[简介] 飞雪日历V1.62.0437 绿色软件 有万年历、时钟、世界时间、定时、限时、提醒、备忘录、系统热键、光驱控制、定期清理、语音报时等功能。
[来源] http://www.zheng99.com/
[限制] 未注册版没有时间和功能限制，但是定时弹出提醒注册的窗口
[工具] PEid, OllyDbg, Numega SmartCheck
[声明] 调试分析纯属兴趣，请不要用于其他目的
[过程]
  先注册，随便填写注册名abc、注册码1234567890，程序仅提示已保存机器码和用户输入的注册名、注册码，没有其他反应。
  PEiD查壳UPX 0.89.6 - 1.02 / 1.05 - 1.24 -> Markus & Laszlo，手工脱壳后再查是VB写的，但运行脱壳后的程序有"不精确的浮点数运算结果异常"而退出，看雪老大在脱壳基础第六课没有说这种粘壳的粽子怎么剥，
没法子只好带壳调试。
  用SmartCheck打开运行原程序，是多线程，Thread0下的ThunRTMain有很多DispatchMessageA向下翻到一个TimerTmp(1)_Timer，展开看到有机器码等三项注册用的字串，估计是这里验证是否已注册，向前翻看可知是读自子目录FXSYS下的文件FXSYS.INI，还看到前面调用Randomize、用处理器信息字符串各ASCII值*2累加成机器码，有这些信息在OD就好定位了。
  用OD打开、停下，翻屏找POPAD和长JMP，在真正入口点00405CE0下断，F9运行再停下时程序已脱壳，入口点上面几行就是输入表的跳转命令，找到MSVBVM60.rtcRandomize是JMP [DWORD DS:4010DC]，查找命令CALL [DWORD DS:4010DC]只有一处。向下翻看见到读注册文件的地方就是我们要找的了。

00465880    55              PUSH EBP
...注册过一次就能到这里，这些忽略过...
00465B42    8B55 E0         MOV EDX,[DWORD SS:EBP-20]                ; 注册名地址
00465B45    52              PUSH EDX
00465B46    FF15 2C104000   CALL [DWORD DS:40102C]                   ; MSVBVM60.__vbaLenBstr
00465B4C    3BC7            CMP EAX,EDI                              ; 注册名长度，不能少于2字节
00465B4E    0F8C 4F060000   JL FXRL.004661A3                         ; 跳就完
00465B54    C745 88 0100000>MOV [DWORD SS:EBP-78],1
00465B5B    897D 80         MOV [DWORD SS:EBP-80],EDI
00465B5E    8D45 80         LEA EAX,[DWORD SS:EBP-80]
00465B61    50              PUSH EAX
00465B62    6A 01           PUSH 1
00465B64    8B4D E0         MOV ECX,[DWORD SS:EBP-20]
00465B67    51              PUSH ECX
00465B68    8B3D 20114000   MOV EDI,[DWORD DS:401120]                ; MSVBVM60.rtcMidCharBstr
00465B6E    FFD7            CALL EDI
00465B70    8BD0            MOV EDX,EAX                              ; 注册名第1个字符'a'(地址)
00465B72    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
00465B75    FFD6            CALL ESI
00465B77    50              PUSH EAX
00465B78    FF15 50104000   CALL [DWORD DS:401050]                   ; MSVBVM60.rtcAnsiValueBstr
00465B7E    8BD8            MOV EBX,EAX                              ; 返回'a'的ASCII值61
00465B80    6A 01           PUSH 1
00465B82    8B55 CC         MOV EDX,[DWORD SS:EBP-34]                ; 注册码地址
00465B85    52              PUSH EDX
00465B86    FF15 CC124000   CALL [DWORD DS:4012CC]                   ; MSVBVM60.rtcLeftCharBstr
00465B8C    8BD0            MOV EDX,EAX                              ; 注册码第1个字符(地址)
00465B8E    8D4D 98         LEA ECX,[DWORD SS:EBP-68]
00465B91    FFD6            CALL ESI
00465B93    50              PUSH EAX
00465B94    6A 01           PUSH 1
00465B96    53              PUSH EBX
00465B97    FF15 08104000   CALL [DWORD DS:401008]                   ; MSVBVM60.__vbaStrI2
00465B9D    8BD0            MOV EDX,EAX                              ; 注册名第1字符ASCII值(十进制)转换为字符串"97"
00465B9F    8D4D 9C         LEA ECX,[DWORD SS:EBP-64]
00465BA2    FFD6            CALL ESI
00465BA4    50              PUSH EAX
00465BA5    FF15 EC124000   CALL [DWORD DS:4012EC]                   ; MSVBVM60.rtcRightCharBstr
00465BAB    8BD0            MOV EDX,EAX
00465BAD    8D4D 94         LEA ECX,[DWORD SS:EBP-6C]
00465BB0    FFD6            CALL ESI
00465BB2    50              PUSH EAX                                 ; "97"的最后1个字符'7'(地址)
00465BB3    FF15 60114000   CALL [DWORD DS:401160]                   ; MSVBVM60.__vbaStrCmp
00465BB9    8BD8            MOV EBX,EAX                              ; 比较'7'和注册码第1字符，如果相等就返回0
