Es fácil, si te das cuenta el mismo dialogo que te pide el password se encuentra aquí:

00455A93  |.  FF53 28       call ds:[ebx+28]

¿como lo encontramos?, pues yo por ejemplo cuando aparece, paro el flujo directamente (F12), y luego voy retornando hasta ver el bucle de la ventana (en este caso por ser delphi es fácilmente reconocible).


entonces metes un BP justo debajo del JE y parará cuando termines con la ventana.. de ésta manera irás retornando hasta llegar justo debajo del CALL que te dije.

Entonces si te fijas ves que hay varias comparaciones:


tomando como referencia ésta:

00455A75      807B 26 00    cmp byte ptr ds:[ebx+26],0

pones un BP ahi reinicias y verás que compara un solo byte de una direccion. Que si le metes un HBP on access al inicio te darás cuenta que hay una línea que mueve un 00 al principio y le pones un 1 y queda registrado..

otra manera de llegar sería:


ahi se hace la misma comparacion.


Salu2..

joer, pero si es el byte ese XD, pro no se porque lo pone a 0 xD, mañana lo miro, pro amos, los cambios esos son pa lo mismo al fin y al cabo .

Salu2..

Bueno como vi que dijiste que no te hacían caso, lo miré por encima, no os centréis siempre en la verificación de User & Pass, cualquier tipo de limitación es condicionada... prueba dejando esto así:

00455A20      C646 26 01    mov byte ptr ds:[esi+26],1

con ese byte registras el programa.

Salu2..

Que manía tenéis con el VB... el VB nunca son casos reales, probad con c, delphi o asm..

GetTickCount simplemente te da el tiempo trascurrido desde que se inició windows, y se utiliza para generar valores aleatorios, como muchas API... Así que dudo que esa tenga que ver mucho en un número de serie.

Salu2..

bueno, si no sabes mucho de VB te recomiendo el VB Decompiler Pro.

Salu2..

decompilar y compilar no es realmente posible, solamente una orientación y si quieres lo haces a mano, pero un programa que lo haga, al menos que yo sepa, de momento no existe.

Salu2...

y bueno, si, jcxz ocupa 2 bytes.


Fuente: http://jsimlo.sk/docs/cpu/index.php/jcxz.html

Será un error de hutch, porque el opcode de JCXZ es "67 E3" y el de JECXZ es "E3".

Salu2..

Le das al boton derecho en la ventana de desensamblado por ejemplo, y vas a "Appearance - Highlighting (o algo así xd) - Christmas All.

Aunque lo puedes poner tu a tu gusto.

Salu2...

Bueno, ten en cuenta que es el compilador el que asigna según el tamaño de la variable los espacios de las secciones así como de todo el código. Quiero decir que o te haces un injerto o añadir será algo bastante complicado.

Salu2..