【编辑寄语】
{~._.~}
( Y )
()~*~()
(_)-(_)
|
����今天的杂志发行，我想告诉大家两件事情。对于第一件事情大家一定都会看到，那就是杂志从今天开始将以新的面貌同大家见面了，因为从网友处得到的消息和提出的意见和建议，对于黑色作为底色不利于长时间的阅读和研究，所以从这期开始将以现在的底色制作杂志。对于第二件事情吗？我的网站已经同看雪网站做了友情联接，同时也同wind安全站做了友情联接。我将在本期网站介绍栏目上介绍看雪网站，并且将在下期介绍wind安全网站。大家还记得第六期杂志中介绍的 Custom StartUp 1.01的软件破解方法吗？这次将让大家看一看提到的Screen Taker V2.31的破解过程。它们两个其实就是一个公司出的作品。如果你想验证自己的破解水平，不妨试一试这两个软件。 |
| ����★破解心得 | ||
| 1……Screen Taker V2.31 | 程式猎人 | |
| 2……How to crack ZanNet 1.0 Build 8121 | dREAMtHEATER | |
| 3……How to crack AtomTime v2.1a by BuLLeT | BuLLeT | |
| ����★初学天地 | ||
| ����★问题答疑 | ||
| ����★网站介绍 | ||
| ����★杂志信箱 | ||
Screen Taker V2.31
程式猎人
简介：一个相当不错的屏幕捕捉软件，可惜哥们没有使用过
追踪：first name:dahuilang
second name:jhw
RN:0000-12345678
这个软件是我向大家介绍的第二篇文章，在杂志的第六期中介绍过如何破解Custom StartUp 1.01，
今天在这里向大家介绍一下这个软件的破解过程，其实我的先破解的这个软件，后破解的那个
Custom StartUp 1.01。
现在开始介绍如何破解这个软件，这个软件的注册码运算过程是一个相当复杂的过程，
说它复杂是因为它经过了一次XOR和一次OR操作后，算出一个数值来，再使用这个数值进行
比较，如果满足条件的话，才能注册成功。现在就向下来看如何破解它。
:00446485 8B049D2CB44400 mov eax, dword ptr [4*ebx+0044B42C] <-xw33
:0044648C 8B55FC mov edx, dword ptr [ebp-04] <-0000
:0044648F E8D4D6FBFF call 00403B68
:00446494 75E9 jne 0044647F
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00446483(C)
|
:00446496 83FB02 cmp ebx, 00000002
:00446499 7E04 jle 0044649F
:0044649B 33DB xor ebx, ebx
:0044649D EB73 jmp 00446512
在这里程序是比较注册码的前四位，这前四位是明码，并且它有两个，我们可以任意等于
其中的一个，这里我就使用xw33，现在还要说一句，以后的程序将使用这个值来进行运算，
就是前面所说的XOR运算，这要等到以后再说了。
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00446499(C)
|
:0044649F 33C0 xor eax, eax
:004464A1 55 push ebp
:004464A2 68CF644400 push 004464CF
:004464A7 64FF30 push dword ptr fs:[eax]
:004464AA 648920 mov dword ptr fs:[eax], esp
:004464AD 8D4DF4 lea ecx, dword ptr [ebp-0C]
:004464B0 8B55F8 mov edx, dword ptr [ebp-08]
:004464B3 8B45FC mov eax, dword ptr [ebp-04]
:004464B6 E849FAFFFF call 00445F04
:004464BB 8B45F4 mov eax, dword ptr [ebp-0C]
:004464BE E86108FCFF call 00406D24 <-出错，进入
:004464C3 8BD8 mov ebx, eax
:004464C5 33C0 xor eax, eax
:004464C7 5A pop edx
:004464C8 59 pop ecx
:004464C9 59 pop ecx
:004464CA 648910 mov dword ptr fs:[eax], edx
:004464CD EB13 jmp 004464E2
:004464CF E9B0CBFBFF jmp 00403084
:004464D4 33DB xor ebx, ebx
:004464D6 E84DCEFBFF call 00403328
:004464DB EB35 jmp 00446512
:004464DD E846CEFBFF call 00403328
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004464CD(U)
|
:004464E2 8BC3 mov eax, ebx
:004464E4 B943000000 mov ecx, 00000043
:004464E9 99 cdq
:004464EA F7F9 idiv ecx
