[反汇编练习] 160个CrackMe之011

[反汇编练习] 160个CrackMe之011.

本系列文章的目的是从一个没有任何经验的新手的角度(其实就是我自己)，一步步尝试将160个CrackMe全部破解，如果可以，通过任何方式写出一个类似于注册机的东西。

其中，文章中按照如下逻辑编排（解决如下问题）：

1、使用什么环境和工具

2、程序分析

3、思路分析和破解流程

4、注册机的探索

----------------------------------

提醒各位看客: 如果文章中的逻辑看不明白,那你一定是没有亲手操刀!OD中的跳转提示很强大,只要你跟踪了,不用怎么看代码就理解了!

----------------------------------

1、工具和环境：

WinXP SP3 + 52Pojie六周年纪念版OD + PEID + 汇编金手指。

160个CrackMe的打包文件。

下载地址： http://pan.baidu.com/s/1xUWOY 密码: jbnq

注：

1、Win7系统对于模块和程序开启了随机初始地址的功能，会给分析带来很大的负担，所以不建议使用Win7进行分析。

2、以上工具都是在52PoJie论坛下的原版程序，NOD32不报毒，个人承诺绝对不会进行任何和木马病毒相关内容。

2、程序分析：

想要破解一个程序，必须先了解这个程序。所以，在破解过程中，对最初程序的分析很重要，他可以帮助我们理解作者的目的和意图，特别是对于注册码的处理细节，从而方便我们反向跟踪和推导。

和上一节一样，打开CHM，选择第11个Andrénalin.4，保存下来。运行程序，程序界面如下：

3、思路分析和破解流程：

随意点击几个数字，发现没有提示。但是我们可以在右侧的Status: UNREGISTRIERT，我们可以大胆地猜测，如果序列号正常，这个文本应该会变为成功一类的提示。没有什么线索，直接放到OD里进行分析。

1、使用PEID查下壳，Microsoft Visual Basic 5.0 / 6.0，没有壳。

2、打开OD，将exe拖到OD当中，F9运行。

3、由于找不到任何线索，我们还是用“最笨的”查找字符串办法，点击E图标，选中Andrénalin.4.exe，右键->Follow Entry，这样我们就进入了主模块。

4、在反汇编窗口任意位置，右键->中文搜索引擎->智能搜索，发现了0-9的数字和很多类似0817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C和REGISTRIERT的字符串。

5、我们随意选择一个数字，双击进去发现都是类似如下的代码：

00404439   . /7D 12         jge short 0040444D
0040443B   . |68 A0000000   push 0xA0
00404440   . |68 B81D4000   push 00401DB8
00404445   . |56            push esi
00404446   . |50            push eax
00404447   . |FF15 2C104000 call dword ptr ds:[<&MSVBVM60.__vbaHresu>;  msvbvm60.__vbaHresultCheckObj
0040444D   > \8B55 E8       mov edx,dword ptr ss:[ebp-0x18]
00404450   .  8B37          mov esi,dword ptr ds:[edi]
00404452   .  52            push edx
00404453   .  68 1C1E4000   push 00401E1C                            ;  8
00404458   .  FF15 28104000 call dword ptr ds:[<&MSVBVM60.__vbaStrCa>;  msvbvm60.__vbaStrCat
0040445E   .  8BD0          mov edx,eax
00404460   .  8D4D E4       lea ecx,dword ptr ss:[ebp-0x1C]
00404463   .  FF15 BC104000 call dword ptr ds:[<&MSVBVM60.__vbaStrMo>;  msvbvm60.__vbaStrMove
00404469   .  50            push eax
0040446A   .  57            push edi
0040446B   .  FF96 A4000000 call dword ptr ds:[esi+0xA4]
00404471   .  85C0          test eax,eax
00404473   .  DBE2          fclex
00404475   .  7D 12         jge short 00404489

上下查找，找不到任何与算法跳转相关的东西。

6、字符串0817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C和REGISTRIERT反而更像是注册码相关的东西，只是….这些注册码是不是有些多的太过了！

