EBPIG
6探索杂志6
MHJDQ
知识共享J资源共享J资料共享
【发行时间】2000-12-18
【期刊号码】第二十五期
【网站地址】http://programhunter.myetang.com
【版权声明】♀▃▄▅▆▇█程式猎人█▇▆▅▄▃♂
 此杂志由程式猎人编辑、制作及发行；杂志可以自由转载、分发和传播；任何个人或团体不得在未经本人授权的情况下修改杂志的外观及内容；杂志的解释权归程式猎人所有。

【编辑寄语】

    
   {~._.~} 
    ( Y )  
   ()~*~() 
   (_)-(_)
现在杂志已经成为每周向大家发行的，毕竟因为我现在的时间有限。所以现在还是以每周一期向大家发送的。现在我想对大家说一下关于杂志的事情。有的网友来信问，我的杂志是不是免费的，我想在这里向大家说明的是，此杂志是完全免费的。现在我也很忙的，所以还没有太多的时间来想未来杂志的发展。如果等现在这段时间忙过后就可以慢慢的来想杂志的将如何发展了，如何更好的为大家服务了。
 
【目 �� 录】
����&破解心得
 J……winamp V2.02 程式猎人
 K……MultiSQL 1.0 程式猎人
L……《飞天餐饮娱乐管理系统》的暴力破解法 chn-boy
 
&【破解心得】
             winamp V2.02 
                   程式猎人
简介：这个软件不用多说了，大家一定对它很熟悉了。
追踪：name:dahuilang
      RN:01234567
  以前追踪过这个程序，当时追踪的版本已经忘记了，但是那时记得追踪它很简单就将它追
踪出来了，因为只要设bpx hmemcpy后拦下后跳跃到程序中就可以了，没有想到这个版本的
程序无法跳跃到正常程序中，那么如何追踪这个程序呢？
  先使用反汇编软件W32对它进行反汇编吧。
:0041C11C 50                      push eax
:0041C11D 52                      push edx

* Possible StringData Ref from Data Obj ->"RegisteredTo"
                                  |
:0041C11E 683C504300              push 0043503C
:0041C123 FF35A43F4400            push dword ptr [00443FA4]

* Reference To: KERNEL32.GetPrivateProfileStringA, Ord:0111h
                                  |
:0041C129 FF1578754400            Call dword ptr [00447578]
:0041C12F 389D00FDFFFF            cmp byte ptr [ebp+FFFFFD00], bl
:0041C135 7467                    je 0041C19E

* Possible StringData Ref from Data Obj ->"!!!"
                                  |
:0041C137 6838504300              push 00435038
:0041C13C 8D8500FDFFFF            lea eax, dword ptr [ebp+FFFFFD00]
:0041C142 50                      push eax
:0041C143 E888AC0000              call 00426DD0
:0041C148 83C408                  add esp, 00000008
:0041C14B 85C0                    test eax, eax
:0041C14D 744F                    je 0041C19E
:0041C14F C745FCFFFFFFFF          mov [ebp-04], FFFFFFFF
:0041C156 8D4DFC                  lea ecx, dword ptr [ebp-04]
:0041C159 8818                    mov byte ptr [eax], bl
:0041C15B 51                      push ecx
:0041C15C 83C003                  add eax, 00000003

* Possible StringData Ref from Data Obj ->"%d"
                                  |
:0041C15F 68C0234300              push 004323C0
:0041C164 50                      push eax
:0041C165 E8A6AD0000              call 00426F10
:0041C16A 83C40C                  add esp, 0000000C
:0041C16D 8D8D00FDFFFF            lea ecx, dword ptr [ebp+FFFFFD00]
:0041C173 51                      push ecx
:0041C174 E83E670000              call 004228B7
:0041C179 83C404                  add esp, 00000004
:0041C17C 3945FC                  cmp dword ptr [ebp-04], eax
:0041C17F 751D                    jne 0041C19E
:0041C181 50                      push eax
:0041C182 8D8D00FDFFFF            lea ecx, dword ptr [ebp+FFFFFD00]
:0041C188 51                      push ecx
:0041C189 8D9500F9FFFF            lea edx, dword ptr [ebp+FFFFF900]

* Possible StringData Ref from Data Obj ->"----- 授 权 给 :   %s (%d) -----"
                                  |
:0041C18F 68D8514300              push 004351D8
:0041C194 52                      push edx

* Reference To: USER32.wsprintfA, Ord:0262h
                                  |
:0041C195 FF1554774400            Call dword ptr [00447754]
:0041C19B 83C410                  add esp, 00000010

* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:0041C135(C), :0041C14D(C), :0041C17F(C)
|
:0041C19E 80BD00F9FFFF00          cmp byte ptr [ebp+FFFFF900], 00
:0041C1A5 7515                    jne 0041C1BC
   我首先看到了这个字符串，"----- 授 权 给 :   %s (%d) -----"，在它上面有一个比
较的地方，那么程序一定是比较注册码或注册旗标吧，GetPrivateProfileStringA大家看到
这个函数了吧，那么这个函数是调用ini文件的（通常是这样的），现在使用filemon来查看
一下程序调用了什么ini文件呢？
  查看后发现程序调用了在winamp.exe同目录下的winamp.ini文件，这里的内容如下：
[Winamp]
……
RegisteredTo=
  分析后可知，程序是这样将注册码和名字放在一起的，为name!!!RN。这个格式，因为可
以从上面看到程序使用了!!!。好了，现在是设在
RegisteredTo=dahuilang!!!01234567，然后在下面
:0041C17C 3945FC                  cmp dword ptr [ebp-04], eax
设断了，下bpx 0041C17C 后运行程序，结果发现在[ebp-04]=0012d687，而eax=4E0C8C6，
这样就可以得到注册码了。
  RN=4E0C8C6=81840326
  这个就是dahuilang的注册码了。OK，这个版本的注册码破解就算结束了。

