首页
社区
课程
招聘
问答 CTF 排行榜 知识库 工具下载 峰会 看雪商城 证书查询
  1. 社区
  2. 软件逆向
    3. 发新帖
[原创]SpywareStormer1.4.0.7的注册过程(入门级)
发表于: 2006-4-15 22:41 9103

[原创]SpywareStormer1.4.0.7的注册过程(入门级)

thinkSJ 活跃值
4
2006-4-15 22:41
9103

【文章标题】: SpywareStormer1.4.0.7的注册过程(入门级)
【文章作者】: thinkSJ
【作者邮箱】: thinkersj@163.com
【作者主页】: meiyou
【软件名称】: SpywareStormer
【软件大小】: 908KB
【下载地址】: 附件
【编写语言】: Microsoft Visual Basic 5.0 / 6.0
【使用工具】: OD1.1
【操作平台】: WIN2K SP4
【作者声明】: 不妥之处，敬请指正
--------------------------------------------------------------------------------
【详细过程】
    今天上午在上网时，我的浏览器突然"热情"地向我推荐一个软件，说它可以扫出系统中的间谍软件以及其它的一些垃圾，
  于是就试用了一下，感觉良好，但它在退出的时候需要注册。真烦！看来只能按原规办事了.....
  
  1：收集信息
  
    它的右上角有一个Register按钮，点它后来到注册页面，上面有一段对于我们并不重要的内容，除此之外还有用于输入
  Order Number和Activation Key的地方。好的，在此我们分别输入456987 和7899 4566 1233 6544，然后点Activate按钮
  ，就会弹出一个对话框说"Your registration information is incorrect,Please re-enter."，先将它记下来吧，关掉
  它之后用PEID查一下，信息为:Microsoft Visual Basic 5.0 / 6.0 表明没有壳，那就好办多了。
  
  2：正文
  
  用OD载入，我们断在这里：
    00404CC4 > $  68 606D4000                push SS.00406D60       ;停在这里
    00404CC9   .  E8 F0FFFFFF                call <jmp.&MSVBVM60.#100>
    00404CCE   .  0000                       add byte ptr ds:[eax],al
    00404CD0   .  60                         pushad
  由于刚才有提示框出现，所以先看一下有没有这样的函数：
    在CPU窗口中点右键，选查找---->所有模块间的调用，然后点击窗口主方的目标文件，就可以在窗口中寻找.......
  不一会儿就看到函数：rtcMsgBox，就是这个了，右键---->在每次调用到rtcMsgBox上设置断点。然后返回CPU窗口F9运行
  注册，再把刚才的信息输入一遍，点击后断在这里：
    004DB813   .  C745 80 0A000000           mov dword ptr ss:[ebp-80],0A
    004DB81A   .  C785 58FFFFFF AC2F4100     mov dword ptr ss:[ebp-A8],SS.00412FAC    ;  UNICODE "Your registration information is incorrect. Please re-enter."
    004DB824   .  C785 50FFFFFF 08000000     mov dword ptr ss:[ebp-B0],8
    004DB82E   .  8D95 50FFFFFF              lea edx,dword ptr ss:[ebp-B0]
    004DB834   .  8D4D 90                    lea ecx,dword ptr ss:[ebp-70]
    004DB837   .  FF15 54124000              call dword ptr ds:[<&MSVBVM60.__vbaVarDu>;  MSVBVM60.__vbaVarDup
    004DB83D   .  8D8D 60FFFFFF              lea ecx,dword ptr ss:[ebp-A0]
    004DB843   .  51                         push ecx
    004DB844   .  8D95 70FFFFFF              lea edx,dword ptr ss:[ebp-90]
    004DB84A   .  52                         push edx
    004DB84B   .  8D45 80                    lea eax,dword ptr ss:[ebp-80]
    004DB84E   .  50                         push eax
    004DB84F   .  6A 10                      push 10
    004DB851   .  8D4D 90                    lea ecx,dword ptr ss:[ebp-70]
    004DB854   .  51                         push ecx
    004DB855   .  FF15 AC104000              call dword ptr ds:[<&MSVBVM60.#595>]     ;  确定后断在这里
  
