发帖
扫码访问
 注册
 登录
首页 ›网络安全› 安全学院 › 查看内容

hysteriaCRKME 破解＋算法

2007-11-16 11:26 1253 0

摘要: 这个CrackMe不是很难，但花去我不少时间，贴在这里和大家分享～ 【文章标题】: hysteriaCRKME 破解＋算法 【文章作者】: megadeath 【作者邮箱】: massacre@...
关键词： nbsp 00401 Key dword ptr eax push mov 结果 004019

这个CrackMe不是很难，但花去我不少时间，贴在这里和大家分享～ 【文章标题】: hysteriaCRKME 破解＋算法 【文章作者】: megadeath 【作者邮箱】: [email protected] 【作者QQ号】: 84227716 【软件名称】: hysteria_CRKME 【软件大小】: 266,240 【下载地址】: http://crackmes.de/users/haiklr/hysteria_crackme/ 【加壳方式】: 无 【保护方式】: 无 【编写语言】: asm 【使用工具】: OllyICE 【操作平台】: WinXPsp2 【软件介绍】: 用户名＋Keyfile 【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教! -------------------------------------------------------------------------------- 【详细过程】     拿到CrackMe后，执行后只有一个文本框，在里面输入任意的用户名，然后点击Check，在文本框中提示Try harder !，显然注册失败，OK，PEiD检查没有壳没有保护，直接用OD加载，来到程序的入口点： 0040142F >/$  6A 00         push    0                                ; /pModule = NULL  <--程序开始入口 00401431  |.  E8 86080000   call    <jmp.&kernel32.GetModuleHandleA> ; \GetModuleHandleA 00401436  |.  A3 9C634000   mov     dword ptr [40639C], eax 0040143B  |.  6A 03         push    3                                ; /RsrcName = 3. 0040143D  |.  50            push    eax                              ; |hInst 0040143E  |.  E8 37080000   call    <jmp.&user32.LoadIconA>          ; \LoadIconA 00401443  |.  A3 A0634000   mov     dword ptr [4063A0], eax 我们直接用串式参考搜索，发现有“congratz ! send me your keygen”字样，双击来到程序代码中： 00401C0F  |.  68 A5614000   push    004061A5                         ; /congratz ! send me your keygen 00401C14  |.  6A 08         push    8                                ; |ControlID = 8 00401C16  |.  FF75 08       push    dword ptr [ebp+8]                ; |hWnd 00401C19  |.  E8 7A000000   call    <jmp.&user32.SetDlgItemTextA>    ; \SetDlgItemTextA 往上搜寻，这个函数很长一直到这个函数的开头部分： 00401925  /$  55            push    ebp 00401926  |.  8BEC          mov     ebp, esp 00401928  |.  57            push    edi 00401929  |.  56            push    esi 0040192A  |.  53            push    ebx 0040192B  |.  90            nop 00401925 在两个地方被调用，00401736 和 00401698 ，在这两个地方下断点，然后F9运行，这时OD停在了00401736处，先不要进入，再F9运行，这时程序完全启动起来，显示出界面，如果这个时候点击Check后，OD停在了00401698 处。嗯，我们可以估计到在程序启动的时候加载了一次，以后每次点击Chcek按钮就都会调用一次00401925，我们再看一下在00401698 附近的代码： 0040166D   .  837D 10 05    cmp     dword ptr [ebp+10], 5 00401671   .  75 1C         jnz     short 0040168F 00401673   .  6A 00         push    0                                ; /lParam = NULL 00401675   .  68 91174000   push    00401791                         ; |DlgProc = Hysteria.00401791 0040167A   .  FF75 08       push    dword ptr [ebp+8]                ; |hOwner 0040167D   .  6A 02         push    2                                ; |pTemplate = 2 0040167F   .  FF35 9C634000 push    dword ptr [40639C]               ; |hInst = 00400000 00401685   .  E8 BA050000   call    <jmp.&user32.DialogBoxParamA>    ; \DialogBoxParamA 0040168A   .  