到一些黑客站点上转转，发现那些最受欢迎、点击次数最多的文章都是一些“教菜鸟使用木马”“入侵初级教程”之类文章，而“Outlook Express HTML邮件超长字节href值缓冲溢出缺陷”“PHP fopen()函数易遭到CRLF Injection攻击”这种文章却乏人问津，尽管这或许才是真正高手所关心的。 z}B 8&*>
N8k= c3|
现在看雪论坛上后一种文章逐渐增多，当然是因为大家的水平都提高了，但也给刚入门的菜鸟带来了麻烦，来了之后什么也看不懂，在高手看来不是问题的问题常常困扰新手们很长时间：为什么这里是关键跳转，那边是重要CALL？为什么有的CALL要跟进，有的CALL只需带过？我按照高手所写的一步步做下去成功了，可为什么要这样做呢？我想更有不少人好不容易破了一个明码比较的软件，想贴出来又怕为高手所不屑而做罢。 I3b*sx$
)Vrp<"v
因此我找了一个非常简单的CrackMe（如果你是高手，只静态调试应该就可以搞定了:)），从头到尾仔仔细细地写出了分析过程，在里面加入了些我认为应该注意的地方，希望能对刚入门的朋友有些帮助。我不是什么高手，最多算是破解得熟练一点儿了而已，也许这样才更能了解新手们的难处吧。 ,qo^G0XO
~wF3$H.@;
这里我用W32Dasm作为静态反汇编的工具，各位可能有用C32Asm或者其他的，基本功能其实应该差不多。 /d">}% Jn
^TjC
先胡乱输入用户名和注册码，点"Check the Serial"，看看错误信息是什么（如果出现“注册码正确”的话就别在这儿看了，赶紧买彩票去:D）好出来了，“This serial is *NOT* Valid!! Try again... : UNREGISTERED”。 xK)<7 63q>
W}"tf
L8
好了运行W32Dasm把它反汇编，在串式参考(string reference)中找吧，注意当字串较长时有时不能完全显示，这时只要找前面一段就行了，比如这次就是，找到"This serial is *NOT* Valid!! Try "，就是它了，双击来到引用该字串的地方。（PS：有时错误信息在代码中会不止一次出现，这时只要多次双击就能找到其他的地方。） !`4i e
/ er{sKVX<
下面我要引用代码了（这是在W32DASM里的形式，如果你用OD或SI动态跟踪时形式会略有不同）。不要被这么多代码搞晕了，建议先跳过代码看我的后面的说明，再从代码中对照。 _L` uC jA
UZmUYSu;
E2t& @t%W
代码:-------------------------------------------------------------------------------- 6uKth mr
* Possible Reference to Dialog: DialogID_0001, CONTROL_ID:0066, "" Wd+G)Mu_=
| $aB`A$'hK
:00401085 6A66 push 00000066 ;输入用户名的文本框ID &/2+'wCp5
:00401087 53 push ebx ;对话框句柄 f Ayh9
f2pA+j5[
* Reference To: USER32.GetDlgItem, Ord:0000h b<#zgf
| (3Xs
:00401088 E8159C0000 Call 0040ACA2 ;得到文本框句柄 :is2 &-|x
:0040108D 6A64 push 00000064 ;得到字符串的最大长度 zBwqI JfM
:0040108F 8D9548FFFFFF lea edx, dword ptr [ebp+FFFFFF48] "VHT5k
:00401095 52 push edx ;EDX是存取字符串的地址 $ cuBd
:00401096 50 push eax ;EAX是上面得到的文本框句柄 R.l !KIq
!FyO 5`v
* Reference To: USER32.GetWindowTextA, Ord:0000h J7oj@Or9
| " W {rS4L
:00401097 E8129C0000 Call 0040ACAE ;得到用户名,在[ebp+FFFFFF48] F
Pjc;zNA
uHbbPtk
* Possible Reference to Dialog: DialogID_0001, CONTROL_ID:0068, "" 'rFLG+W
| 1:M'|uc
:0040109C 6A68 push 00000068 ;同样的操作,输入注册码的文本框ID =B'Y x
:0040109E 53 push ebx
lX/7
TNeL%s?B3
* Reference To: USER32.GetDlgItem, Ord:0000h r 4gLoHD)
| 5 3pfo:1'
:0040109F E8FE9B0000 Call 0040ACA2 WLh!L='{BK
:004010A4 6A64 push 00000064 Dp#2 7Yzc
:004010A6 8D8DE4FEFFFF lea ecx, dword ptr [ebp+FFFFFEE4] NU {eoqaT
:004010AC 51 push ecx \k6OP
:004010AD 50 push eax [xGL0Z%)t
i ? #U>0!