 名称：MultiSQL 1.0
授权方式：共享（注册费99美元）
系统基本配置：Windows 95/98/NT
作者（公司）：Legitima Software (http://www.legitima.com/)
软件简介：修改自己的数据库的SQL源代码，MultiSQL都不需要修正特定平台脚本，内置的
预处理程序，可以针对每一个你想使你的数据库用的平台，生成不同版本的特定脚本。
追踪：name:dahuilang
      RN:01234567
   现在开始追踪这个软件，这个如果使用修改的方法对它进行破解还是很好破解的，它没
有加壳，所以只要修改两处就可以了。但是你要是想得到这个软件的注册码就一定要分析它
的算法了，要不你是无法得到注册码的。
  现在使用bpx hmemcpy来进行拦截程序，这个程序现在应当提一点的是，如果你注册失败
的话，它没有任何提示，所以这里只好使用试了。
:004575ED E87E78FDFF              call 0042EE70
:004575F2 8B45FC                  mov eax, dword ptr [ebp-04]  <-加到主程序中
:004575F5 50                      push eax
:004575F6 8D55F8                  lea edx, dword ptr [ebp-08]
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0045758A(C)
|
:004575F9 8B83E8020000            mov eax, dword ptr [ebx+000002E8]
:004575FF E86C78FDFF              call 0042EE70
:00457604 8B55F8                  mov edx, dword ptr [ebp-08]
:00457607 8B83EC020000            mov eax, dword ptr [ebx+000002EC]
:0045760D 59                      pop ecx
:0045760E E845070000              call 00457D58
:00457613 48                      dec eax
:00457614 2C02                    sub al, 02
:00457616 7204                    jb 0045761C
:00457618 741E                    je 00457638
:0045761A EB36                    jmp 00457652
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457616(C)
|
:0045761C 8B83EC020000            mov eax, dword ptr [ebx+000002EC]
:00457622 8B4854                  mov ecx, dword ptr [eax+54]
:00457625 B201                    mov dl, 01
:00457627 A1AC754000              mov eax, dword ptr [004075AC]
:0045762C E86736FBFF              call 0040AC98
:00457631 E836C0FAFF              call 0040366C
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004575C7(C)
|
:00457636 EB1A                    jmp 00457652
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457618(C)
|
:00457638 8B83EC020000            mov eax, dword ptr [ebx+000002EC]
:0045763E 8B4850                  mov ecx, dword ptr [eax+50]
:00457641 B201                    mov dl, 01
:00457643 A1AC754000              mov eax, dword ptr [004075AC]
:00457648 E84B36FBFF              call 0040AC98
:0045764D E81AC0FAFF              call 0040366C
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:0045761A(U), :00457636(U)
|
:00457652 C7833402000001000000    mov dword ptr [ebx+00000234], 00000001
:0045765C 33C0                    xor eax, eax
:0045765E 5A                      pop edx
:0045765F 59                      pop ecx
:00457660 59                      pop ecx
:00457661 648910                  mov dword ptr fs:[eax], edx
:00457664 687E764500              push 0045767E
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0045767C(U)
|
:00457669 8D45F8                  lea eax, dword ptr [ebp-08]
:0045766C BA02000000              mov edx, 00000002
:00457671 E866C5FAFF              call 00403BDC
:00457676 C3                      ret
  程序从上面的地方出来后，在下面不远处就有一个踊跃的地方，其实这个地方就是关键的
比较地方，如果想使用修改方法这里将是第一处修改的地方，但是今天在这里想得到注册码
的，所以只好进入那个call中。
|:0045760E   , :00457ECE   
|
:00457D58 55                      push ebp
:00457D59 8BEC                    mov ebp, esp
:00457D5B 81C4DCFEFFFF            add esp, FFFFFEDC
:00457D61 53                      push ebx
:00457D62 33DB                    xor ebx, ebx
:00457D64 899DDCFEFFFF            mov dword ptr [ebp+FFFFFEDC], ebx
:00457D6A 894DF4                  mov dword ptr [ebp-0C], ecx
:00457D6D 8955F8                  mov dword ptr [ebp-08], edx
:00457D70 8945FC                  mov dword ptr [ebp-04], eax
:00457D73 8B45F8                  mov eax, dword ptr [ebp-08]
:00457D76 E871C2FAFF              call 00403FEC
:00457D7B 8B45F4                  mov eax, dword ptr [ebp-0C]
:00457D7E E869C2FAFF              call 00403FEC
:00457D83 33C0                    xor eax, eax
:00457D85 55                      push ebp
:00457D86 68AD7E4500              push 00457EAD
:00457D8B 64FF30                  push dword ptr fs:[eax]
:00457D8E 648920                  mov dword ptr fs:[eax], esp
:00457D91 8B45FC                  mov eax, dword ptr [ebp-04]
:00457D94 66C740260000            mov [eax+26], 0000
:00457D9A 8B45FC                  mov eax, dword ptr [ebp-04]
:00457D9D 66C740380000            mov [eax+38], 0000
:00457DA3 8B45FC                  mov eax, dword ptr [ebp-04]
:00457DA6 83C03C                  add eax, 0000003C
:00457DA9 E80ABEFAFF              call 00403BB8
:00457DAE 837DF800                cmp dword ptr [ebp-08], 00000000 ***
:00457DB2 7509                    jne 00457DBD
:00457DB4 C645F301                mov [ebp-0D], 01
:00457DB8 E9CA000000              jmp 00457E87
  进入后将来到第一比较的地方***，这里是什么呢？其实这里是比较你的注册码是否为空
，如果不为空就向下进行了，所以在这里不用花费太多的时间来研究它了。
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457DB2(C)
|
:00457DBD 8D85E0FEFFFF            lea eax, dword ptr [ebp+FFFFFEE0]
:00457DC3 8B55F8                  mov edx, dword ptr [ebp-08]
:00457DC6 B9FF000000              mov ecx, 000000FF
:00457DCB E844C0FAFF              call 00403E14
:00457DD0 8D85E0FEFFFF            lea eax, dword ptr [ebp+FFFFFEE0]
:00457DD6 8D55E2                  lea edx, dword ptr [ebp-1E]
:00457DD9 B908000000              mov ecx, 00000008
:00457DDE E889F4FFFF              call 0045726C
:00457DE3 8B45FC                  mov eax, dword ptr [ebp-04]
:00457DE6 668B4024                mov ax, word ptr [eax+24]
:00457DEA 50                      push eax
:00457DEB 8D55EA                  lea edx, dword ptr [ebp-16]
:00457DEE 8D45E2                  lea eax, dword ptr [ebp-1E]
:00457DF1 B908000000              mov ecx, 00000008
:00457DF6 E811F4FFFF              call 0045720C
:00457DFB 8D45EA                  lea eax, dword ptr [ebp-16]
:00457DFE BA06000000              mov edx, 00000006
:00457E03 E848F3FFFF              call 00457150
:00457E08 663B45F0                cmp ax, word ptr [ebp-10]
:00457E0C 7406                    je 00457E14
:00457E0E C645F302                mov [ebp-0D], 02
:00457E12 EB73                    jmp 00457E87
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457E0C(C)
|
