我的破解心得(4) (13千字)
版权说明：本文作者为Chcw, 未经作者同意，不得转载此文。破解程序:
IrfanView32
破解工具:
Extract 1.0
Sourcer 7.0
Visual C++ 5.0
在我的破解心得(3)中，我们采用手工调试的方法获得了Name="chcw"时对应的注册码
Code="283226906"。更进一步，我们希望能够编写一个注册码生成器，使得对应于不同的
用户姓名，可以生成相应的正确注册码。我们知道，不少程序的注册检验函数都可以表示
为以下的流程：
user_name = get_username() /* 获取用户输入的姓名 */
user_regcode = get_userregcode() /* 获取用户输入的注册码 */
regcode = compute_regcode(user_name) /* 对用户姓名做复杂的计算，得到一个合法的
注册码 */
if (!isequal(usr_regcode, regcode)) /* 将上述合法的注册码与用户输入的注册码比较，
register_error() 若不相同则认为注册非法 */
通常，如果我们要实现一个注册码生成器，必须了解整个注册检验过程中compute_regcode()
部分的工作机制，然后用编码实现与之相类似的效果。显然，这种方法费时费力，而且只对
当前所破解的软件有效，意义不大。
其实，我们完全可以不必了解compute_regcode()的内部机制，只需要直接将应用程序中
compute_regcode部分反汇编拷贝到注册码生成器中，然后重新编译即可。这种方法不仅减少
了编写注册机的工作量，而且由于这部分代码是源于应用程序的，因此一般不会出错。
仍以IrfanView32为例，在破解心得(3)中，我们已经知道函数00401000子程序是注册检验
函数，该函数在00401275处的ds:edx是指向合法注册码的一个指针。显然在从程序入口到
00401275处是生成注册码的部分。下面我们将把它反编译并加入到我们的注册机中：
1.IrfanView32的程序文件I_View32.exe很大，无法直接用Sourcer进行反汇编，因此需要先用
一个叫Extract的工具对它进行处理。Extract是"Undocumented Windows"一书所附带的一个
程序，其功能是将二进制程序的一部分截取出来。
由于我们所要返汇编的函数为00401000，用W32Dasm可以得到它在执行程序I_view32.exe
中的偏移地址为0x400，函数00401000同时还调用了0046C700等子函数，我们就大致取截取
长度为0x70000，使之能将函数00401000和0046C700同时包含进来。
输入命令 Extract I_view32.exe 0x400 0x70000 Tmp.bin 将生成一个二进制文件Tmp.bin。
2.用Sourcer打开Tmp.bin, 将反汇编的File Format设置为.asm文件，将编译的平台设置为
386 Protected，并在Analysis Option中打开Default to USE32选项。设置完所有参数后，
按'G'，反汇编Tmp.bin，生成Tmp.asm文件。
3.在Visual C++中建立一个工程，类型为Win32 Console Application，并在工程中添加一个KeyMaker.C
的源程序文件。
4.在KeyMaker.C文件中构造一个新函数makekey()，打开文件Tmp.asm，将函数00401000（以
start::为启始标志）中的语句复制到makekey()函数中，并加上__asm外套，如下所示：
__declspec(naked) void makekey()
{
__asm {
mov eax,dword ptr [esp+8] ; 函数00401000的第一条语句
...
retn ; 函数00401000的返回语句
}
}
其中__declspec(naked)是用来去除MakeKey()函数的标准堆栈框的。
5.在函数00401000中还调用了其他几个函数, 其中call sub_763就是对函数0045F770的调用，在破解心
得(3)中我们已经知道，在00401000函数中对0045F770函数的两处调用并没有什么意义。因此可以直接
将其该改为nop语句（这里必须保证堆栈的正确性）, 如下所示：
call sub_763 改为-> nop
... ...
call sub_999 call sub_999
... ...
call sub_763 改为-> nop
6.接下来，我们需要处理sub_999函数，在KeyMaker.C文件中构造一个新函数func1()，将函数sub_999的语
句复制到func1()内，并将makekey()中对sub_999的调用作相应的改动:
__declspec(naked) void func1()
{
__asm {
mov ecx,dword ptr [esp+0Ch] ; 函数sub_999的第一条语句
...
retn ; 函数sub_999的返回语句
}
}
__declspec(naked) void makekey()
{
__asm {
...
call func1() ; 函数MakeKey()中对函数sub_999的调用语句
...