:004464EC 8BC8 mov ecx, eax
:004464EE 83F901 cmp ecx, 00000001
:004464F1 7C08 jl 004464FB
:004464F3 81F9E8030000 cmp ecx, 000003E8
:004464F9 7E04 jle 004464FF
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004464F1(C)
|
:004464FB 33DB xor ebx, ebx
:004464FD EB13 jmp 00446512
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004464F9(C)
|
:004464FF 8BC3 mov eax, ebx
:00446501 B943000000 mov ecx, 00000043
:00446506 99 cdq
:00446507 F7F9 idiv ecx
:00446509 4A dec edx
:0044650A 7404 je 00446510
:0044650C 33DB xor ebx, ebx
:0044650E EB02 jmp 00446512
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0044650A(C)
|
:00446510 B301 mov bl, 01 ***
从0044649F到00446510这里是这个程序主要的比较过程，其中这里有我在上面标记的地方
出错，我因为已经将这个软件破解出来了，所以现在来讲解时，当然可以从系统的方面来介
绍它。那个出错的地方我们以后一定要进入，但是现在是先介绍它如何能注册成功。这个对
以后的运算目的是很重要的。在***处大家看到了吧，这里将使bl=1，而出错时是将bl=0，
这就说明这个程序如果要注册成功一定要让程序走到这个位置，那么我们必需回避那里才能
使用程序走到这里，我们在前比较明码的地方就已经知道了一个地方，就是下面的地方。
:0044649B 33DB xor ebx, ebx
:0044649D EB73 jmp 00446512
这里将bl=0，并且将跳到00446512，现在我想对那些初学者说一个小经验，就是象上面那
里可以跳到出错的地方，记住这个出错的地方的地址，只要以后能跳到这个地址的地方，都
是我们要避开的地方。现在大家向上看，那里有可以跳到出错的地方。
上面共有两个地方可以跳到出错的地方，那么我们就一定要回避这两个地方。现在就分析
一下如何回避它们。首先来看第一个地方，在那里我们将有什么样的结论呢？程序在那里使
用的eax/43(H)后，得到的余数一定要大于0小于3E8(H)，这样它才能不跳到出错的地方，不
知道你们是否看明白没有，如果没有可就不能怪我，你们就要学习学习汇编语言了。对于我
们已经知道的第一个可以避开出错的地方，那么有人会问那个eax从何而来的，这个大家先
不要去管它，我们先弄明白如何能避开出错的地方，到以后就是水到渠成了。现在我们再研
究一下第二个出错的地方。在这里它还是使用eax/43后得到余数edx，将edx-1应当等于0，
这样它才能跳到使bl=1的地方，这个也就是说eax/43后得到的余数一定要为1，这样才满足
程序的要求。好了现在所有的出错的地方我们都已经研究过了，我们现在的任务就是要如何
解决掉那个出错的call。现在就进入那个出错的call中，开始对它进行攻击。
如下：
:00406D41 8D55FC lea edx, dword ptr [ebp-04]
:00406D44 8BC3 mov eax, ebx
:00406D46 E80DBDFFFF call 00402A58 ***
:00406D4B 8BF0 mov esi, eax
:00406D4D 837DFC00 cmp dword ptr [ebp-04], 00000000
:00406D51 7423 je 00406D76
:00406D53 8D55F8 lea edx, dword ptr [ebp-08]
:00406D56 B85C674000 mov eax, 0040675C
:00406D5B E878DAFFFF call 004047D8
:00406D60 8B45F8 mov eax, dword ptr [ebp-08]
***处是一个关键地方，所以我们还要进入call中。
:00402A88 80EB30 sub bl, 30
:00402A8B 80FB09 cmp bl, 09
:00402A8E 772A ja 00402ABA
:00402A90 39F8 cmp eax, edi
:00402A92 7726 ja 00402ABA
:00402A94 8D0480 lea eax, dword ptr [eax+4*eax]
:00402A97 01C0 add eax, eax
:00402A99 01D8 add eax, ebx
:00402A9B 8A1E mov bl, byte ptr [esi]
:00402A9D 46 inc esi
:00402A9E 84DB test bl, bl
:00402AA0 75E6 jne 00402A88
:00402AA2 FECD dec ch
:00402AA4 7410 je 00402AB6
:00402AA6 85C0 test eax, eax
:00402AA8 7C10 jl 00402ABA
