EBPIG
6探索杂志6
MHJDQ
知识共享J资源共享J资料共享
【发行时间】
【期刊号码】第三十一期
【网站地址】http://programhunter.myetang.com
【版权声明】♀▃▄▅▆▇█程式猎人█▇▆▅▄▃♂
此杂志由程式猎人编辑、制作及发行；杂志可以自由转载、分发和传播；任何个人或团体不得在未经本人授权的情况下修改杂志的外观及内容；杂志的解释权归程式猎人所有。

【编辑寄语】

 
    
   {~._.~} 
    ( Y )  
   ()~*~() 
   (_)-(_)
今天向大家发行第三十一期，我每期都认认真真的对待每一次，希望能够通过这份杂志给大家带来帮助。我本人也好长时间没有研究破解了，今天没有什么事情也就对一个程序研究了一下，写了一篇破解文章，希望能够给大家以帮助。其实如果杂志能够更好的为大家服务，这同大家的支持是分不开的。所以在这里希望大家能够向这里投稿，这样才能更好的发挥我们破解的精神。
 
【目 �� 录】
����&破解心得
J……MultiSQL 1.0 程式猎人
K……浮点运算  
L……浅析FoxMail 3.11 及其密文解码公式 碳烧咖啡
 
&【破解心得】 
                           MultiSQL 1.0
                                    程式猎人
授权方式：共享（注册费99美元）
系统基本配置：Windows 95/98/NT
作者（公司）：Legitima Software (http://www.legitima.com/)
软件简介：修改自己的数据库的SQL源代码，MultiSQL都不需要修正特定平台脚本，内置的
预处理程序，可以针对每一个你想使你的数据库用的平台，生成不同版本的特定脚本。
追踪：name:dahuilang
      RN:01234567
   现在开始追踪这个软件，这个如果使用修改的方法对它进行破解还是很好破解的，它没
有加壳，所以只要修改两处就可以了。但是你要是想得到这个软件的注册码就一定要分析它
的算法了，要不你是无法得到注册码的。
  现在使用bpx hmemcpy来进行拦截程序，这个程序现在应当提一点的是，如果你注册失败
的话，它没有任何提示，所以这里只好使用试了。
:004575ED E87E78FDFF              call 0042EE70
:004575F2 8B45FC                  mov eax, dword ptr [ebp-04]  <-加到主程序中
:004575F5 50                      push eax
:004575F6 8D55F8                  lea edx, dword ptr [ebp-08]

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0045758A(C)
|
:004575F9 8B83E8020000            mov eax, dword ptr [ebx+000002E8]
:004575FF E86C78FDFF              call 0042EE70
:00457604 8B55F8                  mov edx, dword ptr [ebp-08]
:00457607 8B83EC020000            mov eax, dword ptr [ebx+000002EC]
:0045760D 59                      pop ecx
:0045760E E845070000              call 00457D58
:00457613 48                      dec eax
:00457614 2C02                    sub al, 02
:00457616 7204                    jb 0045761C
:00457618 741E                    je 00457638
:0045761A EB36                    jmp 00457652

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457616(C)
|
:0045761C 8B83EC020000            mov eax, dword ptr [ebx+000002EC]
:00457622 8B4854                  mov ecx, dword ptr [eax+54]
:00457625 B201                    mov dl, 01
:00457627 A1AC754000              mov eax, dword ptr [004075AC]
:0045762C E86736FBFF              call 0040AC98
:00457631 E836C0FAFF              call 0040366C

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004575C7(C)
|
:00457636 EB1A                    jmp 00457652

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457618(C)
|
:00457638 8B83EC020000            mov eax, dword ptr [ebx+000002EC]
:0045763E 8B4850                  mov ecx, dword ptr [eax+50]
:00457641 B201                    mov dl, 01
:00457643 A1AC754000              mov eax, dword ptr [004075AC]
:00457648 E84B36FBFF              call 0040AC98
:0045764D E81AC0FAFF              call 0040366C

* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:0045761A(U), :00457636(U)
|
:00457652 C7833402000001000000    mov dword ptr [ebx+00000234], 00000001
:0045765C 33C0                    xor eax, eax
:0045765E 5A                      pop edx
:0045765F 59                      pop ecx
:00457660 59                      pop ecx
:00457661 648910                  mov dword ptr fs:[eax], edx
:00457664 687E764500              push 0045767E

