破解 k4n3程序（调♂教绅（hen）士（tai）程序猿）

时间：2015-12-23 00:32:35 阅读：228 评论：0 收藏：0 [点我收藏+]

标签：

系统： Windows xp

程序： k4n3

程序下载地址：http://pan.baidu.com/s/1sklYrHN

要求：注册机编写

使用工具： IDA Pro & OD & Hex workshop

可在“PEDIY CrackMe 2007”中查找关于此程序的讨论，标题为“非明码比较的Crackme的破解”。

使用IDA载入程序，打开字符串表，根据“Wow you did it... Now write a valid keygen with NO ASM RIPPING :X”的字符串提示

向上翻找到关键代码，首先来看看程序是怎样约束输入字串的：

004011BF  |.  6A 45         push    45                               ; /Count = 45 (69.)
004011C1  |.  50            push    eax                              ; |Buffer
004011C2  |.  A4            movs    byte ptr es:[edi], byte ptr [esi>; |
004011C3  |.  8B3D A8404000 mov     edi, dword ptr [<&USER32.GetDlgI>; |USER32.GetDlgItemTextA
004011C9  |.  68 E8030000   push    3E8                              ; |ControlID = 3E8 (1000.)
004011CE  |.  51            push    ecx                              ; |hWnd
004011CF  |.  FFD7          call    edi                              ; \GetDlgItemTextA
004011D1  |.  8BF0          mov     esi, eax
004011D3  |.  85F6          test    esi, esi                         ;  当用户名字串长度为0
004011D5  |.  0F84 4B010000 je      00401326                         ;  出错
004011DB  |.  83FE 40       cmp     esi, 40                          ;  当用户名长度大于64时
004011DE  |.  0F87 42010000 ja      00401326                         ;  出错
004011E4  |.  8B45 08       mov     eax, dword ptr [ebp+8]
004011E7  |.  8D55 94       lea     edx, dword ptr [ebp-6C]
004011EA  |.  6A 13         push    13                               ; /Count = 13 (19.)
004011EC  |.  52            push    edx                              ; |Buffer
004011ED  |.  68 E9030000   push    3E9                              ; |ControlID = 3E9 (1001.)
004011F2  |.  50            push    eax                              ; |hWnd
004011F3  |.  FFD7          call    edi                              ; \GetDlgItemTextA
004011F5  |.  6BC0 03       imul    eax, eax, 3
004011F8  |.  C1E0 02       shl     eax, 2
004011FB  |.  05 CD000000   add     eax, 0CD                         ;  密钥长度*3再左移2位，最后加上0CDH
00401200  |.  8945 FC       mov     dword ptr [ebp-4], eax
00401203  |.  817D FC A5010>cmp     dword ptr [ebp-4], 1A5           ;  如果结果不是1A5，则跳转
0040120A  |.  0F85 BC000000 jnz     004012CC                         ;  显示密钥有误
00401210  |.  33C0          xor     eax, eax
00401212  |.  8A45 94       mov     al, byte ptr [ebp-6C]            ;  取密钥首个字母
00401215  |.  84C0          test    al, al                           ;  判断字符值是否为0
00401217  |.  74 13         je      short 0040122C
00401219  |.  8D4D 94       lea     ecx, dword ptr [ebp-6C]          ;  取密钥字串地址
0040121C  |>  3C 30         /cmp     al, 30                          ;  如果字符小于30h
0040121E  |.  0F82 C6000000 |jb      004012EA                        ;  则跳转至提示出错函数
00401224  |.  8A41 01       |mov     al, byte ptr [ecx+1]            ;  下一个字符
00401227  |.  41            |inc     ecx                             ;  循环变量自增
00401228  |.  84C0          |test    al, al                          ;  当处理到字符串结尾
0040122A  |.^ 75 F0         \jnz     short 0040121C                  ;  则退出循环

我们看到，密钥长度必须是一个固定值，否则将提示出错。经过推算，可以知道密钥长度应该是18.