:00457E14 8D95DCFEFFFF            lea edx, dword ptr [ebp+FFFFFEDC]
:00457E1A 8B45F4                  mov eax, dword ptr [ebp-0C]
:00457E1D E8B204FBFF              call 004082D4
:00457E22 8B85DCFEFFFF            mov eax, dword ptr [ebp+FFFFFEDC]
:00457E28 E8CFC1FAFF              call 00403FFC
:00457E2D 50                      push eax
:00457E2E 8B45F4                  mov eax, dword ptr [ebp-0C]
:00457E31 E802C0FAFF              call 00403E38
:00457E36 8BD0                    mov edx, eax
:00457E38 58                      pop eax
:00457E39 E812F3FFFF              call 00457150
:00457E3E 663B45EA                cmp ax, word ptr [ebp-16]
:00457E42 7406                    je 00457E4A
:00457E44 C645F303                mov [ebp-0D], 03
:00457E48 EB3D                    jmp 00457E87
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457E42(C)
|
:00457E4A C645F300                mov [ebp-0D], 00
:00457E4E 668B45EC                mov ax, word ptr [ebp-14]
:00457E52 8B55FC                  mov edx, dword ptr [ebp-04]
:00457E55 66894226                mov word ptr [edx+26], ax
:00457E59 668B45EE                mov ax, word ptr [ebp-12]
:00457E5D 8B55FC                  mov edx, dword ptr [ebp-04]
:00457E60 66894238                mov word ptr [edx+38], ax
:00457E64 8B45FC                  mov eax, dword ptr [ebp-04]
:00457E67 C6403A00                mov [eax+3A], 00
:00457E6B 8B45FC                  mov eax, dword ptr [ebp-04]
:00457E6E 83C040                  add eax, 00000040
:00457E71 8B55F4                  mov edx, dword ptr [ebp-0C]
:00457E74 E893BDFAFF              call 00403C0C
:00457E79 8B45FC                  mov eax, dword ptr [ebp-04]
:00457E7C 83C03C                  add eax, 0000003C
:00457E7F 8B55F8                  mov edx, dword ptr [ebp-08]
:00457E82 E885BDFAFF              call 00403C0C
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:00457DB8(U), :00457E12(U), :00457E48(U)
|
:00457E87 33C0                    xor eax, eax
:00457E89 5A                      pop edx
:00457E8A 59                      pop ecx
:00457E8B 59                      pop ecx
:00457E8C 648910                  mov dword ptr fs:[eax], edx
:00457E8F 68B47E4500              push 00457EB4
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457EB2(U)
|
:00457E94 8D85DCFEFFFF            lea eax, dword ptr [ebp+FFFFFEDC]
:00457E9A E819BDFAFF              call 00403BB8
:00457E9F 8D45F4                  lea eax, dword ptr [ebp-0C]
:00457EA2 BA02000000              mov edx, 00000002
:00457EA7 E830BDFAFF              call 00403BDC
:00457EAC C3                      ret
  在这段程序中，你可以得到两个比较的地方，如果想使用修改方法来破解的话，就将这两
个地方修改成jmp就可以了，以后就成为了注册版本了。具体修改我想你一定会做了，我就
不多说了。
  现在来分析第一比较的地方，这个是什么呢？
:00457DFE BA06000000              mov edx, 00000006
:00457E03 E848F3FFFF              call 00457150
:00457E08 663B45F0                cmp ax, word ptr [ebp-10]
:00457E0C 7406                    je 00457E14
:00457E0E C645F302                mov [ebp-0D], 02
:00457E12 EB73                    jmp 00457E87
  这里其实是比较注册码的地方，但是是将输入的注册码经过运算后的比较过程，对于破解
这样的程序，一定要知道它的运算过程，如果不知道的话就没有办法破解它了。
  进入call 00457150：
:00457150 55                      push ebp
:00457151 8BEC                    mov ebp, esp
:00457153 81C4F0FEFFFF            add esp, FFFFFEF0
:00457159 53                      push ebx
:0045715A 56                      push esi
:0045715B 57                      push edi
:0045715C 33C9                    xor ecx, ecx
:0045715E 898DF4FEFFFF            mov dword ptr [ebp+FFFFFEF4], ecx
:00457164 898DF0FEFFFF            mov dword ptr [ebp+FFFFFEF0], ecx  **
:0045716A 8955F8                  mov dword ptr [ebp-08], edx
:0045716D 8945FC                  mov dword ptr [ebp-04], eax   ***
:00457170 33C0                    xor eax, eax
:00457172 55                      push ebp
:00457173 68FC714500              push 004571FC
:00457178 64FF30                  push dword ptr fs:[eax]
:0045717B 648920                  mov dword ptr fs:[eax], esp
:0045717E 8DB5F8FEFFFF            lea esi, dword ptr [ebp+FFFFFEF8]
:00457184 46                      inc esi
:00457185 33FF                    xor edi, edi
:00457187 BB01000000              mov ebx, 00000001
:0045718C 3B5DF8                  cmp ebx, dword ptr [ebp-08]
:0045718F 7F4D                    jg 004571DE
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004571DC(C)
|
:00457191 66C7060000              mov word ptr [esi], 0000
:00457196 8D85F4FEFFFF            lea eax, dword ptr [ebp+FFFFFEF4]
:0045719C 50                      push eax
:0045719D 8D85F0FEFFFF            lea eax, dword ptr [ebp+FFFFFEF0]   ****
:004571A3 8B55FC                  mov edx, dword ptr [ebp-04]
:004571A6 E8C5CBFAFF              call 00403D70
:004571AB 8B85F0FEFFFF            mov eax, dword ptr [ebp+FFFFFEF0]   *****
:004571B1 B902000000              mov ecx, 00000002
:004571B6 8BD3                    mov edx, ebx
:004571B8 E883CEFAFF              call 00404040
:004571BD 8B95F4FEFFFF            mov edx, dword ptr [ebp+FFFFFEF4]
:004571C3 8D85F8FEFFFF            lea eax, dword ptr [ebp+FFFFFEF8]
:004571C9 B9FF000000              mov ecx, 000000FF
:004571CE E841CCFAFF              call 00403E14
:004571D3 66033E                  add di, word ptr [esi]         ******
:004571D6 83C302                  add ebx, 00000002
:004571D9 3B5DF8                  cmp ebx, dword ptr [ebp-08]
:004571DC 7EB3                    jle 00457191
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0045718F(C)
|
:004571DE 33C0                    xor eax, eax
:004571E0 5A                      pop edx
:004571E1 59                      pop ecx
:004571E2 59                      pop ecx
:004571E3 648910                  mov dword ptr fs:[eax], edx
:004571E6 6803724500              push 00457203
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457201(U)
|
:004571EB 8D85F0FEFFFF            lea eax, dword ptr [ebp+FFFFFEF0]
:004571F1 BA02000000              mov edx, 00000002
:004571F6 E8E1C9FAFF              call 00403BDC
:004571FB C3                      ret

