171013 逆向-Reversing.kr（AutoHotKey2）

1625-5 王子昂 总结《2017年10月13日》 【连续第378天总结】
A. reversing.kr
B.

AutoHotKey2

解压出来又来了ReadMe
不过这次比较简单，翻译一下是要求让程序正确运行即可

查壳发现又有UPX，upx -d脱下后就能进IDA静态分析了

先运行试试，发现报Exe Corrupted，跟AutoHotKey一样嘛，应该还是自校验吧~
那我看看源程序，结果还是报这个错
这样就没法像AutoHotKey一样借源程序便利啦，不过也对，这次要求是正常运行而不是找数据了嘛

那么乖乖分析自校验的位置吧~
IDA查找字符串，发现有两处引用

那么在OD中弹窗出现时按F12暂停，然后ALT+K查看调用堆栈就能找到具体的call了

锁定sub_4481e0中的call sub_4508c7

返回值1时将错误提示字符串提供给了sub_43C205，大概率就是弹窗调用了

直接爆破仍然会报错，再爆破报错的地方就直接结束了╮(╯_╰)╭

所以只好按部就班过自校验啦
虽然不明白这几个参数是哪来的，不过我们可以先分析一波~

要求Return 0，因此不能落入Label_18和Label_19中关闭文件句柄并return v13
只有函数的最后一行才有return 0~

基本过程跟AutoHotKey一样