这里，我们随便填写一个长度为18的密钥，例如：“123456789ABCDEF123”。让程序流程继续执行：

0040122C  |> \E8 CFFDFFFF   call    00401000                         ;  该子程序清空eax，edx，ecx寄存器的值
00401231  |.  8D85 2CFFFFFF lea     eax, dword ptr [ebp-D4]          ;  取用户名字串地址
00401237  |.  50            push    eax
00401238  |.  E8 43FEFFFF   call    00401080                         ;  拼接用户名字串和‘ is a 。。。’字串，并根据字串算出一个值

这里，程序跳转进入401080子程序，我们F7进入：

00401080  /$  55            push    ebp
00401081  |.  8BEC          mov     ebp, esp
00401083  |.  51            push    ecx
00401084  |.  53            push    ebx
00401085  |.  56            push    esi
00401086  |.  57            push    edi
00401087  |.  68 80504000   push    00405080                         ;  ASCII "eheh"
0040108C  |.  6A 00         push    0
0040108E  |.  E8 ADFFFFFF   call    00401040                         ;  通过字串eheh对eax的值做一些修改

继续F7进入子程序401040：

00401040  /$  8B4C24 04     mov     ecx, dword ptr [esp+4]
00401044  |.  56            push    esi
00401045  |.  8B7424 0C     mov     esi, dword ptr [esp+C]
00401049  |.  33C0          xor     eax, eax
0040104B  |.  33D2          xor     edx, edx
0040104D  |.  8A4431 03     mov     al, byte ptr [ecx+esi+3]
00401051  |.  8A5431 02     mov     dl, byte ptr [ecx+esi+2]
00401055  |.  C1E0 08       shl     eax, 8                           ;  左移8位
00401058  |.  03C2          add     eax, edx
0040105A  |.  33D2          xor     edx, edx
0040105C  |.  8A5431 01     mov     dl, byte ptr [ecx+esi+1]
00401060  |.  C1E0 08       shl     eax, 8
00401063  |.  03C2          add     eax, edx
00401065  |.  33D2          xor     edx, edx
00401067  |.  8A1431        mov     dl, byte ptr [ecx+esi]
0040106A  |.  5E            pop     esi
0040106B  |.  C1E0 08       shl     eax, 8
0040106E  |.  03C2          add     eax, edx
00401070  \.  C3            retn

回到401080子程序领空中，发现整个子程序多次调用了401040子程序：

00401080  /$  55            push    ebp
00401081  |.  8BEC          mov     ebp, esp
00401083  |.  51            push    ecx
00401084  |.  53            push    ebx
00401085  |.  56            push    esi
00401086  |.  57            push    edi
00401087  |.  68 80504000   push    00405080                         ;  ASCII "eheh"
0040108C  |.  6A 00         push    0
0040108E  |.  E8 ADFFFFFF   call    00401040                         ;  通过字串eheh对eax的值做一些修改
00401093  |.  83C4 08       add     esp, 8
00401096  |.  8BD8          mov     ebx, eax
00401098  |.  E8 63FFFFFF   call    00401000                         ;  该子程序清空eax，edx，ecx寄存器的值
0040109D  |.  BF 70504000   mov     edi, 00405070                    ;  ASCII " is a whore."
004010A2  |.  83C9 FF       or      ecx, FFFFFFFF                    ;  ecx=FFFFFFFF
004010A5  |.  33C0          xor     eax, eax
004010A7  |.  F2:AE         repne   scas byte ptr es:[edi]           ;  扫描es:[edi]中的字串，循环次数ecx，找到与al相同的值则停止
004010A9  |.  F7D1          not     ecx                              ;  执行完这条语句ecx=‘is a 。。’字串长度+1
004010AB  |.  2BF9          sub     edi, ecx                         ;  重新指向字串首地址
004010AD  |.  8BF7          mov     esi, edi
004010AF  |.  8B7D 08       mov     edi, dword ptr [ebp+8]           ;  edi指向用户名字串
004010B2  |.  8BD1          mov     edx, ecx                         ;  edx=‘is a 。。’字串长度+1
004010B4  |.  83C9 FF       or      ecx, FFFFFFFF
004010B7  |.  F2:AE         repne   scas byte ptr es:[edi]           ;  扫描es:[edi]中的字串，循环次数ecx，找到与al相同的值则停止
004010B9  |.  8BCA          mov     ecx, edx                         ;  edx= ‘is a。。。’字串的长度+1
004010BB  |.  4F            dec     edi                              ;  此时es:[edi]指向字串结尾
004010BC  |.  C1E9 02       shr     ecx, 2                           ;  ecx右移两位
004010BF  |.  F3:A5         rep     movs dword ptr es:[edi], dword p>;  拼接字串
004010C1  |.  8BCA          mov     ecx, edx
004010C3  |.  83E1 03       and     ecx, 3                           ;  ecx=1
004010C6  |.  F3:A4         rep     movs byte ptr es:[edi], byte ptr>;  加上结尾
004010C8  |.  33FF          xor     edi, edi
004010CA  |.  33F6          xor     esi, esi
004010CC  |>  8B45 08       /mov     eax, dword ptr [ebp+8]          ;  将拼接好的字串地址放入eax
004010CF  |.  50            |push    eax
004010D0  |.  56            |push    esi
004010D1  |.  E8 6AFFFFFF   |call    00401040                        ;  通过入栈的字串对eax的值做一些修改
004010D6  |.  8B8E 30504000 |mov     ecx, dword ptr [esi+405030]
004010DC  |.  83C4 08       |add     esp, 8                          ;  平衡堆栈
004010DF  |.  33CF          |xor     ecx, edi                        ;  ecx与edi异或
004010E1  |.  03C1          |add     eax, ecx                        ;  eax再加上ecx
004010E3  |.  8945 FC       |mov     dword ptr [ebp-4], eax          ;  保存eax
004010E6  |.  C145 FC 07    |rol     dword ptr [ebp-4], 7            ;  将结果循环左移7次，每次从最高位（最左）移出的数据位都补充到最低位
004010EA  |.  8B45 FC       |mov     eax, dword ptr [ebp-4]          ;  再赋给eax
004010ED  |.  83C6 04       |add     esi, 4                          ;  循环变量+4
004010F0  |.  33D8          |xor     ebx, eax                        ;  ebx^eax
004010F2  |.  47            |inc     edi
004010F3  |.  83FE 40       |cmp     esi, 40
004010F6  |.^ 7C D4         \jl      short 004010CC
004010F8  |.  5F            pop     edi
004010F9  |.  8BC3          mov     eax, ebx                         ;  保存ebx的值
004010FB  |.  5E            pop     esi
004010FC  |.  5B            pop     ebx
004010FD  |.  8BE5          mov     esp, ebp
004010FF  |.  5D            pop     ebp
00401100  \.  C3            retn