E9 C5000000   jmp     00401754 0040168F   >  837D 10 06    cmp     dword ptr [ebp+10], 6 00401693   .  75 0D         jnz     short 004016A2 00401695   .  FF75 08       push    dword ptr [ebp+8] 00401698   .  E8 88020000   call    00401925 0040169D   .  E9 B2000000   jmp     00401754 004016A2   >  837D 10 07    cmp     dword ptr [ebp+10], 7 004016A6   .  0F85 A8000000 jnz     00401754 004016AC   .  6A 00         push    0                                ; /lParam = 0 004016AE   .  6A 00         push    0                                ; |wParam = 0 004016B0   .  6A 10         push    10                               ; |Message = WM_CLOSE 004016B2   .  FF75 08       push    dword ptr [ebp+8]                ; |hWnd 004016B5   .  E8 D2050000   call    <jmp.&user32.SendMessageA>       ; \SendMessageA 004016BA   .  E9 95000000   jmp     00401754 004016BF   >  817D 0C 10010>cmp     dword ptr [ebp+C], 110 004016C6   .  75 75         jnz     short 0040173D 注意0040166D 、0040168F、004016A2这几行，在和5,6,7来比较，到这里能够看出一些端倪，其实这个是Windows回调函数中的对控件消息处理的switch语句，因此在00401698 调用也就是点击Check按钮的一个响应。我们在00401698 处下断点，在文本框中输入用户名，然后点击check按钮，这时OD拦截，进入00401698 函数，我们一点一点往下看： 00401925  /$  55            push    ebp 00401926  |.  8BEC          mov     ebp, esp 00401928  |.  57            push    edi 00401929  |.  56            push    esi 0040192A  |.  53            push    ebx 0040192B  |.  90            nop 0040192C  |.  90            nop 0040192D  |.  90            nop 0040192E  |.  90            nop 0040192F  |.  90            nop 00401930  |.  90            nop 00401931  |.  90            nop 00401932  |.  90            nop 00401933  |.  6A 1E         push    1E                               ; /Count = 1E (30.) 00401935  |.  68 50624000   push    00406250                         ; |Buffer = Hysteria.00406250 0040193A  |.  6A 08         push    8                                ; |ControlID = 8 0040193C  |.  FF75 08       push    dword ptr [ebp+8]                ; |hWnd 0040193F  |.  E8 24030000   call    <jmp.&user32.GetDlgItemTextA>    ; \GetDlgItemTextA 00401944  |.  83F8 04       cmp     eax, 4 00401947  |.  0F8C D3020000 jl      00401C20                         ;  小于4就跳到错误处理 0040194D  |.  83F8 18       cmp     eax, 18 00401950  |.  0F8F CA020000 jg      00401C20                         ;  大于0x18就跳到错误处理 00401956  |.  90            nop 00401957  |.  90            nop 00401958  |.  90            nop 00401959  |.  90            nop 0040195A  |.  90            nop 0040195B  |.  90            nop 0040195C  |.  90            nop 0040195D  |.  A3 88634000   mov     dword ptr [406388], eax 00401962  |.  FF35 88634000 push    dword ptr [406388]               ;  将字符串长度压栈 00401968  |.  E8 93F6FFFF   call    00401000                         ;  计算用户名的CRC32值 0040196D  |.  A3 69624000   mov     dword ptr [406269], eax          ;  将用户名的CRC32值放到[00426269]中 00401972  |.  A0 50624000   mov     al, byte ptr [406250]            ;  取得用户名第一个字符放在CRC32的低8位中其余位不变 00401977  |.  