【标题】XoftSpy 4.13的注册算法分析
【作者】forever[RCT]
【语言】VC
【工具】ida4.6,ollydbg1.1
【正文】
      这个软件的算法很简单，正好拿来做逆向分析。我就会捏软柿子。呵呵。
      因为这个软件注册失败会弹出一个对话框来提示您，所以在ollydbg中在函数MessageBox上下断点很容易就找到软件的关键算法处。这个软件装载时间很长，所以如果您也要分析它，建议用ollydbg来attach一下。我就是这么的。:)
      其他的都省略了。这里只分析一下关键的算法部分：
      
      
.text:00417690 sub_417690      proc near
.text:00417690                                
.text:00417690
.text:00417690 var_28          = dword ptr -28h
.text:00417690 var_24          = dword ptr -24h
.text:00417690 var_20          = dword ptr -20h
.text:00417690 var_1C          = dword ptr -1Ch
.text:00417690 var_18          = dword ptr -18h
.text:00417690 var_14          = dword ptr -14h
.text:00417690 var_10          = dword ptr -10h
.text:00417690 var_C           = dword ptr -0Ch
.text:00417690 var_4           = dword ptr -4
.text:00417690 arg_myName      = dword ptr  4
.text:00417690 arg_myCode      = dword ptr  8
.text:00417690
.text:00417690                 push    0FFFFFFFFh
.text:00417692                 push    offset unknown_libname_428
.text:00417697                 mov     eax, large fs:0
.text:0041769D                 push    eax
.text:0041769E                 mov     large fs:0, esp
.text:004176A5                 sub     esp, 1Ch
.text:004176A8                 push    ebx
.text:004176A9                 push    esi
.text:004176AA                 push    edi
.text:004176AB                 mov     eax, [esp+34h+arg_myName]
.text:004176AF                 push    offset byte_48FA48  //这里是0
.text:004176B4                 push    eax
.text:004176B5                 mov     [esp+3Ch+var_4], 1
.text:004176BD                 call    __mbscmp
.text:004176C2                 add     esp, 8
.text:004176C5                 test    eax, eax
.text:004176C7                 jz      loc_4178F5   
               //注册名为空则退出
.text:004176CD                 mov     ecx, [esp+34h+arg_myCode]
.text:004176D1                 push    offset byte_48FA48
.text:004176D6                 push    ecx
.text:004176D7                 call    __mbscmp
.text:004176DC                 add     esp, 8
.text:004176DF                 test    eax, eax
.text:004176E1                 jz      loc_4178F5   
               //注册码为空则退出
.text:004176E7                 mov     edx, [esp+34h+arg_myCode]
.text:004176EB                 cmp     dword ptr [edx-8], 21
.text:004176EF                 jl      loc_4178F5   
               //注册码长度小于21位则退出
.text:004176F5                 lea     eax, [esp+34h+var_18]
.text:004176F9                 push    11
.text:004176FB                 push    eax
.text:004176FC                 lea     ecx, [esp+3Ch+arg_myCode]
.text:00417700                 call    ?Left@CString@@QBE?AV1@H@Z ; CString::Left(int)
.text:00417705                 mov     ecx, [esp+34h+var_18]  
               //取注册码左边11个字符
.text:00417709                 xor     esi, esi              
               //mov指令执行后ecx是字符串的地址
.text:0041770B                 xor     edx, edx               
               //这是指针和变量的区别，变量一般用lea
.text:0041770D                 mov     byte ptr [esp+34h+var_4], 2
.text:00417712                 mov     [esp+34h+var_14], esi
.text:00417716                 xor     eax, eax
.text:00417718
.text:00417718 loc_417718:                             
.text:00417718                 movsx   edi, byte ptr [eax+ecx]
               //取一个字符(符号扩展的，所以edi是整型数)
.text:0041771C                 add     edx, edi               
               //累加到edx
.text:0041771E                 inc     eax                     
               //索引加1
.text:0041771F                 cmp     eax, 0Ah               
.text:00417722                 jle     short loc_417718        
               //这里用的jle，所以累加11个字节
.text:00417724                 mov     [esp+34h+var_10], edx   
               //保存累加和
.text:00417728                 mov     edx, [esp+34h+arg_myName]
.text:0041772C                 xor     eax, eax
.text:0041772E                 mov     ecx, [edx-8]            
               //这个位置是CString类型的变量的长度
.text:00417731                 test    ecx, ecx
.text:00417733                 jle     short loc_417744        
               //用户名长度小于等于0则跳
.text:00417735
.text:00417735 loc_417735:                             
.text:00417735                 movsx   edi, byte ptr [eax+edx]
               //取用户名一个字符