00465BBB    F7DB            NEG EBX
00465BBD    1BDB            SBB EBX,EBX
00465BBF    F7DB            NEG EBX
00465BC1    F7DB            NEG EBX
00465BC3    8D45 94         LEA EAX,[DWORD SS:EBP-6C]
00465BC6    50              PUSH EAX
00465BC7    8D4D 98         LEA ECX,[DWORD SS:EBP-68]
00465BCA    51              PUSH ECX
00465BCB    8D55 9C         LEA EDX,[DWORD SS:EBP-64]
00465BCE    52              PUSH EDX
00465BCF    8D45 A0         LEA EAX,[DWORD SS:EBP-60]
00465BD2    50              PUSH EAX
00465BD3    6A 04           PUSH 4
00465BD5    FF15 70124000   CALL [DWORD DS:401270]                   ; MSVBVM60.__vbaFreeStrList
00465BDB    83C4 14         ADD ESP,14
00465BDE    8D4D 80         LEA ECX,[DWORD SS:EBP-80]
00465BE1    FF15 20104000   CALL [DWORD DS:401020]                   ; MSVBVM60.__vbaFreeVar
00465BE7    66:85DB         TEST BX,BX
00465BEA    0F85 B3050000   JNZ FXRL.004661A3                        ; 上面字符比较相等，这里就不会跳走，否则跳就完。此时知道注册码第1字符对应注册名a应该是7才对。
...然后比较注册名第2字符'b'与注册码第2字符，知道第2个应该是'8'。过程同上略过...
00465CA5    0F85 F8040000   JNZ FXRL.004661A3                        ; 不能跳
00465CAB    C745 88 0400028>MOV [DWORD SS:EBP-78],80020004
00465CB2    C745 80 0A00000>MOV [DWORD SS:EBP-80],0A
00465CB9    8D55 80         LEA EDX,[DWORD SS:EBP-80]
00465CBC    52              PUSH EDX
00465CBD    6A 03           PUSH 3
00465CBF    8B45 CC         MOV EAX,[DWORD SS:EBP-34]
00465CC2    50              PUSH EAX
00465CC3    FFD7            CALL EDI
00465CC5    8BD0            MOV EDX,EAX                              ; 取得注册码第3字符开始的右边子串(地址)
00465CC7    8D4D CC         LEA ECX,[DWORD SS:EBP-34]
00465CCA    FFD6            CALL ESI
00465CCC    8D4D 80         LEA ECX,[DWORD SS:EBP-80]
00465CCF    FF15 20104000   CALL [DWORD DS:401020]                   ; MSVBVM60.__vbaFreeVar
00465CD5    8B4D CC         MOV ECX,[DWORD SS:EBP-34]                ; 截取注册码第3字符开始的右边子串
00465CD8    51              PUSH ECX                                 ; 入栈，下面把它转换成浮点数
00465CD9    FF15 50134000   CALL [DWORD DS:401350]                   ; MSVBVM60.rtcR8ValFromBstr
00465CDF    FF15 14114000   CALL [DWORD DS:401114]                   ; MSVBVM60.__vbaFpR8
00465CE5    DC1D 30234000   FCOMP [QWORD DS:402330]                  ; 和999999.0比较，要比这个常数大才行
00465CEB    DFE0            FSTSW AX
00465CED    F6C4 41         TEST AH,41
00465CF0    C785 CCFEFFFF 0>MOV [DWORD SS:EBP-134],1
00465CFA    74 0A           JE SHORT FXRL.00465D06                   ; 必须跳（以使之赋值为1后面马上用到）
00465CFC    C785 CCFEFFFF 0>MOV [DWORD SS:EBP-134],0                 ; 然后同法比较机器码，暂时不管
00465D06    8D55 A4         LEA EDX,[DWORD SS:EBP-5C]
00465D09    52              PUSH EDX
00465D0A    8D45 A0         LEA EAX,[DWORD SS:EBP-60]
00465D0D    50              PUSH EAX
00465D0E    FF15 0C124000   CALL [DWORD DS:40120C]                   ; MSVBVM60.__vbaStrVarVal
00465D14    50              PUSH EAX
00465D15    FF15 50134000   CALL [DWORD DS:401350]                   ; MSVBVM60.rtcR8ValFromBstr
00465D1B    FF15 14114000   CALL [DWORD DS:401114]                   ; MSVBVM60.__vbaFpR8
00465D21    DC1D 28234000   FCOMP [QWORD DS:402328]                  ; 和101.0比较
00465D27    DFE0            FSTSW AX
00465D29    F6C4 41         TEST AH,41
00465D2C    75 07           JNZ SHORT FXRL.00465D35                  ; 这里正常地是不跳的
00465D2E    BB 01000000     MOV EBX,1
00465D33    EB 02           JMP SHORT FXRL.00465D37