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:00402AB8(C), :00402AFD(U)
|
:00402AAA 59 pop ecx
:00402AAB 31F6 xor esi, esi
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00402ABD(U)
|
:00402AAD 8932 mov dword ptr [edx], esi
:00402AAF 5F pop edi
:00402AB0 5E pop esi
:00402AB1 5B pop ebx
:00402AB2 C3 ret
我们进入call后将来到这里，上面的地方大家发现没有，其实它就是运算我们前面所研究
的那个eax，在这里我们可以看到那个bl一定要有一定的要求。bl的值一定要在30(H)到39(H
)之间，也就是数字，而上面的过程就是将字符数字转化为运算的数字。也就是说字符串123
45使用上面的过程就可以将字符串转化为数字12345，这个有什么不同的？我想这个就不用
我再说了吧。再说一下，那个转化的数字是10进位的。
现在我们就可以知道了它的过程了。那么我们研究的关键是如何得到那个bl值，对了，这
个软件的注册关键就在这里。我们将如何得到那个经过运算过的bl值。
现在就应当展开搜捕了，捕捉到那个bl值了。经过我的追踪发现在主程序中call 00445F0
4这里将是第一次的运算bl过程。我们就进入call中看一看它将如何计算。
如下：
:00445F6B BE01000000 mov esi, 00000001
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00445FAE(C)
|
:00445F70 8BC6 mov eax, esi
:00445F72 03C0 add eax, eax
:00445F74 8B55F8 mov edx, dword ptr [ebp-08]
:00445F77 8A4402FE mov al, byte ptr [edx+eax-02] 奇数位上的值
:00445F7B E870FFFFFF call 00445EF0
:00445F80 8BD8 mov ebx, eax
:00445F82 C1E302 shl ebx, 02
:00445F85 8BC6 mov eax, esi
:00445F87 03C0 add eax, eax
:00445F89 8B55F8 mov edx, dword ptr [ebp-08]
:00445F8C 8A4402FF mov al, byte ptr [edx+eax-01] 相邻偶数上的值
:00445F90 E85BFFFFFF call 00445EF0
:00445F95 0AD8 or bl, al
:00445F97 8D45E0 lea eax, dword ptr [ebp-20]
:00445F9A 8BD3 mov edx, ebx
:00445F9C E8DFD9FBFF call 00403980
:00445FA1 8B55E0 mov edx, dword ptr [ebp-20]
:00445FA4 8D45E8 lea eax, dword ptr [ebp-18]
:00445FA7 E8B4DAFBFF call 00403A60
:00445FAC 46 inc esi
:00445FAD 4F dec edi
:00445FAE 75C0 jne 00445F70
上面就开始使用我们输入的后面10位值了。程序首先使用奇数位上的值如第1位1，将它带
入call 00445EF0中，算出一个值来，再将它＊4后，得到bl值，然后再使用相邻的偶数位上
的值（这里偶数位上的值是指奇数位后面的偶数），这里就将使用2来计算，将2带入同样的
call中，运算出第二个值来al，将bl OR al就可以得到一个运算的值，但是这个运算的值还
不是我们上面的bl值，在下面我们还要有一次运算。现在我们就来说一下那个call是如何运
算值的。这个就要参考我在下面提供的附表1了，call 00445EF0的计算实际上就是将我们输
入的字符找出在附表1中的位置值，如我输入的2，它在附表中的值就为36，那么它在出这个
call后的al=36，现在你们就应当明白它是如何计算我们输入的值了。现在我们还不能做什
么，因为在下面还有一个地方等着我们去分析它。
如下：
:00445FBF BE01000000 mov esi, 00000001
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00445FF1(C)
|
:00445FC4 8B45E8 mov eax, dword ptr [ebp-18]
:00445FC7 8A5C30FF mov bl, byte ptr [eax+esi-01] 前面得到的bl值
:00445FCB 8BC6 mov eax, esi
:00445FCD 99 cdq
:00445FCE F77DEC idiv [ebp-14]
:00445FD1 8B45FC mov eax, dword ptr [ebp-04]
:00445FD4 8A4410FF mov al, byte ptr [eax+edx-01] <-78 77 33 00 78
:00445FD8 32D8 xor bl, al
:00445FDA 8D45E0 lea eax, dword ptr [ebp-20]
:00445FDD 8BD3 mov edx, ebx
:00445FDF E89CD9FBFF call 00403980