* Reference To: USER32.GetWindowTextA, Ord:0000h [Q6$$z92Q
| A q(,
:004010AE E8FB9B0000 Call 0040ACAE ;得到注册码,在[ebp+FFFFFEE4] #L*MMC"
u V'C_H
* Possible Reference to Dialog: DialogID_0001, CONTROL_ID:0067, "" X C 390t
| -wNhbV2
:004010B3 6A67 push 00000067 ;这个是最下面的提示的文本框的ID 4`r-*Lx
:004010B5 53 push ebx eD^ (*a>(
7 Z%r8oj\n
* Reference To: USER32.GetDlgItem, Ord:0000h f|yq~3x)
| : :/vDUDc
:004010B6 E8E79B0000 Call 0040ACA2 ;得到句柄 g$# JdN
:004010BB 8BF0 mov esi, eax ;放在ESI备用 _.,"`U; H
:004010BD 8D8548FFFFFF lea eax, dword ptr [ebp+FFFFFF48] L'>0E(D
:004010C3 50 push eax ;指向用户名 AIA4c"w.EO
:004010C4 E867050000 call 00401630 ;得到用户名长度 )L, Nh~
:004010C9 59 pop ecx 5*$z4O:Aa
:004010CA 8945D8 mov dword ptr [ebp-28], eax ;长度放在[ebp-28] ADA* w 1
:004010CD 8D95E4FEFFFF lea edx, dword ptr [ebp+FFFFFEE4] m W4tW
:004010D3 52 push edx ;指向注册码 M:K4o%
:004010D4 E857050000 call 00401630 ;得到注册码长度 P?iQ{x}w~
:004010D9 59 pop ecx k@2@%02o9C
:004010DA 68EAB04000 push 0040B0EA 0:>C v <N
:004010DF E84C050000 call 00401630 Ng1[y4R}
:004010E4 59 pop ecx -/6Ms%O
:004010E5 680EB14000 push 0040B10E Y2y =
P
:004010EA E841050000 call 00401630 =Xb:.
:004010EF 59 pop ecx ]B-3Lh
:004010F0 837DD803 cmp dword ptr [ebp-28], 00000003 st(Y{Gs
:004010F4 7E7B jle 00401171 ;用户名长度不能小于等于3 eP|hxqM&9
:004010F6 90 nop #TY[\$ BHs
:004010F7 90 nop ~2U5Wt
:004010F8 90 nop Tn\59 (
:004010F9 90 nop \EeK <)4:
:004010FA 33C9 xor ecx, ecx C]%}L%,
:004010FC 33D2 xor edx, edx (C8r^m|A
:004010FE 33DB xor ebx, ebx )u_[cE JHO
:00401100 33C0 xor eax, eax W q>qso
:00401102 837DD832 cmp dword ptr [ebp-28], 00000032 ST^{?Q
:00401106 7D69 jge 00401171 ;用户名长度不能大于等于32h AG<TY<nqL
:00401108 90 nop Fpf-Fa-K\b
:00401109 90 nop C*,PH!$k
:0040110A 90 nop _f~m&="T!
:0040110B 90 nop g|V0[Hnq6
5 iP{)
* Referenced by a (U)nconditional or (C)onditional Jump at Address: >qjV(_?F -
|:0040111C(C) LuW^Ga"E
| rA#Ji~
:0040110C 0FBE840D48FFFFFF movsx eax, byte ptr [ebp+ecx-000000B8];依次取用户名的字符 [I7([l1Wvd
:00401114 41 inc ecx ;ECX为循环变量 0}y-DCuQ
:00401115 33C1 xor eax, ecx ;取的字符与循环变量XOR Qp]-4%^Vz
:00401117 03D8 add ebx, eax ;把结果累加到EBX 2k3 yf_N
:00401119 3B4DD8 cmp ecx, dword ptr [ebp-28] ;循环变量与用户名长度相比 rC df*;
:0040111C 75EE jne 0040110C ;如果未取完就跳回继续 &24z`ZS[w6
:0040111E 6BC006 imul eax, 00000006 ;最后一轮计算的结果在EAX, 乘6 F|t_&$Is?