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0045767C(U)
|
:00457669 8D45F8                  lea eax, dword ptr [ebp-08]
:0045766C BA02000000              mov edx, 00000002
:00457671 E866C5FAFF              call 00403BDC
:00457676 C3                      ret
  程序从上面的地方出来后，在下面不远处就有一个踊跃的地方，其实这个地方就是关键的
比较地方，如果想使用修改方法这里将是第一处修改的地方，但是今天在这里想得到注册码
的，所以只好进入那个call中。
|:0045760E   , :00457ECE   
|
:00457D58 55                      push ebp
:00457D59 8BEC                    mov ebp, esp
:00457D5B 81C4DCFEFFFF            add esp, FFFFFEDC
:00457D61 53                      push ebx
:00457D62 33DB                    xor ebx, ebx
:00457D64 899DDCFEFFFF            mov dword ptr [ebp+FFFFFEDC], ebx
:00457D6A 894DF4                  mov dword ptr [ebp-0C], ecx
:00457D6D 8955F8                  mov dword ptr [ebp-08], edx
:00457D70 8945FC                  mov dword ptr [ebp-04], eax
:00457D73 8B45F8                  mov eax, dword ptr [ebp-08]
:00457D76 E871C2FAFF              call 00403FEC
:00457D7B 8B45F4                  mov eax, dword ptr [ebp-0C]
:00457D7E E869C2FAFF              call 00403FEC
:00457D83 33C0                    xor eax, eax
:00457D85 55                      push ebp
:00457D86 68AD7E4500              push 00457EAD
:00457D8B 64FF30                  push dword ptr fs:[eax]
:00457D8E 648920                  mov dword ptr fs:[eax], esp
:00457D91 8B45FC                  mov eax, dword ptr [ebp-04]
:00457D94 66C740260000            mov [eax+26], 0000
:00457D9A 8B45FC                  mov eax, dword ptr [ebp-04]
:00457D9D 66C740380000            mov [eax+38], 0000
:00457DA3 8B45FC                  mov eax, dword ptr [ebp-04]
:00457DA6 83C03C                  add eax, 0000003C
:00457DA9 E80ABEFAFF              call 00403BB8
:00457DAE 837DF800                cmp dword ptr [ebp-08], 00000000 ***
:00457DB2 7509                    jne 00457DBD
:00457DB4 C645F301                mov [ebp-0D], 01
:00457DB8 E9CA000000              jmp 00457E87
  进入后将来到第一比较的地方***，这里是什么呢？其实这里是比较你的注册码是否为空
，如果不为空就向下进行了，所以在这里不用花费太多的时间来研究它了。
* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457DB2(C)
|
:00457DBD 8D85E0FEFFFF            lea eax, dword ptr [ebp+FFFFFEE0]
:00457DC3 8B55F8                  mov edx, dword ptr [ebp-08]
:00457DC6 B9FF000000              mov ecx, 000000FF
:00457DCB E844C0FAFF              call 00403E14
:00457DD0 8D85E0FEFFFF            lea eax, dword ptr [ebp+FFFFFEE0]
:00457DD6 8D55E2                  lea edx, dword ptr [ebp-1E]
:00457DD9 B908000000              mov ecx, 00000008
:00457DDE E889F4FFFF              call 0045726C
:00457DE3 8B45FC                  mov eax, dword ptr [ebp-04]
:00457DE6 668B4024                mov ax, word ptr [eax+24]
:00457DEA 50                      push eax
:00457DEB 8D55EA                  lea edx, dword ptr [ebp-16]
:00457DEE 8D45E2                  lea eax, dword ptr [ebp-1E]
:00457DF1 B908000000              mov ecx, 00000008
:00457DF6 E811F4FFFF              call 0045720C
:00457DFB 8D45EA                  lea eax, dword ptr [ebp-16]
:00457DFE BA06000000              mov edx, 00000006
:00457E03 E848F3FFFF              call 00457150
:00457E08 663B45F0                cmp ax, word ptr [ebp-10]
:00457E0C 7406                    je 00457E14
:00457E0E C645F302                mov [ebp-0D], 02
:00457E12 EB73                    jmp 00457E87

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457E0C(C)
|
:00457E14 8D95DCFEFFFF            lea edx, dword ptr [ebp+FFFFFEDC]
:00457E1A 8B45F4                  mov eax, dword ptr [ebp-0C]
:00457E1D E8B204FBFF              call 004082D4
:00457E22 8B85DCFEFFFF            mov eax, dword ptr [ebp+FFFFFEDC]
:00457E28 E8CFC1FAFF              call 00403FFC
:00457E2D 50                      push eax
:00457E2E 8B45F4                  mov eax, dword ptr [ebp-0C]
:00457E31 E802C0FAFF              call 00403E38
:00457E36 8BD0                    mov edx, eax
:00457E38 58                      pop eax
:00457E39 E812F3FFFF              call 00457150
:00457E3E 663B45EA                cmp ax, word ptr [ebp-16]
:00457E42 7406                    je 00457E4A
:00457E44 C645F303                mov [ebp-0D], 03
:00457E48 EB3D                    jmp 00457E87