:00445FE4 8B55E0 mov edx, dword ptr [ebp-20]
:00445FE7 8D45E4 lea eax, dword ptr [ebp-1C]
:00445FEA E871DAFBFF call 00403A60
:00445FEF 46 inc esi
:00445FF0 4F dec edi
:00445FF1 75D1 jne 00445FC4
上面就是程序第二个计算的地方，当在这里计算完后的值就是我们在将字符串转为数字的
值了。上面是如何计算的呢？上面我已经标明的所需要的条件了。它实际上就是使用我们在
前面第一次得到的bl值（共5个值）再同下面的那5个值进行XOR操作，得到的bl值将是我们
想要得到的值。
我们到此已经明白了这个软件的整个注册过程了，现在就是如何通过计算得到注册码了问
题了。那么我们将怎样计算得到注册码呢？我们在前面得到的可以避开出错地方的条件在这
里就得到了应用了。程序要求我们计算后的值除以43(H)后应当得到余数1，那么满足这个条
件的数值将有什么呢？这里我使用了最简单的一个值因为43(H)=67(D),那么只要计算得到68
就满足条件了。现在我们有了一个明确的值了，再进行前面的XOR操作就简单多了。
我们完成XOR后，应当得到0 0 0 6 8这5个值，这样就能注册成功了。我们就使用反推法
来计算第一个值，
bl XOR 78 =30
通过计算这个bl值应当等于48，而这个48的值是通过第1位的位置值＊4再同第2位的位置
值进行或操作得到的。现在就再来讨论如何得到这两个值，因为a OR b =48，这里因为使用
了OR操作，经我查OR表发现只有当0 OR 4 =4，4 OR 4=4（这里专指4的位），因为a和b都为
附表中的位置值，所以没有一个可以在首位上等于4的，所以在这里只有首位为0和1的满足
条件（因为bl＊4）。现在就设第1位为Q，那么第二位应当等于什么呢？我在这里就不向大
家介绍如何计算了，因为这里就比较简单了。满足条件应当为I，这样我们就得到的前两位
的注册码了。以下同上面一样，就可以得到这个软件的注册码了。
好了，我这节课也应当结束了，也不知道大家都听懂没有，如果没有听懂可以给我写信，
。再见！！！
附表1：
序号：0 1 2 3 4 5 6 7 8 9 A B C D E F 10 11 12 13 14 15
字母：A B C D E F G H I J K L M N O P Q R S T U V
序号：16 17 18 19 1A 1B 1C 1D 1E 1F 20 21 22 23 24 25 26 27 28 29 2A 2B 2C
字母：W X Y Z a b c d e f g h i j k l m n o p q r s
序号：2D 2E 2F 30 31 32 33 34 35 36 37 38 39 3A 3B 3C 3D
字母： t u v w x y z 0 1 2 3 4 5 6 7 8 9
*********************************
* First name: dahuilang *
* Second name:jhw *
* RN: xw33-QIQHADNyQA *
*********************************
Tutor 5 How to crack ZanNet 1.0 Build 8121
作者:dREAMtHEATER
E-mail:dreamtheater@263.net
写作日期:30th, July 1999
软件背景资料
运行平台: Win9X
文件名称: zannetr1.zip
程序类型: ServerClient管理
下载地点: www.zannet.com
文件大小: 383KB
使用的工具
SoftIce V3.25--Win9X Debugger
W32Dasm V8.93--Win9X Dissembler
Hex WorkShop v2.54--Hex Editor
RegSnap V2.51--Registry Tracer
难易程度
Easy(x) Medium( ) Hard( ) Pro( )
----------=======声明========----------
未经作者同意，不得修改、引用原文，一切权利保留。
本教程只供教学用，其他一切用途皆被禁止。
----------=======软件介绍========----------
ZanNet is a Windows 95 or 98 network client and Unix server that provide you with
a Windows 95/98 network drive to access your server files. The product includes network
provider and redirector for Windows 95/98 in addition to a Unix server. The server
portion ships with both POSIX compliant source code and binary support for select Unix
platforms. ZanNet is intended to replace both File Transfer Protocol (FTP) and Telnet
programs currently used to access web page and other files through an Internet Service
Provider (ISP).
