第一篇破文,还望大家多多指教!!!!BYTE "icytear" ,Regcode输入"280060443" ,下断点addr editplusPUSH DWORD PTR [ESP +08]PUSH DWORD PTR [ESP +08]PUSH DWORD PTR [ECX +1C]CALL [USER32!GetWindowTextA] JMP 004BFCB6 ;---->按F12后到这里，goto #exit RET 0008 ;#exit MOV EAX ,[ESP +0C]MOV ECX ,[ESP +04]PUSH ESI MOV ESI ,[ESP +0C]PUSH EAX PUSH ESI CALL 004BFC8AMOV AL ,[ESI ] ;#R01---->程序返回到这里 CMP AL ,20 ;---->从前向后比较字符是否为空格 JZ 0047C86E ;---->为空格则跳转，继续比较下一个字符 CMP AL ,09 ;---->比较这个字符是否为制表符 JNZ 0047C871 ;---->如果不为空格也不是制表符则跳转到#J01↓ INC ESI ;---->如果字符为空格或制表符则删除 JMP 0047C864 ;---->继续比较下一个字符(跳转到#R01↑) PUSH ESI ;↑#J01---->用户名入栈 CALL [KERNEL32!lstrlen] ;---->不用说了吧，得到用户名长度 MOV ECX ,[ESP +14]TEST EAX ,EAX ;---->检查是否输入了用户名 MOV [ECX ],EAX ;---->把结果保存起来 JLE 0047C899MOV EAX ,[ECX ]MOV DL ,[ESI +EAX -01] ;---->取出最后一个字符 CMP DL ,20 ;---->比较是否为空格 JZ 0047C892CMP DL ,09JNZ 0047C899DEC EAX ;---->继续向前比较 TEST EAX ,EAX MOV [ECX ],EAX JG 0047C882MOV EDX ,[ECX ]MOV BYTE PTR [ESI +EDX ],00 ;---->删除末尾的空格和制表符 MOV EAX ,[ECX ]TEST EAX ,EAX ; JNZ 0047C8ADPUSH 40CALL [USER32!MessageBeep]MOV EAX ,ESI POP ESI RET CALL 0047C850 ;---->取输入的用户名 MOV EBX ,EAX ;#R02---->D EAX;EAX指向的就是输入的用户名icytear MOV EAX ,[ESP +20] ;---->[esp+20]存的是用户名的长度 ADD ESP ,10 ;---->平衡堆栈 TEST EAX ,EAX ;---->检查输入的用用户名是否有效 JZ 0047C9B1LEA EAX ,[ESP +0C] ;---->SS:[ESP+0C] = 00000034 LEA ECX ,[ESP +14] ;---->SS:[ESP+14] = 0 PUSH EAX PUSH 31LEA EDX ,[ESI +5C]PUSH ECX PUSH EDX CALL 0047C850 ;---->用上面同样的方法得到输入的注册码 MOV ECX ,[ESP +1C] ;---->[ESP+1C]输入的注册码长度 ADD ESP ,10 ;---->平衡堆栈 TEST ECX ,ECX ;---->检查有效注册码长度 MOV EDI ,EAX JZ 0047C9B1XOR EAX ,EAX TEST ECX ,ECX JLE 0047C93BXOR ECX ,ECX MOV CL ,[EDI +EAX ] ;---->从输入的注册码取一个字符 INC EAX ;---->移动指针指向下一个字符 MOV DL ,[ECX +00522C90] ;---->查表，把小写转换成大写 MOV [EDI +EAX -01],DL MOV ECX ,[ESP +0C]CMP EAX ,ECX JL 0047C923PUSH EDI ;---->把输入的注册码入栈 PUSH EBX ;---->输入的用户名入栈 CALL 0047CA60 ;#C01---->关键调用 ADD ESP ,08TEST EAX ,EAX JNZ 0047C961 ;---->注册成功的关键 PUSH FFPUSH 10PUSH 00005F81CALL 004C7E94 ;---->这里就弹出错误对话框了 POP EDI POP ESI POP EBX ADD ESP ,00000230RET PUSH EDI PUSH EBX CALL 0047C3B0CALL 0047CA60)继续跟踪SUB ESP ,0CPUSH EBX ;---->用户名入栈 MOV EBX ,[KERNEL32!lstrlen]PUSH ESI PUSH EDI MOV EDI ,[ESP +1C] ;---->edi指向了用户名 PUSH EDI CALL EBX ;---->call [lstrlen],得到用户名长度 