  如果在004DB855处F9就有出错信息了。好的那就往上分析吧，会来到这里：
    004DB387   .  85D2                       test edx,edx
    004DB389   .  74 0D                      je short SS.004DB398
    004DB38B   .  C745 FC 10000000           mov dword ptr ss:[ebp-4],10
    004DB392   .  66:C745 D4 0000            mov word ptr ss:[ebp-2C],0
    004DB398   >  C745 FC 12000000           mov dword ptr ss:[ebp-4],12
    004DB39F   .  FF15 C0104000              call dword ptr ds:[<&MSVBVM60.#598>]     ;  MSVBVM60.rtcDoEvents
    004DB3A5   .  C745 FC 13000000           mov dword ptr ss:[ebp-4],13
    004DB3AC   .^ E9 59FEFFFF                jmp SS.004DB20A
    004DB3B1   >  C745 FC 14000000           mov dword ptr ss:[ebp-4],14
    004DB3B8   .  66:837D D4 FF              cmp word ptr ss:[ebp-2C],0FFFF
    004DB3BD   .  0F85 88020000              jnz SS.004DB64B                          ;  将此处改为je
    004DB3C3   .  C745 FC 15000000           mov dword ptr ss:[ebp-4],15
    004DB3CA   .  C785 68FFFFFF 04000280     mov dword ptr ss:[ebp-98],80020004
  此时将004DB3BD处的跳转改掉就可以暴破了，但在下次启动时它还会要求注册。所以要彻底解决它，再向上找，就会看到：
    004DAC1D   .  C785 58FFFFFF 444D4100     mov dword ptr ss:[ebp-A8],SS.0>;  UNICODE "Please enter your order number and activation key exactly as it appeared when you purchased Spyware "
  
  很明显的只有当注册信息不完整时，才会弹出此内容，所以注册码的算法是在这之后完的。
  我在这里下了断点:
    004DAC84   > \C745 FC 07000000           mov dword ptr ss:[ebp-4],7         ;  在这里下断
    004DAC8B   .  66:C785 F0FEFFFF 0300      mov word ptr ss:[ebp-110],3
    004DAC94   .  66:C785 F4FEFFFF 0100      mov word ptr ss:[ebp-10C],1
    004DAC9D   .  66:C745 DC 0000            mov word ptr ss:[ebp-24],0
    004DACA3   .  EB 15                      jmp short SS.004DACBA
    004DACA5   > /66:8B55 DC                 mov dx,word ptr ss:[ebp-24]
    004DACA9   . |66:0395 F4FEFFFF           add dx,word ptr ss:[ebp-10C]
    004DACB0   . |0F80 680C0000              jo SS.004DB91E
    004DACB6   . |66:8955 DC                 mov word ptr ss:[ebp-24],dx
    004DACBA   > |66:8B45 DC                 mov ax,word ptr ss:[ebp-24]
    004DACBE   . |66:3B85 F0FEFFFF           cmp ax,word ptr ss:[ebp-110]
    004DACC5   . |0F8F 3B020000              jg SS.004DAF06                     ;  如计算完则跳出循环
  然后重新加载程序，并重复注册过程就会断在004DAC84处。
  
  经分析从004DAF01到004DACA5是一个大的循环，分四次将我们输入的假KEY转换并保存，跳出这个循环后一路F8，不一会就
  不到这里：
    004DAF95   .  8985 B0FEFFFF              mov dword ptr ss:[ebp-150],eax
    004DAF9B   .  EB 0A                      jmp short SS.004DAFA7
    004DAF9D   >  C785 B0FEFFFF 00000000     mov dword ptr ss:[ebp-150],0
    004DAFA7   >  8B55 B4                    mov edx,dword ptr ss:[ebp-4C]      ;  指向order number:465987
    004DAFAA   .  8995 CCFEFFFF              mov dword ptr ss:[ebp-134],edx     ;  保存指针
    004DAFB0   .  C745 B4 00000000           mov dword ptr ss:[ebp-4C],0        ;  清空
    004DAFB7   .  8B85 CCFEFFFF              mov eax,dword ptr ss:[ebp-134]
    004DAFBD   .  8945 98                    mov dword ptr ss:[ebp-68],eax
    004DAFC0   .  C745 90 08000000           mov dword ptr ss:[ebp-70],8
    004DAFC7   .  8D4D 90                    lea ecx,dword ptr ss:[ebp-70]
    004DAFCA   .  51                         push ecx
    004DAFCB   .  8D55 80                    lea edx,dword ptr ss:[ebp-80]
    004DAFCE   .  52                         push edx
    004DAFCF   .  FF15 08114000              call dword ptr ds:[<&MSVBVM60.#528>;  MSVBVM60.rtcUpperCaseVar
  在这之后就开始计算OrderNumber了，又是一路F8来到：
  