----------=======软件的保护机制========-------
有三十天试用期，未注册时启动时出现nagscreen,提示你已使用多少天，安装时间保存在
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Nls\Oem5A\US
注册时，只需输入Reg Code,但不是hard code,后面会详细解释。注册后，注册信息保存在
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\ZanNet\NetworkProvider\GlobalSetti
ngs\RegistrationKey
----------=======正文========----------
Part1 最简单的注册码计算法
在SoftIce中设断点bpx getdlgitemtexta do "p ret;",Ctrl-D回到注册窗口，press
"Apply" button,重新回到SoftIce中,输入"bc *"
* Reference To: USER32.GetDlgItemTextA, Ord:00EDh
|
:10007568 FF1560E60110 Call dword ptr [1001E660]
:1000756E 688CC40110 push 1001C48C <==回到这里
:10007573 E8D85D0000 call 1000D350 〈==计算注册码
:10007578 83C404 add esp, 00000004
:1000757B 85C0 test eax, eax
:1000757D 7513 jne 10007592 <== if EAX=1,then jump 10007592
:1000757F 6A10 push 00000010
* Possible StringData Ref from Data Obj ->"ZanNet Error"
|
:10007581 6890920110 push 10019290
* Possible StringData Ref from Data Obj ->"Your registration is not valid"
|
:10007586 68749E0110 push 10019E74
让我们trace into 1000D350
* Referenced by a CALL at Addresses:
|:10007573 , :10007B1F
|
:1000D350 8B542404 mov edx, dword ptr [esp+04] <==edx指向输入的 code
:1000D354 57 push edi
:1000D355 8BFA mov edi, edx <==令edi同样指向输入的 code
:1000D357 B9FFFFFFFF mov ecx, FFFFFFFF <==ecx为循环记数器
:1000D35C 2BC0 sub eax, eax 〈== eax=0
:1000D35E F2 repnz
:1000D35F AE scasb
:1000D360 F7D1 not ecx
:1000D362 49 dec ecx <== 以上几步算出输入的 code的长度
:1000D363 83F910 cmp ecx, 00000010 〈==ecx与0x10即十进制16相比，这意
味着你必须输入16个字符
:1000D366 7404 je 1000D36C 〈==若等于16，jump to 1000D36C
:1000D368 33C0 xor eax, eax
:1000D36A 5F pop edi
:1000D36B C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D366(C)
|
:1000D36C 803A5A cmp byte ptr [edx], 5A 〈==取输入code的第一个字符，
并与0x5A比较，0x5A为ASCII码"Z"
:1000D36F 7404 je 1000D375 <==若相等,jump to 1000D375
:1000D371 33C0 xor eax, eax
:1000D373 5F pop edi
:1000D374 C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D36F(C)
|
:1000D375 807A014E cmp byte ptr [edx+01], 4E 〈==取输入code的第二个字
符，并与0x4E比较，0x4E为ASCII码"N"
:1000D379 7404 je 1000D37F <==若相等,jump to 1000D37F
:1000D37B 33C0 xor eax, eax
:1000D37D 5F pop edi
:1000D37E C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D379(C)
|
:1000D37F 807A0231 cmp byte ptr [edx+02], 31 〈==取输入code的第三个字
符，并与0x31比较，0x31为ASCII码"1"
:1000D383 7404 je 1000D389 〈==若相等,jump to 1000D389
:1000D385 33C0 xor eax, eax
:1000D387 5F pop edi
:1000D388 C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D383(C)
|
:1000D389 807A0330 cmp byte ptr [edx+03], 30 〈==取输入code的第四个字符
，并与0x比较，0x30为ASCII码"0"
:1000D38D 7404 je 1000D393 〈==若相等,jump to 1000D393
:1000D38F 33C0 xor eax, eax
:1000D391 5F pop edi
:1000D392 C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D38D(C)
|
:1000D393 807A0441 cmp byte ptr [edx+04], 41 〈==取输入code的第五个字符
，并与0x41比较，0x41为ASCII码"A"
:1000D397 7404 je 1000D39D 〈==若相等,jump to 1000D39D
:1000D399 33C0 xor eax, eax
:1000D39B 5F pop edi
:1000D39C C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D397(C)
|
:1000D39D 807A052D cmp byte ptr [edx+05], 2D 〈==取输入code的第六个字
符，并与0x2D比较，0x2D为ASCII码"-"
:1000D3A1 7404 je 1000D3A7 〈==若相等,jump to 1000D3A7
:1000D3A3 33C0 xor eax, eax
:1000D3A5 5F pop edi
:1000D3A6 C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D3A1(C)
|
:1000D3A7 807A0639 cmp byte ptr [edx+06], 39 〈==取输入code的第七个字
符，并与0x39比较，0x39为ASCII码"9"
:1000D3AB 7404 je 1000D3B1 〈==若相等,jump to 1000D3B1
:1000D3AD 33C0 xor eax, eax
:1000D3AF 5F pop edi
:1000D3B0 C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D3AB(C)
|
:1000D3B1 807A0730 cmp byte ptr [edx+07], 30 〈==取输入code的第八个字符
，并与0x30比较，0x30为ASCII码"0"
:1000D3B5 7404 je 1000D3BB 〈==若相等,jump to 1000D3BB
