【破解作者】 analog
【作者邮箱】 yuchaochina@hotmail.com
【使用工具】 OllyDbgV1.10,PEidV0.93
【破解平台】 WinXP
【软件名称】 aescul.exe(CrackMe)
【加壳方式】 无
【破解声明】 我是一只小菜鸟，偶得一点心得，愿与大家分享：)
--------------------------------------------------------------------------------
【破解内容】
代码段的开头可以找到DialogBoxParam
00401024 |. 68 84314000 push aescul.00403184 ; |DlgProc = aescul.00403184
;窗口处理程序,在地址004030184下面附近下断点
输入注册名,注册码后点OK,来到下面的代码段
0040320A > \833D F6444000 0>cmp dword ptr ds:[4044F6],1 ; 数据段是否自修改过
00403211 . 74 11 je short aescul.00403224 ; 修改过则跳
00403213 . BE 00404000 mov esi,aescul.00404000
00403218 . 8BFE mov edi,esi
0040321A . B9 160B0000 mov ecx,0B16
0040321F . E8 41020000 call aescul.00403465 ; 自修改子程序(数据段修改)
00403224 > 6A 40 push 40 ; /Count = 40 (64.)
00403226 . 68 BA414000 push aescul.004041BA ; |Buffer = aescul.004041BA ;注册名存放地址
0040322B . 68 E8030000 push 3E8 ; |ControlID = 3E8 (1000.)
00403230 . FF75 08 push dword ptr ss:[ebp+8] ; |hWnd
00403233 . E8 89020000 call <jmp.&USER32.GetDlgItemTextA> ; \GetDlgItemTextA ;获得注册名
00403238 . BF BA414000 mov edi,aescul.004041BA
0040323D . 33C0 xor eax,eax
0040323F . 83C9 FF or ecx,FFFFFFFF
00403242 . F2:AE repne scas byte ptr es:[edi]
00403244 . F7D1 not ecx
00403246 . 2BF9 sub edi,ecx
00403248 . 890D 064B4000 mov dword ptr ds:[404B06],ecx ; 存注册名长度
0040324E . 803D BA414000 0>cmp byte ptr ds:[4041BA],0 ; 比较注册名第一个字节是否为\0
00403255 . 6A 40 push 40 ; /Count = 40 (64.)
00403257 . 68 BA424000 push aescul.004042BA ; |Buffer = aescul.004042BA ;注册码存放地址
0040325C . 68 E9030000 push 3E9 ; |ControlID = 3E9 (1001.)
00403261 . FF75 08 push dword ptr ss:[ebp+8] ; |hWnd
00403264 . E8 58020000 call <jmp.&USER32.GetDlgItemTextA> ; \GetDlgItemTextA ;获得注册码
00403269 . BF BA424000 mov edi,aescul.004042BA
0040326E . 33C0 xor eax,eax
00403270 . 83C9 FF or ecx,FFFFFFFF
00403273 . F2:AE repne scas byte ptr es:[edi]
00403275 . F7D1 not ecx
00403277 . 2BF9 sub edi,ecx
00403279 . 890D 0A4B4000 mov dword ptr ds:[404B0A],ecx ; 存注册码长度
0040327F . 803D BA424000 0>cmp byte ptr ds:[4042BA],0 ; 比较注册码第一个字节是否为\0
00403286 . 68 0E4B4000 push aescul.00404B0E ; /pHandle = aescul.00404B0E
0040328B . 6A 01 push 1 ; |Access = KEY_QUERY_VALUE
0040328D . 6A 00 push 0 ; |Reserved = 0
0040328F . 68 00404000 push aescul.00404000 ; |Subkey = "Software\Microsoft\Windows\CurrentVersion"
00403294 . 68 02000080 push 80000002 ; |hKey = HKEY_LOCAL_MACHINE
00403299 . E8 71020000 call <jmp.&ADVAPI32.RegOpenKeyExA> ; \RegOpenKeyExA ;打开注册表子键
0040329E . 68 124B4000 push aescul.00404B12 ; /pBufSize = aescul.00404B12
004032A3 . 68 BC434000 push aescul.004043BC ; |Buffer = aescul.004043BC
004032A8 . 6A 00 push 0 ; |pValueType = NULL
004032AA . 6A 00 push 0 ; |Reserved = NULL
004032AC . 68 33404000 push aescul.00404033 ; |ValueName = "ProductId"
004032B1 . FF35 0E4B4000 push dword ptr ds:[404B0E] ; |hKey = FFFFFFFF
004032B7 . E8 4D020000 call <jmp.&ADVAPI32.RegQueryValueExA>; \RegQueryValueExA ;取键值