}
}
7.同理也可以对func1()函数中进一步调用的其他函数作相应的处理。
8.到现在为止，我们已经将IrfanView32中的注册码生成部分复制到makekey()函数中了，接下来我们
需要考虑makekey()函数的环境处理，即正确的输入和输出。从上一节我们知道，makekey()函数的
输入参数是用户输入的注册码和注册名，因此在调用该函数之前，应该在栈中压入正确的参数：
char usrcode[32]="9530109";
char name[32]="chcw";
__asm {
lea eax,dword ptr usrcode
push eax ; 将用户输入的注册码字符串地址压栈
lea eax,dword ptr name
push eax ; 将用户输入的姓名字符串的地址压栈
call makekey() ; 调用函数makekey()
add esp, 8h
}
当然，在调用完makekey()之后，应当调整堆栈指针。
9.makekey()函数的输出应该是正确的注册码，在上文中，我们已经说过，在:00401275处执行push edx
语句时的ds:edx指向正确注册码的地址。由于这个注册码是在堆栈中生成的，在调用完函数makekey()
并退栈之后将不复存在, 因此为了使主程序能够得到完整的注册码，必须将其保存下来:
我们首先声明一个全局变量regcode, 用它来保存注册码的值：
char regcode[256];
然后，在00401275处的语句之后加上一端代码，将ds:edx所指的注册码复制到regcode中：
push edx ; 原字符串地址压栈
lea eax, dword ptr regcode
push eax ; 目标字符串regcode地址压栈
call strcpy ; 调用strcpy函数进行复制
add esp,8 ; 调整栈指针
通过这种方法，我们就成功的将00401000函数(makekey()函数)生成的临时注册码保存在regcode
中了。
9.最后，我们可以在调用00401000函数(makekey()函数)的主程序main()中加上一些输入输出语句，使程
序更为完善。
附：IrfanView32的注册码生成器KeyMaker.C
-------------------------- KeyMaker.C ----------------------------------
#include <string.h>
#include <stdio.h>
char regcode[256]="";
__declspec(naked) void func2()
{
__asm {
mov eax,dword ptr [esp+10h]
push ebx
push ebp
push esi
mov esi,dword ptr [esp+14h]
push edi
test eax,eax
jz short loc_9308 ; Jump if zero
mov edi,dword ptr [esp+14h]
mov byte ptr [esi],2Dh ; '-'
inc esi
neg edi
jmp short loc_9309
loc_9308:
mov edi,dword ptr [esp+14h]
loc_9309:
mov ebp,dword ptr [esp+1Ch]
mov ebx,esi
loc_9310:
mov eax,edi
xor edx,edx ; Zero register
div ebp ; ax,dx rem=dx:ax/reg
mov eax,edi
mov ecx,edx
xor edx,edx ; Zero register
div ebp ; ax,dx rem=dx:ax/reg
cmp ecx,9
mov edi,eax
jbe short loc_9311 ; Jump if below or =
add cl,57h ; 'W'
jmp short loc_9312
loc_9311:
add cl,30h ; '0'
loc_9312:
mov [esi],cl
inc esi
test edi,edi
ja loc_9310 ; Jump if above
mov byte ptr [esi],0
dec esi
loc_9313:
mov cl,[ebx]
mov al,[esi]
mov [esi],cl
mov [ebx],al
dec esi
inc ebx
cmp ebx,esi
jb loc_9313 ; Jump if below
pop edi
pop esi
pop ebp
pop ebx
retn
}
}
__declspec(naked) void func1()
{
__asm {
mov ecx,dword ptr [esp+0Ch]
mov edx,dword ptr [esp+4]
cmp ecx,0Ah
push esi
jnz short loc_9314 ; Jump if not zero
test edx,edx
jge short loc_9314 ; Jump if > or =
mov esi,dword ptr [esp+0Ch]
mov eax,1
push eax
push ecx
push esi
push edx
call func2
add esp,10h
mov eax,esi
pop esi
retn
loc_9314:
mov esi,dword ptr [esp+0Ch]
xor eax,eax ; Zero register
push eax
push ecx
push esi
push edx
call func2
add esp,10h
mov eax,esi
pop esi
retn
}
}
__declspec(naked) void makekey()
{
__asm {
mov eax,dword ptr [esp+8]
sub esp,14h
push ebx
push ebp
push esi
push edi
push eax
xor ebx,ebx ; Zero register
nop
mov esi,dword ptr [esp+2Ch]
mov ebp,eax
mov edi,esi