MOV ESI ,EAX TEST ESI ,ESI ;----> JNZ 0047CA80 ;---->跳到#C01.C1 POP EDI POP ESI POP EBX ADD ESP ,0CRET CALL 0047C9C0 ;#C01.C1---->跟进去 PUSH ESI PUSH EDI PUSH 00CALL 0047CA10 ;#C01.C2----> ADD ESP ,0CAND EAX ,0000FFFFPUSH EAX LEA EAX ,[ESP +10]PUSH 0051824CPUSH EAX CALL 004AEABC ;#C01.C3---->sprintf MOV ESI ,[ESP +2C]MOV AL ,[ESP +18]CALL 0047C9C0).PUSH ESI PUSH EDI MOV ECX ,00000080 ;---->计数 0x80 XOR EAX ,EAX ;---->EAX清零 MOV EDI ,00523410XOR ESI ,ESI REPZ STOSD ;---->从00523410～00523610清零 MOV EDX ,00523410MOV EAX ,0000C0C1 ;#loop1--->第一层循环 MOV ECX ,00000001TEST ESI ,ECX ;#loop2--->第二层循环 JZ 0047C9E8XOR [EDX ],AX ADD EAX ,EAX SHL ECX ,1XOR EAX ,00004003CMP ECX ,00000100JL 0047C9E1 ;---->跳转到#loop2 ADD EDX ,02INC ESI CMP EDX ,00523610JL 0047C9D7 ;---->跳转到#loop1 POP EDI POP ESI RET WORD list[0x80*2]; int i,j=0; DWORD ieax,iecx,iesi=0; WORD temp; ;i<0x80*2;i++) ; ; //ieax = 49345 ; WORD )(ieax&0x0FFFF); ; ; ; ; ; ; ; ; CALL 出来PUSH ESI ;---->用户名长度 PUSH EDI ;---->用户名指针入栈 PUSH 00CALL 0047CA10 ;#C01.C2--->跟进去.. ADD ESP ,0CCALL 0047CA10).MOV ECX ,[ESP +08] ;---->ECX指向用户名'icytear' MOV EAX ,[ESP +0C] ;---->EAX存用户名长度, PUSH ESI LEA ESI ,[EAX +ECX ] ;---->ESI指向了用户名的末尾'\0' CMP ECX ,ESI JAE 0047CA4A ;---->如果大于等于则跳转#exit. MOV EAX ,[ESP +08]PUSH EBX MOV EDX ,EAX ;#loop3 XOR EBX ,EBX MOV BL ,[ECX ] ;---->开始逐个字符取用户名 AND EDX ,000000FFXOR EDX ,EBX XOR EBX ,EBX MOV BL ,AH MOV AX ,[EDX *2+00523410] ;---->(00523410～00523610) #C01.C1 CALL 生成的东东 XOR AX ,BX INC ECX CMP ECX ,ESI JB 0047CA25 ;---->如果小于跳转倒#loop3↑ POP EBX POP ESI RET MOV AX ,[ESP +08] ;#exit. POP ESI RET CALL 0047CA10) C语言代码如下："icytear" ; int sub_0047CA10(int n,char *pname,int unamelen)DWORD ieax,iebx,iedx,temp; ; ; ; '\0' ); ; MOV EDX ,EAX ; XOR EBX ,EBX ; MOV BL ,[ECX ]; ; ; AND EDX ,000000FF; XOR EDX ,EBX ; XOR EBX ,EBX ; MOV BL ,AH ; ; ; ; ; MOV AX ,[EDX *2+00523410]; ; ; XOR AX ,BX ; ; ; ; '\0' ); ; CALL 出来到 #C01CALLADD ESP ,0C ;---->#C01.C2 CALL 出来到这里 AND EAX ,0000FFFF ;---->AX是用用户名算出的结果 PUSH EAX LEA EAX ,[ESP +10]PUSH 0051824C ;---->;"%02X" PUSH EAX ; CALL 004AEABC ;---->sprintf,把用户名算出的16进制结果以字符形式保存 MOV ESI ,[ESP +2C]MOV AL ,[ESP +18] ;---->[ESP+18] = "5CF",由"icytear"算出的值 ADD ESP ,0CMOV CL ,[ESI +02] ;---->[ESI+02] 注册码的第三个字符 LEA EDI ,[ESI +02]CMP CL ,AL ;---->比较,在这里比较注册码第三个字符是否为'5' JZ 0047CAC4POP EDI POP ESI XOR EAX ,EAX POP EBX ADD ESP ,0CRET MOV DL ,[ESI +03] ;---->注册码第四个字符 MOV AL ,[ESP +0D] ;---->"5CF"的第二个字符 CMP DL ,AL ;---->比较注册码的第四个字符是否为'C' JZ 0047CAD8POP EDI POP ESI XOR EAX ,EAX POP EBX ADD ESP ,0CRET PUSH ESI ;---->注册码 CALL EBX ;---->KERNEL!lstrlen SUB EAX ,02PUSH EAX ;---->EAX == 注册码长度 - 2; PUSH EDI ;---->第三位以后的注册码 PUSH 00CALL 0047CA10 ;---->前面出现过这个函数，用注册码第三为以后的字符计算出一个值 ADD ESP ,0CAND EAX ,0000FFFFPUSH EAX LEA EAX ,[ESP +10]PUSH 0051824C ;---->"%02X" PUSH EAX CALL 004AEABC ;---->sprintf MOV CL ,[ESI ] ;---->取注册码的第一个字符 MOV AL ,[ESP +18] ;---->由第三位以后的注册码计算出的值（第一个字符） ADD ESP ,0CCMP CL ,AL ;---->比较注册码的第一位 JZ 0047CB15POP EDI POP ESI XOR EAX ,EAX POP EBX ADD ESP ,0CRET MOV DL ,[ESI +01] ;---->取注册码的第二个字符 MOV CL ,[ESP +0D] ;---->由第三位以后的注册码计算出的值（第二个字符） XOR EAX ,EAX CMP DL ,CL ;---->比较注册码的第二位 POP EDI POP ESI SETZ AL POP EBX ADD ESP ,0CRET ;---->出#C01 CALL int ,char*,int )函数计算出的值16进制码的字符格式的前两位, 在这里为"5C" ; 注册码的第1、2位是由注册码第三位以后的字符用sub_0047CA10函数计算出的16进制码的字符格式的前两位,用"5C60443"计算的结果为"EF",所以在这时注册码应为"ef5c60443". "ef5c60443" ,提示需要重启EditPlus激活注册码,看来第一步验证通过了."Invalid registration code." ,看来其它的地方还有注册码的验证过程,好我们回到程序继续跟踪..."EF5C60443" .CALL 到...ADD ESP ,08 ;---->返回到这里 TEST EAX ,EAX ;----> JNZ 0047C961 ;---->跳转则第一步注册成功 PUSH FFPUSH 10PUSH 00005F81CALL 004C7E94 ;---->出错对话框, POP EDI POP ESI POP EBX ADD ESP ,00000230RET PUSH EDI ;---->注册码 PUSH EBX ;---->用户名 CALL 0047C3B0 ;#C02---->关于注册表的动作????,跟进去看看.. ADD ESP ,08TEST EAX ,EAX JNZ 0047C986 ;--->输入"ef5c60443"时,在这里我们跳转了.. PUSH FFPUSH EAX PUSH 00004E7FCALL 004C7E94 ;--->注册失败!! POP EDI POP ESI POP EBX ADD ESP ,00000230RET MOV ECX ,[ESI +000000D8]PUSH EBX ;---->用户名 CALL 004C0367 ;---->CString::= MOV ECX ,[ESI +000000DC]PUSH EDI ;---->注册码"EF5C60443" CALL 004C0367 ;---->CString::= MOV EAX ,[ESI +000000E4]MOV ECX ,ESI MOV DWORD PTR [EAX ],00000000CALL 004BF482 ;---->CDialog::0nOK(void) POP EDI POP ESI POP EBX ADD ESP ,00000230RET NOP SUB ESP ,000000E0PUSH EBX ;---->用户名(保护现场) PUSH EBP PUSH ESI MOV ESI ,[ESP +000000F0] ;---->让ESI指向用户名 PUSH EDI ;---->注册码(保护现场) MOV EDI ,[KERNEL32!lstrlen]PUSH ESI ;---->用户名入栈了 CALL EDI ;---->得到用户名长度 MOV EBX ,EAX MOV EAX ,[ESP +000000F8]PUSH EAX ;---->EAX指向注册码 CALL EDI ;---->注册码长度 LEA EBP ,[EBX +EAX +02] ;---->ebp = name_len+sn_len+2; MOV [ESP +14],EAX PUSH EBP CALL 004AD84D ;---->malloc(size_t)分配内存 MOV ECX ,EBX LEA EDI ,[EAX +01]MOV EDX ,ECX MOV [EAX ],BL ;---->把bl(用户名长度)存到新分配的空间中的第一个字节 SHR ECX ,02REPZ MOVSD ;---->把用户名存到分配的空间中 MOV ECX ,EDX MOV [ESP +1C],EAX AND ECX ,03REPZ MOVSB ;---->把用户名存到分配的空间中 MOV ECX ,[ESP +18] ;---->注册码长度 MOV ESI ,[ESP +000000FC] ;---->ESI指向注册码 MOV [EAX +EBX +01],CL ;---->把cl(注册码长度)存到分配的空间中 LEA EDI ,[EAX +EBX +02]MOV EAX ,ECX SHR ECX ,02REPZ MOVSD ;---->存注册码 MOV ECX ,EAX MOV EAX ,51EB851FIMUL EBP ;---->EDX:EAX=0x51eb851f * 0x12 = 5C28F5C2E AND ECX ,03REPZ MOVSB ;---->存注册码,此时内存中的数据为"\x07icytear\x09EF5C60443" SAR EDX ,05 ;---->移位操作 MOV ECX ,EDX SHR ECX ,1FADD EDX ,ECX LEA EDX ,[EBP +EDX +0C] ;---->计算要下一个操作要分配多少空间n PUSH EDX MOV [ESP +18],EDX ;---->把n存下来 CALL 004AD84D ;---->malloc(size_t)分配内存 MOV EDI ,[ESP +20] ;---->EDI指向"\x07icytear\x09EF5C60443" PUSH EBP LEA EDX ,[ESP +1C] ;---->EDX指向上次分配空间大小n MOV ESI ,EAX ;---->让ESI指向最近分配的内存空间 PUSH EDI ;---->EDI指向"\x07icytear\x09EF5C60443", PUSH EDX PUSH ESI MOV [ESP +38],ESI CALL 0049F820 ;#C1---->关键,计算出一段值(size:1E),要写入注册表License,在此处按F9下一个断点 ADD ESP ,18TEST EAX ,EAX JZ 0047C477 ;---->跳转到#J1 PUSH EDI CALL 004AD764 ;---->call???? PUSH ESI CALL 004AD764 ;---->call???? ADD ESP ,08XOR EAX ,EAX POP EDI POP ESI POP EBP POP EBX ADD ESP ,0E0RET MOV EAX ,[ESP +10] ;#J1----> ADD EAX ,08PUSH EAX MOV [ESP +18],EAX CALL 004AD84D ;---->malloc(size_t)分配内存 MOV ECX ,[0051A58] ;---->[0051A58]==DWORD 0x182989DB 定值 MOV EBX ,EAX MOV [EBX ],ECX ;---->write memory... MOV EDX ,[00518A58]PUSH EDX CALL 004AD987 ;---->void _cdecl srand(unsigned int) CALL 004AD994 ;---->int rand(void)产生一个伪随机数 ADD EAX ,EBP ;---->ebp == name_len+sn_len+2 MOV [EBX +04],AX ;---->write memory... to [ebx+4] MOV EAX ,[00518A58]INC EAX PUSH EAX CALL 004A987 ;---->srand ADD ESP ,0CCALL 004AD994 ;---->rand() 产生一个伪随机数 MOV ECX ,[ESP +10]LEA EDI ,[EBX +08]ADD EAX ,ECX MOV [EBX +06],AX ;---->write memory... to [ebx+6] = 0xb78188+6 MOV ECX ,[ESP +10]MOV EDX ,ECX SHR ECX ,02REPZ MOVSD MOV ECX ,EDX AND ECX ,03REPZ MOVSB Call ,也就是又写了一次注册表,好我们用D