50            push    eax                              ; /<%x> 00401978  |.  68 00604000   push    00406000                         ; |%x 拼接的字符串放在[00406000]中 0040197D  |.  68 03604000   push    00406003                         ; |s = Hysteria.00406003 00401982  |.  E8 B1020000   call    <jmp.&user32.wsprintfA>          ; \wsprintfA 00401987  |.  83C4 0C       add     esp, 0C 0040198A  |.  6A 00         push    0                                ; /hTemplateFile = NULL 0040198C  |.  6A 00         push    0                                ; |Attributes = 0 0040198E  |.  6A 03         push    3                                ; |Mode = OPEN_EXISTING 00401990  |.  6A 00         push    0                                ; |pSecurity = NULL 00401992  |.  6A 01         push    1                                ; |ShareMode = FILE_SHARE_READ 00401994  |.  68 00000080   push    80000000                         ; |Access = GENERIC_READ 00401999  |.  68 03604000   push    00406003                         ; |FileName = "7ff2506d" 0040199E  |.  E8 07030000   call    <jmp.&kernel32.CreateFileA>      ; \CreateFileA 004019A3  |.  83F8 FF       cmp     eax, -1                          ;  判断文件是否正常打开了 004019A6  |.  0F84 74020000 je      00401C20                         ;  如果没有打开文件就跳转到00401c20处，即失败 004019AC  |.  A3 98634000   mov     dword ptr [406398], eax 004019B1  |.  6A 00         push    0                                ; /pOverlapped = NULL 004019B3  |.  68 94634000   push    00406394                         ; |pBytesRead = Hysteria.00406394 004019B8  |.  68 FF000000   push    0FF                              ; |BytesToRead = FF (255.) 004019BD  |.  68 6D624000   push    0040626D                         ; |Buffer = Hysteria.0040626D 004019C2  |.  FF35 98634000 push    dword ptr [406398]               ; |hFile = FFFFFFFF 004019C8  |.  E8 0D030000   call    <jmp.&kernel32.ReadFile>         ; \ReadFile 函数很长我们先看到这里，在00401968 处调用了在00401000的函数，这个函数调用其实是计算用户名的CRC32值，我们稍后再详细介绍这个函数，计算好的CRC32值在eax中返回，放到了[00426269]中，一会儿我们还要用到它，随后把用户名的第一个字符放在了CRC32值的低8位中，用这个数值的字符串作为文件名读取文件，这时我们知道这个CrackMe的注册需要Keyfile，并且Keyfile的名称我们已经能够构造出来了。读取文件的内容我们还不知道，明确知道的是文件读取的内容放在了0040626D，并且最长为0xFF个字符。我们停下OD，构造一个文件在CrackMe的目录下，填入足够长的测试数据，然后重新来过一次，断点定在004019CD  处。 004019CD  |.  33D2          xor     edx, edx 004019CF  |.  33F6          xor     esi, esi 004019D1  |.  BB 01000000   mov     ebx, 1 004019D6  |.  A1 6D624000   mov     eax, dword ptr [40626D]          ;  Keyfile中的字符串地址 004019DB  |.  A3 6C634000   mov     dword ptr [40636C], eax          ;  将Keyfile中的前0-3字符拷贝到[0040636c]中 004019E0  |.  83F8 00       cmp     eax, 0                           ;  是否没有字符串 004019E3  |.  0F84 37020000 je      00401C20                         ;  如果为0的话就跳到错误提示 004019E9  |.  A1 71624000   mov     eax, dword ptr [406271] 004019EE  |.  A3 70634000   mov     dword ptr [406370], eax 004019F3  |.  83F8 00       cmp     eax, 0 004019F6  |.  