[反汇编练习] 160个CrackMe之007.
本系列文章的目的是从一个没有任何经验的新手的角度(其实就是我自己)，一步步尝试将160个CrackMe全部破解，如果可以，通过任何方式写出一个类似于注册机的东西。
其中，文章中按照如下逻辑编排（解决如下问题）：
1、使用什么环境和工具
2、程序分析
3、思路分析和破解流程
4、注册机的探索
----------------------------------
提醒各位看客: 如果文章中的逻辑看不明白,那你一定是没有亲手操刀!OD中的跳转提示很强大,只要你跟踪了,不用怎么看代码就理解了!
----------------------------------
1、工具和环境：
WinXP SP3 + 52Pojie六周年纪念版OD + PEID + 汇编金手指。
160个CrackMe的打包文件。
下载地址： http://pan.baidu.com/s/1xUWOY 密码: jbnq
注：
1、Win7系统对于模块和程序开启了随机初始地址的功能，会给分析带来很大的负担，所以不建议使用Win7进行分析。
2、以上工具都是在52PoJie论坛下的原版程序，NOD32不报毒，个人承诺绝对不会进行任何和木马病毒相关内容。
2、程序分析：
想要破解一个程序，必须先了解这个程序。所以，在破解过程中，对最初程序的分析很重要，他可以帮助我们理解作者的目的和意图，特别是对于注册码的处理细节，从而方便我们反向跟踪和推导。
和上一节一样，打开CHM，选择第7个aLoNg3x.2，保存下来。运行程序，程序界面如下：
使用PEID查一下，Delphi 4.0 - 5.0。点一下About-Help，看完之后和上一个要求一样。不用想了，直接上IDR分析。
3、思路分析和破解流程
IDR打开后如图：
我们先看一下窗口信息(F5)：
我们发现，除了第一个register按钮之后，还有一个again按钮。看来这个程序意思很明确点击完Reg之后还需要通过again按钮的验证。我们在树列表中查看下按钮对应事件的关系。
首先，分析Register的事件：
双击IDR最下面的列表中的RegisterClick.event,右上角会显示对应的反汇编。
根据上一个程序的经验，大概地分析一下：
Delphi字符串函数反汇编参考：http://www.cnblogs.com/bbdxf/p/3787684.html
_CrackMe200::TPrincipale.RegisterzClick
00442F28 push ebp
00442F29 mov ebp,esp
00442F2B add esp,0FFFFFFF8
00442F2E push ebx
00442F2F push esi
00442F30 xor ecx,ecx
00442F32 mov dword ptr [ebp-8],ecx
00442F35 mov ebx,eax
00442F37 xor eax,eax
00442F39 push ebp
00442F3A push 443022
00442F3F push dword ptr fs:[eax]
00442F42 mov dword ptr fs:[eax],esp
00442F45 lea edx,[ebp-8]
00442F48 mov eax,dword ptr [ebx+2DC]; TPrincipale.Codice:TEdit
00442F4E call TControl.GetText
00442F53 mov eax,dword ptr [ebp-8]
00442F56 lea edx,[ebp-4]
00442F59 call @ValLong
00442F5E mov esi,eax
00442F60 cmp dword ptr [ebp-4],0
>00442F64 je 00442F9D
00442F66 mov eax,443038; 'You MUST insert a valid Long Integer Value in the Code Editor... Thank you :)'
00442F6B call ShowMessage
00442F70 lea edx,[ebp-8]
00442F73 mov eax,dword ptr [ebx+2DC]; TPrincipale.Codice:TEdit
00442F79 call TControl.GetText
00442F7E mov eax,dword ptr [ebp-8]
00442F81 call 00442A8C
00442F86 mov [00445830],eax; gvar_00445830
00442F8B mov edx,443090; '0'
00442F90 mov eax,dword ptr [ebx+2DC]; TPrincipale.Codice:TEdit
00442F96 call TControl.SetText
>00442F9B jmp 0044300C
00442F9D test esi,esi
>00442F9F jle 00442FFB
00442FA1 lea edx,[ebp-8]
00442FA4 mov eax,dword ptr [ebx+2D8]; TPrincipale.Nome:TEdit
00442FAA call TControl.GetText