:00401121 C1E307 shl ebx, 07 ;前面累加结果左移7位 0ge^p O\Z
:00401124 03C3 add eax, ebx ;相加 = 3Hv
:00401126 8945C8 mov dword ptr [ebp-38], eax :Y ;\1J<b1
:00401129 FF75C8 push [ebp-38] ;把上面结果压栈 eEG]JH
F"M$ "rC]
* Possible StringData Ref from Data Obj ->"%lX" Rr>h8Ni <
| ! HP/`R
:0040112C 6838B44000 push 0040B438 ;一个转换的标识 *PVv =SU
:00401131 8D8D80FEFFFF lea ecx, dword ptr [ebp+FFFFFE80] {Q la4 U
:00401137 51 push ecx ;存放转换结果的地址 gwepaW
:00401138 E8873D0000 call 00404EC4 ;数字转为十六进制字串 W^^}-9
:0040113D 83C40C add esp, 0000000C M% NapK
:00401140 8D8580FEFFFF lea eax, dword ptr [ebp+FFFFFE80] YQ+Kl[ ec
:00401146 50 push eax ;上面转换的字串 s *B-|
:00401147 8D95E4FEFFFF lea edx, dword ptr [ebp+FFFFFEE4] t[ZumQ@HC
:0040114D 52 push edx ;假注册码 dIR6dI
+ i[w& P
* Reference To: KERNEL32.lstrcmpA, Ord:0000h CXs i
| 6GD Uo} .
:0040114E E8339C0000 Call 0040AD86 ;比较 =/Dp*
:00401153 85C0 test eax, eax Qp?n0WXZ
:00401155 750D jne 00401164 ;这里就是关键的跳转 r]=3aebR.
.F~EQ %
* Possible StringData Ref from Data Obj ->"Congratulations! IF this number " S %"7`xl
->"comes *FROM YOUR* keygen, Write " `f^`i~c\
->"a tutorial dude ;)." >Q~"/-bN)
| iDO~G($C
:00401157 683CB44000 push 0040B43C ;指向表示成功的字符串 g"3h#SMb
:0040115C 56 push esi ;ESI还记得么?那个提示文本框的句柄 *ihg'
ubhem(p#
* Reference To: USER32.SetWindowTextA, Ord:0000h Jz#ZDZkm
| ?.A6HrAPB
:0040115D E8289B0000 Call 0040AC8A ;显示出来 f tq~AF
:00401162 EB18 jmp 0040117C pAmTwe
_>5BFQ_
* Referenced by a (U)nconditional or (C)onditional Jump at Address: a~ REFy
|:00401155(C) AmSJ!mTd8o
| B0 Z~L){i
"_ )
* Possible StringData Ref from Data Obj ->"This serial is *NOT* Valid!! Try " `T9<}&=!
->"again... : UNREGISTERED" +N4h
Q"
| Y,m H ]
:00401164 6890B44000 push 0040B490 ;开始时停在这句，向上找跳转 `bC_J,>_
:00401169 56 push esi ;ESI提示文本框的句柄 hG us!p"lw
>Ft jrEB
* Reference To: USER32.SetWindowTextA, Ord:0000h 3\@6i'
| I3s}t$`y(
:0040116A E81B9B0000 Call 0040AC8A hcaH
:0040116F EB0B jmp 0040117C +vbNZqwz
jY?%LY@5I
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses: "{0kg'fU
|:004010F4(C), :00401106(C) E{Q^ZSV3B
| Ahebr{u
Aio0++ r-
* Possible StringData Ref from Data Obj ->"Name must contain more than 4 " [}AcCXg`L
->"chars and less than 50 chars !!" 54) }^ftY^
| i gQyn|
:00401171 68C9B44000 push 0040B4C9 ;用户名不符合要求跳到这里 <St`"H
:00401176 56 push esi ;ESI提示文本框的句柄 ,#m\ W8j
C eg6 o &^
* Reference To: USER32.SetWindowTextA, Ord:0000h EagI )W!s[
| d8K^`k+x
:00401177 E80E9B0000 Call 0040AC8A SVHtv0Nx
&, )tD62s
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses: cP