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457E42(C)
|
:00457E4A C645F300                mov [ebp-0D], 00
:00457E4E 668B45EC                mov ax, word ptr [ebp-14]
:00457E52 8B55FC                  mov edx, dword ptr [ebp-04]
:00457E55 66894226                mov word ptr [edx+26], ax
:00457E59 668B45EE                mov ax, word ptr [ebp-12]
:00457E5D 8B55FC                  mov edx, dword ptr [ebp-04]
:00457E60 66894238                mov word ptr [edx+38], ax
:00457E64 8B45FC                  mov eax, dword ptr [ebp-04]
:00457E67 C6403A00                mov [eax+3A], 00
:00457E6B 8B45FC                  mov eax, dword ptr [ebp-04]
:00457E6E 83C040                  add eax, 00000040
:00457E71 8B55F4                  mov edx, dword ptr [ebp-0C]
:00457E74 E893BDFAFF              call 00403C0C
:00457E79 8B45FC                  mov eax, dword ptr [ebp-04]
:00457E7C 83C03C                  add eax, 0000003C
:00457E7F 8B55F8                  mov edx, dword ptr [ebp-08]
:00457E82 E885BDFAFF              call 00403C0C

* Referenced by a (U)nconditional or (C)onditional Jump at Addresses:
|:00457DB8(U), :00457E12(U), :00457E48(U)
|
:00457E87 33C0                    xor eax, eax
:00457E89 5A                      pop edx
:00457E8A 59                      pop ecx
:00457E8B 59                      pop ecx
:00457E8C 648910                  mov dword ptr fs:[eax], edx
:00457E8F 68B47E4500              push 00457EB4

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457EB2(U)
|
:00457E94 8D85DCFEFFFF            lea eax, dword ptr [ebp+FFFFFEDC]
:00457E9A E819BDFAFF              call 00403BB8
:00457E9F 8D45F4                  lea eax, dword ptr [ebp-0C]
:00457EA2 BA02000000              mov edx, 00000002
:00457EA7 E830BDFAFF              call 00403BDC
:00457EAC C3                      ret
  在这段程序中，你可以得到两个比较的地方，如果想使用修改方法来破解的话，就将这两
个地方修改成jmp就可以了，以后就成为了注册版本了。具体修改我想你一定会做了，我就
不多说了。
  现在来分析第一比较的地方，这个是什么呢？
:00457DFE BA06000000              mov edx, 00000006
:00457E03 E848F3FFFF              call 00457150
:00457E08 663B45F0                cmp ax, word ptr [ebp-10]
:00457E0C 7406                    je 00457E14
:00457E0E C645F302                mov [ebp-0D], 02
:00457E12 EB73                    jmp 00457E87
  这里其实是比较注册码的地方，但是是将输入的注册码经过运算后的比较过程，对于破解
这样的程序，一定要知道它的运算过程，如果不知道的话就没有办法破解它了。
  进入call 00457150：
:00457150 55                      push ebp
:00457151 8BEC                    mov ebp, esp
:00457153 81C4F0FEFFFF            add esp, FFFFFEF0
:00457159 53                      push ebx
:0045715A 56                      push esi
:0045715B 57                      push edi
:0045715C 33C9                    xor ecx, ecx
:0045715E 898DF4FEFFFF            mov dword ptr [ebp+FFFFFEF4], ecx
:00457164 898DF0FEFFFF            mov dword ptr [ebp+FFFFFEF0], ecx  **
:0045716A 8955F8                  mov dword ptr [ebp-08], edx
:0045716D 8945FC                  mov dword ptr [ebp-04], eax   ***
:00457170 33C0                    xor eax, eax
:00457172 55                      push ebp
:00457173 68FC714500              push 004571FC
:00457178 64FF30                  push dword ptr fs:[eax]
:0045717B 648920                  mov dword ptr fs:[eax], esp
:0045717E 8DB5F8FEFFFF            lea esi, dword ptr [ebp+FFFFFEF8]
:00457184 46                      inc esi
:00457185 33FF                    xor edi, edi
:00457187 BB01000000              mov ebx, 00000001
:0045718C 3B5DF8                  cmp ebx, dword ptr [ebp-08]
:0045718F 7F4D                    jg 004571DE