00465D35    33DB            XOR EBX,EBX
00465D37    8B4D E0         MOV ECX,[DWORD SS:EBP-20]                ; 注册名，检查它的长度
00465D3A    51              PUSH ECX
00465D3B    FF15 2C104000   CALL [DWORD DS:40102C]                   ; MSVBVM60.__vbaLenBstr
00465D41    33D2            XOR EDX,EDX
00465D43    83F8 01         CMP EAX,1
00465D46    0F9FC2          SETG DL                                  ; 长度大于1则条件为真，寄存器DL设置为1
00465D49    F7DA            NEG EDX
00465D4B    8B85 CCFEFFFF   MOV EAX,[DWORD SS:EBP-134]
00465D51    F7D8            NEG EAX
00465D53    23D0            AND EDX,EAX
00465D55    F7DB            NEG EBX
00465D57    23DA            AND EBX,EDX
00465D59    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
00465D5C    FF15 4C134000   CALL [DWORD DS:40134C]                   ; MSVBVM60.__vbaFreeStr
00465D62    66:85DB         TEST BX,BX
00465D65    0F84 38040000   JE FXRL.004661A3                         ; 上面几个两个跳转正确到这里就不会跳走，继续
00465D6B    BB 01000000     MOV EBX,1
00465D70    899D 48FFFFFF   MOV [DWORD SS:EBP-B8],EBX
00465D76    C785 40FFFFFF 0>MOV [DWORD SS:EBP-C0],2
00465D80    8D95 40FFFFFF   LEA EDX,[DWORD SS:EBP-C0]
00465D86    8D4D BC         LEA ECX,[DWORD SS:EBP-44]
00465D89    FF15 18104000   CALL [DWORD DS:401018]                   ; MSVBVM60.__vbaVarMove
00465D8F    C785 F0FEFFFF 0>MOV [DWORD SS:EBP-110],3
00465D99    66:3B9D F0FEFFF>CMP BX,[WORD SS:EBP-110]                 ; 循环机器码前3个字符
00465DA0    0F8F 91000000   JG FXRL.00465E37
00465DA6    C745 88 0100000>MOV [DWORD SS:EBP-78],1
00465DAD    C745 80 0200000>MOV [DWORD SS:EBP-80],2
00465DB4    8D45 80         LEA EAX,[DWORD SS:EBP-80]
00465DB7    50              PUSH EAX
00465DB8    0FBFCB          MOVSX ECX,BX
00465DBB    51              PUSH ECX
00465DBC    8D55 A4         LEA EDX,[DWORD SS:EBP-5C]
00465DBF    52              PUSH EDX
00465DC0    8D45 A0         LEA EAX,[DWORD SS:EBP-60]
00465DC3    50              PUSH EAX
00465DC4    FF15 0C124000   CALL [DWORD DS:40120C]                   ; MSVBVM60.__vbaStrVarVal
00465DCA    50              PUSH EAX
00465DCB    FFD7            CALL EDI
00465DCD    8BD0            MOV EDX,EAX                              ; 机器码一字符(地址)
00465DCF    8D4D 9C         LEA ECX,[DWORD SS:EBP-64]
00465DD2    FFD6            CALL ESI
00465DD4    50              PUSH EAX
00465DD5    FF15 50104000   CALL [DWORD DS:401050]                   ; MSVBVM60.rtcAnsiValueBstr
00465DDB    66:8985 38FFFFF>MOV [WORD SS:EBP-C8],AX                  ; 返回其ASCII值
00465DE2    C785 30FFFFFF 0>MOV [DWORD SS:EBP-D0],2
00465DEC    8D4D BC         LEA ECX,[DWORD SS:EBP-44]
00465DEF    51              PUSH ECX
00465DF0    8D95 30FFFFFF   LEA EDX,[DWORD SS:EBP-D0]
00465DF6    52              PUSH EDX
00465DF7    8D85 70FFFFFF   LEA EAX,[DWORD SS:EBP-90]
00465DFD    50              PUSH EAX
00465DFE    FF15 AC124000   CALL [DWORD DS:4012AC]                   ; MSVBVM60.__vbaVarAdd，跟进看到第1字符ASCII值加到1上，其他的再累加上去
00465E04    8BD0            MOV EDX,EAX
00465E06    8D4D BC         LEA ECX,[DWORD SS:EBP-44]
00465E09    FF15 18104000   CALL [DWORD DS:401018]                   ; MSVBVM60.__vbaVarMove
00465E0F    8D4D 9C         LEA ECX,[DWORD SS:EBP-64]
00465E12    51              PUSH ECX
00465E13    8D55 A0         LEA EDX,[DWORD SS:EBP-60]
00465E16    52              PUSH EDX
00465E17    6A 02           PUSH 2
00465E19    FF15 70124000   CALL [DWORD DS:401270]                   ; MSVBVM60.__vbaFreeStrList