    004DB0F8   .  8D4D B0                    lea ecx,dword ptr ss:[ebp-50]
    004DB0FB   .  FF15 0C124000              call dword ptr ds:[<&MSVBVM60.__vb>;  MSVBVM60.__vbaStrCopy
    004DB101   .  8B45 B4                    mov eax,dword ptr ss:[ebp-4C]      ;  指向order number:465987
    004DB104   .  8985 C8FEFFFF              mov dword ptr ss:[ebp-138],eax     ;  保存指针
    004DB10A   .  C745 B4 00000000           mov dword ptr ss:[ebp-4C],0        ;  指针清空
    004DB111   .  8B8D C8FEFFFF              mov ecx,dword ptr ss:[ebp-138]
    004DB117   .  894D 98                    mov dword ptr ss:[ebp-68],ecx
    004DB11A   .  C745 90 08000000           mov dword ptr ss:[ebp-70],8
    004DB121   .  8D95 1CFFFFFF              lea edx,dword ptr ss:[ebp-E4]
    004DB127   .  52                         push edx
    004DB128   .  8D45 B0                    lea eax,dword ptr ss:[ebp-50]
    004DB12B   .  50                         push eax
    004DB12C   .  8D4D 90                    lea ecx,dword ptr ss:[ebp-70]
    004DB12F   .  51                         push ecx
    004DB130   .  E8 DBDBFFFF                call SS.004D8D10                   ;  关键CALL
    004DB135   .  8BD0                       mov edx,eax
    004DB137   ?  8D4D D8                    lea ecx,dword ptr ss:[ebp-28]
    004DB13A   >  FF15 84124000              call dword ptr ds:[<&MSVBVM60.__vb>;  MSVBVM60.__vbaStrMove
    004DB140   .  8D4D B0                    lea ecx,dword ptr ss:[ebp-50]
    004DB143   .  FF15 C8124000              call dword ptr ds:[<&MSVBVM60.__vb>;  MSVBVM60.__vbaFreeStr
    004DB149   .  8D4D AC                    lea ecx,dword ptr ss:[ebp-54]
    004DB14C   .  FF15 CC124000              call dword ptr ds:[<&MSVBVM60.__vb>;  MSVBVM60.__vbaFreeObj
    004DB152   .  8D4D 90                    lea ecx,dword ptr ss:[ebp-70]
    004DB155   .  FF15 20104000              call dword ptr ds:[<&MSVBVM60.__vb>;  MSVBVM60.__vbaFreeVar
    004DB15B   .  C745 FC 0C000000           mov dword ptr ss:[ebp-4],0C
    004DB162   .  BA 641A4100                mov edx,SS.00411A64
    004DB167   .  8D4D B4                    lea ecx,dword ptr ss:[ebp-4C]
    004DB16A   .  FF15 0C124000              call dword ptr ds:[<&MSVBVM60.__vb>;  MSVBVM60.__vbaStrCopy
    004DB170   .  8D55 BC                    lea edx,dword ptr ss:[ebp-44]
  
  注意到004DB130处的CALL了吗？这就是算法了，但我没有跟进去，是从它的返回值看出的，此时为：
    eax=0018C8DC, (UNICODE "1719-1216-FC1A-1A1A")
    edx=0013A5A8
  
  竟然是明文的！！试一下吧，真的成功了！
  但任务还没有结束，我准备DIY一下让它在输入OrderNumber之后会弹出正确的注册码。
  上面代码的004DB13A处的CALL是将KEY转移到bep-28处，这个地址是动态的，每一次都不一样。所以要从这里开始将KEY的
  地址保存起来，以便以后显示。
  先从代码中找一段不用的地方写上我们自己的代码，我找的在004E0C95处，所以要将004DB135处的指令改为jmp 004E0C95
  
  004DB12F   .  51                         push ecx
  004DB130   .  E8 DBDBFFFF                call SS.004D8D10                      ;  关键CALL，是算法
  004DB135      E9 5B5B0000                jmp SS.004E0C95                       ;  改过之后
  004DB13A   .  FF15 84124000              call dword ptr ds:[<&MSVBVM60.__vbaSt>;  MSVBVM60.__vbaStrMove
  