技术分享

这里，连接字串后，我们的用户名居然和“is a whore”连接在了一起！。。。翻译过来就是“看雪是个妓女”。

突然明白了《加密与解密》中为什么一直用固定格式的用户名进行测试了（┬＿┬）

我x，这程序员好绅（hen）士（tai）啊！！

技术分享

这里暂且忍下，等完全破解了他的算法再好好调♂教一番。

我们继续回来，看看接下来的流程：

0040123D  |.  8945 FC       mov     dword ptr [ebp-4], eax           ;  保存eax
00401240  |.  E8 BBFDFFFF   call    00401000                         ;  清空eax，edx，ecx寄存器的值
00401245  |.  8D8D 2CFFFFFF lea     ecx, dword ptr [ebp-D4]          ;  取拼接字串地址
0040124B  |.  56            push    esi
0040124C  |.  51            push    ecx
0040124D  |.  E8 BEFDFFFF   call    00401010                         ;  删去添加字串。
00401252  |.  83C4 0C       add     esp, 0C                          ;  平衡堆栈
00401255  |.  33C9          xor     ecx, ecx
00401257  |>  8B45 FC       /mov     eax, dword ptr [ebp-4]          ;  取401080子程序中计算的值
0040125A  |.  33D2          |xor     edx, edx                        ;  清零
0040125C  |.  BE 1A000000   |mov     esi, 1A
00401261  |.  F7F6          |div     esi
00401263  |.  8A9415 10FFFF>|mov     dl, byte ptr [ebp+edx-F0]       ;  根据除法余数来取子密钥
0040126A  |.  88540D C8     |mov     byte ptr [ebp+ecx-38], dl       ;  并保存
0040126E  |.  8B45 FC       |mov     eax, dword ptr [ebp-4]          ;  取401080子程序中计算的值
00401271  |.  C1E0 03       |shl     eax, 3                          ;  左移3位
00401274  |.  BA 45230100   |mov     edx, 12345
00401279  |.  F7E8          |imul    eax
0040127B  |.  03C2          |add     eax, edx
0040127D  |.  8945 FC       |mov     dword ptr [ebp-4], eax          ;  保存
00401280  |.  41            |inc     ecx                             ;  循环变量自增
00401281  |.  83F9 12       |cmp     ecx, 12
00401284  |.^ 72 D1         \jb      short 00401257
00401286  |.  E8 75FDFFFF   call    00401000                         ;  该子程序清空eax，edx，ecx寄存器的值
0040128B  |.  33C0          xor     eax, eax                         ;  在此之前的指令不对用户输入的密钥做操作 ↑

