Видно, что код содержит переменную, которая показывает дни. Но вы помните, что нам надо найти место сравнения. Поэтому поднимаемся выше и видим надпись "evaluation copy", которая тоже говорит о незарегистрированности. Надеюсь, вы запомнили адреса, с которых начинаются эти участки: первый участок - 0044С462, второй - 0044С445. Поднявшись выше "evaluation copy", мы видим сравнение при помощи CMP. Здесь мы видим вызов функции, но ее изменение, по секрету, нам ничего не даст. Также имеется аж три перехода. Последние два нам знакомы (вспомните те адреса, которые я вас просил запомнить). А вот самый первый переход пока еще не знаком. Посмотрев на адрес "прыжка", мы видим, что он далеко пролетает наши неблагополучные участки. Поэтому, чтобы не мучиться, мы просто заменим JNE на JMP. Загружаем копию номер 1 в Hiew, два раза жмем "Enter", затем F5 и вводим нужный нам адрес. Его мы видим в W32Dasm в самом низу. Нам нужен адрес после "@Offset", и букву "h" на конце не вводим. Ввели, нажали "Ввод" и оказались в нужном месте. Теперь жмем F3, затем F2 и в появившемся окне меняем только JNE на JMP. Нажимаем "Ввод", потом F9 и F10. Теперь запускаем WinRAR, и что видим? Правильно, мы убрали упоминание о регистрации. На самом деле программа еще не зарегистрирована, мы просто убрали надпись. Дело в том, что в это место кода мы попадаем после проверки на зарегистрированность. Если не верите - взгляните на адреса, с которых мы сюда попадаем, они находятся чуть выше. А перед переходом, как я говорил, должна быть проверка - будем ее искать. Переходим по первому адресу. Для этого нажимаем Shift+F12 и в появившемся окне вводим наш первый адрес 0044B2AD. Здесь мы видим сравнение регистров BL, а выше, наверное процедура проверки на зарегистрированность. Поднимаемся до этой строки, пока она не станет выделенной, и заходим в нее, нажав на кнопку "Call". Перейдя и опустившись вниз, мы видим странные надписи, что-то типа "rarkey". Вот мы и нашли место проверки.