.text:00417739                 add     esi, edi               
               //累加到esi
.text:0041773B                 inc     eax
.text:0041773C                 cmp     eax, ecx
.text:0041773E                 jl      short loc_417735        
               //(注意这里用的jl)
.text:00417740                 mov     [esp+34h+var_14], esi   
               //保存用户名累加和
.text:00417744
.text:00417744 loc_417744:                           
.text:00417744                 mov     ecx, [esp+34h+arg_myCode]
.text:00417748                 push    ebp
.text:00417749                 lea     edx, [esp+38h+var_28]
.text:0041774D                 mov     eax, [ecx-8]
.text:00417750                 lea     ecx, [esp+38h+arg_myCode]
.text:00417754                 add     eax, -12                 
               //注册码长度减去12
.text:00417757                 push    eax
.text:00417758                 push    edx
.text:00417759                 call    ?Right@CString@@QBE?AV1@H@Z ; CString::Right(int)
.text:0041775E                 lea     eax, [esp+38h+var_1C]      
               //上面是取右半部分，不要左边的12个字符
.text:00417762                 push    3
.text:00417764                 push    eax
.text:00417765                 lea     ecx, [esp+40h+var_28]
.text:00417769                 mov     byte ptr [esp+40h+var_4], 3
.text:0041776E                 call    ?Left@CString@@QBE?AV1@H@Z ; CString::Left(int)
.text:00417773                 mov     ecx, [esp+38h+var_1C]   
               //取右半部分的左边3个字符
.text:00417777                 mov     byte ptr [esp+38h+var_4], 4
.text:0041777C                 push    ecx             ; char *
.text:0041777D                 call    _atoi                    
               //转换成整数
.text:00417782                 cdq
.text:00417783                 add     esp, 4
.text:00417786                 sub     eax, edx
.text:00417788                 lea     edx, [esp+38h+var_20]
.text:0041778C                 mov     esi, eax               
               //结果放在这里
.text:0041778E                 push    3
.text:00417790                 push    3
.text:00417792                 push    edx
.text:00417793                 lea     ecx, [esp+44h+var_28]
.text:00417797                 sar     esi, 1                  
               //除以2（符号右移1位）
.text:00417799                 call    ?Mid@CString@@QBE?AV1@HH@Z ; CString::Mid(int,int)
.text:0041779E                 mov     eax, [esp+38h+var_20]   
               //依次再取3个字符
.text:004177A2                 mov     byte ptr [esp+38h+var_4], 5
.text:004177A7                 push    eax             ; char *
.text:004177A8                 call    _atoi                  
               //转换成整数
.text:004177AD                 cdq
.text:004177AE                 add     esp, 4
.text:004177B1                 and     edx, 3
.text:004177B4                 add     eax, edx
.text:004177B6                 lea     ecx, [esp+38h+var_24]
.text:004177BA                 push    3
.text:004177BC                 mov     edi, eax               
               //结果放在这里
.text:004177BE                 push    ecx
.text:004177BF                 lea     ecx, [esp+40h+var_28]
.text:004177C3                 sar     edi, 2                  
               //除以4（符号右移2位）
.text:004177C6                 call    ?Right@CString@@QBE?AV1@H@Z ; CString::Right(int)
.text:004177CB                 mov     edx, [esp+38h+var_24]   
               //取右半部分最右边3位
.text:004177CF                 push    edx             ; char *
.text:004177D0                 call    _atoi                  
               //转换成整数
.text:004177D5                 mov     ecx, eax
.text:004177D7                 mov     eax, 55555556h         
               //乘以55555556h
.text:004177DC                 imul    ecx
.text:004177DE                 mov     eax, edx               
               //模 2的32次方
.text:004177E0                 add     esp, 4
.text:004177E3                 shr     eax, 1Fh               
               //处理符号位
.text:004177E6                 add     edx, eax
                                                        
               //上面实际上是除以3，我们看看怎么计算的：
               // ecx * 55555556h / 2^32
               //= ecx * 1431655766 / 4294967296
               //= ecx / 2.9999999986030161387273035297509
               //= ecx / 3
                                                        