0F84 24020000 je      00401C20 004019FC  |.  A1 75624000   mov     eax, dword ptr [406275] 00401A01  |.  A3 74634000   mov     dword ptr [406374], eax 00401A06  |.  83F8 00       cmp     eax, 0 00401A09  |.  0F84 11020000 je      00401C20 00401A0F  |.  A1 79624000   mov     eax, dword ptr [406279] 00401A14  |.  A3 78634000   mov     dword ptr [406378], eax 00401A19  |.  83F8 00       cmp     eax, 0 00401A1C  |.  0F84 FE010000 je      00401C20 00401A22  |.  A1 7D624000   mov     eax, dword ptr [40627D] 00401A27  |.  A3 7C634000   mov     dword ptr [40637C], eax 00401A2C  |.  83F8 00       cmp     eax, 0 00401A2F  |.  0F84 EB010000 je      00401C20 00401A35  |.  A1 81624000   mov     eax, dword ptr [406281] 00401A3A  |.  A3 80634000   mov     dword ptr [406380], eax 00401A3F  |.  83F8 00       cmp     eax, 0 00401A42  |.  0F84 D8010000 je      00401C20                         ;  从KeyFile字符串中拷贝了前24个字符 这一段是将Keyfile中的字符拷贝24个放到了[0040636C]中，拷贝了24个字符，因此Keyfile中最多出现的注册码也就是24个字符。我们把这个24个字符分为4个字符一组，共6组，如果每组的4个字符都转换为数值的话一组就是一个32位数，为什么要这么做，这个其实是到后面才知道的，这里先写出来，为了后面看得更清楚。记住这6组数值是从[0040636C]开始的，往下看： 00401A48  |.  90            nop 00401A49  |.  90            nop 00401A4A  |.  90            nop 00401A4B  |.  A1 6C634000   mov     eax, dword ptr [40636C] 00401A50  |.  3B05 74634000 cmp     eax, dword ptr [406374] 00401A56  |.  75 11         jnz     short 00401A69                   ;  第0组Key值和第2组Key值不能相同 00401A58  |.  A1 70634000   mov     eax, dword ptr [406370] 00401A5D  |.  3B05 78634000 cmp     eax, dword ptr [406378] 00401A63  |.  0F84 B7010000 je      00401C20                         ;  如果第0组Key值和第2组Key值相同了，那么第1组Key值和第3组Key值不能相同 00401A69  |>  A1 6C634000   mov     eax, dword ptr [40636C] 00401A6E  |.  3B05 7C634000 cmp     eax, dword ptr [40637C] 00401A74  |.  75 11         jnz     short 00401A87                   ;  第0组Key值和第4组Key值不能相同 00401A76  |.  A1 70634000   mov     eax, dword ptr [406370] 00401A7B  |.  3B05 80634000 cmp     eax, dword ptr [406380] 00401A81  |.  0F84 99010000 je      00401C20                         ;  如果第0组Key值和第4组Key值相同了，那么第1组Key值和第5组Key值不能相同 00401A87  |>  A1 74634000   mov     eax, dword ptr [406374] 00401A8C  |.  3B05 7C634000 cmp     eax, dword ptr [40637C] 00401A92  |.  75 11         jnz     short 00401AA5                   ;  第2组Key值和第4组Key值不能相同 00401A94  |.  A1 78634000   mov     eax, dword ptr [406378] 00401A99  |.  3B05 80634000 cmp     eax, dword ptr [406380] 00401A9F  |.  0F84 7B010000 je      00401C20                         ;  如果第2组Key值和第4组Key值相同了，那么第3组Key值和第5组Key值不能相同 00401AA5  |>  A1 70634000   mov     eax, dword ptr [406370] 00401AAA  |.  3B05 78634000 cmp     eax, dword ptr [406378] 00401AB0  |.  75 11         jnz     short 00401AC3                   ;  第1组Key值和第3组Key值不能相同 00401AB2  |.  A1 6C634000   mov     eax, dword ptr [40636C] 00401AB7  |.  3B05 74634000 cmp     eax, dword ptr [406374] 00401ABD  |.  