Y^Bf5)
|:00401162(U), :0040116F(U) XU54skN
| GQQ!3LwP\O
:0040117C 5F pop edi =sm(Z ;"
:0040117D 5E pop esi ^q6~xC,/
:0040117E 5B pop ebx v 7R&9kU{
:0040117F 8BE5 mov esp, ebp Ob6vg^#
:00401181 5D pop ebp ;整理一下返回了 Gg+>_b{S5T
:00401182 C3 ret F,
"x~C
-------------------------------------------------------------------------------- y\[=#g1(@
双击后光标停在401164这一句。很明显，如果我们来到这句时我们就死翘翘了，而如果我们的注册码正确的话当然不会来到这一句（废话太多了:p）那么这一句上面就肯定会有一个条件跳转的指令。（这是找爆破点时的基本思想）向上找找看，找到了： `4=b|N+b"
40<&0n n
:00401155 750D jne 00401164 0b4O J[
D)_Ei'+*l
正好跳到401164错误信息那一句。呵呵，如果你想爆破的话，只要把750D改成740D（je,把条件反过来，注册码错误就显示正确信息:D）或者改成EB0D（jmp,无条件跳转，不管三七二十一就正确）。 y AWDk0bx
UyQn onS
OK，我们不能满足于此啊，咱们看看它的算法是怎样的，也像那些神秘兮兮的高手似的写一个注册机出来。:D g|P hNo
{ZcZ\ Q;6
我先给各位补一点课，就是对函数的调用。除了一些DELPHI程序之外，对函数参数的传递大都用堆栈来完成，简单地说就是把函数的各个参数先PUSH进去，然后再CALL这个函数。在函数内部呢，一般[ebp+8]是第一个参数，[ebp+C]是第二个参数，每次多加4依此类推。而函数内部的局部变量常用[ebp-4][ebp-8]...等等。（原因讲起来有点复杂，先记住就行了）函数的返回值在EAX里。 cGp^;> ]M
kslN _\
一般来说，软件的判断注册部分都是一个函数，在函数开头最经典的两句就是 tX251S
h,x]
push ebp :~(im_r
mov ebp,esp L3AwL)I
gnXjd}
这和堆栈处理有关，我们菜鸟先不用太明白，知道这通常是一个函数的开始就行了。向上找找有没有丫，找到了没有，在最上面哪（我上面没有列出来）。如果你想完整地判断它的算法的话，一般从这里开始就行了。在这个程序中前面都是一些初始化之类的东东，所以我把前面一部分省略了。（这也是破解时的原则，不要在无关紧要的地方费功夫，在高级语言中，代码有很大部分是机器自动生成的，电脑一行行写代码不知道累，人脑一行行读代码怎么受得了？你的脑袋是几GHz的CPU？常见有些没有破解经验的汇编高手，完全懂得每行代码的意思，就是找不到关键的地方，原来他跟了半天都是在API里转，白做无用功了。） ^NDX4 d;
U3}R^W~eb
好了，现在可以动态调试了。我们在开头这里下个断点，一步步向下看，出现了一个CALL GetDlgItem，我们来看一看函数说明（手头一份这个是必需的） rHlF& ET
(5 ~C
_Y
HWND GetDlgItem( Rs`a@ Fn
HWND hDlg, // handle of dialog box 8(>.^667
int nIDDlgItem // identifier of control |xVCl<{F%
); ` l2q G#
sw|:Z(`
呵呵，简单的说这个函数就是让程序确定一个对话框上的控件，第一个参数是对话框的句柄，第二个参数是对话框上某个控件的ID，函数会返回该控件的句柄，这样在下面就可以用这个句柄来操作了。看程序： cO,V8#H
<im<(=m9
@@83PJFid
代码:-------------------------------------------------------------------------------- n=? 0g;1!
* Possible Reference to Dialog: DialogID_0001, CONTROL_ID:0066, "" hFMst% :y$
| <z uE=0P~%
:00401085 6A66 push 00000066 ;控件ID *ldMr{s<R
:00401087 53 push ebx ;对话框句柄 5 xDN&su
UMuuf6
* Reference To: USER32.GetDlgItem, Ord:0000h ~9r!m5ws
| U}w+`ZLN
:00401088 E8159C0000 Call 0040ACA2 1/ pA/UVO
-------------------------------------------------------------------------------- +xfW`[.{
看见第一行没有，DialogID_0001,CONTROL_ID:0066，压进去了一个66作为第二个参数：控件ID（注意API调用是从右至左，也就是最后面一个参数先PUSH），用 资源查看工具 看看ID为66的是甚么呀，呵呵就是那个输入用户名的文本框嘛。好了，现在我们有文本框的句柄了，存在EAX里。接着向下看，又一个API，是GetWindowText。看看说明： +}Q BzG W`
VS|( "**
int GetWindowText( rEyz|k:
HWND hWnd, // handle of window or control with text [OZ=iz.