至此，对于用户名字串的操作就结束了，接下来的是密钥处理：

0040128D  |> /8A4C05 94     /mov     cl, byte ptr [ebp+eax-6C]       ;  迭代用户输入的密钥
00401291  |. |8A5405 C8     |mov     dl, byte ptr [ebp+eax-38]       ;  取之前算出的子密钥
00401295  |. |80E9 30       |sub     cl, 30
00401298  |. |32D1          |xor     dl, cl
0040129A  |. |885405 C8     |mov     byte ptr [ebp+eax-38], dl       ;  结果存回子密钥
0040129E  |. |40            |inc     eax                             ;  循环变量自增
0040129F  |. |83F8 12       |cmp     eax, 12
004012A2  |.^\72 E9         \jb      short 0040128D
004012A4  |.  E8 57FDFFFF   call    00401000                         ;  该子程序清空eax，edx，ecx寄存器的值
004012A9  |.  8D55 C8       lea     edx, dword ptr [ebp-38]          ;  取子密钥
004012AC  |.  52            push    edx
004012AD  |.  E8 5EFEFFFF   call    00401110                         ;  对子密钥进行操作

F7进入查看：

00401110  /$  8B4C24 04     mov     ecx, dword ptr [esp+4]           ;  取子密钥
00401114  |.  33C0          xor     eax, eax                         ;  清零
00401116  |>  8A1408        /mov     dl, byte ptr [eax+ecx]          ;  迭代子密钥
00401119  |.  32D0          |xor     dl, al                          ;  与循环变量异或
0040111B  |.  881408        |mov     byte ptr [eax+ecx], dl          ;  再存回去
0040111E  |.  40            |inc     eax                             ;  循环变量自增
0040111F  |.  83F8 12       |cmp     eax, 12
00401122  |.^ 72 F2         \jb      short 00401116
00401124  \.  C3            retn

返回后，程序将操作结果与固定值进行对比：

004012B2  |.  E8 49FDFFFF   call    00401000                         ;  该子程序清空eax，edx，ecx寄存器的值
004012B7  |.  8D45 C8       lea     eax, dword ptr [ebp-38]          ;  取子密钥
004012BA  |.  68 14514000   push    00405114                         ;  ASCII "KEYGENNING4NEWBIES"
004012BF  |.  50            push    eax
004012C0  |.  E8 6BFEFFFF   call    00401130                         ;  最终处理结束的子密钥是否等于固定密钥？
004012C5  |.  83C4 0C       add     esp, 0C                          ;  平衡堆栈
004012C8  |.  85C0          test    eax, eax
004012CA  |.  75 3C         jnz     short 00401308
004012CC  |>  8B4D 08       mov     ecx, dword ptr [ebp+8]
004012CF  |.  6A 10         push    10                               ; /Style = MB_OK|MB_ICONHAND|MB_APPLMODAL
004012D1  |.  68 0C514000   push    0040510C                         ; |Title = "Error"
004012D6  |.  68 FC504000   push    004050FC                         ; |Text = "Bad Serial :o("
004012DB  |.  51            push    ecx                              ; |hOwner
004012DC  |.  FF15 AC404000 call    dword ptr [<&USER32.MessageBoxA>>; \MessageBoxA
004012E2  |.  5F            pop     edi
004012E3  |.  33C0          xor     eax, eax
004012E5  |.  5E            pop     esi
004012E6  |.  8BE5          mov     esp, ebp
004012E8  |.  5D            pop     ebp
004012E9  |.  C3            retn
004012EA  |>  8B55 08       mov     edx, dword ptr [ebp+8]
004012ED  |.  6A 10         push    10                               ; /Style = MB_OK|MB_ICONHAND|MB_APPLMODAL
004012EF  |.  68 0C514000   push    0040510C                         ; |Title = "Error"
004012F4  |.  68 FC504000   push    004050FC                         ; |Text = "Bad Serial :o("
004012F9  |.  52            push    edx                              ; |hOwner
004012FA  |.  FF15 AC404000 call    dword ptr [<&USER32.MessageBoxA>>; \MessageBoxA
00401300  |.  5F            pop     edi
00401301  |.  33C0          xor     eax, eax
00401303  |.  5E            pop     esi
00401304  |.  8BE5          mov     esp, ebp
00401306  |.  5D            pop     ebp
00401307  |.  C3            retn
00401308  |>  8B55 08       mov     edx, dword ptr [ebp+8]
0040130B  |.  6A 40         push    40                               ; /Style = MB_OK|MB_ICONASTERISK|MB_APPLMODAL
0040130D  |.  68 F4504000   push    004050F4                         ; |Title = "Great !"
00401312  |.  68 B0504000   push    004050B0                         ; |Text = "Wow you did it... Now write a valid keygen with NO ASM RIPPING :X"
00401317  |.  52            push    edx                              ; |hOwner
00401318  |.  FF15 AC404000 call    dword ptr [<&USER32.MessageBoxA>>; \MessageBoxA