0F84 5D010000 je      00401C20                         ;  如果第1组Key值和第3组Key值相同了，那么第0组Key值和第2组Key值不能相同 00401AC3  |>  A1 70634000   mov     eax, dword ptr [406370] 00401AC8  |.  3B05 80634000 cmp     eax, dword ptr [406380] 00401ACE  |.  75 11         jnz     short 00401AE1                   ;  第1组Key值和第5组Key值不能相同 00401AD0  |.  A1 6C634000   mov     eax, dword ptr [40636C] 00401AD5  |.  3B05 7C634000 cmp     eax, dword ptr [40637C] 00401ADB  |.  0F84 3F010000 je      00401C20                         ;  如果第1组Key值和第5组Key值相同了，那么第0组Key值和第4组Key值不能相同 00401AE1  |>  A1 78634000   mov     eax, dword ptr [406378] 00401AE6  |.  3B05 80634000 cmp     eax, dword ptr [406380] 00401AEC  |.  75 11         jnz     short 00401AFF                   ;  第3组Key值和第5组Key值不能相同 00401AEE  |.  A1 74634000   mov     eax, dword ptr [406374] 00401AF3  |.  3B05 7C634000 cmp     eax, dword ptr [40637C] 00401AF9  |.  0F84 21010000 je      00401C20                         ;  如果第3组Key值和第5组Key值相同了，那么第2组Key值和第4组Key值不能相同 这一段是比较复杂的一段，主要是Keyfile取得的6组数值的规则，花了好大一阵功夫写出来，再往下 00401AFF  |> \A1 69624000   mov     eax, dword ptr [406269]          ;  用户名的CRC32值放到eax中 00401B04  |.  B9 63000000   mov     ecx, 63 00401B09  |.  F7F9          idiv    ecx                              ;  除以0x63以求余数 00401B0B  |.  8915 8C634000 mov     dword ptr [40638C], edx          ;  余数放到[0040638c]中，记作MOD 00401B11  |.  81F2 07200000 xor     edx, 2007 00401B17  |.  8915 90634000 mov     dword ptr [406390], edx          ;  异或0x2007后放到[00406390]中，记作XOR 没有什么好说的，继续 00401B1D  |.  90            nop 00401B1E  |.  90            nop 00401B1F  |.  8B0D 8C634000 mov     ecx, dword ptr [40638C]          ;  刚才的MOD放到ecx中 00401B25  |.  A1 6C634000   mov     eax, dword ptr [40636C]          ;  第1组Key值 00401B2A  |.  2BC1          sub     eax, ecx                         ;  用第1组Key值减去MOD，得到的值放到eax中 00401B2C  |.  8B1D 70634000 mov     ebx, dword ptr [406370]          ;  第2组Key值 00401B32  |.  8B15 90634000 mov     edx, dword ptr [406390]          ;  XOR赋值给edx 00401B38  |.  2BDA          sub     ebx, edx                         ;  用第二组值减去XOR，结果放到ebx中 00401B3A  |.  0FAFC3        imul    eax, ebx 00401B3D  |.  A3 84634000   mov     dword ptr [406384], eax          ;  把结果暂存到[00406384]中 00401B42  |.  A1 6C634000   mov     eax, dword ptr [40636C]          ;  第0组Key值 00401B47  |.  8B0D 7C634000 mov     ecx, dword ptr [40637C]          ;  第4组Key值 00401B4D  |.  2BC1          sub     eax, ecx                         ;  第0组Key值 减去 第4组Key值，结果放到eax中 00401B4F  |.  8B1D 70634000 mov     ebx, dword ptr [406370]          ;  第1组Key值 00401B55  |.  8B15 80634000 mov     edx, dword ptr [406380]          ;  第5组Key值 00401B5B  |.  2BDA          sub     ebx, edx                         ;  第1组Key值 减去 第5组Key值，结果放到ebx中 00401B5D  |.  0FAFC3        imul    eax, ebx 00401B60  |.  0305 84634000 add     eax, dword ptr [406384]          ;  和刚才的结果相加 00401B66  |.  85C0          test    eax, eax 00401B68  |.  