【破文标题】CRACKME算法分析
【破文作者】逍遥风
【破解工具】OD
【破解平台】WINXP
【破解声明】初次接触加密算法
参考文章：http://bbs.pediy.com/showthread.php?s=&threadid=26237
----------------------------------------------------------------------

00401180  |.  E8 6D020000   CALL <JMP.&user32.GetDlgItemTextA>     ; \取注册名位数
00401185  |.  83F8 04       CMP EAX,4                              ;  注册名位数与4比较。
00401188  |.  73 05         JNB SHORT CrackMe_.0040118F            ;  注册名必须大于4位
0040118A  |.  E9 11020000   JMP CrackMe_.004013A0
0040118F  |>  A3 8F354000   MOV DWORD PTR DS:[40358F],EAX
00401194  |.  68 FF000000   PUSH 0FF                               ; /Count = FF (255.)
00401199  |.  68 93354000   PUSH CrackMe_.00403593                 ; |Buffer = CrackMe_.00403593
0040119E  |.  68 ED030000   PUSH 3ED                               ; |ControlID = 3ED (1005.)
004011A3  |.  FF75 08       PUSH DWORD PTR SS:[EBP+8]              ; |hWnd
004011A6  |.  E8 47020000   CALL <JMP.&user32.GetDlgItemTextA>     ; \取注册码的位数
004011AB  |.  BA 1B344000   MOV EDX,CrackMe_.0040341B
004011B0  |.  8902          MOV DWORD PTR DS:[EDX],EAX
004011B2  |.  E8 49FEFFFF   CALL CrackMe_.00401000                 ;  初始化CRC32数据表
004011B7  |.  8D1D 1B344000 LEA EBX,DWORD PTR DS:[40341B]          ;  储存注册码的位数准备进行CRC32计算
004011BD  |.  E8 78FEFFFF   CALL CrackMe_.0040103A                 ;  开始对注册码的位数进行CRC32计算
004011C2  |.  3D F716602F   CMP EAX,2F6016F7                       ;  注册码位数的计算结果等于0x2F6016F7吗？
004011C7  |.  0F85 D3010000 JNZ CrackMe_.004013A0                  ;  不相等就跳向失败
说明注册码的位数经过计算后必须等于0x2F6016F7。用工具可以计算出注册码的位数必须等于26位
----------------------------------------------------------------------004011CD  |.  6A 08         PUSH 8                                 ; /Length = 8
004011CF  |.  68 7F344000   PUSH CrackMe_.0040347F                 ; |Destination = CrackMe_.0040347F
004011D4  |.  E8 FB010000   CALL <JMP.&kernel32.RtlZeroMemory>     ; \RtlZeroMemory
004011D9  |.  8D05 93354000 LEA EAX,DWORD PTR DS:[403593]          ;  使EAX等于输入的注册码
004011DF  |.  83C0 08       ADD EAX,8                              ;  EAX=EAX+8（指向注册码的第9位）
004011E2  |.  8A18          MOV BL,BYTE PTR DS:[EAX]               ;  使BL等于注册码的第9位
004011E4  |.  8D15 7F344000 LEA EDX,DWORD PTR DS:[40347F]
004011EA  |.  881A          MOV BYTE PTR DS:[EDX],BL               ;  储存注册码的第9位
004011EC  |.  42            INC EDX
004011ED  |.  83C0 09       ADD EAX,9                              ;  EAX=EAX+9（指向注册码的第18位）
004011F0  |.  8A18          MOV BL,BYTE PTR DS:[EAX]               ;  使BL等于注册码的第18位
004011F2  |.  881A          MOV BYTE PTR DS:[EDX],BL               ;  注册码第9位与第18位合并在一起储存在EDX中
004011F4  |.  E8 07FEFFFF   CALL CrackMe_.00401000                 ;  初始化CRC32数据表
004011F9  |.  8D1D 7F344000 LEA EBX,DWORD PTR DS:[40347F]          ;  注册码第9位与第18位作为一个整体，准备进行CRC计算
004011FF  |.  E8 36FEFFFF   CALL CrackMe_.0040103A                 ;  对整体进行CRC32计算
00401204  |.  3D 65142C24   CMP EAX,242C1465                       ;  计算结果等于0x242C1465吗？
00401209  |.  0F85 91010000 JNZ CrackMe_.004013A0                  ;  不相等就跳向失败
注册码的第9位与第18位连接为一个整体，对整体做CRC32计算。计算的结果必须等于0x242C1465。
可以穷举出注册码的第9位与第18位必须为“--”。所以可以得到注册码的形式应该为：12345678-01234567-90123456
现在以每8位为一组将注册码分为3个部分。下文会用到。
----------------------------------------------------------------------0040120F  |.  6A 0A         PUSH 0A                                ; /Length = A (10.)