00465E1F    83C4 0C         ADD ESP,0C
00465E22    8D4D 80         LEA ECX,[DWORD SS:EBP-80]
00465E25    FF15 20104000   CALL [DWORD DS:401020]                   ; MSVBVM60.__vbaFreeVar
00465E2B    B8 01000000     MOV EAX,1
00465E30    03D8            ADD EBX,EAX
00465E32  ^ E9 62FFFFFF     JMP FXRL.00465D99
00465E37    8D45 A4         LEA EAX,[DWORD SS:EBP-5C]                ; 上面循环体跳出到此
00465E3A    50              PUSH EAX
00465E3B    8D4D 80         LEA ECX,[DWORD SS:EBP-80]
00465E3E    51              PUSH ECX
00465E3F    FF15 B4104000   CALL [DWORD DS:4010B4]                   ; MSVBVM60.__vbaLenVar
00465E45    50              PUSH EAX
00465E46    FF15 24124000   CALL [DWORD DS:401224]                   ; MSVBVM60.__vbaI2Var
00465E4C    8985 E8FEFFFF   MOV [DWORD SS:EBP-118],EAX
00465E52    BB 04000000     MOV EBX,4
00465E57    66:3B9D E8FEFFF>CMP BX,[WORD SS:EBP-118]                 ; 循环机器码的第4字符开始后面的各字符
00465E5E    0F8F 91000000   JG FXRL.00465EF5
00465E64    C745 88 0100000>MOV [DWORD SS:EBP-78],1
00465E6B    C745 80 0200000>MOV [DWORD SS:EBP-80],2
00465E72    8D55 80         LEA EDX,[DWORD SS:EBP-80]
00465E75    52              PUSH EDX
00465E76    0FBFC3          MOVSX EAX,BX
00465E79    50              PUSH EAX
00465E7A    8D4D A4         LEA ECX,[DWORD SS:EBP-5C]
00465E7D    51              PUSH ECX
00465E7E    8D55 A0         LEA EDX,[DWORD SS:EBP-60]
00465E81    52              PUSH EDX
00465E82    FF15 0C124000   CALL [DWORD DS:40120C]                   ; MSVBVM60.__vbaStrVarVal
00465E88    50              PUSH EAX                                 ; 返回机器码地址
00465E89    FFD7            CALL EDI
00465E8B    8BD0            MOV EDX,EAX
00465E8D    8D4D 9C         LEA ECX,[DWORD SS:EBP-64]
00465E90    FFD6            CALL ESI
00465E92    50              PUSH EAX
00465E93    FF15 50104000   CALL [DWORD DS:401050]                   ; MSVBVM60.rtcAnsiValueBstr
00465E99    66:8985 38FFFFF>MOV [WORD SS:EBP-C8],AX
00465EA0    C785 30FFFFFF 0>MOV [DWORD SS:EBP-D0],2
00465EAA    8D45 BC         LEA EAX,[DWORD SS:EBP-44]
00465EAD    50              PUSH EAX
00465EAE    8D8D 30FFFFFF   LEA ECX,[DWORD SS:EBP-D0]
00465EB4    51              PUSH ECX
00465EB5    8D95 70FFFFFF   LEA EDX,[DWORD SS:EBP-90]
00465EBB    52              PUSH EDX
00465EBC    FF15 C0114000   CALL [DWORD DS:4011C0]                   ; MSVBVM60.__vbaVarMul，跟进看到第一轮是上面那个循环的累加值为被乘数，注册码第4字符ASCII值为乘数，积作为下一轮的被乘数；乘数依次变为注册码第4字符以后各字符的ASCII值
00465EC2    8BD0            MOV EDX,EAX
00465EC4    8D4D BC         LEA ECX,[DWORD SS:EBP-44]
00465EC7    FF15 18104000   CALL [DWORD DS:401018]                   ; MSVBVM60.__vbaVarMove
00465ECD    8D45 9C         LEA EAX,[DWORD SS:EBP-64]
00465ED0    50              PUSH EAX
00465ED1    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
00465ED4    51              PUSH ECX
00465ED5    6A 02           PUSH 2
00465ED7    FF15 70124000   CALL [DWORD DS:401270]                   ; MSVBVM60.__vbaFreeStrList
00465EDD    83C4 0C         ADD ESP,0C
00465EE0    8D4D 80         LEA ECX,[DWORD SS:EBP-80]
00465EE3    FF15 20104000   CALL [DWORD DS:401020]                   ; MSVBVM60.__vbaFreeVar
00465EE9    B8 01000000     MOV EAX,1
00465EEE    03D8            ADD EBX,EAX
00465EF0  ^ E9 62FFFFFF     JMP FXRL.00465E57
00465EF5    8D55 BC         LEA EDX,[DWORD SS:EBP-44]                ; 上面循环体跳出到此