LPTSTR lpString, // address of buffer for text z5` 8G =A
int nMaxCount // maximum number of characters to copy 0[:9 Hb6
); D!}K)T1~R
qC1U&b#MVx
从名字也能猜出来了，这个函数就是得到一个窗口类控件的文本。第一个参数是该控件的句柄，第二个是存放得到的文本的缓冲区的地址，第三个参数设定取文本的最大长度。看程序： .L7Yf+yFg
j\'+wVy o
代码:-------------------------------------------------------------------------------- oY%"2PW1B
:0040108D 6A64 push 00000064 ;最大长度 b>QM~mq3^I
:0040108F 8D9548FFFFFF lea edx, dword ptr [ebp+FFFFFF48];把[ebp+FFFFFF48]先放在EDX里 "65||[= 8
:00401095 52 push edx ;缓冲区地址[ebp+FFFFFF48] =0h|yjnL/
:00401096 50 push eax ;EAX？是上面那个API的返回值呀，控件句柄 6KEykw
j
^p 2.UW
* Reference To: USER32.GetWindowTextA, Ord:0000h *O+R|Cdp/
| #9D/jYK1X
:00401097 E8129C0000 Call 0040ACAE d $fvg8^
-------------------------------------------------------------------------------- \[hn]@ @
好了，现在 D ebp+FFFFFF48 看看，是不是输入的用户名？（说明，在OLLY或SICE里这个是[ebp-B8]的形式，其实是一样的） %1\v7Xw{9
=6c y E
下面有类似的操作，只是控件ID成了68，可想而知就是得到注册码了，注册码放在[ebp+FFFFFEE4]。 nTys4 R
R2 }k z.
呵呵，继续，到了这么几句： 7
9Qc`3a
%cH8;5U40
代码:-------------------------------------------------------------------------------- +
a-wv
:004010BD 8D8548FFFFFF lea eax, dword ptr [ebp+FFFFFF48] xw P I
:004010C3 50 push eax I&L.;~
:004010C4 E867050000 call 00401630 "^;#f+0
-------------------------------------------------------------------------------- )@}A
r
这是干甚么牙？要不要进4010C4这个CALL 401630看看？且慢！我前面说过了，不要在无关紧要的地方费力，（啪！一个鸡蛋扔上来：谁知道这里是不是重要啊？）别急嘛，一般来说，先粗略地跟一遍，试着猜猜CALL的作用。如果发现返回值很可疑，再跟进细看也不迟。（这就需要一定的“直觉”了，英文叫“Sence”，台湾老大叫“触机”或者“先死:D”，别担心，破解得多了自然会有这种感觉，这种感觉很难说出来，有时候一见那种阵势就知道关键地方到了） [IiwN qZ[~
"\}b!gl$8
又扯远了，我们回来看代码。一个CALL，前面有PUSH EAX，很明显是CALL的参数了。（见我前面的说明）看看EAX：lea eax,dword ptr [ebp+FFFFFF48]。[ebp+FFFFFF48]还有没有印象？对了，就是前面API调用中放用户名的地址呀。过了这里后D eax，呵呵不就是咱们的用户名吗，我输入的是“RoBa”，带过这个CALL后看看EAX是什么，嗯~~~~是4。想到什么了？没有？没关系咱们继续看下面： i= oTg
>s&XX,
w
代码:-------------------------------------------------------------------------------- Bk,2WtVX
:004010C9 59 pop ecx L e*`r2
:004010CA 8945D8 mov dword ptr [ebp-28], eax ;记住，上面的返回结果在[ebp-28] }N ?g|
:004010CD 8D95E4FEFFFF lea edx, dword ptr [ebp+FFFFFEE4] ~?gzq~~t
:004010D3 52 push edx $= /rGpAk
:004010D4 E857050000 call 00401630 C
8N% X2R
-------------------------------------------------------------------------------- $; ?c?n+
又是一个CALL 401630，和上面一样的。看看它的参数EDX，[ebp+FFFFFEE4]呵就是假注册码呀，我输的是'87654321'，返回值EAX=8，发现什么没有？对，这个CALL就是求一个字符串的长度嘛，要是跟进去又给费不少时间。向下： W3)\co
yE#g5V&
代码:-------------------------------------------------------------------------------- 69>/@<
:004010F0 837DD803 cmp dword ptr [ebp-28], 00000003 GQb i$kl
:004010F4 7E7B jle 00401171 GMl"{ Oxo&
rvwa! YY}
:00401102 837DD832 cmp dword ptr [ebp-28], 00000032 F>*{ e
:00401106 7D69 jge 00401171 vB.l0!c\e_
-------------------------------------------------------------------------------- O r7
mD
还记得[ebp-28]是什么吗？对，就是用户名的长度，这几句的意思就很明显了，用户名的长度必须大于3小于32h，不然就跳到401171去了，你可以跟过去看看是什么，呵呵是用户名不符合要求之类的提示。 p}uncIod
>p0KFU
好了我们来到关键地方喽： => qTNh*'
2VA!& `I
Tg0CE60"
代码:-------------------------------------------------------------------------------- X3',v ey
* Referenced by a (U)nconditional or (C)onditional Jump at Address: 1yM r~Fo
|:0040111C(C) 22&;jpL'?