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:004571DC(C)
|
:00457191 66C7060000              mov word ptr [esi], 0000
:00457196 8D85F4FEFFFF            lea eax, dword ptr [ebp+FFFFFEF4]
:0045719C 50                      push eax
:0045719D 8D85F0FEFFFF            lea eax, dword ptr [ebp+FFFFFEF0]   ****
:004571A3 8B55FC                  mov edx, dword ptr [ebp-04]
:004571A6 E8C5CBFAFF              call 00403D70
:004571AB 8B85F0FEFFFF            mov eax, dword ptr [ebp+FFFFFEF0]   *****
:004571B1 B902000000              mov ecx, 00000002
:004571B6 8BD3                    mov edx, ebx
:004571B8 E883CEFAFF              call 00404040
:004571BD 8B95F4FEFFFF            mov edx, dword ptr [ebp+FFFFFEF4]
:004571C3 8D85F8FEFFFF            lea eax, dword ptr [ebp+FFFFFEF8]
:004571C9 B9FF000000              mov ecx, 000000FF
:004571CE E841CCFAFF              call 00403E14
:004571D3 66033E                  add di, word ptr [esi]         ******
:004571D6 83C302                  add ebx, 00000002
:004571D9 3B5DF8                  cmp ebx, dword ptr [ebp-08]
:004571DC 7EB3                    jle 00457191

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0045718F(C)
|
:004571DE 33C0                    xor eax, eax
:004571E0 5A                      pop edx
:004571E1 59                      pop ecx
:004571E2 59                      pop ecx
:004571E3 648910                  mov dword ptr fs:[eax], edx
:004571E6 6803724500              push 00457203

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457201(U)
|
:004571EB 8D85F0FEFFFF            lea eax, dword ptr [ebp+FFFFFEF0]
:004571F1 BA02000000              mov edx, 00000002
:004571F6 E8E1C9FAFF              call 00403BDC
:004571FB C3                      ret


:004571FC E933C4FAFF              jmp 00403634
:00457201 EBE8                    jmp 004571EB
:00457203 8BC7                    mov eax, edi
:00457205 5F                      pop edi
:00457206 5E                      pop esi
:00457207 5B                      pop ebx
:00457208 8BE5                    mov esp, ebp
:0045720A 5D                      pop ebp
:0045720B C3                      ret
  现在我已经进入这个call中了，在这个上面就是程序返回的值的地方，因为在这个call外
面是使用ax的值来进行比较的，那么我就关注这个ax的值，上面有将edi值给eax的语句，所
以在程序中就要注意这个edi的值了。
  我使用*来表示说明的地方，首先可以看到******这个地方可以修改edi的值，经过我动态
分析，可以知道了，在*****的值决定的esi的值，而在*****的值又是由****的值得到的，
我以为这个****的值在这个call中加以运算的，但是分析后发现原来不是在这个call中运算
的，为什么呢？因为****的地方上的值是由***的值得到的，而这个值是由程序进入call后
带来的，所以它一定是这个call上面的运算结果。
  但是现在我们还是不要急于找到上面的call，先来看一看这里是什么样的运算。
  经过动态分析可以知道，其实这里是将在[ebp+FFFFFEF0]的值共有16位值四位四位相加得
到的di值，现在一定要记住这点对以后运行很有帮助的。
 现在再来分析另一个比较的地方，因为这个地方如果后分析的话，将对破解有很大的阻碍
，现在就来看一看它是什么？
:00457E39 E812F3FFFF              call 00457150
:00457E3E 663B45EA                cmp ax, word ptr [ebp-16]
:00457E42 7406                    je 00457E4A
:00457E44 C645F303                mov [ebp-0D], 03
:00457E48 EB3D                    jmp 00457E87
  这是第三个比较的地方，因为它同第二比较的地方使用同一个函数，这说明它的入口参数
不同，动态分析后发现，原来这里入口参数是使用name的值来为入口参数。它使用name运行
后得到一个结果，再同前面提到的[ebp+FFFFFEF0]前四位值进行比较，如果相等就说明的正
确的注册码了。所以在这里应当是先得到这个值，通过动态分析，可以知道以name为入口参
数的值运算出来为ax=315D，所以现在我们就可以得到前四位数值为315D，这样对吗？到下
面介绍再说了。
  现在是如何得到[ebp+FFFFFEF0]这个值了，因为这个值决定了注册码的正确与否，那么它
是如何得到的呢？这里就要看下面：
:00457DF6 E811F4FFFF              call 0045720C
:00457DFB 8D45EA                  lea eax, dword ptr [ebp-16]
:00457DFE BA06000000              mov edx, 00000006
:00457E03 E848F3FFFF              call 00457150
:00457E08 663B45F0                cmp ax, word ptr [ebp-10]
:00457E0C 7406                    je 00457E14
:00457E0E C645F302                mov [ebp-0D], 02
:00457E12 EB73                    jmp 00457E87
  这里就是前面提到的比较地方，因为我在前面已经说过这个值是由外面的call计算的结果
，通过分析，就是call 0045720C计算的结果，现在就进入这个call中，来看一看我为什么
要说这个是一个十六位的值。
:0045720C 55                      push ebp
:0045720D 8BEC                    mov ebp, esp
:0045720F 83C4F8                  add esp, FFFFFFF8
:00457212 53                      push ebx
:00457213 56                      push esi
:00457214 8BF1                    mov esi, ecx
:00457216 8955F8                  mov dword ptr [ebp-08], edx
:00457219 8945FC                  mov dword ptr [ebp-04], eax
:0045721C 8B5D08                  mov ebx, dword ptr [ebp+08]
:0045721F 8BCE                    mov ecx, esi
:00457221 8B55FC                  mov edx, dword ptr [ebp-04]
:00457224 8B45F8                  mov eax, dword ptr [ebp-08]
:00457227 E87019FBFF              call 00408B9C
:0045722C 4E                      dec esi
:0045722D 85F6                    test esi, esi
:0045722F 7C31                    jl 00457262
:00457231 46                      inc esi
:00457232 33C0                    xor eax, eax

