NetScream 1.3.27.2006
这个程序比较怪异，一个是用＋号来格开注册码使之成为若干组注册码。
另一个就是：浮点运算值与第一组注册码的差值不要超过某个定值都可以，随便挑注册码。
还有一个你点击程序的菜单都要看看注册码是否正确。
1.脱壳：
PEID:PECompact 2.x -> Jeremy Collake
RORDBG跟踪：
00DA79C2 ***API: KERNEL32.DLL!VirtualFree
可能到OEP了，如果不完全正确，请再单步走几下！
00525BB2 FFE0 JMP EAX
可能到OEP了，如果不完全正确，请再单步走几下！
00493744 55 PUSH EBP
00DA79C1 ***API: KERNEL32.DLL!GetModuleHandleA
好FLYODBG载入，忽略所有异常，HE 00525BB2,F9运行停住，然后来到OEP：
00493744 55 push ebp
00493745 8BEC mov ebp,esp
00493747 B9 36000000 mov ecx,36
LORDPE+ImportREC:dump并修复，运行ok。
Borland Delphi 6.0 - 7.0
2.断点：
Spy capure＋eXescope＋winhex定位注册按钮：
TForm3： OnClick = Button1Click：0047B96C;0047BD68;0047BFAC;0047C364;0047C980,0047CBFC;0048EF24;00492F40;004931DC;
断下：
0047C364 55 push ebp
这里也可以用DeDe来定位，不过加载实在慢。
3.定位核心：
断下后往下走，看到用户名注册码入栈计算：
0047C3ED 8B45 EC mov eax,dword ptr ss:[ebp-14] ; 用户名
0047C3F0 5A pop edx ; 注册码
0047C3F1 E8 621D0100 call dumped_.0048E158
0047C3F6 3C 01 cmp al,1
0047C3F8 0F85 DB000000 jnz dumped_.0047C4D9
如果不跳的话就提示谢谢注册。
4.关键call：0047C3F1 E8 621D0100 call dumped_.0048E158
4.1检查注册码是否有2B即＋号，分别取出2组注册码：
0048E2DD 8B55 F8 mov edx,dword ptr ss:[ebp-8] ; zcm
0048E2E0 B8 70E84800 mov eax,dumped_.0048E870 ; 2b
0048E2E5 E8 DA63F7FF call dumped_.004046C4 ; 检查2B的位置
0048E2EA 40 inc eax ; 2B的位置＋1
0048E2EB 50 push eax ; PUSH
0048E2EC 8B45 F8 mov eax,dword ptr ss:[ebp-8]
0048E2EF E8 8C60F7FF call dumped_.00404380
0048E2F4 8BC8 mov ecx,eax
0048E2F6 8B45 F8 mov eax,dword ptr ss:[ebp-8] ; zcm
0048E2F9 5A pop edx ; POP
0048E2FA E8 E162F7FF call dumped_.004045E0 ; 从第edx位开始取zcm
0048E2FF 8B55 D8 mov edx,dword ptr ss:[ebp-28] ; 剩下的注册码
0048E302 B8 70E84800 mov eax,dumped_.0048E870 ; 2B
0048E307 E8 B863F7FF call dumped_.004046C4 ; 检查2B的位置
0048E30C 48 dec eax ; 2B的位置－1
0048E30D 50 push eax
0048E30E 8D45 D4 lea eax,dword ptr ss:[ebp-2C]
0048E311 50 push eax
0048E312 8B55 F8 mov edx,dword ptr ss:[ebp-8]
0048E315 B8 70E84800 mov eax,dumped_.0048E870
0048E31A E8 A563F7FF call dumped_.004046C4
0048E31F 40 inc eax
0048E320 50 push eax
0048E321 8B45 F8 mov eax,dword ptr ss:[ebp-8]
0048E324 E8 5760F7FF call dumped_.00404380
0048E329 8BC8 mov ecx,eax
0048E32B 8B45 F8 mov eax,dword ptr ss:[ebp-8] ; zcm
0048E32E 5A pop edx ; 第一次位置＋1
0048E32F E8 AC62F7FF call dumped_.004045E0 ; 取得第一批注册码
0048E334 8B45 D4 mov eax,dword ptr ss:[ebp-2C] ; 剩下的注册码
0048E337 BA 01000000 mov edx,1
0048E33C 59 pop ecx ; 第二次位置－1
0048E33D E8 9E62F7FF call dumped_.004045E0 ; 取得第二批注册码
比如练码为87654+3210+12345+678，得到2批注册码：87654＆3210。
4.2用户名＋取得的注册码的运算：
0048E35D 0FB600 movzx eax,byte ptr ds:[eax] ; 顺取用户名
0048E360 F7EB imul ebx ; ebx初始值＝1，累增
...