004032BC . BF BA434000 mov edi,aescul.004043BA
004032C1 . 33C0 xor eax,eax
004032C3 . 83C9 FF or ecx,FFFFFFFF
004032C6 . F2:AE repne scas byte ptr es:[edi]
004032C8 . F7D1 not ecx
004032CA . 2BF9 sub edi,ecx
004032CC . 890D BC444000 mov dword ptr ds:[4044BC],ecx
004032D2 . 833D FA444000 0>cmp dword ptr ds:[4044FA],1 ; FLAG,为1表示代码已修改
004032D9 . 74 11 je short aescul.004032EC ; 不为1则跳转
004032DB . BE 50304000 mov esi,aescul.00403050
004032E0 . 8BFE mov edi,esi
004032E2 . B9 34010000 mov ecx,134
004032E7 . E8 8E010000 call aescul.0040347A ; 自修改子程序(代码段自修改)
004032EC > E9 8F000000 jmp aescul.00403380 ; 跳到EndDialog
下面是自修改的子程序:(简单的循环左移加密)
00403465 /$ 33C0 xor eax,eax ; 清eax值
00403467 |. AC lods byte ptr ds:[esi] ; 取字节
00403468 |. D2C0 rol al,cl ; al循环左移cl次
0040346A |. F6D0 not al ; al取反
0040346C |. AA stos byte ptr es:[edi] ; 代码重新存回
0040346D |.^ E2 F6 loopd short aescul.00403465 ; 循环
0040346F |. C705 F6444000 0>mov dword ptr ds:[4044F6],1
00403479 |. C3 retn
0040347A |$ 33C0 xor eax,eax ; 代码自修改
0040347C |. AC lods byte ptr ds:[esi] ; 取字节
0040347D |. D2C0 rol al,cl ; al循环左移cl次
0040347F |. F6D0 not al ; al取反
00403481 |. AA stos byte ptr es:[edi] ; 代码重新存回
00403482 |.^ E2 E1 loopd short aescul.00403465 ; 循环
00403484 |. C705 FA444000 0>mov dword ptr ds:[4044FA],1
0040348E \. C3 retn
00401000 . /EB 14 jmp short aescul.<ModuleEntryPoint>
00401002 . |58344000 dd aescul.00403458
00401006 . |5C344000 dd aescul.0040345C
0040100A . |8F344000 dd aescul.0040348F
0040100E . |9E344000 dd aescul.0040349E
00401012 . |A0344000 dd aescul.004034A0
00401016 a>/$ \6A 00 push 0 ; /pModule = NULL
00401018 |. E8 CE240000 call <jmp.&KERNEL32.GetModuleHandleA>; \GetModuleHandleA
0040101D |. A3 87414000 mov dword ptr ds:[404187],eax
00401022 |. 6A 00 push 0 ; /lParam = NULL
00401024 |. 68 84314000 push aescul.00403184 ; |DlgProc = aescul.00403184 ;
00401029 |. 6A 00 push 0 ; |hOwner = NULL
0040102B |. 6A 65 push 65 ; |pTemplate = 65
0040102D |. FF35 87414000 push dword ptr ds:[404187] ; |hInst = FFFFFFFF
00401033 |. E8 7D240000 call <jmp.&USER32.DialogBoxParamA> ; \DialogBoxParamA
00401038 |. 90 nop ; EndDialog之后返回到这
00401039 |. 90 nop
0040103A |. 90 nop
由EndDialog返回后再系统dll中绕了半天才跳到这
经过n多的nop到00403038,就是刚才SMC之后的代码段,MessageBox也在这,爆破是不行了
00403038 |. 33C0 xor eax,eax
0040303A |. 68 93334000 push aescul.00403393
0040303F |. 64:FF30 push dword ptr fs:[eax]
00403042 |. 64:8920 mov dword ptr fs:[eax],esp
00403045 |. 9C pushfd
00403046 |. 9C pushfd
00403047 |. 58 pop eax ; eax=246H
00403048 |. 0D 00010000 or eax,100 ; eax=346H
0040304D |. 50 push eax
0040304E |. 9D popfd
0040304F |. 90 nop
00403050 |. 33F6 xor esi,esi ; 清空寄存器
00403052 |. 33FF xor edi,edi ; 清空寄存器
00403054 |. 33D2 xor edx,edx ; 清空寄存器
00403056 |. 8B2D 124B4000 mov ebp,dword ptr ds:[404B12] ; 循环次数24
0040305C |. BF 02454000 mov edi,aescul.00404502 ; 变换后的正确注册码的地址
00403061 |> 55 /push ebp
00403062 |. 57 |push edi
00403063 |. 56 |push esi