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:00457260(C)
|
:00457234 8B55FC                  mov edx, dword ptr [ebp-04]
:00457237 8A1402                  mov dl, byte ptr [edx+eax]
:0045723A 0FB7CB                  movzx ecx, bx
:0045723D C1E908                  shr ecx, 08
:00457240 32D1                    xor dl, cl
:00457242 8B4DF8                  mov ecx, dword ptr [ebp-08]
:00457245 881401                  mov byte ptr [ecx+eax], dl
:00457248 8B55FC                  mov edx, dword ptr [ebp-04]
:0045724B 0FB61402                movzx edx, byte ptr [edx+eax]
:0045724F 6603DA                  add bx, dx
:00457252 6669D36DCE              imul dx, bx, CE6D
:00457257 6681C2BF58              add dx, 58BF
:0045725C 8BDA                    mov ebx, edx
:0045725E 40                      inc eax
:0045725F 4E                      dec esi
:00457260 75D2                    jne 00457234

* Referenced by a (U)nconditional or (C)onditional Jump at Address:
|:0045722F(C)
|
:00457262 5E                      pop esi
:00457263 5B                      pop ebx
:00457264 59                      pop ecx
:00457265 59                      pop ecx
:00457266 5D                      pop ebp
:00457267 C20400                  ret 0004
  这里就是通过输入的注册码计算[ebp+FFFFFEF0]的值地方，那么它是如何计算的呢？我在
前面说过这个是一个十六位的注册码，如何得到的呢？就是通过这个esi计数器来得到的，
因为我将注册码修改了几个位后发现这个esi就是等于8，我们每次计算的时候取两个值来计
算，所以在这里就可以得到注册码的位数为16位。
  这里先向大家解释一下，程序到这里已经将注册码变为这个样了。
  [edx+eax]=01234567890123456 这里是指位置了。
  也就是dl=[edx+eax]
  那么这个dl=01。
  现在开始介绍运行。
  1 取dl值，
  2 得到ebx的初始值=006D7DF5
  3 将ebx值给ecx
  4 ecx左移8位
  5 dl=dl XOR cl
  6 取原来的ebx值给ecx
  7 保存dl结果（这个就是前面提到[ebp+FFFFFEF0]的值）
  8 取原来的[edx+eax]值
  9 bx=bx+dx
  10 dx=bx*CE6D
  11 dx=dx+58BF
  12 bx=dx
  13 查看计算器到8没有，如果没到加到1，如果到了向下进行
  上面就是这个软件的运算过程。这样的运算如果你常常破解的话，一定不会陌生的。它是
通过前一个值来计算后一个值的，所以这样的计算通常都比较麻烦，但是这里可以有很简便
的方法来得到注册码的。
  因为要得到的dl值是通过同cl值XOR后得到的。而对于前面那个比较过程如下：
:00457E03 E848F3FFFF              call 00457150
:00457E08 663B45F0                cmp ax, word ptr [ebp-10]
:00457E0C 7406                    je 00457E14
:00457E0E C645F302                mov [ebp-0D], 02
:00457E12 EB73                    jmp 00457E87
  这里的ax值为[ebp+FFFFFEF0]前八位的和，而[ebp-10]是后面八位的和。而在前面又得到
前四位一定要为5D31（因为程序是将两个值反过来使用的）。所以现在就可以想将[ebp+FFF
FFEF0]能够能够得到下面这个值就可以满足注册条件的。
 [ebp+FFFFFEF0]=5D 31 00 00 00 00 5D 31
 现在分析一下就可以知道这样的值一定可以得到注册的。现在是如何得到这个值呢？
:00457234 8B55FC                  mov edx, dword ptr [ebp-04]
:00457237 8A1402                  mov dl, byte ptr [edx+eax]
:0045723A 0FB7CB                  movzx ecx, bx
:0045723D C1E908                  shr ecx, 08
:00457240 32D1                    xor dl, cl
:00457242 8B4DF8                  mov ecx, dword ptr [ebp-08]
:00457245 881401                  mov byte ptr [ecx+eax], dl
:00457248 8B55FC                  mov edx, dword ptr [ebp-04]
:0045724B 0FB61402                movzx edx, byte ptr [edx+eax]
:0045724F 6603DA                  add bx, dx
:00457252 6669D36DCE              imul dx, bx, CE6D
:00457257 6681C2BF58              add dx, 58BF
:0045725C 8BDA                    mov ebx, edx
:0045725E 40                      inc eax
:0045725F 4E                      dec esi
:00457260 75D2                    jne 00457234

