标签：
系统 ： Windows xp
程序 ： crackme
程序下载地址 ：http://pan.baidu.com/s/1kUrbcAr
要求 ： 注册机编写 & 去除Nag窗口
使用工具 ： IDA Pro & OD
可在“PEDIY CrackMe 2007”中查找关于此程序的讨论，标题为“Pj一个超简单的Crackme，适合像我一样的新手~_~”。
运行该程序，发现一开始就给了我们一个大大的警告窗口：
这不找抽吗？载入IDA查看字串表，发现字串“Patch Me if you can”，双击定位到定义位置，再双击交叉引用来到调用处。发现程序调用MessageBox来显示窗口，OD载入程序，将call MessageBox函数这一行改为add esp 10：
运行程序：
咦？我保存了的啊，什么还是显示了Nag窗口？而且我的断点也失效了？
初步判断，该程序开始运行时，进行清除断点的工作。并且，对载入内存的MessageBox部分代码进行了还原。
想要去除Nag窗口，可能就需要书后面的反跟踪以及打补丁的技巧。这里，我们暂时忍一下，先放过它。
重新返回字串表，发现该程序没有错误提示。。。找到成功注册的提示，向上翻找定位关键代码：
00401219 . C705 643C4000>mov dword ptr [403C64], <jmp.&user32.GetWindowTextA> ; 将函数地址存入 403C64
00401223 . 832D 643C4000>sub dword ptr [403C64], 9
0040122A > 68 FF010000 push 1FF ; 循环两次读入用户名和密码。
0040122F . 83FB 01 cmp ebx, 1 ; 用户名存入403054，序列号403654
00401232 . 75 0D jnz short 00401241
00401234 . 68 54304000 push 00403054 ; ASCII "pediy"
00401239 . FF35 4C304000 push dword ptr [40304C]
0040123F . EB 0B jmp short 0040124C
00401241 > 68 54364000 push 00403654 ; ASCII "1111111111"
00401246 . FF35 50304000 push dword ptr [403050]
0040124C > 83FB 01 cmp ebx, 1
0040124F . 74 07 je short 00401258
00401251 . 8305 643C4000>add dword ptr [403C64], 9
00401258 > FF15 643C4000 call dword ptr [403C64] ; <jmp.&user32.GetWindowTextA>
0040125E . 43 inc ebx
0040125F . 83FB 02 cmp ebx, 2
00401262 .^ 7C C6 jl short 0040122A
00401264 . C705 703C4000>mov dword ptr [403C70], <jmp.&kernel32.lstrlenA>
0040126E . FF0D 703C4000 dec dword ptr [403C70] ; crackme.004016DC
00401274 . C705 683C4000>mov dword ptr [403C68], <jmp.&user32.GetWindowTextLeng>
0040127E . FF05 683C4000 inc dword ptr [403C68] ; crackme.00401670
00401284 . FF35 4C304000 push dword ptr [40304C]
0040128A . FF0D 683C4000 dec dword ptr [403C68] ; crackme.00401670
00401290 . FF15 683C4000 call dword ptr [403C68] ; <jmp.&user32.GetWindowTextLengthA>
00401296 . 83F8 05 cmp eax, 5 ; 用户名是否小于5？
00401299 . 0F8C 43010000 jl 004013E2 ; 是则跳转至出错代码
0040129F . 83F8 08 cmp eax, 8 ; 用户名是否大于等于8？
004012A2 . 0F8D 3A010000 jge 004013E2 ; 是则跳转至出错代码
004012A8 . 8BC8 mov ecx, eax
004012AA . 890D 543C4000 mov dword ptr [403C54], ecx ; 长度存入内存
004012B0 . 33DB xor ebx, ebx
004012B2 . 8D35 54304000 lea esi, dword ptr [403054] ; 取用户名
004012B8 . 8D3D 54324000 lea edi, dword ptr [403254] ; 开辟内存储存密钥
004012BE > 8A4431 FF mov al, byte ptr [ecx+esi-1] ; 倒序迭代字串
004012C2 . 80F9 04 cmp cl, 4 ; 长度为4？
004012C5 . 74 13 je short 004012DA ; 是则存储‘-’字符并结束本次循环
004012C7 . 3C 4D cmp al, 4D ; 是否小于0x4D？
004012C9 . 7C 04 jl short 004012CF
004012CB . 2C 11 sub al, 11 ; 大于0x4D则减去0x11
004012CD . EB 02 jmp short 004012D1
