp工具
【作者声明】: 原文地址：http://www.hackerm.com.cn/read.php/28.htm
--------------------------------------------------------------------------------
【详细过程】
虽然在住院，可是今天还是收到黑X第三期的样刊，心里那个高兴啊，嘿嘿，打开光盘看了一下，有个叫ActArp（ARP扫描检测程序）的工具，打开看了一下，还不错，可是需要注册（要钱），郁闷，这可不是我的作风，偶给你破了，看你还要钱不。
先用PEID检查一下，结果是UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo，嘿嘿，UPX的壳还是很好脱地，用OD载入，遇到pushad指令后直接hr esp就可以搞定，这不是本文的重点，就不具体讲了。脱完后再使用PEID检查一下，结果是Borland Delphi 6.0 - 7.0，嘿嘿，不是VB就好，最讨厌搞VB的了。
先随便注册一下看看，输入用户名，序列号，注册码后按“确定”，就会弹出一个提示错误的对话框。
既然是Delphi的，那我们可以对他进行反编译一下，我们打开Dede，把目标程序加载进去，现在我们找到了“确定”按钮的“Click”事件的RVA，是00466B30。
现在我们再打开OD来分析，把脱壳后的程序载入OD，按Ctrl+G后会弹出一个小框，我们输入刚才得到的“确定”按钮的“Click”事件的RVA，按确定后就会来到00466B30所指的代码处，我们在这里按F2下一个断点。
我们在OD中按F9让程序运行起来，还是输入刚才的用户名，序列号，注册码后按“确定”，程序就会被断在了我们刚才下断的地方，我们按F8往下跟踪几步就会看到一个jnz指令，代码如下：
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