| ?{6s58Q{
:0040110C 0FBE840D48FFFFFF movsx eax, byte ptr [ebp+ecx-000000B8] u#@RM^738d
:00401114 41 inc ecx I-DXb
M
:00401115 33C1 xor eax, ecx ~E)fpGJ
:00401117 03D8 add ebx, eax Su7bm1
:00401119 3B4DD8 cmp ecx, dword ptr [ebp-28] ~e-z,:Af
:0040111C 75EE jne 0040110C
.X'p q5
-------------------------------------------------------------------------------- v-Qmx-N
呵呵，是不是又晕了？[ebp+ecx-B8]这是啥呀？别着急，车到山前必有路。先 d ebp+ecx-B8看看，哟，不还是咱们的用户名吗？:D 怎么回事？好好想想，ecx现在是0，[ebp-B8]和[ebp+FFFFFF48]（记得不？放用户名的地址）不是一回事嘛！（不明白的去补习一下负数的表示方法，我也不知道为什么W32DASM有时候非把-B8写成FFFFFF48） dg_G s>?2
9t$] X>}
再仔细看看，movsx eax,byte ptr [ebp+ecx-000000B8]，注意是byte ptr，即以字节的方式读取（就是说每次读出一个字符），而且又加上了个ecx。如果你破解多了的话，应该立刻就明白：关键的地方到了。 H43MoC
}ptq
)p
这是一个很典型的循环结构，看出来没？ecx就是循环变量了，每执行一次会从用户名中取一个字符，然后ecx加1，这样[ebp+ecx-B8]就指向用户名的下一个字符了。对取出来的字符与循环变量进行XOR运算，把结果累加到EBX。然后循环变量与[ebp-28]也就是用户名长度比较，如果不等于的话也就是还没取完，就返回上去继续取用户名的下一个字符。这样直到取完为止。 2VoKr)
[{
~TcT
代码:-------------------------------------------------------------------------------- 4vWkT8HQ
:0040111E 6BC006 imul eax, 00000006 ;EAX其实是上面最后一轮计算的结果，乘6 j Ux
z
:00401121 C1E307 shl ebx, 07 ;EBX是几轮计算累加起来的结果，左移7位 @~ETj26U'
:00401124 03C3 add eax, ebx ;加起来 6"f}O<M 5H
:00401126 8945C8 mov dword ptr [ebp-38], eax .@ F]Pht
:00401129 FF75C8 push [ebp-38] ;上面的结果，作为一个参数 4\M.6])_
Sa1 l=^
* Possible StringData Ref from Data Obj ->"%lX" %9oYw9 H!