00401211  |.  8D45 EA       LEA EAX,DWORD PTR SS:[EBP-16]          ; |
00401214  |.  50            PUSH EAX                               ; |Destination
00401215  |.  E8 BA010000   CALL <JMP.&kernel32.RtlZeroMemory>     ; \RtlZeroMemory
0040121A  |.  6A 0A         PUSH 0A                                ; /Length = A (10.)
0040121C  |.  8D45 E0       LEA EAX,DWORD PTR SS:[EBP-20]          ; |
0040121F  |.  50            PUSH EAX                               ; |Destination
00401220  |.  E8 AF010000   CALL <JMP.&kernel32.RtlZeroMemory>     ; \RtlZeroMemory
00401225  |.  33C9          XOR ECX,ECX
00401227  |.  8D05 93354000 LEA EAX,DWORD PTR DS:[403593]          ;  使EAX等于输入的注册码
0040122D  |>  8A1401        /MOV DL,BYTE PTR DS:[ECX+EAX]
00401230  |.  80FA 39       |CMP DL,39
00401233  |.  76 05         |JBE SHORT CrackMe_.0040123A
00401235  |.  80FA 41       |CMP DL,41
00401238  |.  72 0A         |JB SHORT CrackMe_.00401244
0040123A  |>  80FA 30       |CMP DL,30
0040123D  |.  72 05         |JB SHORT CrackMe_.00401244
0040123F  |.  80FA 46       |CMP DL,46
00401242  |.  76 05         |JBE SHORT CrackMe_.00401249
00401244  |>  E9 57010000   |JMP CrackMe_.004013A0
00401249  |>  41            |INC ECX
0040124A  |.  83F9 08       |CMP ECX,8                             ;  取注册码的前8位（注册码第一部分）
0040124D  |.^ 75 DE         \JNZ SHORT CrackMe_.0040122D           ;  格式验证
0040124F  |.  33C9          XOR ECX,ECX
00401251  |.  33DB          XOR EBX,EBX
00401253  |.  8D75 EA       LEA ESI,DWORD PTR SS:[EBP-16]
00401256  |>  C1E3 04       /SHL EBX,4
00401259  |.  8A1401        |MOV DL,BYTE PTR DS:[ECX+EAX]
0040125C  |.  8816          |MOV BYTE PTR DS:[ESI],DL
0040125E  |.  80FA 41       |CMP DL,41
00401261  |.  72 0A         |JB SHORT CrackMe_.0040126D
00401263  |.  80FA 46       |CMP DL,46
00401266  |.  77 05         |JA SHORT CrackMe_.0040126D
00401268  |.  80EA 37       |SUB DL,37
0040126B  |.  EB 03         |JMP SHORT CrackMe_.00401270
0040126D  |>  80EA 30       |SUB DL,30
00401270  |>  80E2 0F       |AND DL,0F
00401273  |.  0ADA          |OR BL,DL
00401275  |.  46            |INC ESI
00401276  |.  41            |INC ECX
00401277  |.  83F9 08       |CMP ECX,8
0040127A  |.  895D FC       |MOV DWORD PTR SS:[EBP-4],EBX
0040127D  |.^ 75 D7         \JNZ SHORT CrackMe_.00401256           ;  将注册码的第一部分转换成对应的16进制

----------------------------------------------------------------------0040127F  |.  E8 7CFDFFFF   CALL CrackMe_.00401000                 ;  初始化CRC32数据表
00401284  |.  8D1D 8C344000 LEA EBX,DWORD PTR DS:[40348C]          ;  取注册名准备进行CRC32计算
0040128A  |.  E8 ABFDFFFF   CALL CrackMe_.0040103A                 ;  对输入的注册名进行CRC32计算
0040128F  |.  3945 FC       CMP DWORD PTR SS:[EBP-4],EAX           ;  对注册名计算的结果与注册码的前8位进行比较
00401292  |.  0F85 08010000 JNZ CrackMe_.004013A0                  ;  不相等就跳向失败

对输入的注册名进行CRC32计算，并将计算后的结果与注册码的前8位(第一部分)进行比较。不相等就跳向失败
