很久不见的朋友发来一条短信，给了我一个Skype的号码，叫我网上见。赶紧下载、安装、运行，迎接我是一个冷冰冰的对话框：“Skype is not compatible with system debuggers like SoftICE.”，既然不想让SoftIce下课，自然就要向Skype开刀了。
杀鸡焉用牛刀？先用Ollydbg试试，如果不行再请SoftIce出马，更何况在应用级调试中Ollydbg有更良好的操作特性。
用Ollydbg调入Skype的执行文件，先偷个懒，不去找MessageBox函数的调用点，直接寻找“Skype is not compatible with system debuggers like SoftICE”。运气不错，在“所有的参考文本字符串”中找到了该字符串，然后双击它，直接跳到了00B7CB62，往下一看正是我们要找的MessageBox！是不是很爽，像精确制导炸弹一样？代码如下：
===================================================================================
00B7CB4D . E8 F6FB89FF call <jmp.&ole32.OleInitialize>
00B7CB52 . E8 1193A6FF call Skype.005E5E68
00B7CB57 84C0 test al,al
00B7CB59 . 74 1A je short Skype.00B7CB75
00B7CB5B . 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
00B7CB5D . 68 3CDDB700 push Skype.00B7DD3C ; |Title = "Skype"
00B7CB62 . 68 44DDB700 push Skype.00B7DD44 ; |Text = "Skype is not compatible with system debuggers like SoftICE."
00B7CB67 . 6A 00 push 0 ; |hOwner = NULL
00B7CB69 . E8 C2BF88FF call <jmp.&user32.MessageBoxA> ; \MessageBoxA
===================================================================================
注意到在00B7CB59处有一个条件转移语句，如果寄存器al等于0则跳过MessagBox，赶紧在此处放置一个断点，按F9执行程序，马上在00B7CB59停了下来，我们可以看到al不等于0，CPU的Z标志位为0，je不执行跳转。要想je跳转很简单，只要在标志位Z的数值0上双击一下，Z就等于1了，可以清楚的看到je发生跳转的红色箭头了，继续往下执行，呵呵~~Skype开始执行了，只是闪了一下主窗口就因为异常而中止执行了，看来跳过了对SoftIce的检测。下面就对Skype动手术，看看能否成功。
要想跳过MessageBox可以将je语句改成jmp或者让al=0，我不喜欢硬生生的jmp，还是随着程序的脉络斯文一点，的所以我选择了后者，将“test al,al”改成“xor al,al”即可，也就是将“84c0”改成“32c0”。用十六位编辑器Skype搜索特征信息，我们不妨取长一点，搜索“84 c0 74 1a 6a 00 68”，结果令人满意，该串在全局是唯一的，把“84”改成“32”然后存盘运行，Bingo！搞定！
看来对SoftIce的判断确实是由Skype.005E5E68完成的，我们不妨进去看看，到底它是怎么检测的？重新的设置断点，进入该子程序，大步的执行就是了，反正我只是看看而已。一些熟悉的字符串闪过屏幕“\\.\SiwvidSTART”、“\\.\NTICE”、“\\.\Siwvid”、“\\.\SICE”，看来是通过SoftIce的一系列服务来判断是否安装了SoftIce。
（注：拿来做试验Skype是2.0版的，包括原版和Tom版）