00442FAF mov ecx,dword ptr [ebp-8]
00442FB2 mov edx,esi
00442FB4 mov eax,[00445830]; 0x0 gvar_00445830
00442FB9 call 004429A8 ; // 关键CALL
00442FBE test al,al
>00442FC0 je 00442FF2 ; // 关键跳转
00442FC2 xor edx,edx ;// 将注册按钮隐藏，然后显示出来那个again按钮
00442FC4 mov eax,dword ptr [ebx+2CC]; TPrincipale.Registerz:TButton
00442FCA call TControl.SetVisible
00442FCF mov dl,1
00442FD1 mov eax,dword ptr [ebx+2E8]; TPrincipale.Again:TButton
00442FD7 call TControl.SetVisible
00442FDC xor edx,edx
00442FDE mov eax,dword ptr [ebx+2D8]; TPrincipale.Nome:TEdit
00442FE4 mov ecx,dword ptr [eax]
00442FE6 call dword ptr [ecx+60]; TControl.SetEnabled
00442FE9 xor eax,eax
00442FEB mov [00445830],eax; gvar_00445830
>00442FF0 jmp 0044300C
00442FF2 xor eax,eax
00442FF4 mov [00445830],eax; gvar_00445830
>00442FF9 jmp 0044300C
00442FFB mov eax,44309C; 'Please... The Code Must be > 0'
00443000 call ShowMessage
00443005 xor eax,eax
00443007 mov [00445830],eax; gvar_00445830
0044300C xor eax,eax
0044300E pop edx
0044300F pop ecx
00443010 pop ecx
00443011 mov dword ptr fs:[eax],edx
00443014 push 443029
00443019 lea eax,[ebp-8]
0044301C call @LStrClr
00443021 ret
<00443022 jmp @HandleFinally
<00443027 jmp 00443019
00443029 pop esi
0044302A pop ebx
0044302B pop ecx
0044302C pop ecx
0044302D pop ebp
0044302E ret
根据函数的名称，我们很容易分析出了关键Call 004429A8, 在CALL下面的JE就是爆破的关键跳转。
将exe程序拖到OD中打开，根据IDR中的地址，转到(Ctrl+G)开头地址：00442F28。在程序中输入伪码，参照IDR中的汇编，修改关键的跳转JE 00442FF2，选中JE->右键->Binary->Fill with NOPs。在程序中随意输入，点击Register按钮，发现注册按钮不见了，again按钮出来了。
我们继续在IDR中找到againClick.event，双击进去，继续分析一下：
_CrackMe200::TPrincipale.AgainClick
004430BC push ebp
004430BD mov ebp,esp
004430BF push 0
004430C1 push 0
004430C3 push 0
004430C5 push ebx
004430C6 push esi
004430C7 mov ebx,eax
004430C9 xor eax,eax
004430CB push ebp
004430CC push 44322D
004430D1 push dword ptr fs:[eax]
004430D4 mov dword ptr fs:[eax],esp
004430D7 lea edx,[ebp-0C]
004430DA mov eax,dword ptr [ebx+2DC]; TPrincipale.Codice:TEdit
004430E0 call TControl.GetText
004430E5 mov eax,dword ptr [ebp-0C]
004430E8 lea edx,[ebp-4]
004430EB call @ValLong
004430F0 mov esi,eax
004430F2 cmp dword ptr [ebp-4],0
>004430F6 je 00443132
004430F8 mov eax,443244; 'You MUST insert a valid Long Integer Value in the Code Editor... Thank you :)'
004430FD call ShowMessage
00443102 lea edx,[ebp-0C]
