Там, где кончается триал

[Tihon]

Товарищи, вот есть у меня демо-программа с триальной dll.
И есть два куска листингов трассировки, полученных Olly при почти одинаковых условиях: разница только та, что программа выполнялась сначала при живом триале (24 дня), а потом, - при просроченном (искусственно, переносом даты на месяц вперед).

В длл-ке присутвует некая функция GetInterface, внутри которой программа выкидывает окно сообщения - либо количество дней до конца, либо - "Trial expired".
После загрузки dll делаем бряк, переходим на просмотр той самой dll, а потом в ней ставим останов на начало GetInterface.
Теперь от бряка начинаю трассировать с записью лога, имея в виду получить те самые листинги, считая, что к бряку оба раза приходим одинаково. Ну, или почти одинаково...

Конечно же, до того самого окошка трассировка не добежала, - полные логи - по 60 мб...
Но где-то они начнут разбегаться?
Эти листниги начинаю сравнивать на предмет узнать, где же она "сходит с ума"?

Вот начальные фрагменты - приаттачены. Я отметил отличия.

Маленькая разница начинается на строке 143...
Кто посмотрит - скажите, что она означает?

БОЛЬШАЯ разница - на строке 173. Здесь я припух.. Для меня ниоткуда не следует, что в одном случае -

01C10000 Main     JMP SHORT 01C10005

, а в другом -

01C10000 Main     JMP SHORT 01C10004

!!! Я бы понял, - будь здесь регистр... или адрес памяти...
Но тут конкретный EIP. А отсюда программа шустро бежит в разные стороны...

Объясните, если возможно, как это получается?

ЗЫ Интересно, что Олька показывает код начала процедуры 01С10000 по разному, то "JMP SHORT 01C10003", то "JMP SHORT 01C10004", - столько, сколько раз загрузишь. А при ручной трассировке тоже чудеса. EIP, на которые ссылается этот JMP, часто просто нет в окне...

[JTG]

01C10000 Main     JMP SHORT 01C10005/4
01C10005 Main     PUSH EAX
01C10006 Main     PUSHFD

Почему после этого участка разный код? Генерируется динамически.
Ставь memory-on-write бряк @01C10000 и смотри кто и откуда туда пишет.

Разное содержимое регистров @7C8092C7 - видимо результат вызова предыдущей функции (CALL kernel32.7C8092C0 какая-то, ctrl+A нажми, если в olly, а то имён нет, нифига не понятно)

И это... Прикрой ольку чем-нибудь, HideOD например.

[SoundMan]

01C10000 Main     JMP SHORT 01C10005
01C10005 Main     PUSH EAX

Вообще по этим двум командам можно сказать, что программа чем-то запакована, так как джамп - это просто мусор.

00A996FC Main     PUSH EAX
00A996FD Main     PUSH 0
00A996FF Main     PUSH 0
00A99701 Main     CALL DWORD PTR DS:[AEA1E4]

Вот это больше похоже на переадресовочную талицу импорта. (Т.е. в данном случае по адресу AEA1E4 будет лежать истинный адрес функции).
Предлагаю пропустить программу через PEiD, а потом уже будем думать.