吾爱破解 - 52pojie.cn

 找回密码
 注册[Register]

QQ登录

只需一步,快速开始

查看: 2131|回复: 2
收起左侧

[会员申请] 申请会员ID:逸聆君【申请通过】

[复制链接]
吾爱游客  发表于 2023-1-9 19:10

1、申 请 I D:逸聆君
2、个人邮箱:2992713341@qq.com
3、原创技术文章:

002-注册算法分析

一、工具和调试环境

  • 动态调试工具:x64dbg
  • 系统环境:win10 1909

二、分析Serial/name的算法

直接使用提示字符串验证,得到错误提示如下:

http://ro7swvg7q.hn-bkt.clouddn.com/002-01.png?e=1673348693&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:3j1EisJt4lgNcC8HljidjGI2SFU=

接下来使用x64dbg重新加载或者附加,然后直接搜索字符串Try Again,只有一处引用,就很nice

http://ro7swvg7q.hn-bkt.clouddn.com/002-02.png?e=1673348757&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:3_hMOwraA2BMuIEpCE8gQFltKwQ=

双击跳到引用的地方,其中edi__vbaStrCat函数地址,ebx__vbaObjSet函数地址,这里就是错误提示弹窗的地方。往上看,可以发现一个jmp直接跳过错误提示弹窗的代码,那么jmp的下一行代码(下图红框)大概是从别的地方跳过来的,那么下面就查看什么地方跳到此处

http://ro7swvg7q.hn-bkt.clouddn.com/002-03.png?e=1673348780&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:diou9ZYSa4OmRA0v8NEoFQsho5Q=

选中该行,右键选中查找引用,然后选择选中的地址。可以看到有一处引用,这就很nice

http://ro7swvg7q.hn-bkt.clouddn.com/002-04.png?e=1673348803&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:zCSzLyiUT9LisZHaEpO9hRmU67U=

双击跳到引用的地方,可以发现je跳过的地方好像是正确提示弹窗代码,在此处下断点,然后运行程序,依旧使用提示字符串验证。断点触发,然后我们修改ZF标志位,再继续运行,发现正确提示弹窗出现。那么这个跳转就是关键跳转了。

http://ro7swvg7q.hn-bkt.clouddn.com/002-05.png?e=1673348852&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:qanKJh-yQ99FbvTPRXmpY4Y3B2o=

接下来继续向上观察是影响je指令的指令,上面不远处就会发现test si, si,也就是说是通过si的值来影响跳转,当si = 0就提示错误,si != 0就提示正确。想上继续查看si的值是怎么来的

http://ro7swvg7q.hn-bkt.clouddn.com/002-06.png?e=1673348875&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:jF9MJjWpHKu5XrJLmAOGAg_QVME=

如上图,si的值是__vbaStrCmp的返回值然后进行下面运算

; eax = __vbaStrCmp(str1, str2)的返回值, 相等返回0
mov esi, eax
neg esi                                ; 当 eax = 0 时, esi = 0, eax != 0 时,esi = -1
sbb esi, esi                ; 当 eax = 0 时, esi = 0, eax != 0 时,esi = -1
inc esi                            ; 当 eax = 0 时, esi = 1, eax != 0 时,esi = 0
neg esi                            ; 当 eax = 0 时, esi = -1, eax != 0 时,esi = 0
; 即 str1 与 str2 相等时, esi = -1, 不相等时, esi = 0

由此我们只要让str1str2相等即可,下面就在调用该函数的地方下个断点,运行,断点断下后,查看该函数的两个参数分别是什么

http://ro7swvg7q.hn-bkt.clouddn.com/002-07.png?e=1673348904&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:0BB-zKdPNEX7RtgYJy48bOl4vbg=

可以看出一个是我们输入的Serial,那么另一个应该就是需要输入的正确的Serial。接下来就需要找到正确Serial是怎么来的。

直接在函数头部下一个断点,然后一直单步观察寄存器和栈区的变化,看什么时候出现正确的Serial,最后在如下图的0x00402525处获取到正确的Serial

http://ro7swvg7q.hn-bkt.clouddn.com/002-08.png?e=1673348923&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:UafhnW7LovVFQxZ3zPHEqOa46as=

