Subject: [HC] BoundersCheack v4.2 追踪重点?=
Date: Wed, 25 Mar 1998 05:29:26 +0800
From: Error Free <errfree@te.fcu.edu.tw>
Organization: UnError Station
To: post@hc.ml.org

Hello !

  发一封我没有公开过的「BoundersCheack v4.2 追踪重点」, 虽然
  这个目标程式虽有点旧, 但我想一想还是发上来好了, 给需要的同
  好存档。它也不难破, 亦可当初学者的入门练习...

  顺便测试一下新的邮件账号...

> 我在追 BoundersChecker 时情况很像你的例子(Instant File Access 4.0)
> 可能是在 kernal32 时每个程式都类似 等我追到 Tlock 时就不一样了
>结果就追昏了 你要不要替我试试?

>执行 BoundersChecker 然後 open 一个执行档 就可看到注册画面!!
>p.s. BounderChecker 对於除错 C++ 程式很强 可捕捉到隐藏的错误.
>也是 softice 公司出的 不知是否能用 softice 追到?

  哈! Nu Mega 竟如此的好心, 自家的 Bcpro  并没有去防 Soft-ICE ...

  (1) 用 winice 载入 Win95 .
  (2) 执行 Bcpro.exe,  选择注册, 输入大名.
  (3) 注册码先填 78787878 <- 用此数 (78787878) 是习惯问题.
  (4) 按 Ctrl_D 进入 winice
  (5) S 30:0 L FFFFFFFF '78787878'

       WINICE 会搜出一个位址 ss:ssssssss

  (6) BPM ss:ssssssss   <- 设断点
  (7) 按 F5 把控制权还给 Bcpro.exe .
  (8) 在 Bcpro.exe 下按 OK ! 被 WINICE 拦截, 如下

xxxx:9EAA  REPZ MOVSD           ; <- 在此点拦下, 你就开始按 F10
                POP     ECX
                AND     ECX,3
           REPZ MOVSB
                XOR     DX,DX

  (9) 用 BD * 暂停以前的断点, 以後就不必再设断点了, 只用 F10  慢
      慢走就好了.

 (10) 你会经过 USER!, KERNEL32!, TLOCK32!.TEXT, 不会很久的, 所以
      F10 可以不用按很快. 看到 TLOCK32! 就注意了如下:

14F:10002124    CALL    EBX     ; 刚至 TLOCK32 应该在这附近
                PUSH    ..
                PUSH    ..
                CALL    EBP
                PUSH    EAX

  (11) 继续按 F10....

14F:10002160    CALL    EBX
                LEA     ..
                LEA     ..
                PUSH    EAX
                PUSH    ECX
                CALL    10001320 ; <- 至此用 F8 进入 CALL
                ADD     ..
---------------------------
14F:10001320    SUB     ESP,14  ; 进来 CALL 继续按 F10
                LEA     EAX,[ESP..]
                PUSH    EAX
                CALL    10001A70
                LEA     EAX,[ESP+..]
                MOV     ECX,[ESP+1C]
                ADD     ESP,04  ; <-- 至此停下来, 要看东西了!!

 (12) 用 D EAX 看 DATA WINDOW 右边的字符, 用笔抄下来吧!

      用 D ECX 时, 可以看到你刚刚打的 UNLOCK 字符.  ?

 注: 若以上没检查过时, RET 以後, 还会检查显示序号与
     「996402NMBCHK」, 这就不知道要干什麽用的了. 有
     点像是再恢复 30 天, 不过我没有认真去求证.

--
... Error Free ...

--
如欲取消订阅, 请 mailto:req@hc.ml.org , 内文写上 unsubscribe hc 即可, 谢谢.