edi命令查看edi指向的内存为"\x07icytear\x090F5C60443" ,看到区别了吗,前面我们看到的是"\x07icytear\x09EF5C60443" ,看来是被程序修改了,用这个再一次计算出16进制代码写入注册表,重启editplus时和第一次写得当然就不一样了,看来程序是在这里做了手脚..CALL 0047C3B0)CALL 0047C3B0ADD ESP ,08 ;---->到这里 TEST EAX ,EAX JZ 0042E69A ;---->这里有个跳转,如果跳就不能执行CALL 0047C3B0了,按F9在这里下个断点(把其它得断点可以先禁掉),如果跳转我们就可以注册成功.. MOV EAX ,[ESI +B44]MOV DWORD PTR [ESP +10],08TEST EAX ,EAX JZ 0042E69AMOV EAX ,[ESI +0B30] ;---->D EAX,发现eax指向的还是"EF5C60443",由此判断可能是由于下面的代码改变了此字符串,我们保持此内存的窗口,继续往下执行 PUSH EDI LEA EDI ,[ESI +0B30]MOV AL ,[EAX ]CMP AL ,30JNZ 0042E67CPUSH 31JMP 0042E67EPUSH 30PUSH 00MOV ECX ,EDI CALL 004C069E ;#C03---->执行此调用后,"EF5C60443"被改为"0F5C60443",看来我们的判断是真确的. MOV EDI ,[EDI ]MOV EAX ,[ESI +B2C]PUSH EDI PUSH EAX CALL 0047C3B0EAX ,EAX 中的EAX从那来的,向上看到MOV EAX ,[ESI +B44],用D ESI +B44查看内存,显示如下MOV DWORD PTR [EAX ],0 ;---->这里改变内存,赋值0 CALL 004BF482 ;---->中断在此 MOV DWORD PTR [EAX ],0;把内存B7590C赋值0,我们要看看在那里把其改为1的,按F5执行程序,再次中断 MOV DWORD PTR [ECX ],01 ;---->改变内存,赋值1 LEA ECX ,[EDI +98] ;---->中断在此 MOV AL ,[EAX ,04] ;---->把第5位注册码存入AL MOV CL ,[ESP +10] ;---->那[esp+10]存的是什么呢?我们继续向上看程序 PUSH FFPUSH 004E6183MOV EAX ,FS :[00000000]PUSH EAX MOV FS :[0],ESP SUB ESP ,10PUSH EBP PUSH ESI PUSH EDI MOV EDI ,ECX MOV DWORD PTR [EDI ],004F41E0MOV EAX ,[EDI +D8]MOV DWORD PTR [ESP +24],01MOV EBP ,[EAX ] ;---->让EBP指向用户名"icytear" MOV ESI ,[EBP -08] ;---->ESI存用户名长度 TEST ESI ,ESI JLE 0047C71E ;---->跳过赋值1的那个指令 XOR EAX ,EAX MOV ECX ,01 ;---->ECX赋值1 TEST ESI ,ESI JLE 0047C6C5XOR EDX ,EDX ;#LOOP MOV DL ,[EBP +EAX ]ADD ECX ,EDX INC EAX CMP EAX ,ESI JL 0047C6B9 ;---->跳到#LOOP,用户名每一位的值相加再加1; LEA ECX ,[ECX *8+ECX +0A]MOV EAX ,55555556IMUL ECX MOV EAX ,EDX SHR EAX ,1FLEA ECX ,[EAX +EDX +24] AND ECX ,8000000FJNS 0047C6E6DEC ECX OR ECX ,-10INC ECX PUSH ECX LEA EDX ,[ESP +14]PUSH 0051700C ;---->"%1X" PUSH EDX CALL 004AEABC ;---->sprintf MOV EAX ,[EDI +DC]ADD ESP ,0CMOV EAX ,[EAX ] ;---->EAX指向注册码 CMP DWORD PTR [EAX -8],05 ;---->[EAX-8]存着注册码长度,也就是说注册码长度应该大于5 JL 0047C712MOV AL ,[EAX ,04] ;---->注册码第5位 MOV CL ,[ESP +10] ;---->很显然是我们用用户名算出的那个值 CMP AL ,CL ;---->验证第5位注册码,在这里我们计算出的是'D' JZ 0047C71E ;---->第二次验证通过则注册成功..^_^,胜利!! MOV ECX ,[EDI +E4]MOV DWORD PTR [ECX ],01'icytear' 计算出的值是'D' 所以我的第5位注册码应为'D' ,前2位应用'5CD0443' 由sub_0047CA10重新计算为'E4' ,重新输入注册码'E45CD0443' ,哈哈,注册成功!!注册机
[招生]科锐逆向工程师培训(2024年11月15日实地，远程教学同时开班, 第51期)