//设上面两个循环体对机器码计算结果为RES（64位双精度浮点数）
00465EF8    52              PUSH EDX
00465EF9    FF15 80124000   CALL [DWORD DS:401280]                   ; MSVBVM60.__vbaR8Var
00465EFF    E8 5AF9F9FF     CALL FXRL.0040585E                       ; JMP 到 MSVBVM60._CIsqrt
00465F04    DD9D 04FFFFFF   FSTP [QWORD SS:EBP-FC]                   ; 上面求出RES的平方根
00465F0A    6A 05           PUSH 5
00465F0C    8B85 08FFFFFF   MOV EAX,[DWORD SS:EBP-F8]
00465F12    50              PUSH EAX
00465F13    8B8D 04FFFFFF   MOV ECX,[DWORD SS:EBP-FC]
00465F19    51              PUSH ECX
00465F1A    8B1D A0114000   MOV EBX,[DWORD DS:4011A0]                ; MSVBVM60.__vbaStrR8
00465F20    FFD3            CALL EBX                                 ; 把sqrt(RES)从浮点数转换成字串(长度16，小数部分11位，四舍五入)
00465F22    8BD0            MOV EDX,EAX
00465F24    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
00465F27    FFD6            CALL ESI
00465F29    50              PUSH EAX
00465F2A    FF15 EC124000   CALL [DWORD DS:4012EC]                   ; MSVBVM60.rtcRightCharBstr
00465F30    8BD0            MOV EDX,EAX                              ; 返回EAX=该串最后5个字符子串(地址)
00465F32    8D4D 9C         LEA ECX,[DWORD SS:EBP-64]
00465F35    FFD6            CALL ESI
00465F37    50              PUSH EAX
00465F38    FF15 50134000   CALL [DWORD DS:401350]                   ; MSVBVM60.rtcR8ValFromBstr，子串再转换成浮点数TAIL
00465F3E    DD9D FCFEFFFF   FSTP [QWORD SS:EBP-104]
00465F44    8D55 BC         LEA EDX,[DWORD SS:EBP-44]
00465F47    52              PUSH EDX
00465F48    FF15 80124000   CALL [DWORD DS:401280]                   ; MSVBVM60.__vbaR8Var
00465F4E    E8 0BF9F9FF     CALL FXRL.0040585E                       ; JMP 到 MSVBVM60._CIsqrt
00465F53    DC0D 20234000   FMUL [QWORD DS:402320]                   ; 上面再一次计算RES的平方根，这里再乘以10000.0，合起来就是sqrt(RES)*10000.0
00465F59    FF15 30134000   CALL [DWORD DS:401330]                   ; MSVBVM60.__vbaFPInt，取整
00465F5F    DC85 FCFEFFFF   FADD [QWORD SS:EBP-104]                  ; 取整后再加上TAIL，得W=Int(sqrt(RES)*10000.0)+TAIL
00465F65    DD9D 48FFFFFF   FSTP [QWORD SS:EBP-B8]
00465F6B    C785 40FFFFFF 0>MOV [DWORD SS:EBP-C0],5
00465F75    8D95 40FFFFFF   LEA EDX,[DWORD SS:EBP-C0]
00465F7B    8D4D BC         LEA ECX,[DWORD SS:EBP-44]
00465F7E    FF15 18104000   CALL [DWORD DS:401018]                   ; MSVBVM60.__vbaVarMove
00465F84    8D45 9C         LEA EAX,[DWORD SS:EBP-64]
00465F87    50              PUSH EAX
00465F88    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
00465F8B    51              PUSH ECX
00465F8C    6A 02           PUSH 2
00465F8E    FF15 70124000   CALL [DWORD DS:401270]                   ; MSVBVM60.__vbaFreeStrList
00465F94    83C4 0C         ADD ESP,0C
00465F97    C745 88 0100000>MOV [DWORD SS:EBP-78],1
00465F9E    C745 80 0200000>MOV [DWORD SS:EBP-80],2
00465FA5    8D55 80         LEA EDX,[DWORD SS:EBP-80]
00465FA8    52              PUSH EDX
00465FA9    6A 01           PUSH 1
00465FAB    8B45 E0         MOV EAX,[DWORD SS:EBP-20]
00465FAE    50              PUSH EAX
00465FAF    FFD7            CALL EDI
00465FB1    8BD0            MOV EDX,EAX
00465FB3    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
00465FB6    FFD6            CALL ESI
00465FB8    50              PUSH EAX
00465FB9    FF15 50104000   CALL [DWORD DS:401050]                   ; MSVBVM60.rtcAnsiValueBstr
00465FBF    8985 0CFFFFFF   MOV [DWORD SS:EBP-F4],EAX
00465FC5    8D4D BC         LEA ECX,[DWORD SS:EBP-44]