可以看到正确的Serial是拼接而成的,固定格式为:AKA-XXX,其中XXX是一串数字。接下来重复刚刚的操作,找到XXX首次出现的地方,见下图

http://ro7swvg7q.hn-bkt.clouddn.com/002-09.png?e=1673348949&token=VIvHsrpV05uahGjVV9FNr7RjMzFbx4HNAimyUGi7:lTDE11hEL357Kl_9MP6wbO3Y6EQ=

__vbaStrI4函数是将长整型(4个字节)的数值转换为十进制表示的字符串,XXX就是edi转换后的,那么edi的值是如何来的呢?上图红框中就是edi的值的计算,也是我们要找的核心算法。

0040240F   | 8B45 E4                  | mov eax,dword ptr ss:[ebp-1C]           | [ebp-1C]:L"Type In Your Name" ; name的首地址
00402412   | 50                       | push eax                                | 
00402413   | 8B1A                     | mov ebx,dword ptr ds:[edx]              |
00402415   | FF15 E4404000            | call dword ptr ds:[<&__vbaLenBstr>]     | ; 获取 name 的长度
0040241B   | 8BF8                     | mov edi,eax                             | ; edi = strlen(name)
0040241D   | 8B4D E8                  | mov ecx,dword ptr ss:[ebp-18]           | [ebp-18]:L"Type In Your Name" ; name的首地址
00402420   | 69FF FB7C0100            | imul edi,edi,17CFB                      | ; edi = strlen(name) * 0x17CFB
00402426   | 51                       | push ecx                                | 
00402427   | 0F80 91020000            | jo afkayas.1.4026BE                     |
0040242D   | FF15 F8404000            | call dword ptr ds:[<&rtcAnsiValueBstr>] | ; 获取 name 的第一个字符的 ascii码值
00402433   | 0FBFD0                   | movsx edx,ax                            | ; edx = name[0]
00402436   | 03FA                     | add edi,edx                             | ; edi = strlen(name) * 0x17CFB + name[0]
00402438   | 0F80 80020000            | jo afkayas.1.4026BE                     |
0040243E   | 57                       | push edi                                |
0040243F   | FF15 E0404000            | call dword ptr ds:[<&__vbaStrI4>]       |
00402445   | 8BD0                     | mov edx,eax                             | eax:L"1658111"

首先获取name的长度,然后将其长度乘以0x17CFB,将运算的结果再加上name第一个字符的ascii码值就得到了edi的最终值:edi = strlen(name) * 0x17CFB + name[0]

三、算法核心代码模拟

char* GetSerial2(char* szName)
{
        static char szSerial[60] = {};

        int key = strlen(szName) * 0x17CFB + szName[0];

        sprintf(szSerial, "AKA-%d", key);
        return szSerial;
}

发帖前要善用论坛搜索功能,那里可能会有你要找的答案或者已经有人发布过相同内容了,请勿重复发帖。

Hmily 发表于 2023-1-10 14:52
I D:逸聆君
邮箱:2992713341@qq.com

申请通过,欢迎光临吾爱破解论坛,期待吾爱破解有你更加精彩,ID和密码自己通过邮件密码找回功能修改,请即时登陆并修改密码!
登陆后请在一周内在此帖报道,否则将删除ID信息。

ps:既然用MD格式去写就应该都用MD的语法,就不要用discuz的语法了,混用不行。文章难度不算高,期待后续更多分享吧,登陆后把文章整理一下发到脱壳破解区。
 楼主| 逸聆君 发表于 2023-1-14 14:17
您需要登录后才可以回帖 登录 | 注册[Register]

本版积分规则

返回列表

RSS订阅|小黑屋|处罚记录|联系我们|吾爱破解 - LCG - LSG ( 京ICP备16042023号 | 京公网安备 11010502030087号 )

GMT+8, 2024-11-24 05:21

Powered by Discuz!

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表