00443105 mov eax,dword ptr [ebx+2DC]; TPrincipale.Codice:TEdit
0044310B call TControl.GetText
00443110 mov eax,dword ptr [ebp-0C]
00443113 call 00442A8C
00443118 mov [00445830],eax; gvar_00445830
0044311D mov edx,44329C; '0'
00443122 mov eax,dword ptr [ebx+2DC]; TPrincipale.Codice:TEdit
00443128 call TControl.SetText
>0044312D jmp 0044320F
00443132 test esi,esi
>00443134 jle 004431FE
0044313A lea edx,[ebp-0C]
0044313D mov eax,dword ptr [ebx+2D8]; TPrincipale.Nome:TEdit
00443143 call TControl.GetText
00443148 mov ecx,dword ptr [ebp-0C]
0044314B mov edx,esi
0044314D mov eax,[00445830]; 0x0 gvar_00445830
00443152 call 004429A8
00443157 test al,al
>00443159 je 004431CE
0044315B xor edx,edx
0044315D mov eax,dword ptr [ebx+2E8]; TPrincipale.Again:TButton
00443163 call TControl.SetVisible
00443168 lea edx,[ebp-8]
0044316B mov eax,[0044582C]; 0x0 gvar_0044582C:TPrincipale
00443170 call TControl.GetText
00443175 lea eax,[ebp-8]
00443178 call UniqueString
0044317D mov byte ptr [eax+5],65
00443181 lea eax,[ebp-8]
00443184 call UniqueString
00443189 mov byte ptr [eax+6],64
0044318D lea eax,[ebp-8]
00443190 mov ecx,13
00443195 mov edx,0C
0044319A call @LStrDelete
0044319F lea edx,[ebp-0C]
004431A2 mov eax,dword ptr [ebx+2D8]; TPrincipale.Nome:TEdit
004431A8 call TControl.GetText
004431AD mov edx,dword ptr [ebp-0C]
004431B0 lea eax,[ebp-8]
004431B3 call @LStrCat
004431B8 mov edx,dword ptr [ebp-8]
004431BB mov eax,[0044582C]; 0x0 gvar_0044582C:TPrincipale
004431C0 call TControl.SetText
004431C5 xor eax,eax
004431C7 mov [00445830],eax; gvar_00445830
>004431CC jmp 0044320F
004431CE xor eax,eax
004431D0 mov [00445830],eax; gvar_00445830
004431D5 xor edx,edx
004431D7 mov eax,dword ptr [ebx+2E8]; TPrincipale.Again:TButton
004431DD call TControl.SetVisible
004431E2 mov dl,1
004431E4 mov eax,dword ptr [ebx+2CC]; TPrincipale.Registerz:TButton
004431EA call TControl.SetVisible
004431EF mov dl,1
004431F1 mov eax,dword ptr [ebx+2D8]; TPrincipale.Nome:TEdit
004431F7 mov ecx,dword ptr [eax]
004431F9 call dword ptr [ecx+60]; TControl.SetEnabled
>004431FC jmp 0044320F
004431FE mov eax,4432A8; 'Please... The Code Must be > 0'
00443203 call ShowMessage
00443208 xor eax,eax
0044320A mov [00445830],eax; gvar_00445830
0044320F xor eax,eax
00443211 pop edx
00443212 pop ecx
00443213 pop ecx
00443214 mov dword ptr fs:[eax],edx