00465FC8    51              PUSH ECX
00465FC9    FF15 80124000   CALL [DWORD DS:401280]                   ; MSVBVM60.__vbaR8Var
00465FCF    E8 8AF8F9FF     CALL FXRL.0040585E                       ; JMP 到 MSVBVM60._CIsqrt
00465FD4    E8 79F8F9FF     CALL FXRL.00405852                       ; JMP 到 MSVBVM60._CIlog
00465FD9    DD9D 04FFFFFF   FSTP [QWORD SS:EBP-FC]                   ; 上面几行命令计算W的平方根，再求出根的自然对数LN
00465FDF    8B55 CC         MOV EDX,[DWORD SS:EBP-34]                ; 注册码第3字符开始的子串，现在还是假的，下面把它转换成浮点数HM
00465FE2    52              PUSH EDX
00465FE3    FF15 40124000   CALL [DWORD DS:401240]                   ; MSVBVM60.__vbaR8Str
00465FE9    DD9D C4FEFFFF   FSTP [QWORD SS:EBP-13C]
00465FEF    DD85 04FFFFFF   FLD [QWORD SS:EBP-FC]
00465FF5    DC0D 18234000   FMUL [QWORD DS:402318]                   ; 对数LN乘100.0
00465FFB    FF15 30134000   CALL [DWORD DS:401330]                   ; MSVBVM60.__vbaFPInt，对积取整得到LN100
00466001    8B85 0CFFFFFF   MOV EAX,[DWORD SS:EBP-F4]                ; 取注册名第1字符ASCII值
00466007    83C0 F9         ADD EAX,-7                               ; 加-7，设为CA
0046600A    0FBFC8          MOVSX ECX,AX
0046600D    898D C0FEFFFF   MOV [DWORD SS:EBP-140],ECX
00466013    DB85 C0FEFFFF   FILD [DWORD SS:EBP-140]                  ; CA入浮点栈
00466019    DD9D B8FEFFFF   FSTP [QWORD SS:EBP-148]
0046601F    DC8D B8FEFFFF   FMUL [QWORD SS:EBP-148]                  ; 将LN100与CA相乘
00466025    DCAD C4FEFFFF   FSUBR [QWORD SS:EBP-13C]                 ; HM-(LN100*CA)，下面把差(整数)转换成字串SS
0046602B    83EC 08         SUB ESP,8
0046602E    DD1C24          FSTP [QWORD SS:ESP]
00466031    FFD3            CALL EBX
00466033    8BD0            MOV EDX,EAX
00466035    8D4D CC         LEA ECX,[DWORD SS:EBP-34]
00466038    FFD6            CALL ESI
0046603A    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
0046603D    FF15 4C134000   CALL [DWORD DS:40134C]                   ; MSVBVM60.__vbaFreeStr
00466043    8D4D 80         LEA ECX,[DWORD SS:EBP-80]
00466046    FF15 20104000   CALL [DWORD DS:401020]                   ; MSVBVM60.__vbaFreeVar
//下面是最后一个循环体
0046604C    8B55 E0         MOV EDX,[DWORD SS:EBP-20]
0046604F    52              PUSH EDX
00466050    FF15 2C104000   CALL [DWORD DS:40102C]                   ; MSVBVM60.__vbaLenBstr
00466056    8BD8            MOV EBX,EAX                              ; 注册名长度
00466058    B8 02000000     MOV EAX,2                                ; 循环结束条件是经计算过注册名第2字符以后
0046605D    66:3BD8         CMP BX,AX
00466060    8B45 CC         MOV EAX,[DWORD SS:EBP-34]                ; 第1轮循环这个地址指向字串SS，是该循环体的初始值，以后各轮它指向的字串是前一轮计算结果
00466063    0F8C 02010000   JL FXRL.0046616B
00466069    8985 48FFFFFF   MOV [DWORD SS:EBP-B8],EAX
0046606F    C785 40FFFFFF 0>MOV [DWORD SS:EBP-C0],8
00466079    C785 78FFFFFF 0>MOV [DWORD SS:EBP-88],1
00466083    C785 70FFFFFF 0>MOV [DWORD SS:EBP-90],2
0046608D    8D8D 70FFFFFF   LEA ECX,[DWORD SS:EBP-90]
00466093    51              PUSH ECX
00466094    0FBFD3          MOVSX EDX,BX
00466097    52              PUSH EDX
00466098    8B45 E0         MOV EAX,[DWORD SS:EBP-20]
0046609B    50              PUSH EAX
0046609C    FFD7            CALL EDI                                 ; 倒取注册名各字符
0046609E    8BD0            MOV EDX,EAX
004660A0    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
004660A3    FFD6            CALL ESI
004660A5    50              PUSH EAX