| T r0 B[QF
:0040112C 6838B44000 push 0040B438 ;"%lX"有点眼熟哟 Av' G B
:00401131 8D8D80FEFFFF lea ecx, dword ptr [ebp+FFFFFE80] H<EQu|f&x
:00401137 51 push ecx ;这是什么呢？ /3 B
$ (
:00401138 E8873D0000 call 00404EC4 T"7~AbgNU
:0040113D 83C40C add esp, 0000000C '6y}ZE[
-------------------------------------------------------------------------------- F#
T 07<
前面几句是继续上面的计算，把EAX*6和EBX左移7位的值加进来，然后结果复制到[ebp-38]这个局部变量里作为下面CALL的一个参数，接着[ebp+FFFFFE80]作第二个参数，然后又一个CALL，还是那样，先别着急跟进去，前后看看有没有可疑之处： v[e:qi&fG
,J U@ |`
第一个参数[ebp-38]，没什么好说的，上面计算的结果。第二个参数指向"%lX"，这个字串写过C语言的都有印象吧，就是在printf里把一个数字按照大写的16进制方式显示出来所用的标识符，比方说把一个数字255转换成字串“FF”。（在WinAPI里叫wsprintf）第三个参数是什么呢？前面这种形式见多了吧，猜猜！ 10!wqyj&
^sN (
我们验证一下前面猜想是否正确，我用"RoBa"上面算出来的结果是46430，也就是16进制的B55E，我们跟过这个CALL看看结果如何？什么，结果在哪？聪明的你还没想到吗，上面那第三个参数[ebp+FFFFFE80]就是结果的地址呀。怎么样不出所料吧。 ,1OyN]f3
r}[7x]sP
（其实从40113D这一句add esp,C也能看出来，因为在函数外平衡堆栈的只有这个一个参数数目不定的函数。引申一下，看不懂没关系啦:D ） AdRX`[ik
l2N]a9bq@
接着看啦： ]BR,M4
{ZY+L;e g1
代码:-------------------------------------------------------------------------------- 5w aKI?4F
:00401140 8D8580FEFFFF lea eax, dword ptr [ebp+FFFFFE80];眼熟吗，刚才的转换结果呀 5onm]V]
:00401146 50 push eax ;EAX指向上面转换得到的字符串 pPd#N'\ *
:00401147 8D95E4FEFFFF lea edx, dword ptr [ebp+FFFFFEE4];这个很早了，向前面找找是啥 T)r9-wOq
:0040114D 52 push edx ;EDX指向我们输入的假注册码 ? -^~ f
_h}kp\sps
* Reference To: KERNEL32.lstrcmpA, Ord:0000h x c{hC4^V
| [jm d
:0040114E E8339C0000 Call 0040AD86 2 RSt)3!},
:00401153 85C0 test eax, eax y*X_T,K 8
:00401155 750D jne 00401164 ;关键跳转哟 }iuWAFZbGS
-------------------------------------------------------------------------------- &RfC"lc
哈哈，lstrcmp，什么意思不用我说了吧，当然是STRingCoMPare字符串比较啦。把计算的结果与前面输入的假码比较，相等就OK了。好了，现在把上面的完整的代码过一遍，怎么样，写个注册机不难吧？ ght$9>'n
x&0vKo;
代码:-------------------------------------------------------------------------------- MG.`
r{5
#include <string.h> P'_H/r/#
#include <stdio.h> I1X-s
#include <stdlib.h> ^jx7@LgS=
sIy^m }02
void main() Ig
f&l` \
{ }9FSO9*&}
int EAX=0,EBX=0,len; yPal<c
char name[50]={0}; <_-hR bS
char password[50]={0}; xsD($_
printf("Please input your name:"); +8Rg F
scanf("%s",name); fSokm4]vg
len=strlen(name); 0"pAN[=K@
for (int i=0;i<len;i++) 6;ixa
hZV
{ ' ZDp5pCC;
EAX=name^(i+1); )mF5Vw"
EBX+=EAX; ]7 Tkkw $
} gaZu;t2u
EAX*=6; &E.^jR~*
EBX<<=7; AP'*Nh@Ik(
EAX+=EBX; iKX-myC z
printf("Your password is: %lX\n",EAX); v|dBSX9k0
printf("KeyGen by RoBa Enjoy Cracking,Newbies!\n"); `erV$( M
} =T HpdtL
-------------------------------------------------------------------------------- r]:(Vk]| F
简单的C程序哟，你也可以用你熟悉的语言写一个。 au:
fw
Ya3C#=
后记： ;f #v0W `5
4T|b
Cs?e
这是一个简单的CRACKME，本来三言两语就能解决的，被我啰啰嗦嗦说了这么一大堆，就是希望能把问题真正地说明白了，希望通过这篇文章让你发现，破解软件乃至写注册机并不是多么困难的事，只要坚持下去，谁都有成为高手的那一天.
QQ 登录
微信登录
钉钉登录
浙公网安备 33071802100274号