:004571FC E933C4FAFF              jmp 00403634
:00457201 EBE8                    jmp 004571EB
:00457203 8BC7                    mov eax, edi
:00457205 5F                      pop edi
:00457206 5E                      pop esi
:00457207 5B                      pop ebx
:00457208 8BE5                    mov esp, ebp
:0045720A 5D                      pop ebp
:0045720B C3                      ret
  现在我已经进入这个call中了，在这个上面就是程序返回的值的地方，因为在这个call外
面是使用ax的值来进行比较的，那么我就关注这个ax的值，上面有将edi值给eax的语句，所
以在程序中就要注意这个edi的值了。
  我使用*来表示说明的地方，首先可以看到******这个地方可以修改edi的值，经过我动态
分析，可以知道了，在*****的值决定的esi的值，而在*****的值又是由****的值得到的，
我以为这个****的值在这个call中加以运算的，但是分析后发现原来不是在这个call中运算
的，为什么呢？因为****的地方上的值是由***的值得到的，而这个值是由程序进入call后
带来的，所以它一定是这个call上面的运算结果。
  但是现在我们还是不要急于找到上面的call，先来看一看这里是什么样的运算。
  经过动态分析可以知道，其实这里是将在[ebp+FFFFFEF0]的值共有16位值四位四位相加得
到的di值，现在一定要记住这点对以后运行很有帮助的。
 现在再来分析另一个比较的地方，因为这个地方如果后分析的话，将对破解有很大的阻碍
，现在就来看一看它是什么？
:00457E39 E812F3FFFF              call 00457150
:00457E3E 663B45EA                cmp ax, word ptr [ebp-16]
:00457E42 7406                    je 00457E4A
:00457E44 C645F303                mov [ebp-0D], 03
:00457E48 EB3D                    jmp 00457E87
  这是第三个比较的地方，因为它同第二比较的地方使用同一个函数，这说明它的入口参数
不同，动态分析后发现，原来这里入口参数是使用name的值来为入口参数。它使用name运行
后得到一个结果，再同前面提到的[ebp+FFFFFEF0]前四位值进行比较，如果相等就说明的正
确的注册码了。所以在这里应当是先得到这个值，通过动态分析，可以知道以name为入口参
数的值运算出来为ax=315D，所以现在我们就可以得到前四位数值为315D，这样对吗？到下
面介绍再说了。
  现在是如何得到[ebp+FFFFFEF0]这个值了，因为这个值决定了注册码的正确与否，那么它
是如何得到的呢？这里就要看下面：
:00457DF6 E811F4FFFF              call 0045720C
:00457DFB 8D45EA                  lea eax, dword ptr [ebp-16]
:00457DFE BA06000000              mov edx, 00000006
:00457E03 E848F3FFFF              call 00457150
:00457E08 663B45F0                cmp ax, word ptr [ebp-10]
:00457E0C 7406                    je 00457E14
:00457E0E C645F302                mov [ebp-0D], 02
:00457E12 EB73                    jmp 00457E87
  这里就是前面提到的比较地方，因为我在前面已经说过这个值是由外面的call计算的结果
，通过分析，就是call 0045720C计算的结果，现在就进入这个call中，来看一看我为什么
要说这个是一个十六位的值。
:0045720C 55                      push ebp
:0045720D 8BEC                    mov ebp, esp
:0045720F 83C4F8                  add esp, FFFFFFF8
:00457212 53                      push ebx
:00457213 56                      push esi
:00457214 8BF1                    mov esi, ecx
:00457216 8955F8                  mov dword ptr [ebp-08], edx
:00457219 8945FC                  mov dword ptr [ebp-04], eax
:0045721C 8B5D08                  mov ebx, dword ptr [ebp+08]
:0045721F 8BCE                    mov ecx, esi
:00457221 8B55FC                  mov edx, dword ptr [ebp-04]
:00457224 8B45F8                  mov eax, dword ptr [ebp-08]
:00457227 E87019FBFF              call 00408B9C
:0045722C 4E                      dec esi
:0045722D 85F6                    test esi, esi
:0045722F 7C31                    jl 00457262
:00457231 46                      inc esi
:00457232 33C0                    xor eax, eax
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457260(C)
|
:00457234 8B55FC                  mov edx, dword ptr [ebp-04]
:00457237 8A1402                  mov dl, byte ptr [edx+eax]
:0045723A 0FB7CB                  movzx ecx, bx
:0045723D C1E908                  shr ecx, 08
:00457240 32D1                    xor dl, cl