7、选择第一个REGISTRIERT文本，双击进去，向上浏览代码。哇，似乎和之前的三个都一样啊！太好了，我们大概分析一下：

00404A5B   .^\E9 CFFEFFFF   jmp 0040492F
00404A60   >  8D55 CC       lea edx,dword ptr ss:[ebp-0x34]
00404A63   .  8D85 4CFFFFFF lea eax,dword ptr ss:[ebp-0xB4]
00404A69   .  52            push edx
00404A6A   .  50            push eax
00404A6B   .  C785 54FFFFFF>mov dword ptr ss:[ebp-0xAC],00401E50     ;  0817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C
00404A75   .  C785 4CFFFFFF>mov dword ptr ss:[ebp-0xB4],0x8008       ;  // 修改eax指针的内容
00404A7F   .  FF15 5C104000 call dword ptr ds:[<&MSVBVM60.__vbaVarTs>;  msvbvm60.__vbaVarTstEq // 字符串比较
00404A85   .  66:85C0       test ax,ax
00404A88   .  74 4C         je short 00404AD6                        ;  // 爆破的关键跳转
00404A8A   .  8B45 08       mov eax,dword ptr ss:[ebp+0x8]
00404A8D   .  50            push eax
00404A8E   .  8B08          mov ecx,dword ptr ds:[eax]
00404A90   .  FF91 38030000 call dword ptr ds:[ecx+0x338]
00404A96   .  8D55 AC       lea edx,dword ptr ss:[ebp-0x54]
00404A99   .  50            push eax
00404A9A   .  52            push edx
00404A9B   .  FF15 3C104000 call dword ptr ds:[<&MSVBVM60.__vbaObjSe>;  msvbvm60.__vbaObjSet
00404AA1   .  8B08          mov ecx,dword ptr ds:[eax]
00404AA3   .  68 BC1E4000   push 00401EBC                            ;  REGISTRIERT
00404AA8   .  50            push eax
00404AA9   .  8985 30FFFFFF mov dword ptr ss:[ebp-0xD0],eax
00404AAF   .  FF51 54       call dword ptr ds:[ecx+0x54]

哈哈， msvbvm60.__vbaVarTstEq 进行字符串比较test ax,ax和je short 00404AD6完成是否跳转的判断，爆破的关键就是这里啦！选中je语句，右键->Binary->Fill with NOPs。回到程序，神马？已经提示成功了！

4、算法探索

根据msvbvm60.__vbaVarTstEq进行文本比较，我们很容易想到就是通过一个算法生成饿了一个字符串，然后这个字符串与“0817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C”进行比较，若果相等就成功。

