之前在网上搜索了下关于这个Crackme的分析，好像并没有看到比较详细的分析文章，4C法的原理也没有解释的很清楚。所以就发出来了。

查壳

程序使用VB5.0写的无壳

去Neg

程序打开后 会有大概7秒的弹窗

在这7秒内 什么都不能干，所以第一件事就是把这个7秒的neg给去掉

方法一 Timer搜索法

首先将内存定位到程序开始处0x401000

搜索Timer，Timer是VB程序默认的定时器变量，

我们找到Timer之后 在上面的位置可以看到一个0x1B58，这个是计时器的秒数。也就是十进制的7000,7000毫秒就是7秒。所以第一种去Neg的方法就是将0x1B58改为0x0001

但是此种方法也有一定的局限性，如果程序的作者将计时器的默认名称改掉之后 根本无法在内存中搜索到Timer关键字 也就无法下手。下面介绍一种通用的解决方法

方法二 4C法

Virtual Basic可执行程序结构研究

对于Visual Basic5/6编译生成的程序，不管自然编译还是伪编译，其程序入口点处的结构都是一样的。来到OEP处：

指针0x4067D4指向的结构就是Virtual Basic程序的VBHeader结构，由此伸展开，整个VB程序的框架就在这了。

Virtual Basic程序框架结构

可能的Virtual Basic程序框架结构如图

TVBHeader结构定义

Signature                array[1..4] of char;        //00H签名，必须为VB5！
Flagl                    WORD；                       //04H.未知标志
LanguageDll                array[1..14] of char;        //06H语言链接库名，通常为”*"或者vb6chsdll
BackLanguageDll         array[1..14] of char;       //14H.后备语言链接库名
RuntimeDLLVersion         WORD；                       //22H运行库版本
Languageld                DWORD：                       //24H语言标识
BackupLanguageID         DWORD；                       //28H，未知标志
aSubMain                DWORD；                       //2CH，不为00000000则指向Sub MainO指针
aProjectlnfo            DWORD                       //30H.指针，指向tProjeclnfo结构  
Plag2                    WORD；                      //34H未知标志
Flag3                    WORD；                      //36H.未知标志
Flag4                    DWORD；                      //38H未知标志
ThreadSpace             DWORD；                      //3CH.线程空间
Flag5                    DWORD；                      //14H未知标志
ResCount                WORD；                      //44H.数量，表示form与cls文件个数
ImportCount                WORD；                      //46H.数量，引用的ocx、dll文件个数
Flag6                    BYTE：                     //48H未知，可能代表运行时程序所占内存大小
Flag7                    BYTE；                     //49H未知，可能与程序启动时花费时间有关
Flag8                    WORD；                     //4AH.未知
AGUTTable                 DWORD;                     //4CH.指针，指向Form GuI描述表
AExdCompTrble            DWORD;                      //50H指针，指向“引入的ocx、dll文件描述表
Aproicclpescrinion         DWORD;                     //54H，指针；指向tProjectDescriptionTable的指针
OProjectExename            DWORD                     //58H.偏移，Offset ProjectExename
OProjectTitle             DWORD；                    //5CH，偏移，Offset Projectitle
OHelpFile                 DWORD；                    //60H.偏移，Ofset Helpile
OProjectName             DWORD.                     //64H.偏移，Offset ProjectName

AGUTTable(4C的位置)结构定义

Signature                DWORD                    //00H.必须是50000000
FomID                    TGUID                    //04，可能是以GUID方式命名的formID
Index                    BYTE                       //24H 窗体的序号
Flag1                    BYTE                    //28H 第一个窗体的启动标志，可能是90 也可能是10
AGUIDescriptionTable    DWORD                    //48H指针指向以“FFCC…“开始的FormGUI表
Flag3                    Dword                    //4CH.意义不明

以AfKayAs.2.Exe为例说明：

其对应每个字节的含义如下表

4C法实战

在程序载入到入口点之后的第一个push也就是VBHeader的位置，数据窗口跟随。

然后在数据窗口输入刚才的地址+4C，找到form GUI描述表的指针

数据窗口跟随DWORD

接着会来到一块有规律的数据区域，每一个小块的数据是每一个窗体的信息，其中00和01是窗体的序号 而10是第一个窗体的启动标志。

所以 我们只要把第一个窗体数据块的00改成10 然后把第二个窗体的数据块的10改成00，或者将窗体的序号调换。即可去除neg。

破解序列号

这个程序和002那个程序一模一样 无非是换了套浮点算法而已 就算你看不懂浮点指令 也可以通过单步跟踪 观察FPU栈的数值猜测到序列号

首先输入一个错误的用户名和序列号

下面是验证步骤

第一步

还是和002一样 获取用户名长度 然后根据得到的结果算出来一个值 我这里这个结果为622287

第二步

第二步 首先将刚才计算的结果转为浮点数 放入到FPU栈 然后将结果加上2.0 得到622289。逆向这个程序你并不需要看懂每一条浮点指令，只需要单步跟踪 然后时时观察FPU栈的情况。

第三步

还是将刚才的结果转为浮点数并入栈 然后将622289乘以一个值再减去一个值 最后得到结果ST0=1866865

第四步

将刚才的结果1866865减去一个值 得到结果1866880 到此校验就结束了

验证结果

编写注册机

接下来使用Keymake编写注册机，设置如下

接着运行注册机 出现了正确的序列号，至于为什么会出现两次，这个我也不知道，这个软件我用的并不熟。哈哈 就这样吧。

需要udd文件和分析文档的可以到我的Github下载：https://github.com/TonyChen56/160-Crackme

阿里云助力开发者！2核2G 3M带宽不限流量！6.18限时价，开 发者可享99元/年，续费同价！