:00457242 8B4DF8                  mov ecx, dword ptr [ebp-08]
:00457245 881401                  mov byte ptr [ecx+eax], dl
:00457248 8B55FC                  mov edx, dword ptr [ebp-04]
:0045724B 0FB61402                movzx edx, byte ptr [edx+eax]
:0045724F 6603DA                  add bx, dx
:00457252 6669D36DCE              imul dx, bx, CE6D
:00457257 6681C2BF58              add dx, 58BF
:0045725C 8BDA                    mov ebx, edx
:0045725E 40                      inc eax
:0045725F 4E                      dec esi
:00457260 75D2                    jne 00457234
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0045722F(C)
|
:00457262 5E                      pop esi
:00457263 5B                      pop ebx
:00457264 59                      pop ecx
:00457265 59                      pop ecx
:00457266 5D                      pop ebp
:00457267 C20400                  ret 0004
  这里就是通过输入的注册码计算[ebp+FFFFFEF0]的值地方，那么它是如何计算的呢？我在
前面说过这个是一个十六位的注册码，如何得到的呢？就是通过这个esi计数器来得到的，
因为我将注册码修改了几个位后发现这个esi就是等于8，我们每次计算的时候取两个值来计
算，所以在这里就可以得到注册码的位数为16位。
  这里先向大家解释一下，程序到这里已经将注册码变为这个样了。
  [edx+eax]=01234567890123456 这里是指位置了。
  也就是dl=[edx+eax]
  那么这个dl=01。
  现在开始介绍运行。
  1 取dl值，
  2 得到ebx的初始值=006D7DF5
  3 将ebx值给ecx
  4 ecx左移8位
  5 dl=dl XOR cl
  6 取原来的ebx值给ecx
  7 保存dl结果（这个就是前面提到[ebp+FFFFFEF0]的值）
  8 取原来的[edx+eax]值
  9 bx=bx+dx
  10 dx=bx*CE6D
  11 dx=dx+58BF
  12 bx=dx
  13 查看计算器到8没有，如果没到加到1，如果到了向下进行
  上面就是这个软件的运算过程。这样的运算如果你常常破解的话，一定不会陌生的。它是
通过前一个值来计算后一个值的，所以这样的计算通常都比较麻烦，但是这里可以有很简便
的方法来得到注册码的。
  因为要得到的dl值是通过同cl值XOR后得到的。而对于前面那个比较过程如下：
:00457E03 E848F3FFFF              call 00457150
:00457E08 663B45F0                cmp ax, word ptr [ebp-10]
:00457E0C 7406                    je 00457E14
:00457E0E C645F302                mov [ebp-0D], 02
:00457E12 EB73                    jmp 00457E87
  这里的ax值为[ebp+FFFFFEF0]前八位的和，而[ebp-10]是后面八位的和。而在前面又得到
前四位一定要为5D31（因为程序是将两个值反过来使用的）。所以现在就可以想将[ebp+FFF
FFEF0]能够能够得到下面这个值就可以满足注册条件的。
 [ebp+FFFFFEF0]=5D 31 00 00 00 00 5D 31
 现在分析一下就可以知道这样的值一定可以得到注册的。现在是如何得到这个值呢？
:00457234 8B55FC                  mov edx, dword ptr [ebp-04]
:00457237 8A1402                  mov dl, byte ptr [edx+eax]
:0045723A 0FB7CB                  movzx ecx, bx
:0045723D C1E908                  shr ecx, 08
:00457240 32D1                    xor dl, cl
:00457242 8B4DF8                  mov ecx, dword ptr [ebp-08]
:00457245 881401                  mov byte ptr [ecx+eax], dl
:00457248 8B55FC                  mov edx, dword ptr [ebp-04]
:0045724B 0FB61402                movzx edx, byte ptr [edx+eax]
:0045724F 6603DA                  add bx, dx
:00457252 6669D36DCE              imul dx, bx, CE6D
:00457257 6681C2BF58              add dx, 58BF
:0045725C 8BDA                    mov ebx, edx
:0045725E 40                      inc eax
:0045725F 4E                      dec esi
:00457260 75D2                    jne 00457234
 现在使用动态分析的方法最好的，因为我就是使用动态分析的方法得到注册码的。因为程
序是使用前一位来计算后一位的方法，所以只能一个一个得到注册码的。
  比如第一个前两位为：
  ebx左移8位后得到值为7D，因为要求结果为5D，所以有下面的等式
  5D=7D XOR ??
  那么通过反查异或表可以得到??值为20。现在就跳回windows中，将前两个值设为20后，
再运行程序，可以看到第一次计算的结果变为了5D，现在记住第二次运行到下面的dl值
:00457240 32D1                    xor dl, cl
  因为我们要通过这个值来计算注册码的。这个值为ED，又有下面等式：
  31=ED XOR ??
  可以得到??为DC，这个注册码的前四位就知道了为20DC，就这样最后可以完全得到16位的
注册码。
  这里破解也就结束了。
  希望大家能够明白其原理吧。