我们按照这个思路继续向上分析代码：

004048FD   .  FF15 30104000 call dword ptr ds:[<&MSVBVM60.__vbaLenVa>;  msvbvm60.__vbaLenVar
00404903   .  50            push eax                                 ;  // "12321"
00404904   .  8D95 3CFFFFFF lea edx,dword ptr ss:[ebp-0xC4]
0040490A   .  8D85 08FFFFFF lea eax,dword ptr ss:[ebp-0xF8]
00404910   .  52            push edx                                 ;  1
00404911   .  8D8D 18FFFFFF lea ecx,dword ptr ss:[ebp-0xE8]
00404917   .  50            push eax                                 ;  // 5
00404918   .  8D55 DC       lea edx,dword ptr ss:[ebp-0x24]          ;  UNICODE "0817E747D7A7D7C7F82836D74G47A7F7E7B7C7D826D817E7B7"
0040491B   .  51            push ecx                                 ;  ecx=1
0040491C   .  52            push edx                                 ;  0
0040491D   .  FF15 38104000 call dword ptr ds:[<&MSVBVM60.__vbaVarFo>;  msvbvm60.__vbaVarForInit
00404923   .  8B35 80104000 mov esi,dword ptr ds:[<&MSVBVM60.__vbaSt>;  msvbvm60.__vbaStrVarVal
00404929   .  8B1D B4104000 mov ebx,dword ptr ds:[<&MSVBVM60.#617>]  ;  msvbvm60.rtcLeftCharVar
0040492F   >  85C0          test eax,eax
00404931   .  0F84 29010000 je 00404A60
00404937   .  8D45 BC       lea eax,dword ptr ss:[ebp-0x44]
0040493A   .  6A 01         push 0x1
0040493C   .  8D4D 8C       lea ecx,dword ptr ss:[ebp-0x74]
0040493F   .  50            push eax                                 ;  // '12321'
00404940   .  51            push ecx                                 ;  // '1'
00404941   .  FFD3          call ebx                                 ;  msvbvm60.rtcLeftCharVar
00404943   .  8D55 8C       lea edx,dword ptr ss:[ebp-0x74]
00404946   .  8D45 B0       lea eax,dword ptr ss:[ebp-0x50]
00404949   .  52            push edx
0040494A   .  50            push eax
0040494B   .  FFD6          call esi                                 ;  msvbvm60.__vbaStrVarVal
0040494D   .  50            push eax
0040494E   .  FF15 D8104000 call dword ptr ds:[<&MSVBVM60.#581>]     ;  msvbvm60.rtcR8ValFromBstr
00404954   .  DD9D 34FFFFFF fstp qword ptr ss:[ebp-0xCC]
0040495A   .  8D4D 9C       lea ecx,dword ptr ss:[ebp-0x64]
0040495D   .  8D55 DC       lea edx,dword ptr ss:[ebp-0x24]
00404960   .  51            push ecx
00404961   .  52            push edx
00404962   .  C745 A4 01000>mov dword ptr ss:[ebp-0x5C],0x1
00404969   .  C745 9C 02000>mov dword ptr ss:[ebp-0x64],0x2
00404970   .  FF15 AC104000 call dword ptr ds:[<&MSVBVM60.__vbaI4Var>;  msvbvm60.__vbaI4Var
00404976   .  50            push eax                                 ;  eax=1 2 3 4
00404977   .  8D45 BC       lea eax,dword ptr ss:[ebp-0x44]
0040497A   .  8D4D B8       lea ecx,dword ptr ss:[ebp-0x48]
0040497D   .  50            push eax
0040497E   .  51            push ecx
0040497F   .  FFD6          call esi                                 ;  msvbvm60.__vbaStrVarVal
00404981   .  50            push eax                                 ;  // '12321'
00404982   .  FF15 4C104000 call dword ptr ds:[<&MSVBVM60.#631>]     ;  msvbvm60.rtcMidCharBstr
00404988   .  8BD0          mov edx,eax
0040498A   .  8D4D B4       lea ecx,dword ptr ss:[ebp-0x4C]
0040498D   .  FF15 BC104000 call dword ptr ds:[<&MSVBVM60.__vbaStrMo>;  msvbvm60.__vbaStrMove
00404993   .  50            push eax
00404994   .  FF15 20104000 call dword ptr ds:[<&MSVBVM60.#516>]     ;  msvbvm60.rtcAnsiValueBstr
0040499A   .  0FBFD0        movsx edx,ax                             ;  // 取字符的ansii，0x31 0x32 0x33 0x32
0040499D   .  8995 FCFCFFFF mov dword ptr ss:[ebp-0x304],edx
004049A3   .  C785 7CFFFFFF>mov dword ptr ss:[ebp-0x84],0x5
004049AD   .  DB85 FCFCFFFF fild dword ptr ss:[ebp-0x304]            ;  // 转为浮点数，压栈st0
004049B3   .  DD9D F4FCFFFF fstp qword ptr ss:[ebp-0x30C]            ;  // 出栈
004049B9   .  DD85 F4FCFFFF fld qword ptr ss:[ebp-0x30C]             ;  // 浮点加载数，拉取数据
004049BF   .  DC85 34FFFFFF fadd qword ptr ss:[ebp-0xCC]             ;  //从堆栈中弹出这二个操作数，然后把计算的“和”压入堆栈，即：ST＝ST(1)+ST
004049C5   .  DD5D 84       fstp qword ptr ss:[ebp-0x7C]             ;  // 出栈，50.0，51, 52,51