004012CF > 04 15 add al, 15
004012D1 > 32C1 xor al, cl ; 处理过的字符值 ^ 长度
004012D3 . 34 02 xor al, 2 ; 处理过的字符值^2
004012D5 . 88043B mov byte ptr [ebx+edi], al ; 保存密钥
004012D8 . EB 04 jmp short 004012DE
004012DA > C6043B 2D mov byte ptr [ebx+edi], 2D
004012DE > 43 inc ebx ; 指向下一个存储单元
004012DF .^ E0 DD loopdne short 004012BE ; 类似loop，另外测试ZF标志位是否为1则退出循环
004012E1 . 8D35 54324000 lea esi, dword ptr [403254] ; 取序列号
004012E7 . 8D3D 54344000 lea edi, dword ptr [403454] ; 开辟内存储存新密钥
004012ED . 8B0D 543C4000 mov ecx, dword ptr [403C54] ; 长度存入ecx
004012F3 . 33DB xor ebx, ebx
004012F5 . C705 5C3C4000>mov dword ptr [403C5C], <jmp.&kernel32.lstrcatA>
004012FF . 832D 5C3C4000>sub dword ptr [403C5C], 2
00401306 . C705 783C4000>mov dword ptr [403C78], 0040207F ; ASCII ":-)"
00401310 . C705 7C3C4000>mov dword ptr [403C7C], 00402070 ; ASCII "Correct Serial"
0040131A . 832D 783C4000>sub dword ptr [403C78], 5
00401321 . 832D 7C3C4000>sub dword ptr [403C7C], 5
00401328 > 80F9 04 cmp cl, 4 ; 长度为4？
0040132B . 74 17 je short 00401344 ; 是则存储‘-’字符并结束本次循环
0040132D . 8A4431 FF mov al, byte ptr [ecx+esi-1] ; 倒序迭代密钥
00401331 . 3C 4D cmp al, 4D ; 是否小于0x4D？
00401333 . 7C 04 jl short 00401339 ; 小于0x4D则加上0x15
00401335 . 2C 11 sub al, 11 ; 大于0x4D则减去0x11
00401337 . EB 02 jmp short 0040133B
00401339 > 04 15 add al, 15
0040133B > 32C1 xor al, cl ; 处理过的字符值 ^ 长度
0040133D . 34 02 xor al, 2 ; 处理过的字符值^2
0040133F . 88043B mov byte ptr [ebx+edi], al ; 保存密钥
00401342 . EB 04 jmp short 00401348
00401344 > C6043B 2D mov byte ptr [ebx+edi], 2D
00401348 > 43 inc ebx ; 指向下一个存储单元
00401349 .^ E0 DD loopdne short 00401328 ; 类似loop，另外测试ZF标志位是否为1则退出循环
0040134B . C705 603C4000>mov dword ptr [403C60], <jmp.&user32.MessageBoxA> ; Entry address
00401355 . 832D 603C4000>sub dword ptr [403C60], 7
0040135C . 68 54324000 push 00403254 ; ASCII "o-RT\"
00401361 . 68 54344000 push 00403454 ; ASCII "L-@B]o-RT\"
00401366 . 8305 5C3C4000>add dword ptr [403C5C], 2 ; ↓将旧密钥连接到新密钥后面
0040136D . FF15 5C3C4000 call dword ptr [403C5C] ; <jmp.&kernel32.lstrcatA>
00401373 . 68 54344000 push 00403454 ; ASCII "L-@B]o-RT\"
00401378 . FF05 703C4000 inc dword ptr [403C70] ; crackme.004016DC
0040137E . FF15 703C4000 call dword ptr [403C70] ; <jmp.&kernel32.lstrlenA>
00401384 . A3 743C4000 mov dword ptr [403C74], eax ; ↑算出密钥长度↓算出输入的序列号长度
00401389 . 68 54364000 push 00403654 ; ASCII "1111111111"
0040138E . FF15 703C4000 call dword ptr [403C70] ; <jmp.&kernel32.lstrlenA>
00401394 . 3B05 743C4000 cmp eax, dword ptr [403C74] ; 长度一样？
0040139A . 75 46 jnz short 004013E2
0040139C . FF35 543C4000 push dword ptr [403C54] ; 长度入栈