004660A6    FF15 50104000   CALL [DWORD DS:401050]                   ; MSVBVM60.rtcAnsiValueBstr
004660AC    83E8 32         SUB EAX,32                               ; 当前字符的ASCII值减去32，设为Cn
004660AF    66:8985 28FFFFF>MOV [WORD SS:EBP-D8],AX
004660B6    C785 20FFFFFF 0>MOV [DWORD SS:EBP-E0],2
004660C0    8D4D BC         LEA ECX,[DWORD SS:EBP-44]
004660C3    51              PUSH ECX
004660C4    FF15 80124000   CALL [DWORD DS:401280]                   ; MSVBVM60.__vbaR8Var
004660CA    E8 83F7F9FF     CALL FXRL.00405852                       ; JMP 到 MSVBVM60._CIlog
004660CF    DC0D 18234000   FMUL [QWORD DS:402318]                   ; 上句求出W的自然对数，这句乘以100.0，下句把积取整；明显该值在各轮是相同的，设为D
004660D5    FF15 30134000   CALL [DWORD DS:401330]                   ; MSVBVM60.__vbaFPInt
004660DB    DD9D 18FFFFFF   FSTP [QWORD SS:EBP-E8]
004660E1    C785 10FFFFFF 0>MOV [DWORD SS:EBP-F0],5
004660EB    8D95 40FFFFFF   LEA EDX,[DWORD SS:EBP-C0]
004660F1    52              PUSH EDX
004660F2    8D45 BC         LEA EAX,[DWORD SS:EBP-44]
004660F5    50              PUSH EAX
004660F6    8D4D 80         LEA ECX,[DWORD SS:EBP-80]
004660F9    51              PUSH ECX
004660FA    FF15 04104000   CALL [DWORD DS:401004]                   ; MSVBVM60.__vbaVarSub，跟进看到SS串变成浮点数减去W，注意各轮SS是用上一轮的结果
00466100    50              PUSH EAX
00466101    8D95 20FFFFFF   LEA EDX,[DWORD SS:EBP-E0]
00466107    52              PUSH EDX
00466108    8D85 60FFFFFF   LEA EAX,[DWORD SS:EBP-A0]
0046610E    50              PUSH EAX
0046610F    FF15 AC124000   CALL [DWORD DS:4012AC]                   ; MSVBVM60.__vbaVarAdd，差加上Cn
00466115    50              PUSH EAX
00466116    8D8D 10FFFFFF   LEA ECX,[DWORD SS:EBP-F0]
0046611C    51              PUSH ECX
0046611D    8D95 50FFFFFF   LEA EDX,[DWORD SS:EBP-B0]
00466123    52              PUSH EDX
00466124    FF15 AC124000   CALL [DWORD DS:4012AC]                   ; MSVBVM60.__vbaVarAdd，再加上D，得到这一轮计算结果，转换成字串用于下一轮
0046612A    50              PUSH EAX
0046612B    FF15 30104000   CALL [DWORD DS:401030]                   ; MSVBVM60.__vbaStrVarMove
00466131    8BD0            MOV EDX,EAX
00466133    8D4D CC         LEA ECX,[DWORD SS:EBP-34]
00466136    FFD6            CALL ESI
00466138    8D4D A0         LEA ECX,[DWORD SS:EBP-60]
0046613B    FF15 4C134000   CALL [DWORD DS:40134C]                   ; MSVBVM60.__vbaFreeStr
00466141    8D85 50FFFFFF   LEA EAX,[DWORD SS:EBP-B0]
00466147    50              PUSH EAX
00466148    8D8D 60FFFFFF   LEA ECX,[DWORD SS:EBP-A0]
0046614E    51              PUSH ECX
0046614F    8D95 70FFFFFF   LEA EDX,[DWORD SS:EBP-90]
00466155    52              PUSH EDX
00466156    6A 03           PUSH 3
00466158    FF15 3C104000   CALL [DWORD DS:40103C]                   ; MSVBVM60.__vbaFreeVarList
0046615E    83C4 10         ADD ESP,10
00466161    83C8 FF         OR EAX,FFFFFFFF
00466164    03D8            ADD EBX,EAX
00466166  ^ E9 EDFEFFFF     JMP FXRL.00466058
0046616B    50              PUSH EAX                                 ; 循环的最后一轮处理过注册名第2字符'b'后，跳出到这里，准备返回上级
0046616C    FF15 40124000   CALL [DWORD DS:401240]                   ; MSVBVM60.__vbaR8Str
00466172    DC25 20144000   FSUB [QWORD DS:401420]
00466178    DD5D D8         FSTP [QWORD SS:EBP-28]
0046617B    FF15 D8104000   CALL [DWORD DS:4010D8]                   ; MSVBVM60.__vbaExitProc
00466181    9B              WAIT
00466182    68 13624600     PUSH FXRL.00466213
00466187    EB 69           JMP SHORT FXRL.004661F2
...
