themida demo 1.1.1.0 crack logo 修改办法。。。

w406511542

关于如何修改 Cr_Themida.exe 的logo

本人也只是看了看雪论坛  ww990  的提示才发现如何修改。在此先谢谢。

此段好像是图像解码：
0059B794      60            PUSHAD
0059B795      B8 38463978   MOV EAX,78394638
0059B79A      BB 36478934   MOV EBX,34894736
0059B79F      8D3D 64646700 LEA EDI,DWORD PTR DS:[676464]
0059B7A5  |.  33C9          XOR ECX,ECX
0059B7A7  |.  BA A0860100   MOV EDX,186A0
0059B7AC  |.  EB 0A         JMP SHORT Cr_Themi.0059B7B8
0059B7AE  |>  291F          /SUB DWORD PTR DS:[EDI],EBX
0059B7B0  |.  3107          |XOR DWORD PTR DS:[EDI],EAX
0059B7B2  |.  83C1 04       |ADD ECX,4
0059B7B5  |.  83C7 04       |ADD EDI,4
0059B7B8  |>  3BCA           CMP ECX,EDX
0059B7BA  |.^ 72 F2         \JB SHORT Cr_Themi.0059B7AE
0059B7BC  |.  61            POPAD
0059B7BD  \.  C3            RETN
解码后图像保存的地方好像是：
00676464  42 4D D6 7C 01 00 00 00 00 00 36 04 00 00 28 00  BM贮.....6..(.
00676474  00 00 0A 02 00 00 B8 00 00 00 01 00 08 00 00 00  .....?......
00676484  00 00 A0 78 01 00 C4 0E 00 00 C4 0E 00 00 00 00  .._x.?..?....
00676494  00 00 00 00 00 00 00 00 00 00 00 00 80 00 00 80  ............?.?
加密前的图像数据好像也是00676464
就是还没有找到破解点，郁闷中.....

现在用 flyODBG 载入 Cr_Themida.exe 然后Ctrl+g 到  0059B794  下断 然后运行
之后选择一个EXE 加壳 等待他搞到一般左右就是会断在
0059B794  代码如上面 这里我们在贴出来下。。

0059B794   /$  60             PUSHAD //断在这 。
0059B795   |.  B8 38463978    MOV EAX, 78394638
0059B79A   |.  BB 36478934    MOV EBX, 34894736
0059B79F   |.  8D3D 64646700  LEA EDI, DWORD PTR DS:[676464]  //图片保存地址。
0059B7A5   |.  33C9           XOR ECX, ECX
0059B7A7   |.  BA A0860100    MOV EDX, 186A0       // 图片数据长度。。
0059B7AC   |.  EB 0A          JMP SHORT Cr_Themi.0059B7B8
0059B7AE   |>  291F           /SUB DWORD PTR DS:[EDI], EBX  //这个加34894736
0059B7B0   |.  3107           |XOR DWORD PTR DS:[EDI], EAX  //这个是XOR 78394638
0059B7B2   |.  83C1 04        |ADD ECX, 4
0059B7B5   |.  83C7 04        |ADD EDI, 4
0059B7B8   |>  3BCA            CMP ECX, EDX
0059B7BA   |.^ 72 F2          \JB SHORT Cr_Themi.0059B7AE
0059B7BC   |.  61             POPAD                      //解密完成。。。。
0059B7BD   \.  C3             RETN                    //其实加密的就在下面。。。。
0059B7BE   /$  60             PUSHAD               //这里是用完之后加密回去的代码。。不管他。
0059B7BF   |.  B8 38463978    MOV EAX, 78394638
0059B7C4   |.  BB 36478934    MOV EBX, 34894736
0059B7C9   |.  8D3D 64646700  LEA EDI, DWORD PTR DS:[676464]
0059B7CF   |.  33C9           XOR ECX, ECX
0059B7D1   |.  BA A0860100    MOV EDX, 186A0
0059B7D6   |.  EB 0A          JMP SHORT Cr_Themi.0059B7E2
0059B7D8   |>  3107           /XOR DWORD PTR DS:[EDI], EAX
0059B7DA   |.  011F           |ADD DWORD PTR DS:[EDI], EBX
0059B7DC   |.  83C1 04        |ADD ECX, 4
0059B7DF   |.  83C7 04        |ADD EDI, 4
0059B7E2   |>  3BCA            CMP ECX, EDX
0059B7E4   |.^ 72 F2          \JB SHORT Cr_Themi.0059B7D8
0059B7E6   |.  61             POPAD
0059B7E7   \.  C3             RETN



当代码到了0059B7BC 之后停下来看看
00676464  42 4D D6 7C 01 00 00 00 00 00 36 04 00 00 28 00  BM贮.....6..(.
00676474  00 00 0A 02 00 00 B8 00 00 00 01 00 08 00 00 00  .....?......
00676484  00 00 A0 78 01 00 C4 0E 00 00 C4 0E 00 00 00 00  .._x.?..?....
00676494  00 00 00 00 00 00 00 00 00 00 00 00 80 00 00 80  ............?.?