.text:004177E8                 mov     eax, [esp+38h+arg_myName]
.text:004177EC                 mov     ebx, edx                 
               //结果放在这里
.text:004177EE                 movsx   ecx, byte ptr [eax]      
               //取用户名一个字节到ecx
.text:004177F1                 mov     ebp, [eax-8]            
.text:004177F4                 cmp     esi, ecx                 
               //和第一个整数比较
.text:004177F6                 movsx   edx, byte ptr [eax+1]   
               //取用户名第2个字符到edx
.text:004177FA                 movsx   eax, byte ptr [eax+ebp-1]
               //取用户名最后一个字节到eax
.text:004177FF                 pop     ebp
.text:00417800                 jnz     loc_4178AF
.text:00417806                 cmp     edi, edx            
               //第2个字符和第2个整数比较
.text:00417808                 jnz     loc_4178AF
.text:0041780E                 cmp     ebx, eax            
               //最后一个字符和第3个整数比较
.text:00417810                 jnz     loc_4178AF
.text:00417816                 mov     eax, [esp+34h+var_14]   
               //用户名累加和
.text:0041781A                 mov     ecx, 0Ah
.text:0041781F                 cdq
.text:00417820                 idiv    ecx
.text:00417822                 mov     eax, [esp+34h+var_10]   
               //注册码左半部分累加和
.text:00417826                 mov     esi, 0Ah
.text:0041782B                 mov     ecx, edx   
               //这个是用户名累加和模10的结果
.text:0041782D                 cdq
.text:0041782E                 idiv    esi         
               //注册码左半部分累加和模10的结果在edx
.text:00417830                 cmp     edx, ecx    //比较
.text:00417832                 jnz     short loc_4178AF  
.text:00417834                 lea     ecx, [esp+34h+var_24]
.text:00417838                 mov     byte ptr [esp+34h+var_4], 5
.text:0041783D                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:00417842                 lea     ecx, [esp+34h+var_20]
.text:00417846                 mov     byte ptr [esp+34h+var_4], 4
.text:0041784B                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:00417850                 lea     ecx, [esp+34h+var_1C]
.text:00417854                 mov     byte ptr [esp+34h+var_4], 3
.text:00417859                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:0041785E                 lea     ecx, [esp+34h+var_28]
.text:00417862                 mov     byte ptr [esp+34h+var_4], 2
.text:00417867                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:0041786C                 lea     ecx, [esp+34h+var_18]
.text:00417870                 mov     byte ptr [esp+34h+var_4], 1
.text:00417875                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:0041787A                 lea     ecx, [esp+34h+arg_myName]
.text:0041787E                 mov     byte ptr [esp+34h+var_4], 0
.text:00417883                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:00417888                 lea     ecx, [esp+34h+arg_myCode]
.text:0041788C                 mov     [esp+34h+var_4], 0FFFFFFFFh
.text:00417894                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:00417899                 pop     edi
.text:0041789A                 pop     esi
.text:0041789B                 mov     al, 1
.text:0041789D                 pop     ebx
.text:0041789E                 mov     ecx, [esp+28h+var_C]
.text:004178A2                 mov     large fs:0, ecx
.text:004178A9                 add     esp, 28h
.text:004178AC                 retn    8
.text:004178AF ; 哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪哪
.text:004178AF
.text:004178AF loc_4178AF:                             
.text:004178AF                 lea     ecx, [esp+34h+var_24]
.text:004178B3                 mov     byte ptr [esp+34h+var_4], 5
.text:004178B8                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:004178BD                 lea     ecx, [esp+34h+var_20]
.text:004178C1                 mov     byte ptr [esp+34h+var_4], 4
.text:004178C6                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:004178CB                 lea     ecx, [esp+34h+var_1C]
.text:004178CF                 mov     byte ptr [esp+34h+var_4], 3
.text:004178D4                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:004178D9                 lea     ecx, [esp+34h+var_28]
.text:004178DD                 mov     byte ptr [esp+34h+var_4], 2
.text:004178E2                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:004178E7                 lea     ecx, [esp+34h+var_18]
.text:004178EB                 mov     byte ptr [esp+34h+var_4], 1
.text:004178F0                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:004178F5
.text:004178F5 loc_4178F5:                             
.text:004178F5                 lea     ecx, [esp+34h+arg_myName]
.text:004178F9                 mov     byte ptr [esp+34h+var_4], 0
.text:004178FE                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:00417903                 lea     ecx, [esp+34h+arg_myCode]
.text:00417907                 mov     [esp+34h+var_4], 0FFFFFFFFh
.text:0041790F                 call    ??1CString@@QAE@XZ ; CString::~CString(void)
.text:00417914                 mov     ecx, [esp+34h+var_C]
.text:00417918                 pop     edi
.text:00417919                 pop     esi
.text:0041791A                 xor     al, al
.text:0041791C                 pop     ebx
.text:0041791D                 mov     large fs:0, ecx
.text:00417924                 add     esp, 28h
.text:00417927                 retn    8
.text:00417927 sub_417690      endp

