首先要说明的一点是,本文只是为了研究用替换公钥的方法来探讨去除ECC的可能性,因为去除ECC有更简单的方法,通常PATCH几个字节就可以了,具体在论坛上已经有很多人讨论过了。
ECC破解的最困难之处在于,在没有找到ECC加密算法的漏洞之前,必须找到私钥才能产生正确的LIC,因为采用ECC时,根本不存在signature的比较过程,也就是说你无法知道他正确的signature是什么。加密和解密采用了不同密钥,加密是用私钥,我们无法知道,而解密要用到公钥,这个公钥必须存在于软件之中。那么,如果我们自己产生一对私钥/公钥,用公钥替换软件中的公钥,那么我们用自己的私钥产生的LIC就能通过ECC校验。
flexlm中进行ECC校验的函数是l_pubkey_verify,其定义如下
int l_pubkey_verify (LM_HANDLE *job,
unsigned char * input,
int inputlen,
char *signature,
int siglen,
int *pubkeysize,
unsigned char pubkey[LM_PUBKEYS][LM_MAXPUBKEYSIZ],
int strength,
int sign_level)
{
......
}
pubkeysize指向公钥块的大小,pubkey就是公钥,例如某软件的公钥数据结构如下:
debug002:FFFF6C6C dd 10h pubkeysize[0]
debug002:FFFF6C70 dd 16h pubkeysize[1]
debug002:FFFF6C74 dd 1Fh pubkeysize[2]
debug002:FFFF6C78 db 66h pubkey[0]
debug002:FFFF6C79 db 5Ch
debug002:FFFF6C7A db 0C4h
debug002:FFFF6C7B db 94h
debug002:FFFF6C7C db 68h
debug002:FFFF6C7D db 0E5h
debug002:FFFF6C7E db 11h
debug002:FFFF6C7F db 41h
debug002:FFFF6C80 db 0EBh
debug002:FFFF6C81 db 0CCh
debug002:FFFF6C82 db 8
debug002:FFFF6C83 db 0CAh
debug002:FFFF6C84 db 0F6h
debug002:FFFF6C85 db 0D6h
debug002:FFFF6C86 db 0F4h
debug002:FFFF6C87 db 0ABh
......
debug002:FFFF6CA0 db 65h pubkey[1]
debug002:FFFF6CA1 db 0A1h
debug002:FFFF6CA2 db 9
debug002:FFFF6CA3 db 15h
debug002:FFFF6CA4 db 0B5h
debug002:FFFF6CA5 db 5Ch
debug002:FFFF6CA6 db 91h
debug002:FFFF6CA7 db 0E6h
debug002:FFFF6CA8 db 0E1h
debug002:FFFF6CA9 db 0
debug002:FFFF6CAA db 0A6h
debug002:FFFF6CAB db 0E4h
debug002:FFFF6CAC db 0E0h
debug002:FFFF6CAD db 95h
debug002:FFFF6CAE db 25h
debug002:FFFF6CAF db 0D5h
debug002:FFFF6CB0 db 9Dh
debug002:FFFF6CB1 db 41h
debug002:FFFF6CB2 db 43h
debug002:FFFF6CB3 db 0C7h
debug002:FFFF6CB4 db 83h
debug002:FFFF6CB5 db 0F9h
...
debug002:FFFF6CC8 db 66h pubkey[2]
debug002:FFFF6CC9 db 0E4h
debug002:FFFF6CCA db 24h
debug002:FFFF6CCB db 7Fh
debug002:FFFF6CCC db 0A6h
debug002:FFFF6CCD db 36h
debug002:FFFF6CCE db 36h
debug002:FFFF6CCF db 27h
debug002:FFFF6CD0 db 25h
debug002:FFFF6CD1 db 15h
debug002:FFFF6CD2 db 0C0h
debug002:FFFF6CD3 db 0E0h
debug002:FFFF6CD4 db 99h
debug002:FFFF6CD5 db 8Fh
debug002:FFFF6CD6 db 0Dh
debug002:FFFF6CD7 db 61h
debug002:FFFF6CD8 db 0B7h
debug002:FFFF6CD9 db 0C4h
debug002:FFFF6CDA db 0E5h
debug002:FFFF6CDB db 0E6h
debug002:FFFF6CDC db 6Eh
debug002:FFFF6CDD db 66h
debug002:FFFF6CDE db 0A0h
debug002:FFFF6CDF db 0A4h
debug002:FFFF6CE0 db 88h
debug002:FFFF6CE1 db 27h
debug002:FFFF6CE2 db 44h
debug002:FFFF6CE3 db 0FDh
debug002:FFFF6CE4 db 0CDh
debug002:FFFF6CE5 db 0F4h
debug002:FFFF6CE6 db 0DAh
...