or ecx,0FFFFFFFFh
xor eax,eax ; Zero register
add esp,4
xor edx,edx ; Zero register
repne scasb ; Rep zf=0+cx >0 Scan es:[di] for al
not ecx
dec ecx
test ecx,ecx
jle short loc_4 ; Jump if < or =
loc_3:
movsx ecx,byte ptr [edx][esi] ; Mov w/sign extend
add ebx,ecx
mov edi,esi
or ecx,0FFFFFFFFh
xor eax,eax ; Zero register
inc edx
repne scasb ; Rep zf=0+cx >0 Scan es:[di] for al
not ecx
dec ecx
cmp edx,ecx
jl loc_3 ; Jump if <
loc_4:
mov eax,104h
push dword ptr 0Ah
sub eax,ebx
cdq ; dword to quad word
xor eax,edx
sub eax,edx
add eax,14Ch
mov edx,eax
shl edx,3 ; Shift w/zeros fill
sub edx,eax
lea ecx,[eax][edx*4] ; Load effective addr
lea edx,dword ptr [esp+14h] ; Load effective addr
push edx
lea esi,[eax][ecx*2] ; Load effective addr
shl esi,3 ; Shift w/zeros fill
push esi
call func1
add esp,0Ch
cmp esi,0F423Fh
ja loc_5 ; Jump if above
mov cl,byte ptr [esp+14h]
mov al,byte ptr [esp+15h]
mov dl,byte ptr [esp+13h]
mov byte ptr [esp+16h],cl
mov cl,byte ptr [esp+11h]
mov byte ptr [esp+18h],al
mov al,byte ptr [esp+12h]
mov byte ptr [esp+12h],cl
mov ecx,dword ptr [esp+18h]
mov byte ptr [esp+13h],al
and ecx,0FFh
mov byte ptr [esp+15h],dl
mov edx,dword ptr [esp+14h]
lea eax,[ecx][ecx*4] ; Load effective addr
and edx,0FFh
shl eax,3 ; Shift w/zeros fill
sub eax,ecx
mov ecx,edx
shl ecx,5 ; Shift w/zeros fill
sub ecx,edx
lea edx,[ecx][ecx*2] ; Load effective addr
sub eax,edx
cdq ; dword to quad word
mov ecx,eax
xor ecx,edx
sub ecx,edx
lea eax,[ecx][ecx*4] ; Load effective addr
shl eax,3 ; Shift w/zeros fill
sub eax,ecx
mov ecx,9
cdq ; dword to quad word
idiv ecx ; ax,dx rem=dx:ax/reg
mov eax,dword ptr [esp+13h]
and eax,0FFh
add edx,30h
mov byte ptr [esp+17h],dl
lea edx,[eax][eax*2] ; Load effective addr
shl edx,4 ; Shift w/zeros fill
sub edx,eax
mov eax,dword ptr [esp+15h]
and eax,0FFh
lea ecx,[eax][eax*8] ; Load effective addr
lea eax,[eax][ecx*4] ; Load effective addr
lea eax,[edx][eax*2] ; Load effective addr
cdq ; dword to quad word
xor eax,edx
sub eax,edx
lea ecx,[eax][eax*8] ; Load effective addr
lea eax,[eax][ecx*4] ; Load effective addr
mov ecx,9
shl eax,1 ; Shift w/zeros fill
cdq ; dword to quad word
idiv ecx ; ax,dx rem=dx:ax/reg
mov ecx,dword ptr [esp+10h]
and ecx,0FFh
lea eax,[ecx][ecx*2] ; Load effective addr
lea eax,[eax][eax*8] ; Load effective addr
shl eax,1 ; Shift w/zeros fill
sub eax,ecx
add edx,30h
mov byte ptr [esp+14h],dl
mov edx,dword ptr [esp+11h]
and edx,0FFh
mov ecx,edx
shl ecx,3 ; Shift w/zeros fill
sub ecx,edx
lea edx,[ecx][ecx*4] ; Load effective addr
sub eax,edx
cdq ; dword to quad word
mov ecx,eax
xor ecx,edx
sub ecx,edx
lea eax,[ecx][ecx*2] ; Load effective addr
lea eax,[eax][eax*8] ; Load effective addr
shl eax,1 ; Shift w/zeros fill
sub eax,ecx