004013A2 . 68 54344000 push 00403454 ; ASCII "L-@B]o-RT\"
004013A7 . 68 54364000 push 00403654 ; ASCII "1111111111"
004013AC . E8 9F000000 call 00401450 ; 字串是否相等？
004013B1 . 83F8 01 cmp eax, 1 ; 不相等则跳转出错
004013B4 . 74 2C je short 004013E2 ; 相等则提示成功
这是一个F（用户名）=序列号的例子，我们将F（用户名）用高级语言写出来即可完成注册机。
打开打开http://www.cnblogs.com/ZRBYYXDM/p/5115596.html中搭建的框架，为CKengen_TemplateDlg添加成员函数CreateSerial：
CString CKengen_TemplateDlg::CreateSerial(CString str)
{
CString res = "";
int len = str.GetLength();
int i = len - 1,count = len;
for ( ; i != -1 ; i--,count-- ){
if ( count == 4 ){
res += ‘-‘;
continue;
}
if ( str[i] < 0x4D ) //小于0x4D
str.SetAt( i,str[i] + 0x15 );
else
str.SetAt( i,str[i] - 0x11 );
str.SetAt( i,str[i] ^ ( i+1 ) ^ 2 );
res += str[i];
}
return res;
}
并修改OnBtnDecrypt如下：
void CKengen_TemplateDlg::OnBtnDecrypt()
{
// TODO: Add your control notification handler code here
CString str;
GetDlgItemText( IDC_EDIT_NAME,str ); //获取用户名字串基本信息。
int len = str.GetLength();
if ( len >= 5 && len < 8 ){ //格式控制。
CString Temp = CreateSerial( str ); //第一个密钥
CString Serial = CreateSerial( Temp ); //第二个密钥
Serial += Temp;
SetDlgItemText( IDC_EDIT_PASSWORD,Serial );
}
else
MessageBox( "用户名格式错误！" );
}
再在OnInitDialog中添加此代码修改标题：SetWindowText(_T("CRACKME_Keygen"));
运行效果：
-------------------------------------------------------------------------------------------------------------------
后记：看了pediy crackme 2007中的原破文受了启发，既然反跟踪和恢复MessageBox函数都是作者之前实现的，那找到它nop掉不就行了？这里，一步步跟踪开头的代码：发现调用401477子程序之后，MessageBox被恢复了：
00401000 >/$ 6A 00 push 0 ; /pModule = NULL
00401002 |. E8 B7060000 call <jmp.&kernel32.GetModuleHandleA> ; \GetModuleHandleA
00401007 |. A3 40304000 mov dword ptr [403040], eax
0040100C |. E8 A1060000 call <jmp.&kernel32.GetCommandLineA> ; [GetCommandLineA
00401011 |. A3 44304000 mov dword ptr [403044], eax
00401016 |. 6A 0A push 0A
00401018 |. FF35 44304000 push dword ptr [403044]
0040101E |. 6A 00 push 0
00401020 |. FF35 40304000 push dword ptr [403040] ; crackme.00400000
00401026 |. E8 06000000 call 00401031
0040102B |. 50 push eax ; /ExitCode
0040102C \. E8 7B060000 call <jmp.&kernel32.ExitProcess> ; \ExitProcess
00401031 /$ 55 push ebp
00401032 |. 8BEC mov ebp, esp
00401034 |. 83C4 B0 add esp, -50
00401037 E8 3B040000 call 00401477
我们nop掉它就OK了＾▼＾
但运行保存后的程序，单击check之后会出错，这又是为什么？帖子评论里就有牛人来讲解了：
程序一开始调用4次WriteProcessMemory恢复40103C处的机器码
并在按下check后调用ReadProcessMemory检查自身一大段机器码
动态SMC 值得学习
原来的确运用了补丁技术，而且断点失效并非我一开始推测的断点全部清除。我们都知道断点其实就是int 3指令，WriteProcessMemory恢复了MessageBox的机器码，自然就覆盖了断点的int 3指令，所以MessageBox处的断点失效而注册算法的断点没有失效。
标签：
原文地址：http://www.cnblogs.com/ZRBYYXDM/p/5118105.html