:1000D3B7 33C0 xor eax, eax
:1000D3B9 5F pop edi
:1000D3BA C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D3B5(C)
|
:1000D3BB 807A0837 cmp byte ptr [edx+08], 37 〈==取输入code的第九个字符
，并与0x37比较，0x37为ASCII码"7"
:1000D3BF 7404 je 1000D3C5 〈==若相等,jump to 1000D3C5
:1000D3C1 33C0 xor eax, eax
:1000D3C3 5F pop edi
:1000D3C4 C3 ret
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:1000D3BF(C)
|
:1000D3C5 8A4209 mov al, byte ptr [edx+09] <==取输入code的第九个字符
，并将其赋值给寄存器AL
:1000D3C8 5F pop edi
:1000D3C9 2C39 sub al, 39 <== AL-0x39 --> AL
:1000D3CB 3C01 cmp al, 01 <==AL与0x01比较
:1000D3CD 1BC0 sbb eax, eax 〈==eax自身做有符号减法
:1000D3CF F7D8 neg eax <==求eax的补数
:1000D3D1 C3 ret
看懂上面的分析了吗？最简单的注册码计算，注册码的前九位是“ZN10A-907”，第十位是
“9”才能保证Call的返回值eax=1,注册码的后六位可以是任意字符，因此注册码的形式为
"ZN10A-9079xxxxxx"。
Part2
程序保护代码做在文件zannp32.dll，在W32Dasm中将其反汇编。
线索
在W32Dasm的Dialog Information中你会发现窗口nag screen 是Dialog。
每个dialog都有他唯一的ID编号，每个dialog上有很多控件(Control),他们分别属于不同的
类（Class),例如"BUTTON"、"STATIC"等等。
本例中，nagscreen的ID号：0x008F,上面有14个Control,dialog的标题为"ZanNet"
Name: DialogID_008F, # of Controls=014, Caption:"ZanNet", ClassName:""
001 - ControlID:0001, Control Class:"BUTTON" Control Text:"I Agree..."
002 - ControlID:0002, Control Class:"BUTTON" Control Text:"Quit"
003 - ControlID:FFFF, Control Class:"STATIC" Control Text:"ZanNet Version 1.0"
004 - ControlID:FFFF, Control Class:"STATIC" Control Text:"Copyright ?1996-1998
by Zan Software"
005 - ControlID:FFFF, Control Class:"STATIC" Control Text:"11224 83rd Place NE,
Kirkland, WA 98034"
006 - ControlID:FFFF, Control Class:"STATIC" Control Text:"This is a fully
functional unregistered version for evaluation only. You can r"
007 - ControlID:FFFF, Control Class:"BUTTON" Control Text:"Agreement"
008 - ControlID:FFFF, Control Class:"STATIC" Control Text:"I understand that I may
use the unregistered version of ZanNet for evaluation "
009 - ControlID:FFFF, Control Class:"STATIC" Control Text:"Days Using ZanNet:"
010 - ControlID:043F, Control Class:"STATIC" Control Text:""
011 - ControlID:0440, Control Class:"STATIC" Control Text:""
012 - ControlID:0414, Control Class:"BUTTON" Control Text:"Remove ZanNet"
013 - ControlID:0441, Control Class:"BUTTON" Control Text:"Order Now..."
014 - ControlID:FFFF, Control Class:"BUTTON" Control Text:"Zan Software:
http://www.zannet.com"
在W32Dasm中，search "ID_008F"，你会找到很多，到底哪个是我们需要的呢？有类似这样的
：
* Possible Reference to Dialog: DialogID_008F, CONTROL_ID:0441, "Order Now..."
这表明是他下面的代码是针对这个dialog上的某个control,而
* Possible Reference to Dialog: DialogID_008F
表明是他下面的代码是针对这个dialog窗口的，一般情况下，在整个程序代码中只出现一次，但并
不是绝对的。
本例中，我只找到了一处相对应的代码
:10007B18 7416 je 10007B30 <==注册表没有注册信息直接jump to
10007B30
:10007B1A 688CC40110 push 1001C48C
:10007B1F E82C580000 call 1000D350 <==验证Reg Code
:10007B24 83C404 add esp, 00000004
:10007B27 85C0 test eax, eax
:10007B29 7405 je 10007B30 <==Reg Code不对，jump to 10007B30
:10007B2B BB01000000 mov ebx, 00000001 <==否则，ebx=1
* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:10007B18(C), :10007B29(C)
|
:10007B30 85DB test ebx, ebx
:10007B32 7528 jne 10007B5C <==if already registered,then jump
to 10007B5C
:10007B34 6A00 push 00000000
:10007B36 6880780010 push 10007880
:10007B3B 6A00 push 00000000
* Possible Reference to Dialog: DialogID_008F <==nag screen
|
:10007B3D 688F000000 push 0000008F
只需改10007B32处 jne为jmp,never show nagscreen,kool!
----------=======The Patch========----------
在文件zannp32.dll的offset:0x00006F32处，修改7528为EB28
PART 1: How to crack AtomTime v2.1a by BuLLeT
http://www.atomtime.com
This program is capable of getting the time from all parts of the world and
save it somewhere ;)
Let's crack.