00403064 |. BD C0444000 |mov ebp,aescul.004044C0 ; ASCII "0I5LZ7G123RXCV9OPAS6TBN48YUHJKDF0QWEM"(字符串2)
00403069 |. BB BA434000 |mov ebx,aescul.004043BA ; ASCII "WS55661-640-0059266-23364"
0040306E |. 8A0433 |mov al,byte ptr ds:[ebx+esi] ; 取"WS"+ProductID的一个字节放到al
00403071 |. C1F8 04 |sar eax,4 ; eax算术右移4次
00403074 |. 83E0 0F |and eax,0F ; eax和0F做与运算(取该字节的高四位)
00403077 |. E8 BF000000 |call aescul.0040313B
0040307C |. 8807 |mov byte ptr ds:[edi],al
0040307E |. 8A0C33 |mov cl,byte ptr ds:[ebx+esi] ; 取"WS"+ProduceID的一个字节放到cl
00403081 |. 83E1 0F |and ecx,0F ; 取ecx的低四位(取该字节的低四位)
00403084 |. 8BC1 |mov eax,ecx ; 移动到eax
00403086 |. E8 B0000000 |call aescul.0040313B
0040308B |. 8847 01 |mov byte ptr ds:[edi+1],al
0040308E |. 5E |pop esi
0040308F |. 5F |pop edi
00403090 |. 5D |pop ebp
00403091 |. 46 |inc esi
00403092 |. 83C7 02 |add edi,2
00403095 |. 3BEE |cmp ebp,esi
00403097 |.^ 75 C8 \jnz short aescul.00403061
00403099 |. 33F6 xor esi,esi ; 下面依次取码比较
0040309B |. 8B86 BA424000 mov eax,dword ptr ds:[esi+4042BA] ; 注册码
004030A1 |. 8B9E 02454000 mov ebx,dword ptr ds:[esi+404502] ; 变化后的字符串
004030A7 3BC0 cmp eax,eax ; 第一次比较
004030A9 |. 75 45 jnz short aescul.004030F0
004030AB |. 83C6 04 add esi,4
004030AE |. 8B86 BA424000 mov eax,dword ptr ds:[esi+4042BA]
004030B4 |. 8B9E 02454000 mov ebx,dword ptr ds:[esi+404502]
004030BA |. 3BC3 cmp eax,ebx ; 第二次比较
004030BC 74 32 je short aescul.004030F0 ; 不一样则跳
004030BE |. 83C6 04 add esi,4
004030C1 |. 8B86 BA424000 mov eax,dword ptr ds:[esi+4042BA]
004030C7 |. 8B9E 02454000 mov ebx,dword ptr ds:[esi+404502]
004030CD |. 3BC3 cmp eax,ebx ; 第三次比较
004030CF 74 1F je short aescul.004030F0 ; 不一样则跳
004030D1 |. 83C6 04 add esi,4
004030D4 |. 8B86 BA424000 mov eax,dword ptr ds:[esi+4042BA]
004030DA |. 8B9E 02454000 mov ebx,dword ptr ds:[esi+404502]
004030E0 |. 3BC3 cmp eax,ebx ; 第四次比较
004030E2 74 0C je short aescul.004030F0 ; 不一样则跳
004030E4 |. C705 F2444000 0>mov dword ptr ds:[4044F2],1 ; 注册成功标志置1
004030EE |. EB 0A jmp short aescul.004030FA
004030F0 |> C705 F2444000 0>mov dword ptr ds:[4044F2],0 ; 置0(表示注册失败)
004030FA |> 9D popfd
004030FB |. 33C0 xor eax,eax
004030FD |. 64:8F00 pop dword ptr fs:[eax]
00403100 |. 83C4 04 add esp,4
00403103 |. 833D F2444000 0>cmp dword ptr ds:[4044F2],1 ; 时否成功
0040310A |. 75 15 jnz short aescul.00403121
0040310C |. 6A 40 push 40 ; /Style = MB_OK|MB_ICONASTERISK|MB_APPLMODAL
0040310E |. 68 3D404000 push aescul.0040403D ; |Title = "Congratulations..."
00403113 |. 68 AB414000 push aescul.004041AB ; |Text = "Registered to: yuchao"
00403118 |. 6A 00 push 0 ; |hOwner = NULL
0040311A |. E8 A8030000 call <jmp.&USER32.MessageBoxA> ; \MessageBoxA ;注册成功
0040311F |. EB 13 jmp short aescul.00403134
00403121 |> 6A 30 push 30 ; /Style = MB_OK|MB_ICONEXCLAMATION|MB_APPLMODAL
00403123 |. 68 50404000 push aescul.00404050 ; |Title = "Error"
00403128 |. 68 56404000 push aescul.00404056 ; |Text = "Wrong Serial Number!"