00443217 push 443234
0044321C lea eax,[ebp-0C]
0044321F call @LStrClr
00443224 lea eax,[ebp-8]
00443227 call @LStrClr
0044322C ret
<0044322D jmp @HandleFinally
<00443232 jmp 0044321C
00443234 pop esi
00443235 pop ebx
00443236 mov esp,ebp
00443238 pop ebp
00443239 ret
大概地一看，是不是发现他们的逻辑基本和Register的差不多？关键Call也一样。没关系，我们继续在JE 004431CE右键，Binary->Fill with NOPs。这时，回到程序，继续点击Again,是不是两个按钮都被隐藏了？！！哈哈哈！
(多试几次，会发现第一个编辑框还是有字数限制的，需要大于4个)
小结：两个按钮调用了相同的关键CALL，即使用了同一个算法函数对注册码进行验证，这要爆破这一个函数或它的跳转就行。
4、注册机尝试
由于两个按钮的关键Call一样，所以这个算法就很省事了，直接在 OD中跳转到CALL 004429A8的地方，F8单步分析。
慢着，是不是很多CALL还不知道什么意思？是啊，先用IDR看一下嘛！
在IDR中也是用Ctrl+G,输入地址 004429A8，确定：
_CrackMe200::sub_004429A8
004429A8 push ebp
004429A9 mov ebp,esp
004429AB add esp,0FFFFFFF4
004429AE push ebx
004429AF push esi
004429B0 push edi
004429B1 mov dword ptr [ebp-8],ecx
004429B4 mov dword ptr [ebp-4],edx
004429B7 mov edi,eax
004429B9 mov eax,dword ptr [ebp-8]
004429BC call @LStrAddRef
004429C1 xor eax,eax
004429C3 push ebp
004429C4 push 442A7A
004429C9 push dword ptr fs:[eax]
004429CC mov dword ptr fs:[eax],esp
004429CF mov eax,dword ptr [ebp-8]
004429D2 call @LStrLen
004429D7 cmp eax,4
>004429DA jle 00442A62
004429E0 xor ebx,ebx
004429E2 mov eax,dword ptr [ebp-8]
004429E5 call @LStrLen
004429EA test eax,eax
>004429EC jle 00442A26
004429EE mov dword ptr [ebp-0C],eax
004429F1 mov esi,1
004429F6 mov eax,dword ptr [ebp-8]
004429F9 call @LStrLen
004429FE cmp eax,1
>00442A01 jl 00442A20
00442A03 mov edx,dword ptr [ebp-8]
00442A06 movzx edx,byte ptr [edx+esi-1]
00442A0B mov ecx,dword ptr [ebp-8]
00442A0E movzx ecx,byte ptr [ecx+eax-1]
00442A13 imul edx,ecx
00442A16 imul edx,edi
00442A19 add ebx,edx
00442A1B dec eax
00442A1C test eax,eax
<00442A1E jne 00442A03
00442A20 inc esi
00442A21 dec dword ptr [ebp-0C]
<00442A24 jne 004429F6
00442A26 mov eax,ebx
00442A28 cdq
00442A29 xor eax,edx
00442A2B sub eax,edx
00442A2D mov ecx,0A2C2A
00442A32 cdq
00442A33 idiv eax,ecx
00442A35 mov ebx,edx
00442A37 mov eax,dword ptr [ebp-4]
00442A3A mov ecx,59
00442A3F cdq
00442A40 idiv eax,ecx
00442A42 mov ecx,eax
00442A44 mov eax,dword ptr [ebp-4]
00442A47 mov esi,50
00442A4C cdq
00442A4D idiv eax,esi
00442A4F add ecx,edx
00442A51 inc ecx
00442A52 mov dword ptr [ebp-4],ecx
00442A55 cmp ebx,dword ptr [ebp-4]
>00442A58 jne 00442A5E
00442A5A mov bl,1
>00442A5C jmp 00442A64