 现在使用动态分析的方法最好的，因为我就是使用动态分析的方法得到注册码的。因为程
序是使用前一位来计算后一位的方法，所以只能一个一个得到注册码的。
  比如第一个前两位为：
  ebx左移8位后得到值为7D，因为要求结果为5D，所以有下面的等式
  5D=7D XOR ??
  那么通过反查异或表可以得到??值为20。现在就跳回windows中，将前两个值设为20后，
再运行程序，可以看到第一次计算的结果变为了5D，现在记住第二次运行到下面的dl值
:00457240 32D1                    xor dl, cl
  因为我们要通过这个值来计算注册码的。这个值为ED，又有下面等式：
  31=ED XOR ??
  可以得到??为DC，这个注册码的前四位就知道了为20DC，就这样最后可以完全得到16位的
注册码。
  这里破解也就结束了。
  希望大家能够明白其原理吧。


                 **************************
                 *  name:dahuilang        *
                 *  RN:20DC929D427898C8   *
                 **************************


                           浮点运算
FLD src              Load real: st(0) <- src (mem32/mem64/mem80) 
FILD src          Load integer: st(0) <- src (mem16/mem32/mem64) 
FBLD src              Load BCD: st(0) <- src (mem80) 

FLDZ                Load zero: st(0) <- 0.0 
FLD1                    Load 1: st(0) <- 1.0 
FLDPI                  Load pi: st(0) <- ?(ie, pi) 
FLDL2T          Load log2(10): st(0) <- log2(10) 
FLDL2E            Load log2(e): st(0) <- log2(e) 
FLDLG2          Load log10(2): st(0) <- log10(2) 
FLDLN2            Load loge(2): st(0) <- loge(2) 

FST dest            Store real: dest <- st(0) (mem32/mem64) 
FSTP dest                      dest <- st(0) (mem32/mem64/mem80); pop stack 
FIST dest        Store integer: dest <- st(0) (mem32/mem64) 
FISTP dest                      dest <- st(0) (mem16/mem32/mem64); pop stack 
FBST dest            Store BCD: dest <- st(0) (mem80) 
FBSTP dest                      dest <- st(0) (mem80); pop stack 

                      谀哪哪哪哪? 
                      ?Compare ? 
                      滥哪哪哪哪? 

FCOM              Compare real: Set flags as for st(0) - st(1) 
FCOM op                        Set flags as for st(0) - op (mem32/mem64) 
FCOMP op                        Compare st(0) to op (reg/mem); pop stack 
FCOMPP                          Compare st(0) to st(1); pop stack twice 

FICOM op          Compare integer: Set flags as for st(0) - op (mem16/mem32) 
FICOMP op                          Compare st(0) to op (mem16/mem32); pop 
                                    stack 

FTST              Test for zero: Compare st(0) to 0.0 

FUCOM st(i)    Unordered Compare: st(0) to st(i)                    [486] 
FUCOMP st(i)                    Compare st(0) to st(i) and pop stack 
FUCOMPP st(i)                    Compare st(0) to st(i) and pop stack twice 

FXAM                      Examine: Eyeball st(0) (set condition codes) 

                    谀哪哪哪哪哪目 
                    ?Arithmetic ? 
                    滥哪哪哪哪哪馁 

FADD                    Add real: st(0) <- st(0) + st(1) 
FADD src                          st(0) <- st(0) + src (mem32/mem64) 
FADD st(i),st                      st(i) <- st(i) + st(0) 
FADDP st(i),st                    st(i) <- st(i) + st(0); pop stack 
FIADD src            Add integer: st(0) <- st(0) + src (mem16/mem32) 


FSUB                Subtract real: st(0) <- st(0) - st(1) 
FSUB src                          st(0) <- st(0) - src (reg/mem) 
FSUB st(i),st                      st(i) <- st(i) - st(0) 
FSUBP st(i),st                    st(i) <- st(i) - st(0); pop stack 
FSUBR st(i),st  Subtract Reversed: st(0) <- st(i) - st(0) 
FSUBRP st(i),st                    st(0) <- st(i) - st(0); pop stack 
FISUB src        Subtract integer: st(0) <- st(0) - src (mem16/mem32) 
FISUBR src    Subtract Rvrsd int: st(0) <- src - st(0) (mem16/mem32) 