至此，程序的整个加密，比对流程已经分析完毕了。我们看到，此程序采用是的F（用户名）=F（函数）的形式进行加密，

也就是非明码比较。对于这种形式我们先将F（用户名）翻译成高级语言，再写出F（函数）的逆算法，就可以写出注册机。

废话不多说，马上复制一份http://www.cnblogs.com/ZRBYYXDM/p/5002789.html中搭建的MFC窗口程序，添加如下函数：

unsigned int CSerialNumber_KeygenDlg::F1040( unsigned char* str,int num )
{
    unsigned int eax = str[3+num];
    unsigned int edx = str[2+num];

    eax = eax << 8;
    eax += edx;
    edx = str[1+num];
    eax = eax << 8;
    eax += edx;
    edx = str[num];
    eax = eax << 8;
    eax += edx;

    return eax;
}

并修改OnOk函数如下：

void CSerialNumber_KeygenDlg::OnOK() 
{
    // TODO: Add extra validation here
    CString str;
    GetDlgItem( IDC_EDIT_NAME )->GetWindowText( str );        //获取用户名

    int len = str.GetLength();                                //获取长度

    if ( len == 0 || len > 64 )    
        MessageBox( "用户名必须长度不等于3、不高于64！" );
    else
    {
        unsigned int Veax = 0;
        CString IAW = " is a whore.";
        unsigned char link[64 + 13] = {0};                //用户名最大程度+IAW长度
        DWORD table[16] = {                                //异或常量表
            0x12,0x5C,0x34,0x22,
            0xAB,0x9D,0x54,0x00,
            0xDD,0x84,0xAE,0x66,
            0x31,0x78,0x73,0xCF
        };

        str += IAW;                                        
        memcpy( link,str,str.GetLength() );                    //不复制结束符。
    
        int i = 0;
        unsigned int Vecx = 0,Vedi = 0,Vebx= F1040( (unsigned char*)"eheh",0 );
        for ( i = 0 ; i != 16 ; i++,Vedi++ ){
            Veax = F1040( link,i*4 );
            Vecx = table[i];                            //逐个取出进行异或。
            Vecx ^= Vedi;
            Veax += Vecx; 

            __asm {
                push eax
                mov eax,Veax
                rol eax,7
                mov Veax,eax
                pop eax
            }
            Vebx ^= Veax;    
        }
        Veax = Vebx;
        str = str.Left( len );                            //还原用户名

        CString subkey = "";                                //密钥
        CString subkeytable = "ABCDEFGHIJKLMNOPQRSTUVWXYZ";    //子密钥
        unsigned int Temp = Veax;        

        for ( i = 0 ; i != 18 ; i++ ){
            Temp = Veax;
            Temp %= 0x1A;
            subkey += subkeytable[(int)Temp];
            Temp = Veax << 3;
            __asm {
                push eax
                push edx
                mov eax,Temp
                imul eax
                add eax,edx
                mov Temp,eax
                pop edx
                pop eax
            }
            Veax = Temp;
        }
        /*接下来先模拟F(密钥)函数的步骤，再根据这些步骤写出F(密钥)的逆算法

        CString key = "123456789ABCDEF123";                                //模拟一个输入的密钥。
        for ( i = 0 ; i != key.GetLength() ; i++ ){
            key.SetAt( i,( key.GetAt( i ) - 0x30 ) );
            subkey.SetAt( i,( subkey[i] ^ key[i] ^ i ) );
        }

        if ( subkey == "KEYGENNING4NEWBIES" )                            //如果算出的subkey值与一个固定的字串相等，则注册成功
            MessageBox( "done." );
        */

        CString Truekey;
        CString key= "KEYGENNING4NEWBIES";

        for ( i = 0 ; i != key.GetLength() ; i++ ){
            key.SetAt( i,( key[i] ^ subkey[i] ^ i ) );
            Truekey += ( key.GetAt( i ) + 0x30 );
        }

        GetDlgItem( IDC_EDIT_Number )->SetWindowText( Truekey );
    }

    //CDialog::OnOK();                    //屏蔽基类OnOk函数
}