1) Run the program and...BAAHH..an ugly NAG pops up. Skip it and go to the
REGISTER section of the program. Enter your NAME and a random SERIAL.
Nah..doesn't work. You get this message right in your face:
"License data is invalid..either the data was not entered correctly...."
NOTE IT !
2) Disassemble ATOMTIME.EXE using W32Dasm and go to the SDR (=String Data
Reference) section. Find the message and double-click it. Minimize the
SDR window and you should be about here:
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0040654F(C)
|
:004065DD 6A00 push 00000000
:004065DF 6A00 push 00000000
* Possible StringData Ref from Data Obj ->"License data is invalid...
|
:004065E1 68C5434300 push 004343C5
:004065E6 E8FD2B0200 call 004291E8
Referenced by a call at address: 0040654F. Let's check it out. Scroll up
until you see this:
:00406548 E881400000 call 0040A5CE
:0040654D 85C0 test eax, eax
:0040654F 0F8488000000 je 004065DD
Hmmz..a CALL followed by a TEST and a JE. Maybe we should change that.
Make sure the green bar is on top of the JE-line and NOTE the offset at
the bottom of the screen.
(Offset: 0000514F)
3) But this is not all. When you ran the program you noticed that there is a
* UNREGISTERED * in the title of the program. We might as well remove that
as well.
4) Restore the SDR window and locate the * UNREGISTERED * msg. Double-click it
and once again minimize the SDR window. Now you should see this:
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00405FEA(C)
|
:00405FFB 8D8BE0050000 lea ecx, dword ptr [ebx+000005E0]
................ some un-important code....
:00406038 E8924D0000 call 0040ADCF
:0040603D 85C0 test eax, eax
:0040603F 7473 je 004060B4
* Possible StringData Ref from Data Obj ->" - *UNREGISTERED*"
|
:00406041 68E83E4300 push 00433EE8
Hmm..doesn't it look like that code we've already seen? Yes it does and it
would therefor we obvious to patch the JE but not in this case. If you
look a bit down you will see this:
* Possible StringData Ref from Data Obj ->"The temporary license is now %d.."
So this means that both msgs are in the same call. So let's just make the
program skip that call completely. Scroll up (about 4 lines) until you see:
:00405FE3 E8B4120000 call 0040729C
:00405FE8 85C0 test eax, eax
:00405FEA 750F jne 00405FFB
Looks familiar? Yeah! So let's change that JNE to skip the call. Once again
you place the green bar on top of the JNE-line and NOTE the offset.
(Offset: 00004BEA)
5) Ok..this should pretty much cover the expiration-thing and part of the
name/serial, but we still have one more byte to go. When you register, the
program will save your info and compare it at startup. We need to remove
that check to make the patch 100% successfull. You will see this check when
you patch the 3 places and run the program. You'll get this message:
"License data is not valid"
6) So..restore the SDR window and double-click that msg too. Close the SDR
window and you should be located about here:
:0040495D E86C5C0000 call 0040A5CE
:00404962 85C0 test eax, eax
:00404964 7518 jne 0040497E
:00404966 C7832C06000001000000 mov dword ptr [ebx+0000062C], 00000001
:00404970 6A00 push 00000000
:00404972 6A00 push 00000000
* Possible StringData Ref from Data Obj ->"License data is not valid."
|
:00404974 689E354300 push 0043359E
:00404979 E86A480200 call 004291E8
Once again you see a familiar check, so it shouldn't be hard to figure out
what to do. Place the green bar on the JNE-line and NOTE the offset.
(Offset: 00003564)
7) Ok..now you have all three offsets so let's patch. Run HIEW ATOMTIME.EXE.
8) Press TWICE to go to decode-mode.
9) Press F5 and enter the first offset. (Offset: 0000514F)
(As you remember it didn't say 74 or 75 like it normally does. It said:
0F84 which means that we need to change the 84 to 85 (74 to 75) and we need
to add 1 to the offset to get to that place. So the new offset is now:
00005150
- Press F5 and enter the NEW offset
- Press F3 to edit, and enter 85
- Press F9 to update the first byte
10) Press F5 and enter the second offset. (Offset: 00004BEA)
- Press F3 to edit, and enter 74
- Press F9 to update the second byte
11) Press F5 and enter the third (and last) offset. (Offset: 00003564)
- Press F3 to edit, and enter 74
- Press F9 to update the third byte
12) Press ESC a couple of times to quit HIEW, and you should now have a 100%
working version of AtomTime.