FMUL                Multiply real: st(0) <- st(0) * st(1) 
FMUL st(i)                        st(0) <- st(0) * st(i) 
FMUL st(i),st                      st(i) <- st(0) * st(i) 
FMULP st(i),st                    st(i) <- st(0) * st(i); pop stack 
FIMUL src        Multiply integer: st(0) <- st(0) * src (mem16/mem32) 

FDIV                  Divide real: st(0) <- st(0) ?st(1) 
FDIV st(i)                        st(0) <- st(0) ?t(i) 
FDIV st(i),st                      st(i) <- st(0) ?st(i) 
FDIVP st(i),st                    st(i) <- st(0) ?st(i); pop stack 
FIDIV src          Divide integer: st(0) <- st(0) ?src (mem16/mem32) 
FDIVR st(i),st  Divide Rvrsd real: st(0) <- st(i) ?st(0) 
FDIVRP st(i),st                    st(0) <- st(i) ?st(0); pop stack 
FIDIVR src      Divide Rvrsd int: st(0) <- src ?st(0) (mem16/mem32) 

FSQRT                Square Root: st(0) <- sqrt st(0) 

FSCALE        Scale by power of 2: st(0) <- 2 ^ st(0) 

FXTRACT      Extract exponent: st(0) <- exponent of st(0); and gets pushed 
                                st(0) <- significand of st(0) 

FPREM          Partial remainder: st(0) <- st(0) MOD st(1) 
FPREM1  Partial Remainder (IEEE): same as FPREM, but in IEEE standard [486] 

FRNDINT      Round to nearest int: st(0) <- INT( st(0) ); depends on RC flag 

FABS          Get absolute value: st(0) <- ABS( st(0) ); removes sign 
FCHS                  Change sign: st(0) <- -st(0) 

                谀哪哪哪哪哪哪哪目 
                ?Transcendental ? 
                滥哪哪哪哪哪哪哪馁 

FCOS                    Cosine: st(0) <- COS( st(0) ) 
FPTAN          Partial tangent: st(0) <- TAN( st(0) ) 
FPATAN      Partial Arctangent: st(0) <- ATAN( st(0) ) 
FSIN                      Sine: st(0) <- SIN( st(0) ) 
FSINCOS        Sine and Cosine: st(0) <- SIN( st(0) ) and is pushed to st(1) 
                                  st(0) <- COS( st(0) ) 
F2XM1      Calculate (2 ^ x)-1: st(0) <- (2 ^ st(0)) - 1 
FYL2X    Calculate Y * log2(X): st(0) is Y; st(1) is X; this replaces st(0) 
                                  and st(1) with: st(0) * log2( st(1) ) 
FYL2XP1 Calculate Y * log2(X+1): st(0) is Y; st(1) is X; this replaces st(0) 
                                  and st(1) with: st(0) * log2( st(1)+1 ) 


浅析FoxMail 3.11 及其密文解码公式
                      碳烧咖啡

/***此文仅供研究，如移作他用，作者概不负责***/ 

如果你想编写一个获取对方信箱密码的程序，而对方用的又是FoxMail，这篇文章也许对你有用！ 
（其实这是一篇很无聊的文章，那为什么要写？我也不知道，可能我太无聊了） 

程序需要做的步骤是： 
1、找到FoxMail的安装目录； 
2、在其下查找指定的帐户目录； 
3、然后获得该帐户的信箱地址 
4、获取信箱密码的密文； 
5、最后再将其转换为明文 


在正式开始以前，先假设你在FoxMail中有且仅有一个帐户：abcde，它的EMail地址是abcde@163.net，这个EMail信箱的 
密码是12345，并且你的FoxMail的安装目录是D:\FOXMAIL。 


1、查找FoxMail所在路径 

如果对方是用FoxMail来收信的，那么它的默认邮件程序应该就是FoxMail，则它的FoxMail所在地址就记录在 
HKEY_LOCAL_MACHINE\Software\CLASSES\mailto\shell\open\command中，当然，你也可以在HKEY_LOCAL_MACHINE\Software\Aerofox\FoxMail 
下的“Executable”中获得 


2、查找帐户路径：通过accounts.cfg（帐户配置文件） 

这只是为了写程序的方便，否则你可以用资源管理器手工查找该路径。 
在这个目录下你会发现这个文件：accounts.cfg，用HEdit编辑这个文件， 
在偏移0x848(2120)处的值是05 00 00 00，其实它是一个值是5的DWord(双字),5的含义就是你的帐户名(abcde)由5个字节组成，跳过0x848 
处的四个字节，再跳过abcde这五个字节，你又会看到：15 00 00 00，不用多说，这也是一个双字，它的值为0x15(21)，其后跟着一串 
长度为0x15(21)的路径名：D:\FOXMAIL\mail\abcde。如果你建立了更多的帐户，查找其路径的方法以此类推，并且每两个帐户间的间隔是 
0x1c(28)个字节。 


