【文章标题】: 无知者无畏----菜菜鸟也找注册码
【文章作者】: AsmDebuger
【作者QQ号】: 38250367
【软件名称】: xxx电子教程
【下载地址】: 自己搜索下载
【编写语言】: VB
【使用工具】: OD、PEiD、Google
【操作平台】: XP SP2
【软件介绍】: 一本电子书
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
    自走上学习破解之路后，就有了个习惯-看到任何需要注册的软件都要查查、脱脱壳，只是发现
大部分软件脱了壳也不能直接运行，其保护措施比较全面，因此对于我这样的菜菜鸟来说，这些软件
跟起来还很吃力，而有那么几个软件，只要脱了壳就基本上破解成功了，这样的软件，对于我们菜菜
鸟来说，正是练手的好靶子，今天提到的软件即是如此。
    这两天新年刚开工，闲来无事，常在坛子里泡，无意中看到一位仁兄求破解的违规帖，于是下载
来试试手，先用PEiD查壳：ASPack 2.12 -> Alexey Solodovnikov，嗯，不算是猛壳，还记得上次我提
到的超级巡警吧？直接脱之，成功！再查：Microsoft Visual Basic 5.0 / 6.0，怀着忐忑的心情用颤抖的
右手双击了一下图标，哇！能运行，美妙的开始（说实话，最近脱过的软件，能直接运行成功的寥寥
无几）！到此我信心倍增，不过我对VB还停留在无知的阶段，还是那句老话：无知者无畏，下面就
开始寻找注册码。
    软件开始运行的是一个登录窗口，显示机器码为"964446455"，需要填入注册码，根据提示说明，
有个试用密码"admin168"，但功能有限制， 菜菜鸟也想找注册码。回忆一下，对于VB的程序，看过
一些资料，说有个什么字符串比较的断点，名字不记得了，别急，用OD载入脱壳后的软件，Ctrl+N
查看所有函数名称：
地址 区段 类型 ( 名称 注释
……
00401030 .text 输入 MSVBVM60.__vbaSetSystemError
0040102C .text 输入 ( MSVBVM60.__vbaStrCat
0040107C .text 输入 MSVBVM60.__vbaStrCmp ;这个看起来应该是了。
0040100C .text 输入 MSVBVM60.__vbaStrI4
    直接F2下断（忽略在数据段下断的提示）。运行，随便输入密码"123".点击"登陆"按钮，程序停
在MSVBVM60的领空，看堆栈：
0012F3BC 004657EC 返回到 unpacked.004657EC 来自 MSVBVM60.__vbaStrCmp
0012F3C0 0040D300 UNICODE "admin168"
0012F3C4 0015E63C UNICODE "123"

猜测是拿我们的假码和试用密码比较，我们到004657EC看看先：

  004657DD  >         \8B45 98             MOV     EAX, SS:[EBP-68]
  004657E0  .        50                   PUSH    EAX
  004657E1  .        68   00D34000        PUSH    unpacked.0040D300         ;  UNICODE "admin168"
  004657E6  .        FF15 7C104000        CALL    NEAR DS:[<&MSVBVM60.__vbaStrCmp>];  MSVBVM60.__vbaStrCmp
  004657EC  .          8BF8            MOV     EDI, EAX

    果然如此，不过这个不是我们想要的，我们要的是注册码，继续往上看（往下已经提示出错了）， 仍然采用"倒叙法"，
    注意程序流程，看是怎样跳到上面那个比较的：

  0046579D       . /E9 90020000       JMP     unpacked.00465A32        ；这里是跳走，
  004657A2       > |8B16              MOV     EDX, DS:[ESI]             ;  unpacked.004C1620
  004657A4       . |56                PUSH    ESI
  004657A5       . |FF92 0C030000     CALL    NEAR DS:[EDX+30C]
；；；；；；；；；；；