004049C8   .  DFE0          fstsw ax                                 ;  // ax=0x100
004049CA   .  A8 0D         test al,0xD                              ;  // 不知道为什么是和0xD比较，但是不用咱关心
004049CC   .  0F85 FA1F0000 jnz 004069CC                             ;  跳到异常处理，正常不跳
004049D2   .  8D85 7CFFFFFF lea eax,dword ptr ss:[ebp-0x84]
004049D8   .  50            push eax
004049D9   .  FF15 94104000 call dword ptr ds:[<&MSVBVM60.#572>]     ;  msvbvm60.rtcHexBstrFromVar
004049DF   .  8D4D CC       lea ecx,dword ptr ss:[ebp-0x34]
004049E2   .  8985 74FFFFFF mov dword ptr ss:[ebp-0x8C],eax
004049E8   .  8D95 6CFFFFFF lea edx,dword ptr ss:[ebp-0x94]
004049EE   .  51            push ecx                                 ;  // '0' '032'  // 上一次保存的值
004049EF   .  8D85 5CFFFFFF lea eax,dword ptr ss:[ebp-0xA4]
004049F5   .  52            push edx                                 ;  // '33' = 0x32 + 1  // 浮点数的hex值
004049F6   .  50            push eax                                 ;  // '032'
004049F7   .  C785 6CFFFFFF>mov dword ptr ss:[ebp-0x94],0x8
00404A01   .  FF15 84104000 call dword ptr ds:[<&MSVBVM60.__vbaVarCa>;  msvbvm60.__vbaVarCat
00404A07   .  8BD0          mov edx,eax                              ;  // '0323334'
00404A09   .  8D4D CC       lea ecx,dword ptr ss:[ebp-0x34]
00404A0C   .  FFD7          call edi                                 ;  msvbvm60.__vbaVarMove // 将结果存到[ebp-0x34]
00404A0E   .  8D4D B0       lea ecx,dword ptr ss:[ebp-0x50]
00404A11   .  8D55 B4       lea edx,dword ptr ss:[ebp-0x4C]
00404A14   .  51            push ecx
00404A15   .  8D45 B8       lea eax,dword ptr ss:[ebp-0x48]
00404A18   .  52            push edx
00404A19   .  50            push eax
00404A1A   .  6A 03         push 0x3
00404A1C   .  FF15 9C104000 call dword ptr ds:[<&MSVBVM60.__vbaFreeS>;  msvbvm60.__vbaFreeStrList
00404A22   .  8D8D 6CFFFFFF lea ecx,dword ptr ss:[ebp-0x94]
00404A28   .  8D95 7CFFFFFF lea edx,dword ptr ss:[ebp-0x84]
00404A2E   .  51            push ecx
00404A2F   .  8D45 8C       lea eax,dword ptr ss:[ebp-0x74]
00404A32   .  52            push edx
00404A33   .  8D4D 9C       lea ecx,dword ptr ss:[ebp-0x64]
00404A36   .  50            push eax
00404A37   .  51            push ecx
00404A38   .  6A 04         push 0x4
00404A3A   .  FF15 14104000 call dword ptr ds:[<&MSVBVM60.__vbaFreeV>;  msvbvm60.__vbaFreeVarList
00404A40   .  83C4 24       add esp,0x24
00404A43   .  8D95 08FFFFFF lea edx,dword ptr ss:[ebp-0xF8]
00404A49   .  52            push edx
00404A4A   .  8D85 18FFFFFF lea eax,dword ptr ss:[ebp-0xE8]
00404A50   .  8D4D DC       lea ecx,dword ptr ss:[ebp-0x24]
00404A53   .  50            push eax
00404A54   .  51            push ecx
00404A55   .  FF15 C8104000 call dword ptr ds:[<&MSVBVM60.__vbaVarFo>;  msvbvm60.__vbaVarForNext
00404A5B   .^ E9 CFFEFFFF   jmp 0040492F
00404A60   >  8D55 CC       lea edx,dword ptr ss:[ebp-0x34]
00404A63   .  8D85 4CFFFFFF lea eax,dword ptr ss:[ebp-0xB4]
00404A69   .  52            push edx
00404A6A   .  50            push eax
00404A6B   .  C785 54FFFFFF>mov dword ptr ss:[ebp-0xAC],00401E50     ;  0817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C
00404A75   .  C785 4CFFFFFF>mov dword ptr ss:[ebp-0xB4],0x8008       ;  // 修改eax指针的内容
00404A7F   .  FF15 5C104000 call dword ptr ds:[<&MSVBVM60.__vbaVarTs>;  msvbvm60.__vbaVarTstEq // 字符串比较
00404A85   .  66:85C0       test ax,ax
00404A88   .  74 4C         je short 00404AD6                        ;  // 爆破的关键跳转
00404A8A   .  8B45 08       mov eax,dword ptr ss:[ebp+0x8]
00404A8D   .  50            push eax
00404A8E   .  8B08          mov ecx,dword ptr ds:[eax]
00404A90   .  FF91 38030000 call dword ptr ds:[ecx+0x338]
00404A96   .  8D55 AC       lea edx,dword ptr ss:[ebp-0x54]
00404A99   .  50            push eax
00404A9A   .  52            push edx
00404A9B   .  FF15 3C104000 call dword ptr ds:[<&MSVBVM60.__vbaObjSe>;  msvbvm60.__vbaObjSet
00404AA1   .  8B08          mov ecx,dword ptr ds:[eax]
00404AA3   .  68 BC1E4000   push 00401EBC                            ;  REGISTRIERT