即：注册名CRC计算后的结果就是注册码的前8位。
---------------------------------------------------------------------00401298  |.  33C9          XOR ECX,ECX                            ;  ECX清空
0040129A  |.  8D05 93354000 LEA EAX,DWORD PTR DS:[403593]          ;  使EAX等于注册码
004012A0  |.  83C0 09       ADD EAX,9                              ;  从注册码的第10位开始，取8位（取注册码的第2部分）
004012A3  |>  8A1401        /MOV DL,BYTE PTR DS:[ECX+EAX]
004012A6  |.  80FA 39       |CMP DL,39
004012A9  |.  76 05         |JBE SHORT CrackMe_.004012B0
004012AB  |.  80FA 41       |CMP DL,41
004012AE  |.  72 0A         |JB SHORT CrackMe_.004012BA
004012B0  |>  80FA 30       |CMP DL,30
004012B3  |.  72 05         |JB SHORT CrackMe_.004012BA
004012B5  |.  80FA 46       |CMP DL,46
004012B8  |.  76 05         |JBE SHORT CrackMe_.004012BF
004012BA  |>  E9 E1000000   |JMP CrackMe_.004013A0
004012BF  |>  41            |INC ECX
004012C0  |.  83F9 08       |CMP ECX,8
004012C3  |.^ 75 DE         \JNZ SHORT CrackMe_.004012A3           ;  格式验证
004012C5  |.  33C9          XOR ECX,ECX
004012C7  |.  33DB          XOR EBX,EBX
004012C9  |.  8D75 E0       LEA ESI,DWORD PTR SS:[EBP-20]
004012CC  |>  C1E3 04       /SHL EBX,4
004012CF  |.  8A1401        |MOV DL,BYTE PTR DS:[ECX+EAX]
004012D2  |.  8816          |MOV BYTE PTR DS:[ESI],DL
004012D4  |.  8810          |MOV BYTE PTR DS:[EAX],DL
004012D6  |.  80FA 41       |CMP DL,41
004012D9  |.  72 0A         |JB SHORT CrackMe_.004012E5
004012DB  |.  80FA 46       |CMP DL,46
004012DE  |.  77 05         |JA SHORT CrackMe_.004012E5
004012E0  |.  80EA 37       |SUB DL,37
004012E3  |.  EB 03         |JMP SHORT CrackMe_.004012E8
004012E5  |>  80EA 30       |SUB DL,30
004012E8  |>  80E2 0F       |AND DL,0F
004012EB  |.  0ADA          |OR BL,DL
004012ED  |.  46            |INC ESI
004012EE  |.  41            |INC ECX
004012EF  |.  83F9 08       |CMP ECX,8
004012F2  |.  895D F8       |MOV DWORD PTR SS:[EBP-8],EBX
004012F5  |.^ 75 D5         \JNZ SHORT CrackMe_.004012CC           ;  将注册码的第2部分转换成对应的16进制

----------------------------------------------------------------------
004012F7  |.  E8 04FDFFFF   CALL CrackMe_.00401000                 ;  初始化CRC32数据表
004012FC  |.  8D5D EA       LEA EBX,DWORD PTR SS:[EBP-16]          ;  取注册码的前8位准备进行CRC32计算
004012FF  |.  E8 36FDFFFF   CALL CrackMe_.0040103A                 ;  对注册码的前8位进行CRC32计算
00401304  |.  3945 F8       CMP DWORD PTR SS:[EBP-8],EAX           ;  对注册码的前8位计算后的结果与注册码的第2部分进行比较
00401307  |.  0F85 93000000 JNZ CrackMe_.004013A0                  ;  不相等就跳向失败

对注册码的前8位进行CRC32计算，并将计算后的结果与注册码的第2部分进行比较。不相等就跳向失败。
即：注册码的第一部分CRC32计算后的值即为注册码的第2部分
----------------------------------------------------------------------
0040130D  |.  E8 EEFCFFFF   call    00401000                 ;  初始化CRC32数据表
00401312  |.  8D5D E0       lea     ebx, [ebp-20]            ;  取注册码的第2部分准备计算
00401315  |.  E8 20FDFFFF   call    0040103A                 ;  对注册码的第2部分进行CRC32计算