提示窗口显示004657A2处的跳转来自 004656A0，继续往前看：

  0046565F       > \8B45 98           MOV     EAX, SS:[EBP-68]
  00465662       .  8D8D 74FFFFFF     LEA     ECX, SS:[EBP-8C]
  00465668       .  8D56 34           LEA     EDX, DS:[ESI+34]
  0046566B       .  51                PUSH    ECX                                   ; /var18 = ntdll.7C93056D
  0046566C       .  52                PUSH    EDX                                   ; |var28 = 00130000
  0046566D       .  C745 98 00000000  MOV     DWORD PTR SS:[EBP-68], 0              ; |
  00465674       .  8985 7CFFFFFF     MOV     SS:[EBP-84], EAX                      ; |
  0046567A       .  C785 74FFFFFF 088>MOV     DWORD PTR SS:[EBP-8C], 8008           ; |
  00465684       .  FF15 84104000     CALL    NEAR DS:[<&MSVBVM60.__vbaVarTstEq>] ; \__vbaVarTstEq
  0046568A       .  8D4D 84           LEA     ECX, SS:[EBP-7C]
  0046568D       .  8BF8              MOV     EDI, EAX
  0046568F       .  FF15 44114000     CALL    NEAR DS:[<&MSVBVM60.__vbaFreeObj>]  ;  MSVBVM60.__vbaFreeObj
  00465695       .  8D8D 74FFFFFF     LEA     ECX, SS:[EBP-8C]
  0046569B       .  FFD3              CALL    NEAR EBX                            ;  MSVBVM60.__vbaFreeVar
  0046569D       .  66:85FF           TEST    DI, DI
004656A0 . 0F84 FC000000                 JE                 unpacked.004657A2 ；DI等零则跳到试用码比较；根据vbaVarTstEq的返回参数，
                                                                           ；等0则为不等，等-1则相等，猜测软件先比较注册码了。
PS：
00465684 这行有"Eq"看到它我就有点儿警觉，有可能是EQU的缩写，因此这个CALL有可能是比较
函数，Google搜索该函数提示是变量比较， 疑点！在0046565F直接下断F2.再次重新开始运行，输
入假码，点击"登陆"按钮,中断，

  0046565F       > \8B45 98           MOV     EAX, SS:[EBP-68]
  00465662       .  8D8D 74FFFFFF     LEA     ECX, SS:[EBP-8C]
  00465668       .  8D56 34           LEA     EDX, DS:[ESI+34]
  0046566B       .  51                PUSH    ECX                                          ; /var18 = 0012F47C
  0046566C       .  52                PUSH    EDX                                          ; |var28 = 0015C2AC
  0046566D       .  C745 98 00000000  MOV     DWORD PTR SS:[EBP-68], 0                     ; |
  00465674       .  8985 7CFFFFFF     MOV     SS:[EBP-84], EAX                             ; |
  0046567A       .  C785 74FFFFFF 088>MOV     DWORD PTR SS:[EBP-8C], 8008                  ; |
  00465684       .  FF15 84104000     CALL    NEAR DS:[<&MSVBVM60.__vbaVarTstEq>]          ; \__vbaVarTstEq

运行到此，看两个参数并不能知道注册码，只得F7跟进vbaVarTstEq这个Call：

  7349BBE6 MSVBVM60.__vbaVarTstEq       FF7424 08           PUSH    DWORD PTR SS:[ESP+8]
  7349BBEA                              FF7424 08           PUSH    DWORD PTR SS:[ESP+8]         ；第一个参数压栈；
  7349BBEE                              6A 00               PUSH    0
  7349BBF0                              E8 2254FFFF         CALL    MSVBVM60.73491017         ；继续跟进这个Call。

进入未知函数：

  73491017                55                  PUSH    EBP
  73491018                8BEC                MOV     EBP, ESP
  7349101A                83EC 38             SUB     ESP, 38
  7349101D                8B55 10             MOV     EDX, SS:[EBP+10]                             ; unpacked.0040AD64
  73491020                8B4D 0C             MOV     ECX, SS:[EBP+C]
  ；；；
  73491049                0FB745 08           MOVZX   EAX, WORD PTR SS:[EBP+8]
  7349104D                68 01000300         PUSH    30001
  73491052                50                  PUSH    EAX
  73491053                51                  PUSH    ECX
  73491054                52                  PUSH    EDX
  73491055                FF15 700E4A73       CALL    NEAR DS:[734A0E70]                           ; OLEAUT32.VarCmp