00442A5E xor ebx,ebx
>00442A60 jmp 00442A64
00442A62 xor ebx,ebx
00442A64 xor eax,eax
00442A66 pop edx
00442A67 pop ecx
00442A68 pop ecx
00442A69 mov dword ptr fs:[eax],edx
00442A6C push 442A81
00442A71 lea eax,[ebp-8]
00442A74 call @LStrClr
00442A79 ret
<00442A7A jmp @HandleFinally
<00442A7F jmp 00442A71
00442A81 mov eax,ebx
00442A83 pop edi
00442A84 pop esi
00442A85 pop ebx
00442A86 mov esp,ebp
00442A88 pop ebp
00442A89 ret
然后在OD中F8单步调试详细分析：
004429A8 /$ 55 push ebp ; // reg和again 关键Call
004429A9 |. 8BEC mov ebp,esp
004429AB |. 83C4 F4 add esp,-0xC
004429AE |. 53 push ebx
004429AF |. 56 push esi
004429B0 |. 57 push edi
004429B1 |. 894D F8 mov [local.2],ecx
004429B4 |. 8955 FC mov [local.1],edx ; // edx=123321转整数
004429B7 |. 8BF8 mov edi,eax ; // edi=eax=0
004429B9 |. 8B45 F8 mov eax,[local.2]
004429BC |. E8 2712FCFF call 00403BE8 ; LStrAddRef
004429C1 |. 33C0 xor eax,eax
004429C3 |. 55 push ebp
004429C4 |. 68 7A2A4400 push 00442A7A
004429C9 |. 64:FF30 push dword ptr fs:[eax]
004429CC |. 64:8920 mov dword ptr fs:[eax],esp
004429CF |. 8B45 F8 mov eax,[local.2] ; bbdxf
004429D2 |. E8 5D10FCFF call 00403A34 ; @LStrLen
004429D7 |. 83F8 04 cmp eax,0x4
004429DA |. 0F8E 82000000 jle 00442A62 ; 必须 > 4
004429E0 |. 33DB xor ebx,ebx ; // ebx=0
004429E2 |. 8B45 F8 mov eax,[local.2]
004429E5 |. E8 4A10FCFF call 00403A34 ; @LStrLen
004429EA |. 85C0 test eax,eax
004429EC |. 7E 38 jle short 00442A26
004429EE |. 8945 F4 mov [local.3],eax
004429F1 |. BE 01000000 mov esi,0x1
004429F6 |> 8B45 F8 /mov eax,[local.2]
004429F9 |. E8 3610FCFF |call 00403A34 ; @LStrLen
004429FE |. 83F8 01 |cmp eax,0x1
00442A01 |. 7C 1D |jl short 00442A20
00442A03 |> 8B55 F8 |/mov edx,[local.2]
00442A06 |. 0FB65432 FF ||movzx edx,byte ptr ds:[edx+esi-0x1] ; // 从第一个字符开始
00442A0B |. 8B4D F8 ||mov ecx,[local.2]
00442A0E |. 0FB64C01 FF ||movzx ecx,byte ptr ds:[ecx+eax-0x1] ; // 最后一个字符
00442A13 |. 0FAFD1 ||imul edx,ecx ; // 第一个字符乘上最后一个--
00442A16 |. 0FAFD7 ||imul edx,edi ; // edi=0, 所以结果一直为0
00442A19 |. 03DA ||add ebx,edx ; // ebx=0, 所以结果一直为0
00442A1B |. 48 ||dec eax ; // len--
00442A1C |. 85C0 ||test eax,eax
00442A1E |.^ 75 E3 |\jnz short 00442A03
00442A20 |> 46 |inc esi
00442A21 |. FF4D F4 |dec [local.3] ; // len--
00442A24 |.^ 75 D0 \jnz short 004429F6 ; // 整个循环结束，edx=0,ebx=0
00442A26 |> 8BC3 mov eax,ebx