  要记得保存原先的两条指令。来到004E0C95处，写上如下代码：
    004E0C95      50                         push eax
    004E0C96      8F05 FCFF1200              pop dword ptr ds:[12FFFC]             ;  保存到12FFFC处
    004E0C9C      8BD0                       mov edx,eax
    004E0C9E      8D4D D8                    lea ecx,dword ptr ss:[ebp-28]
    004E0CA1    ^ E9 94A4FFFF                jmp SS.004DB13A
  为什么要保存到0012FFFC处呢？我找了很久，发现只有这个地方不会被以后的代码覆盖，最合适不过了，在数据窗口中它是
  最后的四个字节。
  
  改完后再一路F8，会看到如下的地方：
    004DB7DD   .  C745 FC 1E000000           mov dword ptr ss:[ebp-4],1E
    004DB7E4   .  C785 68FFFFFF 04000280     mov dword ptr ss:[ebp-98],80020004
    004DB7EE   .  C785 60FFFFFF 0A000000     mov dword ptr ss:[ebp-A0],0A
    004DB7F8   .  C785 78FFFFFF 04000280     mov dword ptr ss:[ebp-88],80020004
    004DB802   .  C785 70FFFFFF 0A000000     mov dword ptr ss:[ebp-90],0A
    004DB80C   .  C745 88 04000280           mov dword ptr ss:[ebp-78],80020004
    004DB813   .  C745 80 0A000000           mov dword ptr ss:[ebp-80],0A
    004DB81A   .  C785 58FFFFFF AC2F4100     mov dword ptr ss:[ebp-A8],SS.00412FAC      ;  UNICODE "Your registration information is incorrect. Please re-enter."
    004DB824   .  C785 50FFFFFF 08000000     mov dword ptr ss:[ebp-B0],8
    004DB82E   .  8D95 50FFFFFF              lea edx,dword ptr ss:[ebp-B0]
    004DB834   .  8D4D 90                    lea ecx,dword ptr ss:[ebp-70]
    004DB837   .  FF15 54124000              call dword ptr ds:[<&MSVBVM60.__vbaVarDup>>;  MSVBVM60.__vbaVarDup
    004DB83D   .  8D8D 60FFFFFF              lea ecx,dword ptr ss:[ebp-A0]
    004DB843   .  51                         push ecx
    004DB844   .  8D95 70FFFFFF              lea edx,dword ptr ss:[ebp-90]
    004DB84A   .  52                         push edx
    004DB84B   .  8D45 80                    lea eax,dword ptr ss:[ebp-80]
    004DB84E   .  50                         push eax
    004DB84F   .  6A 10                      push 10
    004DB851   .  8D4D 90                    lea ecx,dword ptr ss:[ebp-70]
    004DB854   .  51                         push ecx
    004DB855   .  FF15 AC104000              call dword ptr ds:[<&MSVBVM60.#595>]       ;  确定后断在这里
    004DB85B   .  8D95 60FFFFFF              lea edx,dword ptr ss:[ebp-A0]
  这就是我们一开始中断的地方，已经快完成了。
  现在004DB81A处是将错误信息送入ebp-A8处，只要将它改为往ebp-A8放入刚才保存的KEY的地址就行了。好的动手吧，先将
  004DB81A处改为jmp 004E0CAC，改过之后有点乱，按CTRL+A就OD分析一下，如下：
  
    004DB81A   . /E9 8D540000                jmp SS.004E0CAC                            ;  改过之后
    004DB81F     |FF                         db FF
    004DB820     |AC2F4100                   dd SS.00412FAC                             ;  UNICODE "Your registration information is incorrect. Please re-enter."
    004DB824   . |C785 50FFFFFF 08000000     mov dword ptr ss:[ebp-B0],8
    004DB82E   . |8D95 50FFFFFF              lea edx,dword ptr ss:[ebp-B0]
  
  只要让我们的代码跳回004DB824处就可以了。来到004E0CAC写入代码：
    004E0CAC      FF35 FCFF1200              push dword ptr ds:[12FFFC]
    004E0CB2      8F85 58FFFFFF              pop dword ptr ss:[ebp-A8]                  ;  注意应写为:pop [ebp-0a8]
    004E0CB8    ^ E9 67ABFFFF                jmp SS.004DB824
  唯一要注意的就是pop 指令的写法，应写为：pop [ebp-0a8]否则会无法写入。
  至此所有工作已经完成了，在CPU窗口中点右键--->复制到可执行文件--->所以修改--->全部复制--->右键--->保存文件
  填上一个文件名，保存为EXE文件就可以了。
  
  试一下，只需要在OrderNumber中输入字符，点Activate按钮就会弹出正确的注册码了，注册完之后Register按钮就消失了。
  
  如果想写出注册机的话，应该要进入 004DB130 处的CALL中分析。
  
  全文完!
  