                 **************************
                 *  name:dahuilang        *
                 *  RN:20DC929D427898C8   *
                 **************************
《飞天餐饮娱乐管理系统》的暴力破解法： 
chn-boy
  1）在004A2A48处 
    改：0F 85 8A 00 00 00 C7 05 74 2C 52 00 01 00 00 00 
        ^^ ^^ ^^ ^^ ^^ ^^ 
    为：90 90 90 90 90 90 

  2）在004A1B29处 
    改：74 04 33 C0 EB 0A 42 40 49 75 F1 
        ^^ 
    为：EB 

    然后，随便用你的姓名和足够长的Code注册，注册完以后关闭程序，重新运行你就可以
看到结果了。 


【算法代码分析】 
    此软件的注册码算法很复杂（真的不知道有没有弄懂的必要，呵呵）。 
    假设姓名为Name 简称 N 字符串；注册码为Code 简称 C 字符串；另外此算法还根据C
得到了一个 KEY 简称 K 字符串。 
    令C' = Fc(C) —— 其中 Fc()为函数其意义为：将字符串 C 去掉 '-'后两两合并，例
如：1234-56789012-3456 合 
并成 12 34 56 78 90 12 34 56（16进制）共八个字节。又如：1a2b-3c4d5e6f-7g8h 合并
成：1a 2b 3c 4d 5e 6f 7g 8h 。 
这个函数是004A1AE3处的call 004A187C 。 
:004A1AD0 55                      push ebp 
:004A1AD1 8BEC                    mov ebp, esp 
:004A1AD3 83C4F0                  add esp, FFFFFFF0 
:004A1AD6 53                      push ebx 
:004A1AD7 56                      push esi 
:004A1AD8 57                      push edi 
:004A1AD9 8BD9                    mov ebx, ecx 
:004A1ADB 8BF8                    mov edi, eax 
:004A1ADD 8B7508                  mov esi, dword ptr [ebp+08] 
:004A1AE0 8D45F0                  lea eax, dword ptr [ebp-10] 
:004A1AE3 E894FDFFFF              call 004A187C <-- Fc()函数，在这里下中断，用do "d eax; p;"可以看到C'字符串 
:004A1AE8 85C0                    test eax, eax 
:004A1AEA 7504                    jne 004A1AF0 
:004A1AEC 33C0                    xor eax, eax 
:004A1AEE EB49                    jmp 004A1B39 

    令K = Fk(C') = Fk(Fc(C)) —— 其中Fk()的定义如下面代码段： 
:004A1AF0 8BC6                    mov eax, esi 
:004A1AF2 8D55F0                  lea edx, dword ptr [ebp-10] 
:004A1AF5 E806FDFFFF              call 004A1800  <-- 这个Call是根据C'得到一个Key，简称K字符串 
  <-- 具体的定义为：将Fc(C)后面的4个字节的值分别*4+xxxx（xxxx表示0x0004, 0x0404, 0x0804, 0x0C04），将得到的值 
      从一个长度为1000H的表中查找出值进行加和xor运算，得到的值作为入口参数再进行运算，共循环0x10次。代码如： 
        :004A14A6 C645F7F0                mov [ebp-09], F0 
        :004A14AA 8D75F0                  lea esi, dword ptr [ebp-10] 
        :004A14AD 331E                    xor ebx, dword ptr [esi] 
        :004A14AF 8D95ACEFFFFF            lea edx, dword ptr [ebp+FFFFEFAC] 
        :004A14B5 8BC3                    mov eax, ebx 
        :004A14B7 E8D4FEFFFF              call 004A1390  <-- 运算在这个Call中运行 
        :004A14BC 33F8                    xor edi, eax 
        :004A14BE 8BC3                    mov eax, ebx 
        :004A14C0 8BDF                    mov ebx, edi 
        :004A14C2 8BF8                    mov edi, eax 
        :004A14C4 83EE04                  sub esi, 00000004 
        :004A14C7 FE45F7                  inc [ebp-09] 
        :004A14CA 75E1                    jne 004A14AD 
  <-- Call 004A1390的代码为： 
          :004A1390 56                      push esi 
          :004A1391 57                      push edi 
          :004A1392 81C404F0FFFF            add esp, FFFFF004 
          :004A1398 50                      push eax 
          :004A1399 83C4FC                  add esp, FFFFFFFC 
          :004A139C 8BF2                    mov esi, edx 
          :004A139E 8D7C2404                lea edi, dword ptr [esp+04] 
          :004A13A2 B900040000              mov ecx, 00000400 
          :004A13A7 F3                      repz 
          :004A13A8 A5                      movsd 
          :004A13A9 890424                  mov dword ptr [esp], eax 
          :004A13AC 8BC4                    mov eax, esp 
          :004A13AE 33D2                    xor edx, edx 
          :004A13B0 8A5003                  mov dl, byte ptr [eax+03] 
          :004A13B3 8B549404                mov edx, dword ptr [esp+4*edx+04] 
          :004A13B7 33C9                    xor ecx, ecx 
          :004A13B9 8A4802                  mov cl, byte ptr [eax+02] 
          :004A13BC 03948C04040000          add edx, dword ptr [esp+4*ecx+00000404] 
          :004A13C3 33C9                    xor ecx, ecx 
          :004A13C5 8A4801                  mov cl, byte ptr [eax+01] 
          :004A13C8 33948C04080000          xor edx, dword ptr [esp+4*ecx+00000804] 
          :004A13CF 0FB600                  movzx eax, byte ptr [eax] 
          :004A13D2 039484040C0000          add edx, dword ptr [esp+4*eax+00000C04] 
          :004A13D9 8BC2                    mov eax, edx 
          :004A13DB 81C404100000            add esp, 00001004 
          :004A13E1 5F                      pop edi 
          :004A13E2 5E                      pop esi 
          :004A13E3 C3                      ret 