具体VB函数请参考前几节的说明，这里只针对算法部分分析。算法其实内容也很简单，就是在代码:

00404994   .  FF15 20104000 call dword ptr ds:[<&MSVBVM60.#516>]     ;  msvbvm60.rtcAnsiValueBstr
0040499A   .  0FBFD0        movsx edx,ax                             ;  // 取字符的ansii，0x31 0x32 0x33 0x32
0040499D   .  8995 FCFCFFFF mov dword ptr ss:[ebp-0x304],edx
004049A3   .  C785 7CFFFFFF>mov dword ptr ss:[ebp-0x84],0x5
004049AD   .  DB85 FCFCFFFF fild dword ptr ss:[ebp-0x304]            ;  // 转为浮点数，压栈st0
004049B3   .  DD9D F4FCFFFF fstp qword ptr ss:[ebp-0x30C]            ;  // 出栈
004049B9   .  DD85 F4FCFFFF fld qword ptr ss:[ebp-0x30C]             ;  // 浮点加载数，拉取数据
004049BF   .  DC85 34FFFFFF fadd qword ptr ss:[ebp-0xCC]             ;  //从堆栈中弹出这二个操作数，然后把计算的“和”压入堆栈，即：ST＝ST(1)+ST
004049C5   .  DD5D 84       fstp qword ptr ss:[ebp-0x7C]             ;  // 出栈，50.0，51, 52,51
004049C8   .  DFE0          fstsw ax                                 ;  // ax=0x100
004049CA   .  A8 0D         test al,0xD                              ;  // 不知道为什么是和0xD比较，但是不用咱关心
004049CC   .  0F85 FA1F0000 jnz 004069CC                             ;  跳到异常处理，正常不跳
004049D2   .  8D85 7CFFFFFF lea eax,dword ptr ss:[ebp-0x84]
004049D8   .  50            push eax
004049D9   .  FF15 94104000 call dword ptr ds:[<&MSVBVM60.#572>]     ;  msvbvm60.rtcHexBstrFromVar

进行浮点数加法，具体内容是每个字符的ANSII码，加上一个固定的值1，然后格式化为开头为0，然后每个字符加之后的值格式化为2位十六进制文本，最后组合起来的文本与之前的固定文本进行比较，如果成功则注册成功！