00442A28 |. 99 cdq
00442A29 |. 33C2 xor eax,edx ; // eax=0,edx=0
00442A2B |. 2BC2 sub eax,edx
00442A2D |. B9 2A2C0A00 mov ecx,0xA2C2A
00442A32 |. 99 cdq
00442A33 |. F7F9 idiv ecx ; // eax/ecx
00442A35 |. 8BDA mov ebx,edx ; // 这里以上的计算结果都一定是0
00442A37 |. 8B45 FC mov eax,[local.1] ; // 序列号转整数，从这里开始才是有意义的计算
00442A3A |. B9 59000000 mov ecx,0x59
00442A3F |. 99 cdq ; // edx=0
00442A40 |. F7F9 idiv ecx ; // eax=eax/0x59
00442A42 |. 8BC8 mov ecx,eax ; // 存储结果到ecx
00442A44 |. 8B45 FC mov eax,[local.1]
00442A47 |. BE 50000000 mov esi,0x50
00442A4C |. 99 cdq
00442A4D |. F7FE idiv esi ; // eax=eax/0x50, edx=eax % 0x50
00442A4F |. 03CA add ecx,edx ; // ecx=ecx+edx
00442A51 |. 41 inc ecx ; // ecx++
00442A52 |. 894D FC mov [local.1],ecx
00442A55 |. 3B5D FC cmp ebx,[local.1]
00442A58 |. 75 04 jnz short 00442A5E ; // ebx等于返回值，应该为1
00442A5A |. B3 01 mov bl,0x1
00442A5C |. EB 06 jmp short 00442A64
00442A5E |> 33DB xor ebx,ebx
00442A60 |. EB 02 jmp short 00442A64
00442A62 |> 33DB xor ebx,ebx
00442A64 |> 33C0 xor eax,eax ; // 都调到这里
00442A66 |. 5A pop edx
00442A67 |. 59 pop ecx
00442A68 |. 59 pop ecx
00442A69 |. 64:8910 mov dword ptr fs:[eax],edx
00442A6C |. 68 812A4400 push 00442A81
00442A71 |> 8D45 F8 lea eax,[local.2]
00442A74 |. E8 3F0DFCFF call 004037B8 ; @LStrClr
00442A79 \. C3 retn
00442A7A .^ E9 F907FCFF jmp 00403278
00442A7F .^ EB F0 jmp short 00442A71
00442A81 . 8BC3 mov eax,ebx ; // 返回到这里
00442A83 . 5F pop edi
00442A84 . 5E pop esi
00442A85 . 5B pop ebx
00442A86 . 8BE5 mov esp,ebp
00442A88 . 5D pop ebp
00442A89 . C3 retn
请详细看上面的汇编代码的注释：在地址00442A35以上部分的代码最终的结果一直为0，这个地址下面的代码才真正的有实际意义。
其中，有意义这一块的C/CPP代码大概如下：
int nCode=123321; // 用户输入的注册码，必须是4位以上，转换为整数
int n1 = nCode/0x59;
int n2 = nCode%0x50;
if( n1+n2+1 == 0 )
{
// 第一次隐藏Register按钮，显示again按钮，第二次隐藏again按钮
}else{
//显示register按钮，隐藏again按钮
}
为什么我没有写出一个注册机呢？
算法原理大概是一个数除以0x59的结果加上它对于0x50取模，然后结果加上1等于0。不加1还好理解，加上1就顿时感觉蛋疼了，我实在无法找到这样一个数。(当然也不排除我理解错了，求大牛指导！！)
007结束。
-----------
PS: 有人说，帖子内容很难看懂，问我能否做成视频？
我想说：
首先，我的贴子都是按照我分析的流程写的，相关的工具、参考资料、代码分析、关键算法分析流程 全部都已经很详细地写下来了。只要你拿着OD和有限的几个工具，除非你真的连F7、F8分析代码都不会，否则对照我的文章肯定能看到一些有价值的东西，至少我是这么认为的。
其次，【无论多么简单的事情，想要做好，都是不容易的！】经常混论坛的都知道，爆破虽易，算法不易！确实自己水平有限，无法做到举重若轻，几分钟分析出一个算法。这种水平我真达不到！此系列文章的重头戏不在于爆破，而在于算法部分。每天破解的80%以上的时间都是在分析算法的部分，还有10%是用来整理排版帖子，虽然做的不是很好，但我问心无愧地做到了自己的承诺，尽自己所能。帖子尚且不易，视频何其远乎！我只能说声抱歉了！
最后，谢谢大家的捧场！
BY 笨笨D幸福