0048E385 E8 3ABAF7FF call dumped_.00409DC4 ; 用户名乘积转换成十进制
0048E38A FF75 D0 push dword ptr ss:[ebp-30] ; 入栈
0048E38D 8D55 BC lea edx,dword ptr ss:[ebp-44]
0048E390 8BC3 mov eax,ebx
0048E392 E8 B5A1F7FF call dumped_.0040854C
0048E397 FF75 BC push dword ptr ss:[ebp-44] ; 序号入栈1，2，3...
0048E39A FF35 6C7F4900 push dword ptr ds:[497F6C] ; 第2批注册码入栈
0048E3A0 8D45 E4 lea eax,dword ptr ss:[ebp-1C] ;
0048E3A3 BA 03000000 mov edx,3 ; 待连接个数
0048E3A8 E8 9360F7FF call dumped_.00404440 ; 连接
0048E3AD 8B45 E4 mov eax,dword ptr ss:[ebp-1C] ; 连接值
0048E3B0 E8 D3A2F7FF call dumped_.00408688 ; 转换成十六进制
0048E3B5 8BF0 mov esi,eax
0048E3B7 8B45 E4 mov eax,dword ptr ss:[ebp-1C]
0048E3BA E8 C9A2F7FF call dumped_.00408688
0048E3BF 03F0 add esi,eax ; 转换后的十六进制×2
0048E3C1 8BC6 mov eax,esi
0048E3C3 8D55 B8 lea edx,dword ptr ss:[ebp-48]
0048E3C6 E8 81A1F7FF call dumped_.0040854C ; 转换成十进制
0048E3CB 8B55 B8 mov edx,dword ptr ss:[ebp-48] ; 转换值
这里就要小心了，如果取得的注册码值太大的话，转换成十六进制就会异常，最好取<5位。
连接的参数有3个：用户名＋序号＋第2组注册码
用户名：cyto，ASCII码十进制＝99,121,116,111，乘积＝99，242，348，444
序号：1，2，3，...
取得的第2组注册码＝3210
得到的值分别为：99 1 3210，242 2 3210，348 3 3210，444 4 3210
×2后的值：19826420，...，88886420
4.3对最后一组值88886420的浮点计算：
0048E3E8 6A 16 push 16
0048E3EA 68 95B5AE55 push 55AEB595
0048E3EF 8B45 E4 mov eax,dword ptr ss:[ebp-1C] ; 最后一组计算值
0048E3F2 E8 91A2F7FF call dumped_.00408688 ; 转换成十六进制
0048E3F7 99 cdq
0048E3F8 E8 BF6BF7FF call dumped_.00404FBC ; 计算
0048E3FD 8945 C0 mov dword ptr ss:[ebp-40],eax ; 低位值
0048E400 8955 C4 mov dword ptr ss:[ebp-3C],edx ; 高位值
0012F580 24 36 25 38 C3 87 54 76 $6%8?Tv
最后一组计算值＝88886420＝54C4C94（H）
值×16＝54C4C94×16＝748E94B8
值×55AEB595＝54C4C94×55AEB595＝1C5F30B 38253624
高位值＝值×16＋值×55AEB595的高位＝748E94B8+1C5F30B＝765487C3
低位值＝值×55AEB595的低位＝38253624
转换成浮点：8.5265892670495268200E+18
4.4取扣除前2组剩下的注册码，再次检查有无2B：
0048E482 8B55 EC mov edx,dword ptr ss:[ebp-14] ; 所剩下的注册码
0048E485 B8 70E84800 mov eax,dumped_.0048E870 ; 2B
0048E48A E8 3562F7FF call dumped_.004046C4 ; 检查2B的位置
0048E48F 85C0 test eax,eax ; 返回的位置值
0048E491 0F8E 6B010000 jle dumped_.0048E602
比如练码为87654+3210+12345+678，剩下的就是12345+678。
4.5检查通过后取第4组：
0048E49B 8B55 EC mov edx,dword ptr ss:[ebp-14]
0048E49E B8 70E84800 mov eax,dumped_.0048E870
0048E4A3 E8 1C62F7FF call dumped_.004046C4
0048E4A8 40 inc eax
0048E4A9 50 push eax
0048E4AA 8B45 EC mov eax,dword ptr ss:[ebp-14]
0048E4AD E8 CE5EF7FF call dumped_.00404380
0048E4B2 8BC8 mov ecx,eax
0048E4B4 8B45 EC mov eax,dword ptr ss:[ebp-14]
0048E4B7 5A pop edx
0048E4B8 E8 2361F7FF call dumped_.004045E0