似乎很简单啊！我们尝试C/CPP反计算序列号：

#include "stdafx.h"
#include "iostream"

int hex2int(char cAnsi)
{
	int nRet = '*';
	if ( cAnsi >= '0' && cAnsi <= '9')
	{
		nRet = cAnsi - '0';
	}else if ( cAnsi >= 'A' && cAnsi<= 'Z' )
	{
		nRet = cAnsi - 'A' + 10;
	}else if ( cAnsi >= 'a' && cAnsi<= 'z' )
	{
		nRet = cAnsi - 'A' + 10;
	}
	return nRet;
}
int _tmain(int argc, _TCHAR* argv[])
{
	char pCmp[] = "0817E747D7AFF7C7F82836D74RR7A7F7E7B7C7D826D81KE7B7C"; // 第一个一定是0，不做处理
	char pKey[100] = {0};
	char cHex[3] = {0};
	// 转换为整数，然后减一的值作为ANSII码组成字符串
	int nLen = strlen(pCmp);
	printf("Len: %d\r\n",nLen);
	int nCode = 0;
	for( int i=0;i<nLen/2;i++ )
	{
		cHex[0] = pCmp[1+i*2];
		cHex[1] = pCmp[1+i*2+1];
		nCode = hex2int(pCmp[1+i*2])*0x10 + hex2int(pCmp[1+i*2+1]);
		pKey[i] = nCode - 1; // 1,12,
	}
	printf("Key:%s\r\n",pKey);

	system("pause");
	return 0;
}

计算出来一堆乱七八糟的文本，不管了，…..可是我们无法输入进去啊！坑啊！

回想之前的步骤，是不是还有很多比较的文本和“REGISTR”字样的文本？好吧，我们也尝试一下….

我直接说结果吧！他们的代码几乎就一样的，只是中间加的固定值不太一样，所以，我们多换几个(其实C/CPP中也已经试过了！)，试过之后发现，还是无法计算出一个使0-9组成的字符串，真心无语了！

到了这里，说实在的，真的没什么办法了！我的算法似乎也找到了，但是为什么不对呢？本着【相信CracMe作者，怀疑自己的态度】，到网上搜索还有没有更好的反汇编VB的程序，答案是：没有！

但是，找到了一个可以跟踪VB事件的程序，叫做VB程序调试工具(SmartCheck)，抱着试一试的态度，还真看出来了一些门道：

建议感兴趣的自己去下一个看看，一定要再输入完成后停止捕捉事件，然后等待日志完成。拉到最后几个，随意选择一个事件，按照顺序查看，你会很惊奇地发现：

比如我输入的注册码为12321，程序进行了如下步骤：

1、取第1个字符‘1’，转换为ANSII为0x31，然后加上1

2、取第2个字符‘2’，转换为ANSII为0x32，然后加上1

3、取第3个字符‘3’，转换为ANSII为0x33，然后加上1

4、取第4个字符‘2’，转换为ANSII为0x32，然后加上1

5、取第5个字符‘1’，转换为ANSII为0x31，然后加上1

6、取第1个字符‘1’，转换为ANSII为0x31，然后加上12

7、取第2个字符‘2’，转换为ANSII为0x32，然后加上12

8、取第3个字符‘3’，转换为ANSII为0x33，然后加上12

…….

然后每个字符都加上 123，再一次每个字符加上1232，再一次每个字符加上12321，结束。

我们可以大胆地猜测，每次循环都将我们之前分析的算法使用上，进行字符串比较，然后相等的才是正确的注册码！

我实在无语了！多么坑的作者才会做出这么OOXX的程序，反正按照这个思路我是找不到的。暴力遍历的思路是有的，但是一想到一共51个字符，算下来这个注册码应该的长度是25个数字或者*#号，我就有一种蛋蛋的忧伤！ByeBye 不伺候你了！活该被标记了一个大大的问号！

BY 笨笨D幸福

posted @ 2014-06-19 21:48 笨笨D幸福阅读(868) 评论(0) 编辑收藏举报

刷新页面返回顶部

笨笨D幸福

记录自己前进道路上的一点一滴！

[反汇编练习] 160个CrackMe之011

公告