运行到这里，继续跟进OLEAUT32.VarCmp这个Call（Var为一种特殊的结构，现在还没有看到明码）：

  77109F38 OLEAUT32.Var>  8BFF                MOV     EDI, EDI
  77109F3A                55                  PUSH    EBP
  77109F3B                8BEC                MOV     EBP, ESP
  ；；；；
  7710C013                6A 05               PUSH    5
  7710C015                FF75 14             PUSH    DWORD PTR SS:[EBP+14]
  7710C018                8BFE                MOV     EDI, ESI
  7710C01A                FF75 10             PUSH    DWORD PTR SS:[EBP+10]
  7710C01D                8BC3                MOV     EAX, EBX
  7710C01F                E8 6AEFFFFF         CALL    OLEAUT32.7710AF8E

继续运行，到了这里，仍然没有出现明码，且没有明显的比较指令、函数，继续：

  7710AF8E                8BFF                MOV     EDI, EDI
  7710AF90                55                  PUSH    EBP
  7710AF91                8BEC                MOV     EBP, ESP
  7710AF93                83EC 10             SUB     ESP, 10
  7710AF96                66:8B0F             MOV     CX, DS:[EDI]
  ；；；；
  7710AFC5                56                  PUSH    ESI
  7710AFC6                8D45 F0             LEA     EAX, SS:[EBP-10]
  7710AFC9                50                  PUSH    EAX
  7710AFCA                E8 1BBBFEFF         CALL    OLEAUT32.VariantChangeTypeEx
；看名称知道是类型转换，因为前面的变量比较可以比较不同类型的变量，因此我们猜测此处可能是
转换明码或假码的程序，直接F8过；

  7710AFCF                85C0                TEST    EAX, EAX
  7710AFD1                7C 1D               JL      SHORT OLEAUT32.7710AFF0
  7710AFD3                FF75 0C             PUSH    DWORD PTR SS:[EBP+C]
  7710AFD6                FF75 08             PUSH    DWORD PTR SS:[EBP+8]
  7710AFD9                FF77 08             PUSH    DWORD PTR DS:[EDI+8]
  7710AFDC                FF75 F8             PUSH    DWORD PTR SS:[EBP-8]
  7710AFDF                E8 30F8FFFF         CALL    OLEAUT32.VarBstrCmp         
；哇！看名称知道，久违的比较函数到来了！运行到此，看堆栈：
ESP ==> 0012F2CC 0015E63C         UNICODE "1110989163.25" ；明码
ESP+4 0012F2D0 0015E664         UNICODE "123" ；假码

    哈哈，这里就可以看到注册码的明码了，二话不说，记下明码，退出OD，直接运行程序，输入
我们刚才得到的明码（全部输入，包括"."），嗯，无出错提示进入软件运行界面，再点击有注册限制
的功能，已经可以显示了，至此，我们已经找到注册码；
PS：
在此推测vbaVarTstEq函数运行机制：由于变量有可能类型不同，因此该函数会根据第一个参数的类
型对第二个参数进行类型转换，然后调用相应的比较 函数进行判断，本例是UNICODE码和浮点数
进行比较，把第二参数转换成UNICODE后再进行比较，因此如果bpx VarBstrCmp可以成功，但对
于其他的程序，有可能不成功，比较保险的还是下断vbaVarTstEq,再跟进几步就可以看到注册码了。

    最后说说软件的注册码计算方法（通过查浮点数指令集得到）：
机器码（本机964446455）做为十进制值，先浮点除以4，再浮点乘以3
然后浮点加387654322.0000000，最后得到的浮点数即是注册码，如果小数点后为0则只需输入整数
即可；
小数点后不为零则需要输入小数点加上小数数位，由于运算过程仅除以4，因此小数点不会超过两位，
即不存在除不尽的情况，以避免无法得到注册码的BUG。

--------------------------------------------------------------------------------
【经验总结】
    这个软件的破解比较容易，首先是脱壳容易，第二是没有复杂的验证方法，之所以写这篇文章，主要是说说菜菜鸟对于
一个毫不了解的语言编写的程序怎样进行破解，其实主要是先多看大牛们的教程，记下各个语言关键下断的地方（比如这个
VB程序，如果在vbaVarTstEq下断的话就更快些），看清楚程序流程，以追溯到关键地址， 遇到不清楚功能的函数直接Google，
很多情况下Google会帮我们链接到看雪的某个帖子，相信会有很大帮助的。菜菜鸟经验不足，有失偏颇之处，敬请见谅！

    正在写破文的过程中接到了从卓越买的《加密与解密》（第三版）的书，质量不错，已经爱不释手了，下一步准备系
统地学习一下书本的内容，以免自己失去方向。

[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)