算法总结：

1.注册码长度大于等于21个字符；
2.注册码分左右两部分处理，左边取11个字符，右边取除左边12个字符的所有字符；
2.用户名累加和模10 和 注册码左边11个字节累加和模10 相等；
3.注册码右半部分的前3个字符转换成整数和用户名第一个字符比较；
4.注册码右半部分的接着3个字符转换成整数和用户名第二个字符比较；
5.注册码右半部分最后3个字符转换成整数和用户名最后一个字符比较；

/////////////////////////////////////////////////////////////
//逆向如下：/////////////////////////////////////////////////
/////////////////////////////////////////////////////////////
BOOL fun1(CString myName,CString myCode)
{
    CString tmp1,tmp2;
    int iLeftSum,iNameSum;
    int x,y,z;
    int i;
    int iLen;
   
    if(myName.IsEmpty())return FALSE;
    if(myCode.IsEmpty())return FALSE;
    if(myCode.GetLength() < 21)return FALSE;
   
    tmp1 = myCode.Left(11);
    iLen = tmp1.GetLength();
    iLeftSum = 0;
    for(i = 0;i < iLen;i ++)
    {
        iLeftSum += tmp1.GetAt(i);
    }
   
    iLen = myName.GetLength();
    iNameSum = 0;
    for(i = 0;i < iLen;i ++)
    {
        iNameSum += myName.GetAt(i);
    }
   
    tmp1 = myCode.Right(myCode.GetLength() - 12);
    tmp2 = tmp1.Left(3);
    x    = atoi(tmp2);
    x    = x / 2;
   
    tmp2 = tmp1.Mid(3,3);
    y    = atoi(tmp2);
    y    = y / 4;
   
    tmp2 = tmp1.Right(3);
    z    = atoi(tmp2);
    z    = z / 3;
   
    if(x != myName.GetAt(0))return FALSE;
    if(y != myName.GetAt(1))return FALSE;
    if(z != myName.GetAt(myName.GetLength() - 1))return FALSE;
    if(iLeftSum != iNameSum)return FALSE;
   
    return TRUE;
}

/////////////////////////////////////////////////////////////
//注册机算法如下：////////////////////////////////////////////
/////////////////////////////////////////////////////////////
CString fun1(const CString myName)
{
    int i,iLen;
    int iNameSum;
    int iLeftSum;
    char tmp[4];
    char tmp1[12];
    CString myCode;
   
    iNameSum = 0;
    iLen = myName.GetLength();
    for(i = 0;i < iLen;i ++)
    {
        iNameSum += myName.GetAt(i);
    }
   
    memset(tmp1,0,12);
    srand( (unsigned)time( NULL ) );
    for(i = 0;i < 10;i ++)
    {
        tmp1[i] = rand() % 10 + 0x30;
    }
    iLeftSum = 0;
    for(i = 0;i < 10;i ++)
    {
        iLeftSum += tmp1[i];
    }
   
    iLeftSum %= 10;
    iNameSum %= 10;
      
    tmp1[10] = (iLeftSum >= iNameSum? iLeftSum - iNameSum:iNameSum - iLeftSum);
        if(tmp1[10] <= 7)tmp1[10] += 50;  //保证注册码都是数字
        else tmp1[10] += 40;   

    myCode += tmp1;
        myCode += "-";
   
    memset(tmp,0,4);
    sprintf(tmp,"%03d",myName.GetAt(0)*2);
    myCode += tmp;
   
    memset(tmp,0,4);
    sprintf(tmp,"%03d",myName.GetAt(1)*4);
    myCode += tmp;
   
    memset(tmp,0,4);
    sprintf(tmp,"%03d",myName.GetAt(myName.GetLength() - 1)*3);
    myCode += tmp;
   
    return myCode;
}

=======================全文完=======================

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课