0040131A  |.  8945 F8       mov     [ebp-8], eax
0040131D  |.  33C9          xor     ecx, ecx
0040131F  |.  8D05 93354000 lea     eax, [403593]            ;  取输入的注册码
00401325  |.  83C0 12       add     eax, 12                  ;  从注册码的第19位开始取值（取注册码的第3部分）
00401328  |>  8A1401        /mov     dl, [ecx+eax]
0040132B  |.  80FA 39       |cmp     dl, 39
0040132E  |.  76 05         |jbe     short 00401335
00401330  |.  80FA 41       |cmp     dl, 41
00401333  |.  72 0A         |jb      short 0040133F
00401335  |>  80FA 30       |cmp     dl, 30
00401338  |.  72 05         |jb      short 0040133F
0040133A  |.  80FA 46       |cmp     dl, 46
0040133D  |.  76 02         |jbe     short 00401341
0040133F  |>  EB 5F         |jmp     short 004013A0
00401341  |>  41            |inc     ecx
00401342  |.  83F9 08       |cmp     ecx, 8
00401345  |.^ 75 E1         \jnz     short 00401328          ;  格式验证
00401347  |.  33C9          xor     ecx, ecx                 ;  ECX清零
00401349  |.  33DB          xor     ebx, ebx                 ;  EBX清零
0040134B  |>  C1E3 04       /shl     ebx, 4
0040134E  |.  8A1401        |mov     dl, [ecx+eax]
00401351  |.  8810          |mov     [eax], dl
00401353  |.  80FA 41       |cmp     dl, 41
00401356  |.  72 0A         |jb      short 00401362
00401358  |.  80FA 46       |cmp     dl, 46
0040135B  |.  77 05         |ja      short 00401362
0040135D  |.  80EA 37       |sub     dl, 37
00401360  |.  EB 03         |jmp     short 00401365
00401362  |>  80EA 30       |sub     dl, 30
00401365  |>  80E2 0F       |and     dl, 0F
00401368  |.  0ADA          |or      bl, dl
0040136A  |.  41            |inc     ecx
0040136B  |.  83F9 08       |cmp     ecx, 8
0040136E  |.  895D F4       |mov     [ebp-C], ebx
00401371  |.^ 75 D8         \jnz     short 0040134B          ;  将第3部分转换成对应的16进制
00401373  |.  8B45 FC       mov     eax, [ebp-4]             ;  注册码第一部分放进EAX
00401376  |.  3345 F8       xor     eax, [ebp-8]             ;  XOR（注册码第一部分，CRC注册码第二部分），结果放进EAX
00401379  |.  3B45 F4       cmp     eax, [ebp-C]             ;  注册码第3部分与上面计算结果相比较。不相等就失败
0040137C  |.  75 22         jnz     short 004013A0
0040137E  |.  68 D2204000   push    004020D2                 ; /good job, man!
00401383  |.  FF75 08       push    dword ptr [ebp+8]        ; |hWnd
00401386  |.  E8 8B000000   call    <jmp.&user32.SetWindowTe>; \SetWindowTextA
----------------------------------------------------------------------算法总结：
1）注册码必须为26位，第9位与第18位必须是：-   
      注册码的形式为12345678-01234567-90123456
2）将注册名进行CRC32计算，将注册码的第1部分转换成对应的16进制。两个值必须相等
3）将注册码的第1部分进行CRC32计算（设为A），将注册码的第2部分转换成对应的16进制。两个值必须相等
4）将注册码的第2部分进行CRC32计算（设为B）。
5）将A，B做XOR运算，将注册码的第3部分转换成对应的16进制。两个值必须相等
即。注册码
第一部分：CRC（注册名）
第二部分：CRC（注册码第一部分）
第三部分：XOR [   第一部分，CRC（第二部分）]

----------------------------------------------------------------------
【版权声明】本文只为交流，转载请保留作者及文章完整性。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课