004661F2    8D4D E0         LEA ECX,[DWORD SS:EBP-20]
004661F5    8B35 4C134000   MOV ESI,[DWORD DS:40134C]                ; MSVBVM60.__vbaFreeStr
004661FB    FFD6            CALL ESI
004661FD    8D4D CC         LEA ECX,[DWORD SS:EBP-34]
00466200    FFD6            CALL ESI
00466202    8D4D BC         LEA ECX,[DWORD SS:EBP-44]
00466205    8B35 20104000   MOV ESI,[DWORD DS:401020]                ; MSVBVM60.__vbaFreeVar
0046620B    FFD6            CALL ESI
0046620D    8D4D A4         LEA ECX,[DWORD SS:EBP-5C]
00466210    FFD6            CALL ESI
00466212    C3              RETN

上面返回到下面这部分
004D2BE5    FF15 4C104000   CALL [DWORD DS:40104C]                   ; MSVBVM60.__vbaFreeObjList
004D2BEB    83C4 0C         ADD ESP,0C
004D2BEE    C745 FC 1900000>MOV [DWORD SS:EBP-4],19
004D2BF5    E8 862CF9FF     CALL FXRL.00465880                       ; 调用注册验证部分
004D2BFA    DD9D 78FFFFFF   FSTP [QWORD SS:EBP-88]                   ; 验证结果的字串转换成浮点数
004D2C00    DD05 D04B4000   FLD [QWORD DS:404BD0]
004D2C06    DC85 78FFFFFF   FADD [QWORD SS:EBP-88]                   ; 加常数98.0
004D2C0C    DC0D C84B4000   FMUL [QWORD DS:404BC8]                   ; 乘常数3.0
004D2C12    FF15 14114000   CALL [DWORD DS:401114]                   ; MSVBVM60.__vbaFpR8
004D2C18    DC1D C04B4000   FCOMP [QWORD DS:404BC0]                  ; 与常数291.0相比，必须相等
004D2C1E    DFE0            FSTSW AX
004D2C20    F6C4 40         TEST AH,40
004D2C23    74 0C           JE SHORT FXRL.004D2C31                   ; 不跳就是注册版
由(0-1+98)*3=291可知，调用返回的字串必须是"0"

总结：
1. 程序自己计算出机器码；用户注册名最少2字符
   注册码是数字组成的字串，开头两个字符分别是注册名前两字符ASCII值的十进制个位数字
2. 由机器码前3字符(加法)和后半部分(乘法)计算出RES
   TAIL是sqrt(RES)浮点数转换成字符串(长度16，小数部分11位)后的最后5个数字，变成浮点数(整)
   W=Int(sqrt(RES)*10000.0)+TAIL，此W后面多次要用到
   注册名第1字符ASCII值减7，变成浮点数，设为CA
   注册码第3字符开始的余部设为HM
   SS=HM-Int(ln(sqrt(W))*100.0)*CA，此SS是最后循环体计算用的初始值
3. 最后，循环倒取注册名各字符，直到第2字符计算过
   Cn=当前字符ASCII值减32（转换成浮点数）
   D=Int(ln(W)*100.0)
   SS=SS-W+Cn+D
   循环最后SS要等于0
4. 根据第2步不涉及注册码余部的一些计算结果，对第3步反向循环不难得出初始的SS，由它可得注册码剩余部分
    HM=Int(ln(sqrt(W))*100.0)*CA+W*n-(D*n+CN)
其中n是注册名长度减1、CN是注册名除第1字符外各字符ASCII值减32h后的总和（转换成浮点数），Int表示取整，ln表示求自然对数，sqrt表示求平方根。
    第一次写这么多，感谢你读完全文！

                                 月中人
                                 于2006年端午节

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课