3、获取信箱地址：通过Account.stg 

前面我们已经找到了abcde的帐户目录，在该目录下有一个称为Account.stg的文件，该文件十分重要，它记录着用户在帐户->属性菜单中 
的所有内容，当然也包括了我们感兴趣的密码的密文。它的格式如下： 
0x00到0x7FF：乱七八糟的东西 
0x800开始：“属性”中的东西 

以下是从0x800开始的内容： 
AutoCheck=0 
AutoCheckMinutes=15 
AutoMarkRead=1 
AutoPack=1 
AutoPackSize=20 
AutoQP=1 
AutoReadSeconds=5 
CharSet=US_ASCII 
CheckOnSend=0 
DUNEntry= 
ESMTPAccount= 
ESMTPPassword= 
HangupDUN=0 
IsESMTP=0 
LabelRow=1 
LabelsCaptions=Label1;;Label2;;Label3;;Label4;;Label5;;Label6;;Label7 
LabelsColors=255;;32768;;16711680;;8388608;;65535;;128;;32896 
LeaveInServer=0 
MailAddress=abcde@163.net 
MailListFont= 
MessageFont= 
MovetoSentbox=1 
NetType=0 
Organization= 
OrigReply=1 
PlaySoundOnNewMsg=0 
POP3Account=abcde 
POP3Host=pop.163.net 
POP3Password=F9AAB899ACA6 
POP3Port=110 
PrintFont= 
ReplyAddr= 
SameWithPop=1 
SMTPHost=smtp.163.net 
SMTPPort=25 
SoundFileOnNew= 
Subject8bit=0 
UseAccNetSet=0 
UseExistDUN=1 
UseMIME=1 
UserName=abcde 
UseWeb=0 
WordWrap=1 

我只挑重要的讲，最重要的当然是MailAddress和POP3Password啦，哇噻，是POP3Password耶，这不是pop3的密码吗？当然不是啦，密码以 
明文存放………FoxMail不会这么笨的，它是经过了加密的密文（稍后我会讲的），其它的我就不多讲了，像POP3Host是pop3的服务器地 
址；POP3Port是pop3的服务器端口；SMTPHost是发信服务器，而SMTPPort是该服务器的端口…………等等，就此一笔带过（讲多了又要被 
扁了），其实上面的并不是属性中所有的内容，如果你细心的话就会发现属性中的“模板”并没有包含在内，对了，再接下去的文件内容 
就是模板的内容，因为这实在是无关痛痒，所以不多讲了。 


5、将取得的密文转换为明文（即密文解码公式） 

终于到了最刺激的部分了，这可是FoxMail的安全核心哦！ 
在解码之前，请你先记住一个单词：~draGon~（注意要区分大小写）。 
记住了吗？好，现在解码开始： 

第一步： 
取得上面这个单词的ASCII码：7E 64 72 61 47 6F 6E 7E，记为a1,a2,a3,a4,a5,a6,a7,a8 

第二步： 
将其相加，得0x357，除以255，余数是0x5A， 记为c0 

第三步： 
取密码的密文：F9AAB899ACA6将它们两两分开，得到：F9 AA B8 99 AC A6，分别记为b1,b2,b3,b4,b5,b6 
密文的长度为12，12/2－1＝5，所以密码的长度为5； 

第四步： 
c0=0X5A 
C1=C0^0XF9=c0^b0=0xA3 
C2=0XAA 
C3=0XB8 
C4=0X99 
C5=0XAC 

其中^为异或；0x代表此数为16进制数； 
d1=b2^a1=0xD4 
d2=b3^a2=0xDC 
d3=b4^a3=0xEB 
d4=b5^a4=0xCD 
d5=b6^a5=0xE1 

第五步： 
判断di是否大于ci，小于或等于，则di=di+0xFF 

第六步（最后一步）： 
Ei=di-ci，其中Ei就是将密文解码后的明文，本例中的密码是：d4h-a3h=31h;dch-aah=32h;ebh-b8h=33h;cdh-99h=34h;e1h-ach=35h 
即‘12345’。 

好了，终于写完了，如果还有问题别来问我，这篇文章已经写得很详细了！ 

有空的话去看看我的网站吧（虽然还没有完工），网址是HTTP://TSCoffee.MyEtang.Com 

                祝各位 
                    元旦快乐 


                                ---------- 碳烧咖啡 
                                      2001.1.2 晚