jmp loc_6
loc_5:
mov al,byte ptr [esp+15h]
mov dl,byte ptr [esp+16h]
mov cl,byte ptr [esp+14h]
mov byte ptr [esp+16h],al
mov al,byte ptr [esp+11h]
mov byte ptr [esp+18h],dl
mov dl,byte ptr [esp+12h]
mov byte ptr [esp+15h],cl
mov ecx,dword ptr [esp+16h]
mov byte ptr [esp+12h],al
mov eax,dword ptr [esp+18h]
and ecx,0FFh
and eax,0FFh
mov byte ptr [esp+13h],dl
mov edx,ecx
lea eax,[eax][eax*8] ; Load effective addr
shl edx,6 ; Shift w/zeros fill
shl eax,2 ; Shift w/zeros fill
sub edx,ecx
mov ecx,9
sub eax,edx
cdq ; dword to quad word
xor eax,edx
sub eax,edx
lea eax,[eax][eax*8] ; Load effective addr
shl eax,2 ; Shift w/zeros fill
cdq ; dword to quad word
idiv ecx ; ax,dx rem=dx:ax/reg
mov eax,dword ptr [esp+13h]
and eax,0FFh
add edx,30h
mov byte ptr [esp+17h],dl
lea edx,[eax][eax*4] ; Load effective addr
shl edx,3 ; Shift w/zeros fill
sub edx,eax
mov eax,dword ptr [esp+14h]
and eax,0FFh
add eax,20h
mov ecx,eax
shl ecx,3 ; Shift w/zeros fill
sub ecx,eax
lea eax,[eax][ecx*4] ; Load effective addr
lea eax,[eax][eax*2] ; Load effective addr
lea eax,[eax][edx*2] ; Load effective addr
cdq ; dword to quad word
xor eax,edx
sub eax,edx
mov ecx,eax
shl ecx,3 ; Shift w/zeros fill
sub ecx,eax
lea eax,[eax][ecx*4] ; Load effective addr
mov ecx,9
lea eax,[eax][eax*2] ; Load effective addr
cdq ; dword to quad word
idiv ecx ; ax,dx rem=dx:ax/reg
mov eax,dword ptr [esp+10h]
and eax,0FFh
add dl,30h ; '0'
mov byte ptr [esp+14h],dl
mov edx,eax
shl edx,3 ; Shift w/zeros fill
sub edx,eax
lea eax,[eax][edx*4] ; Load effective addr
mov edx,dword ptr [esp+11h]
and edx,0FFh
mov ecx,edx
shl ecx,4 ; Shift w/zeros fill
add ecx,edx
shl eax,1 ; Shift w/zeros fill
lea ecx,[ecx][ecx*4] ; Load effective addr
sub eax,ecx
cdq ; dword to quad word
xor eax,edx
sub eax,edx
mov edx,eax
shl edx,3 ; Shift w/zeros fill
sub edx,eax
lea eax,[eax][edx*4] ; Load effective addr
shl eax,1 ; Shift w/zeros fill
loc_6:
cdq ; dword to quad word
mov ecx,9
mov byte ptr [esp+19h],0
idiv ecx ; ax,dx rem=dx:ax/reg
add edx,30h
mov byte ptr [esp+11h],dl
lea edx,dword ptr [esp+10h] ; Load effective addr
push edx
push edx
lea eax, dword ptr regcode
push eax
call strcpy
add esp,8
add esp,4
xor ecx,ecx ; Zero register
cmp ebp,eax
pop edi
pop esi
sete cl ; Set byte if equal
pop ebp
mov eax,edx
pop ebx
add esp,14h
retn
}
}
void main()
{
char usrcode[32]="9530109";
char name[32]="chcw";
printf("KeyMaker for IrfanView32\n");
printf("Written By Mr. Chcw\n");
printf("Please enter your name:");
gets(name);
__asm {
lea eax,dword ptr usrcode
push eax
lea eax,dword ptr name
push eax
call makekey
add esp, 8h
}
printf("The register code is: %s\n", regcode);
}
----------------------- End of File KeyMaker.C -------------------------