0F85 B2000000 jnz     00401C20                         ;  如果之和不为0则跳到错误的地方 到这里我们得到第一个公式，即： (key[0] - MOD)*(key[1] - XOR) + (key[0] - key[4])*(key[1] - key[5]) = 0 往下看 00401B6E  |.  8B0D 8C634000 mov     ecx, dword ptr [40638C]          ;  MOD赋值给ecx 00401B74  |.  A1 74634000   mov     eax, dword ptr [406374]          ;  第2组Key值 00401B79  |.  2BC1          sub     eax, ecx                         ;  第2组Key值 减去 MOD，结果放到eax中 00401B7B  |.  8B1D 78634000 mov     ebx, dword ptr [406378]          ;  第3组Key值 00401B81  |.  8B15 90634000 mov     edx, dword ptr [406390]          ;  XOR赋值给edx 00401B87  |.  2BDA          sub     ebx, edx                         ;  第3组Key值 减去 XOR，结果放到ebx中 00401B89  |.  0FAFC3        imul    eax, ebx 00401B8C  |.  A3 84634000   mov     dword ptr [406384], eax          ;  把结果暂存到[00406384]中 00401B91  |.  A1 74634000   mov     eax, dword ptr [406374]          ;  第2组Key值 00401B96  |.  8B0D 7C634000 mov     ecx, dword ptr [40637C]          ;  第4组Key值 00401B9C  |.  2BC1          sub     eax, ecx                         ;  第2组Key值 减去 第4组Key值，结果放到eax中 00401B9E  |.  8B1D 78634000 mov     ebx, dword ptr [406378]          ;  第3组Key值 00401BA4  |.  8B15 80634000 mov     edx, dword ptr [406380]          ;  第5组Key值 00401BAA  |.  2BDA          sub     ebx, edx                         ;  第3组Key值 减去 第5组Key值，结果放到ebx中 00401BAC  |.  0FAFC3        imul    eax, ebx 00401BAF  |.  0305 84634000 add     eax, dword ptr [406384]          ;  和刚才的结果相加 00401BB5  |.  85C0          test    eax, eax 00401BB7  |.  75 67         jnz     short 00401C20                   ;  如果之和不为0则跳到错误的地方 到这里我们得到第二个公式，即： (key[2] - MOD)*(key[3] - XOR) +(key[2] - key[4])*(key[3] - key[5]) = 0; 往下： 00401BB9  |.  8B0D 8C634000 mov     ecx, dword ptr [40638C]          ;  MOD赋值给ecx 00401BBF  |.  A1 6C634000   mov     eax, dword ptr [40636C]          ;  第0组Key值 00401BC4  |.  2BC8          sub     ecx, eax                         ;  MOD 减去 第0组Key值，结果放到ecx中 00401BC6  |.  0FAFC9        imul    ecx, ecx                         ;  结果乘平方 00401BC9  |.  8B15 90634000 mov     edx, dword ptr [406390]          ;  XOR赋值给edx 00401BCF  |.  8B1D 70634000 mov     ebx, dword ptr [406370]          ;  第1组Key值 00401BD5  |.  2BD3          sub     edx, ebx                         ;  XOR 减去 第1组Key值，结果放到edx中 00401BD7  |.  0FAFD2        imul    edx, edx                         ;  结果乘平方 00401BDA  |.  03CA          add     ecx, edx 00401BDC  |.  890D 84634000 mov     dword ptr [406384], ecx          ;  得到的结果暂存 00401BE2  |.  8B0D 8C634000 mov     ecx, dword ptr [40638C]          ;  MOD赋值给ecx 00401BE8  |.  A1 74634000   mov     eax, dword ptr [406374]          ;  第2组Key值 00401BED  |.  2BC8          sub     ecx, eax                         ;  MOD 减去 第2组Key值，结果放到ecx中 00401BEF  |.  0FAFC9        imul    ecx, ecx                         ;  结果乘平方 00401BF2  |.  8B15 90634000 mov     edx, dword ptr [406390]          ;  XOR赋值给edx 00401BF8  |.  