:004A1AFA 8903                    mov dword ptr [ebx], eax 
:004A1AFC 8B06                    mov eax, dword ptr [esi] 

    下面的一个Call是计算另一个字符串的，假定为C''，共分三步走：第一步：计算出N'=
Fn(N)；第二步：然后将N'的前3个字符 
用K字符串的前三个字符代替，假定为N''=F3(K, N')=F3(Fk(C'), N')=F3(Fk(Fc(C)), Fn(N
))；第三步：将得到的N''字符串按照 
Fk()类似的方法通过一定量的Add和xor运算后(也是调用了Call 004A1390，只是不同的输入
参数，哪怕是1bit的不同也会得到一个 
完全不同的新字符串，痛苦)，得到C''，可以令C''=F(N'')，那么如果C'==C''，那么，一
切就是OK。嘿嘿 
:004A1AFE 50                      push eax 
:004A1AFF 8B0B                    mov ecx, dword ptr [ebx] 
:004A1B01 8D45F8                  lea eax, dword ptr [ebp-08] 
:004A1B04 8BD7                    mov edx, edi 
:004A1B06 E845FBFFFF              call 004A1650 <-- 这个Call是根据N和K字符串得到
一个新的字符串C''=F0(N, K) 
:004A1B0B 85C0                    test eax, eax 
:004A1B0D 7504                    jne 004A1B13 
:004A1B0F 33C0                    xor eax, eax 
:004A1B11 EB26                    jmp 004A1B39 
:004A1B13 8B0DC0F15100            mov ecx, dword ptr [0051F1C0] 
:004A1B19 49                      dec ecx 
:004A1B1A 85C9                    test ecx, ecx 
:004A1B1C 7C16                    jl 004A1B34 
:004A1B1E 41                      inc ecx 
:004A1B1F 8D45F8                  lea eax, dword ptr [ebp-08] 
:004A1B22 8D55F0                  lea edx, dword ptr [ebp-10] 

:004A1B25 8A18                    mov bl, byte ptr [eax]    | 
:004A1B27 3A1A                    cmp bl, byte ptr [edx]    | 
:004A1B29 EB04                    jmp 004A1B2F              |不用看就知道是在比较两个运算好的 
:004A1B2B 33C0                    xor eax, eax              |新的字符串，其实就是我上面提到的 
:004A1B2D EB0A                    jmp 004A1B39              |那个C' 和 C''。相等就是了 
:004A1B2F 42                      inc edx                  | 
:004A1B30 40                      inc eax                  | 
:004A1B31 49                      dec ecx                  | 
:004A1B32 75F1                    jne 004A1B25              | 

:004A1B34 B801000000              mov eax, 00000001 <--关键就是要得到这个Eax=1； 
:004A1B39 5F                      pop edi 
:004A1B3A 5E                      pop esi 
:004A1B3B 5B                      pop ebx 
:004A1B3C 8BE5                    mov esp, ebp 
:004A1B3E 5D                      pop ebp 
:004A1B3F C20400                  ret 0004 

最终你会得到一个表达式 C'==C'' 即 Fc(C)=F(N'')=F(F3(K, N'))=F(F3(Fk(Fc(C)), Fn(N
)))，那么谁能告诉我如何根据这个表达式 
用N求出C来？