ww990 兄弟说得很清楚了。。 经过观察 我就可把这个从676464 开始 数据大小为97496 的取出来 保存为 BMP 文件


然后自己编辑成自己喜欢的。。。 再用2进制复制 粘回去。。。 然后在 0059B7BE 下断。。
这是加密会去的。。然就F4 到0059B7E6

0059B7BE   /$  60             PUSHAD               //这里是用完之后加密回去的代码。。不管他。
0059B7BF   |.  B8 38463978    MOV EAX, 78394638
0059B7C4   |.  BB 36478934    MOV EBX, 34894736
0059B7C9   |.  8D3D 64646700  LEA EDI, DWORD PTR DS:[676464]
0059B7CF   |.  33C9           XOR ECX, ECX
0059B7D1   |.  BA A0860100    MOV EDX, 186A0
0059B7D6   |.  EB 0A          JMP SHORT Cr_Themi.0059B7E2
0059B7D8   |>  3107           /XOR DWORD PTR DS:[EDI], EAX
0059B7DA   |.  011F           |ADD DWORD PTR DS:[EDI], EBX
0059B7DC   |.  83C1 04        |ADD ECX, 4
0059B7DF   |.  83C7 04        |ADD EDI, 4
0059B7E2   |>  3BCA            CMP ECX, EDX
0059B7E4   |.^ 72 F2          \JB SHORT Cr_Themi.0059B7D8
0059B7E6   |.  61             POPAD
0059B7E7   \.  C3             RETN

到了 0059B7E6 之后就可以保存我们就修改的部分从676464 开始 数据大小为97496 到新文件。。。 这就完成了。。。


附上隐藏logo 的办法。。。

0059B794   /$  60             PUSHAD //断在这 。
0059B795   |.  B8 38463978    MOV EAX, 78394638
0059B79A   |.  BB 36478934    MOV EBX, 34894736
0059B79F   |.  8D3D 64646700  LEA EDI, DWORD PTR DS:[676464]  //图片保存地址。
0059B7A5   |.  33C9           XOR ECX, ECX
0059B7A7   |.  BA A0860100    MOV EDX, 186A0       // 图片数据长度。。
0059B7AC   |.  EB 0A          JMP SHORT Cr_Themi.0059B7B8
0059B7AE   |>  291F           /SUB DWORD PTR DS:[EDI], EBX  //这个加34894736
0059B7B0   |.  3107           |XOR DWORD PTR DS:[EDI], EAX  //这个是XOR 78394638
0059B7B2   |.  83C1 04        |ADD ECX, 4
0059B7B5   |.  83C7 04        |ADD EDI, 4
0059B7B8   |>  3BCA            CMP ECX, EDX
0059B7BA   |.^ 72 F2          \JB SHORT Cr_Themi.0059B7AE

0059B7BC   |.  61             POPAD                      //解密完成。。。。
0059B7BD   \.  C3             RETN                    //其实加密的就在下面。。。。

在0059B7BD 下断 然后修改

00676464  42 4D D6 7C 01 00 00 00 00 00 36 04 00 00 28 00  BM贮.....6..(.
00676474  00 00 0A 02 00 00 B8 00 00 00 01 00 08 00 00 00  .....?......
00676484  00 00 A0 78 01 00 C4 0E 00 00 C4 0E 00 00 00 00  .._x.?..?....
00676494  00 00 00 00 00 00 00 00 00 00 00 00 80 00 00 80  ............?.?
006764A4  00 00 00 80 80 00 80 00 00 00 80 00 80 00 80 80  ...?.?..???
006764B4  00 00 C0 C0 C0 00 C0 DC C0 00 F0 CA A6 00 00 20  ..览?儡?鹗?.
006764C4  40 00 00 20 60 00 00 20 80 00 00 20 A0 00 00 20  @.. `.. ?. ?.
006764D4  C0 00 00 20 E0 00 00 40 00 00 00 40 20 00 00 40  ?. ?.@...@ ..@
006764E4  40 00 00 40 60 00 00 40 80 00 00 40 A0 00 00 40  @..@`..@?.@?.@
006764F4  C0 00 00 40 E0 00 00 60 00 00 00 60 20 00 00 60  ?.@?.`...` ..`
00676504  40 00 00 60 60 00 00 60 80 00 00 60 A0 00 00 60  @..``..`?.`?.`
00676514  C0 00 00 60 E0 00 00 80 00 00 00 80 20 00        ?.`?.?..?..?

修改为：

00676464  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
00676474  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
00676484  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
00676494  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
006764A4  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
006764B4  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
006764C4  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
006764D4  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
006764E4  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
006764F4  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
00676504  00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00  ................
00676514  00 00 00 00 00 00 00 00 00 00 00 00 00 00        ..............

然后让他加密回去。。。在 0059B7E7   \.  C3             RETN 下断


然后就把它保存到一个新的EXE ... 这样就可以达到 隐藏logo 的目的。。。