8B1D 78634000 mov     ebx, dword ptr [406378]          ;  第3组Key值 00401BFE  |.  2BD3          sub     edx, ebx                         ;  XOR 减去 第3组Key值，结果放到edx中 00401C00  |.  0FAFD2        imul    edx, edx                         ;  结果乘平方 00401C03  |.  03CA          add     ecx, edx 00401C05  |.  8B1D 84634000 mov     ebx, dword ptr [406384] 00401C0B  |.  3BCB          cmp     ecx, ebx 00401C0D  |.  75 11         jnz     short 00401C20                   ;  如果两个表达式不相等就跳到错误的地方 00401C0F  |.  68 A5614000   push    004061A5                         ; /congratz ! send me your keygen 00401C14  |.  6A 08         push    8                                ; |ControlID = 8 00401C16  |.  FF75 08       push    dword ptr [ebp+8]                ; |hWnd 00401C19  |.  E8 7A000000   call    <jmp.&user32.SetDlgItemTextA>    ; \SetDlgItemTextA 00401C1E  |.  EB 11         jmp     short 00401C31 00401C20  |>  68 98614000   push    00406198                         ; /try harder ! 00401C25  |.  6A 08         push    8                                ; |ControlID = 8 00401C27  |.  FF75 08       push    dword ptr [ebp+8]                ; |hWnd 00401C2A  |.  E8 69000000   call    <jmp.&user32.SetDlgItemTextA>    ; \SetDlgItemTextA 00401C2F  |.  EB 00         jmp     short 00401C31 00401C31  |>  5B            pop     ebx 00401C32  |.  5E            pop     esi 00401C33  |.  5F            pop     edi 00401C34  |.  C9            leave 00401C35  \.  C2 0400       retn    4 我们可以看到胜利的地方了，这段也能得到一个公式： (MOD - key[0])*(MOD - key[0]) + (XOR - key[1])*(XOR - key[1]) = (MOD - key[2])*(MOD - key[2]) + (XOR - key[3])*(XOR - key[3]) 整理一下，我们需要解个方程组 (key[0] - MOD)*(key[1] - XOR) + (key[0] - key[4])*(key[1] - key[5]) = 0                                                                 (1) (key[2] - MOD)*(key[3] - XOR) + (key[2] - key[4])*(key[3] - key[5]) = 0                                                                 (2) (MOD - key[0])*(MOD - key[0]) + (XOR - key[1])*(XOR - key[1]) = (MOD - key[2])*(MOD - key[2]) + (XOR - key[3])*(XOR - key[3])           (3) 初看上去这个方程组很难解开，实际上可以用一些巧的方法，我们如果让 key[0]=key[2]=key[4]=MOD 且 key[1]=key[3]=key[5]=XOR 的话，那么方程组就解开了，哦，不要高兴太早，在00401A4B处还有个规则，答案也不止一个，依照规则我们稍微改变一下就可以满足条件，这里列举了两组满足条件的解： key[0] = MOD - 1  key[1] = XOR key[2] = MOD      key[3] = XOR - 1 key[4] = MOD - 1  key[5] = XOR - 1 或 key[0] = MOD      key[1] = XOR - 1 key[2] = MOD + 1  key[3] = XOR key[4] = MOD + 1  key[5] = XOR - 1 还有其他多个解，不过这里懒得计算了。 另外在00401968  处有个调用用来计算用户名的CRC32值，把这个函数调用再简单说一下 00401000  /$  55            push    ebp 00401001  |.  8BEC          mov     ebp, esp 00401003  |.  56            push    esi 00401004  |.  51            push    ecx 00401005  |.  52            push    edx 00401006  |.  8D35 50624000 lea     esi, dword ptr [406250]          ;  存储用户名地址 0040100C  |.  33D2          xor     edx, edx                         ;  edx清零 0040100E  |.  83C8 FF       or      eax, FFFFFFFF                    ;  eax初始化0xFFFFFFFF 00401011  |.  