0048E4BD 8B45 AC mov eax,dword ptr ss:[ebp-54] ； 第4组
比如练码为87654+3210+12345+678，第4组就是678。
4.6取第3组注册码：
0048E4CC 8B55 EC mov edx,dword ptr ss:[ebp-14]
0048E4CF B8 70E84800 mov eax,dumped_.0048E870
0048E4D4 E8 EB61F7FF call dumped_.004046C4
0048E4D9 8BC8 mov ecx,eax
0048E4DB 49 dec ecx
0048E4DC BA 01000000 mov edx,1
0048E4E1 8B45 EC mov eax,dword ptr ss:[ebp-14]
0048E4E4 E8 F760F7FF call dumped_.004045E0
0048E4E9 8B45 A0 mov eax,dword ptr ss:[ebp-60]
比如练码为87654+3210+12345+678，第3组就是12345。
第3组累和：得到值＝255＝FF（H）
4.7浮点计算值与第1组注册码的运算：
0048E61C 8B45 F0 mov eax,dword ptr ss:[ebp-10] ; 第1组注册码
0048E61F E8 F8B7F7FF call dumped_.00409E1C
0048E624 DB7D 84 fstp tbyte ptr ss:[ebp-7C]
0048E627 9B wait
0048E628 8B45 E4 mov eax,dword ptr ss:[ebp-1C]
0048E62B E8 ECB7F7FF call dumped_.00409E1C
0048E630 DB6D 84 fld tbyte ptr ss:[ebp-7C]
0048E633 DEE1 fsubrp st(1),st ; 浮点值与第1组注册码差值
0048E635 D81D 8CE84800 fcomp dword ptr ds:[48E88C] ; 差值与4000比较
0048E63B DFE0 fstsw ax
0048E63D 9E sahf
0048E63E 0F87 53010000 ja dumped_.0048E797
0048E644 8B45 E4 mov eax,dword ptr ss:[ebp-1C]
0048E647 E8 D0B7F7FF call dumped_.00409E1C
0048E64C DBBD 78FFFFFF fstp tbyte ptr ss:[ebp-88]
0048E652 9B wait
0048E653 8B45 F0 mov eax,dword ptr ss:[ebp-10]
0048E656 E8 C1B7F7FF call dumped_.00409E1C
0048E65B DBAD 78FFFFFF fld tbyte ptr ss:[ebp-88]
0048E661 DEE1 fsubrp st(1),st ; 浮点值与第1组注册码差值
0048E663 D81D 8CE84800 fcomp dword ptr ds:[48E88C] ; 差值与4000比较
0048E669 DFE0 fstsw ax
0048E66B 9E sahf
0048E66C 0F87 25010000 ja dumped_.0048E797
这两个ja不能跳，跳就完。
试了好几个方法，让fsubrp st(1),st的值＝0，都不会跳。
反复调试发现：fsubrp st(1),st的值只要不超过48E88C的值＝4000就能通过。
4.8通过上面2个ja后，比较：
0048E672 8B45 E8 mov eax,dword ptr ss:[ebp-18] ; 第4组注册码
0048E675 8B55 E0 mov edx,dword ptr ss:[ebp-20] ; 第3组注册码累和ASCII码
0048E678 E8 4F5EF7FF call dumped_.004044CC ; 比较
0048E67D 75 0B jnz short dumped_.0048E68A ; 核心跳转
0048E67F C605 647F4900 0>mov byte ptr ds:[497F64],1
0048E686 C645 F7 01 mov byte ptr ss:[ebp-9],1
0048E68A 33C0 xor eax,eax
只要修改0048E67D处的跳转，这样就能爆破成功。
5.算法小结：
注册码需要3个＋号格开得到4组注册码。
用户名与第2组注册码运算得到浮点值，浮点值要约等于第1组注册码。
第3组注册码累和＝第4组注册码。
好，让第2组注册码小点，设为0，第3组注册码如果为12345的话，第4组就要＝255，这样只需要反推第1组注册码，假设练码为：8+0+12345+255
得到浮点值＝st(1)=8.5259734170344796160e+15
即8525973417034479.616，
第一组注册码从8525973417030480－8525973417038479任意数都可以注册成功。
用户名：cyto
注册码：8525973417034479+0+12345+255
写入注册表：
HKLM\Software\SWIFTDOG\NetScream\Name SUCCESS "cyto"
HKLM\Software\SWIFTDOG\NetScream\Serial SUCCESS "8525973417034479+0+12345+255"
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