--------------------------------------------------------------------------------
【经验总结】
  第一次写文章，希望大家能看得懂，如有疑问，可以发邮件给我!
  
--------------------------------------------------------------------------------
【版权声明】: 欢迎转载，但请保留完整信息，谢谢!

                                                       2006年04月15日 下午 10:26:24


[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！

上传的附件：
收藏
免费 ・7
支持
分享
最新回复 (15)
coldpine
雪    币： 256
活跃值： (10)
能力值： ( LV9，RANK：250 )
在线值：
发帖
回帖
粉丝
私信
2 楼
顶!!!!!!!!!!!!!!!!!!!
对于我们这样的新手,多给
些爆破也可以让我更明白
解密的过程!!!尤其怎么去
发现函数返回值,应该再详细的
说明!!!!
2006-4-16 08:02
0
huziyi
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
3 楼
附件解压不了！？
2006-4-16 09:59
0
thinkSJ
雪    币： 196
活跃值： (135)
能力值： ( LV10，RANK：170 )
在线值：
发帖
回帖
粉丝
私信
4 楼
最初由 huziyi 发布
附件解压不了！？


可能是因为附件太大的原因，我已申请了一个网盘，在 新目录 文件夹下，
http://thinksj.ys168.com
2006-4-16 17:46
0
ah007
雪    币： 250
活跃值： (103)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
5 楼
支持原创！好！！
2006-4-16 20:46
0
koala
雪    币： 222
活跃值： (40)
能力值： ( LV8，RANK：130 )
在线值：
发帖
回帖
粉丝
私信
6 楼
支持一下
2006-4-16 22:27
0
zhaoocn
雪    币： 50
活跃值： (145)
能力值： ( LV12，RANK：290 )
在线值：
发帖
回帖
粉丝
私信
7 楼
不错，DIY好手
2006-4-16 22:55
0
huziyi
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
8 楼
在网盘下的附件能用了，正在学习...... 感谢楼主！支持你！
2006-4-16 22:59
0
inraining
雪    币： 234
活跃值： (10)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
9 楼
支持一下~继续努力~
2006-4-16 23:37
0
usa
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
usa
10 楼
最初由 inraining 发布
支持一下~继续努力~
2006-4-16 23:50
0
hjm
雪    币： 203
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
hjm
11 楼
真的不错!下载学习中!对于只知皮毛的我真是不明白!~~晕!
2006-4-17 10:39
0
yili
雪    币： 204
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
12 楼
感谢楼主！支持你！
2006-4-17 19:47
0
wopasi
雪    币： 184
活跃值： (47)
能力值： ( LV4，RANK：50 )
在线值：
发帖
回帖
粉丝
私信
13 楼
注册名：wopasi   注册码：7952-5086-0340-8C92
支持原创，呵呵顶！
2006-4-17 23:23
0
fxqthree
雪    币： 200
活跃值： (10)
能力值： ( LV2，RANK：10 )
在线值：
发帖
回帖
粉丝
私信
14 楼
this is my first learning step .a lot of thinks for help.
2006-4-18 14:22
0
aki
雪    币： 223
活跃值： (70)
能力值： ( LV6，RANK：90 )
在线值：
发帖
回帖
粉丝
私信
15 楼
保存在堆栈当然会被刷新的很快，搞不好还会搞的软件挂掉，放在数据区会安全些
2006-4-18 17:30
0
hbqjxhw
雪    币： 313
活跃值： (250)
能力值： ( LV9，RANK：650 )
在线值：
发帖
回帖
粉丝
私信
16 楼
研究一下也不错
2006-4-18 19:52
0
游客
登录 | 注册 方可回帖
回帖 表情 雪币赚取及消费
高级回复
返回
//