8B4D 08       mov     ecx, dword ptr [ebp+8]           ;  ecx循环计数 00401014  |>  8A16          /mov     dl, byte ptr [esi]              ;  取出用户名的每个字符 00401016  |.  32D0          |xor     dl, al                          ;  字符和al相异或 00401018  |.  C1E8 08       |shr     eax, 8                          ;  eax右移8位 0040101B  |.  330495 2F1040>|xor     eax, dword ptr [edx*4+40102F]   ;  查表得值再和eax异或 00401022  |.  46            |inc     esi 00401023  |.  49            |dec     ecx 00401024  |.^ 75 EE         \jnz     short 00401014                  ;  循环 00401026  |.  F7D0          not     eax                              ;  eax取反 00401028  |.  5A            pop     edx 00401029  |.  59            pop     ecx 0040102A  |.  5E            pop     esi 0040102B  |.  C9            leave 0040102C  \.  C2 0400       retn    4 一上来看见初始化0xFFFFFFFF还有最后对eax取反，在单步循环之中每次查询0040102F处的数组来计算每个字符，一下就知道这个是在计算CRC，0xFFFFFFFF和结果求反这两步太明显了。 算法整理出来，写出注册机： #include <iostream> #include <string> using namespace std; int main(int, char **) {   unsigned CRC32[256] = {0};   unsigned uiResult = 0;   for (unsigned ii = 0; ii < 256; ++ ii)   {     uiResult = ii;     for (unsigned jj = 0; jj < 8; ++ jj)     {       if (uiResult & 0x01)         uiResult = (uiResult >> 1)  ^ 0xEDB88320;       else         uiResult >>= 1;     }     CRC32[ii] = uiResult;   }   string strName;   do   {     cout << "please input your name:" << endl;     cin >> strName ;     if ((4 <= strName.length()) && (0x18 >= strName.length()))     {       goto KeyGen;     }       } while(1); KeyGen:   unsigned uiCRC = 0xFFFFFFFF;   unsigned uiNameLength = strName.length();   for (unsigned ii = 0; ii < uiNameLength; ++ ii)   {     uiResult = uiCRC;     uiResult = (uiResult & 0xFF)^((unsigned)strName[ii]);     uiCRC >>= 8;     uiCRC ^= (CRC32[uiResult]);   }   uiCRC = ~uiCRC;   unsigned uiMOD = uiCRC % 0x63;   unsigned uiXOR = uiMOD ^ 0x2007;   uiCRC &= 0xFFFFFF00;   uiCRC += (unsigned)strName[0];   char buffer[9] = {0};   sprintf(buffer, "%.8X", uiCRC);   unsigned Key[6] ={0};   //这里随意取一组   Key[0] = uiMOD - 1; Key[1] = uiXOR ;   Key[2] = uiMOD    ; Key[3] = uiXOR - 1;   Key[4] = uiMOD - 1; Key[5] = uiXOR - 1; //   Key[0] = uiMOD    ; Key[1] = uiXOR - 1; //   Key[2] = uiMOD + 1; Key[3] = uiXOR    ; //   Key[4] = uiMOD + 1; Key[5] = uiXOR - 1;   FILE * fp = NULL;   fp = fopen(buffer, "wb");   if (NULL == fp)     return 0;   fwrite(Key, sizeof(unsigned), 6, fp);   fclose(fp);   fp = NULL;   cout << "KeyFile generated." << endl;   cout << "all right!" << endl;   cin.get();   return 0; }   -------------------------------------------------------------------------------- 【经验总结】     这个CrackMe不是明码比较而且也用了一点点数学方面的知识，虽然仍然能够通过爆破解决，但这个CrackMe是让我比较挠头的了，用了不少时间读程序，在计算公式的时候还把方程式(2)计算错了，费了不少时间却原地踏步，最后整理思路重新来过一遍才整理出来。   事实证明在大脑一片混乱事情一片狼藉的时候打个小盹呼吸点新鲜空气对自己是非常有帮助的。
声明：文章版权归原作者所有 部分文章转自互联网 如有侵权请联系 [邮箱地址] 删除

路过
雷人
握手
鲜花
鸡蛋
收藏 分享 邀请

最新评论

相关分类

返回顶部