Hope you enjoyed following another tut by me :)
All for now..Cya
------------------- i MaY Be SLoW - BuT i'M DeaDLy aS HeLL -------------------
Written by [BuLLeT-CiA'99]
E-Mail: BuL_LeT@hotmail.com
【初学天地】
破解教程六
程式猎人
今天又到了初学天地的时间了，这节课是一节答疑课，因为我遇到了这样一件事情。现在
我的一个同事也开始学起解密来。昨天他他向我问几个关于解密方面的问题，对于我来说，
这些问题都有些可笑，而对于初学者来说可能却是想要解决的问题。他提出的问题如下：
1 中断拦截是做什么用处的？
对于破解来说中断拦截是关键的切入点，也就是使用中断才能让追踪软件进入程序中，
我们才能通过软件来观察程序的走向，从而我们才能对软件的注册过程有所了解，这样才能
够破解软件。所以说，破解软件的重要一点就是如何设置一个好的中断，如何设置中断大家
就要自己努力学习了。
2 我有SI的说明书，却没有TRW的说明书，你有没有？
对于两者的说明书来说，它们几乎可以说是一样的，对于如何设置中断，如何显示寄存
器的值，如何追踪它们都是一样的。但是TRW有些SI没有的功能。这就要大家看一看TRW的说
明书了。SI什么没有呢？通常是脱壳方面。SI本身不具有脱壳功能，而TRW本身具有脱壳功
能。大家要想学习好破解，就一定要先学习如何使用破解软件。
3 中断后我要做什么或是目的是什么？
中断后要做什么呢？对于初学破解的人来说可能还有些疑惑。我在这里向大家介绍一下
中断后的主要目的：
1）查找到出错的地方
这个是破解软件的基础，因为破解的过程就是程序运行的过程。对于破解一般的软件
来说，通常就是先找到出错的地方，那么找到后做什么呢？
2）查找何处可以跳跃或避开出错的地方
这个目的就是第一个目的的解释，通常查找到出错的地方后，分析程序走向，看一看
在哪里可以跳跃过这个地方，大家试想一下，如何程序跳跃过出错的地方，通常就是注册成
功的地方了。
3）找到关键跳跃点
这个目的是从上面两个目的得到的，对于中断后，最终就是要找到关键的跳跃点，
因为在这里我们可以分析程序后，可以得到软件的注册码或是使用修改的方法来破解这个软
件。
4 如何知道已经查找关键的跳跃点
通过上面介绍的目的就可以到达关键的跳跃点，并且在追踪过程中多使用D键，如：d
eax;d ecx;等，那么这个d是什么用处呢？它就是显示寄存器的值。
5 寄存器的值都有什么样
对于寄存器的值来说通常有如下几样：
1）存储字母或数字（都为字母形式）
如d eax后，你可以得到你输入的注册码，假如你输入的注册码为78787878，使用d
eax后，你可以看到数据窗口中显示的值为78787878。
2）存储数值
假设同上，使用d eax后，你将看到的值为04b23526，这个值就为78787878的十六
进位的值。
3）存储运行数值
同上，通过寄存器窗口，你可以直接看到eax为78787878，这个通过是使用eax来计
算使用的。
4）存储旗标值
如下所示：
test eax eax
jz 004?????
上面这个eax就是保存了旗标值，通常这都是关键的地方。
6 如何设置中断？
对于设置中断，通常要依据不同的情况来设置不同的中断。比较常用的为
bpx hmemcpy
使用在输入name和fake RN后，点击注册后使用。它是内存拷贝时中断
bpx lockmytask
当无法使用上面的中断或在开始时的旗标窗口使用。这个为收窗中断
bpx sendmessage
当程序触发某个事情后中断，这个很有用，对于破解有功能限制的软件用处大大的
bpx RegQueryValue
读取注册表值中断，这个中断对于那种在启动时验证注册码的软件破解是一个很
重要的切入点。
bpx readfile
读取文件时中断，它是适用于key保护的文件。如果程序验证有无key文件时，可
以使用它来中断
bpx GetSystemtime
破解有时间限制的软件好的中断点，因为程序在启动过程中一定要得到系统时间
同安装时间来比较，而当程序读取系统时间时，发生中断……，其它就要看你们了。
bpx GetDriveType
破解光盘保护最常使用的中断。有光盘保护的软件在开始时一定要检查系统中那个
盘是光盘驱动器，当它一检查时，你就可以进入程序中了。
7 我看其他破解文章中，为什么有的函数为 RegQueryValueA 而有的为 RegQueryValue，
他们有什么不同？
对于前者是32位程序使用的，而后者者是16位程序使用的。设置中断时它们是不同的。
我想这节答疑课就到这里了，如果大家还有什么疑问，可以给我写信。好了，下课。
【问题答疑】
【网站介绍】
【杂志信箱】