1.查壳

发现是有一个异常区段的，其实是加了个壳，像是“一键网络验证”的样子

2.查壳一下软件的特征

发现有一个弹窗，可能是MessageBoxA/W，是非常经典的MFC程序，Windows风格的弹窗

3.下断分析

断下来了

回溯就看到了软件在干什么

GetCurrentProcess是检索当前进程的伪句柄

https://learn.microsoft.com/zh-cn/windows/win32/api/processthreadsapi/nf-processthreadsapi-getcurrentprocess

TerminateProcess 是终止指定的进程及其所有线程。

https://learn.microsoft.com/zh-cn/windows/win32/api/processthreadsapi/nf-processthreadsapi-terminateprocess

那么上面的跳转jne就是关键跳了，因为它跳过了结束进程的位置

4.重启程序修改关键跳单步分析

发现执行这个call，程序立马就闪退，判断为“退出暗桩”

5.去掉暗桩

鼠标右键，NOP掉这个call即可

6.逆向成功

点击运行，发现后面没什么问题了

是一个简单的小练习

实验程序下载地址：