0040312D |. 6A 00 push 0 ; |hOwner = NULL
0040312F |. E8 93030000 call <jmp.&USER32.MessageBoxA> ; \MessageBoxA ;注册失败
00403134 |> 6A 00 push 0 ; /ExitCode = 0
00403136 \. E8 C8030000 call <jmp.&KERNEL32.ExitProcess> ; \ExitProcess
0040313B /$ 8935 EE444000 mov dword ptr ds:[4044EE],esi
00403141 |. 8B15 EA444000 mov edx,dword ptr ds:[4044EA] ; 读出上次保存的位置记录
00403147 |. 8B0D E6444000 mov ecx,dword ptr ds:[4044E6] ; 字符串长度37
0040314D |. 3BD1 cmp edx,ecx ; 上次call时有没有遍历完字符串
0040314F |. 72 02 jb short aescul.00403153 ; 遍历完了则重新遍历
00403151 |. 33D2 xor edx,edx
00403153 |> 0FBE7415 00 /movsx esi,byte ptr ss:[ebp+edx] ; 取字符串2的字节
00403158 |. 81E6 0F000080 |and esi,8000000F ; 取esi的低四位
0040315E |. 79 05 |jns short aescul.00403165 ; 符号位为0时跳
00403160 |. 4E |dec esi
00403161 |. 83CE F0 |or esi,FFFFFFF0
00403164 |. 46 |inc esi
00403165 |> 3BF0 |cmp esi,eax ; 找到与eax相等的esi
00403167 |. 74 09 |je short aescul.00403172 ; 跳出
00403169 |. 42 |inc edx ; 计数器加1
0040316A |. 3BD1 |cmp edx,ecx ; 是否循环了37次
0040316C |.^ 7C E5 |jl short aescul.00403153 ; 没到则跳回
0040316E |. 33D2 |xor edx,edx ; 清edx
00403170 |.^ EB E1 \jmp short aescul.00403153 ; 跳回去再次遍历(字符串2)
00403172 |> 8915 EA444000 mov dword ptr ds:[4044EA],edx ; 把所找到的位置记录下
00403178 |. 8B35 EE444000 mov esi,dword ptr ds:[4044EE]
0040317E |. 0FBE042A movsx eax,byte ptr ds:[edx+ebp] ; 取那个字节
00403182 |. 42 inc edx
00403183 \. C3 retn
【算法总结】
1.修改数据段,其中有重要数据"0I5LZ7G123RXCV9OPAS6TBN48YUHJKDF0QWEM"(字符串2),注册表子键名键值名"ProductId"
2.取输入的注册名,注册码
3.取注册表值(操作系统的ProductId号),并在在它前面加上"WS"==>(字符串1)
4.修改代码段,EndDialog
5.算法部分:1.从字符串1中提取一个字节(依次从第1个到第24个字符)
2.取该字节的高四位,依次和字符串2中字符的低四位比较,相同则记录下位置和该字符
3.取该字节的低四位,从字符串2记录位置开始向后和字符的低四位比较,记录下该字符(当比较完后未找到,则从数组开始位置向后比较)
4.重复123(共24遍)
5.生成48字节的注册序列
6.注册码比较时只比较128bit(16字节),所以注册码也只要十六位
【注册机】
#include <windows.h>
#include <iostream.h>
BOOL QueryValue(BYTE,char*,int);
char szCode[17]={0};
int nPosition;
int Num;
void main()
{
char szProductId[26]={'W','S'};
char szProductIdTemp[24]={0};
BYTE bByte=0,bByteTemp=0;
char szBase[38]={'0','I','5','L','Z','7','G','1','2','3','R','X','C','V','9','O','P','A','S','6','T','B','N','4','8','
Y','U','H','J','K','D','F','0','Q','W','E','M'};
char szSubKey[]="Software\\Microsoft\\Windows\\CurrentVersion";
DWORD nLenght=sizeof(szProductIdTemp);
HKEY hResultKey;
if(ERROR_SUCCESS==RegOpenKeyEx
(HKEY_LOCAL_MACHINE,szSubKey,0,KEY_QUERY_VALUE,&hResultKey))
if(ERROR_SUCCESS==RegQueryValueEx(hResultKey,"ProductId",0,0,(PBYTE)szProductIdTemp,&nLenght))
{
strcat(szProductId,szProductIdTemp);
for(int i=0;i<8;i++)
{
bByte=szProductId[i];
bByteTemp=(bByte&0xf0)/16;
QueryValue(bByteTemp,szBase,nPosition);
bByteTemp=bByte&0x0f;
QueryValue(bByteTemp,szBase,nPosition);
}
cout<<szCode<<endl;
}
}
BOOL QueryValue(BYTE bByte,char* szBase,int nPositionTemp)
{
for(int i=nPositionTemp;i<37;i++)
{
if(bByte==(szBase[i]&0x0f))
{
szCode[Num++]=szBase[i];
nPosition=i;
break;
}
if(i==36)
i=-1;
}
return 0;
}
该CrackMe思路相当清晰,也比较简单很适合新兵练手(我?),新手的文章难免有误,万望高手赐教
贴上全文以供各位高手嘲笑!!!
