过滤王自动输入身份证软件的追注册码的简单分析

cu629944 · 发表于 2011-3-30 20:38

本帖最后由 lkou 于 2011-5-8 21:06 编辑

【文章标题】: 过滤王自动输入身份证软件的追注册码
【文章作者】: cu629944
【作者邮箱】: 1015636182@qq.com
【软件名称】: 过滤王自动输入身份证
【下载地址】: (前天从吾爱论坛看到的！今天才有空看！)http://u.115.com/file/t67f0c831#
【加壳方式】: Nspack
【使用工具】: PEID, OD
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
  我是菜鸟哦！做个爆破给大家看看！请大牛指正哦！

  先用PEID查壳，是 nsPack ver.3.x-4.1 reg by North Star - Overlay ,有附加数据！脱壳和附加数据就不演示了！
  脱壳和附加数据的处理网上一搜一大堆哦！

  现在开始破解啦！

  用OD载入，右键==》超级字符串参考==》查找ASCII码，在打开的窗口中看到 krnln.fnr和 krnln.fne两个函数库！所以
  可以判定为易语言的程序！双击进入krnln.fne函数库！向下面拉，找到 0040150E  |.  FFD0       CALL EAX，看到
  CALL EAX，在0040150E这里下断，F9运行，段在了这里，F7跟进，F8单步走，到达这里

  100297A6 E8 04F5FFFF    CALL krnln.10028CAF，  F7跟进去，向下面翻，找到JMP EAX，也就是10028CE3，F4运行
  到这里，然后F8步过，然后邮件==》分析==》删除模块代码。好了，现在可以查找字符串了！“找到软件真正成功！可以
  无限使用该软件！”这串字符串，双击进去！

  00419699 58             POP EAX
  0041969A 8945 F4       MOV DWORD PTR SS:[EBP-C],EAX
  0041969D 6A FF          PUSH -1
  0041969F 6A 08          PUSH 8
  004196A1 68 54100116    PUSH 16011054
  004196A6 68 4D100152    PUSH 5201104D
  004196AB E8 B40B0000    CALL 2.0041A264
  004196B0 83C4 10       ADD ESP,10
  004196B3 8945 F0       MOV DWORD PTR SS:[EBP-10],EAX
  004196B6 8B45 F4       MOV EAX,DWORD PTR SS:[EBP-C]
  004196B9 50             PUSH EAX
  004196BA FF75 F0       PUSH DWORD PTR SS:[EBP-10]
  004196BD E8 25C8FFFF    CALL 2.00415EE7
  004196C2 83C4 08       ADD ESP,8
  004196C5 83F8 00       CMP EAX,0
  004196C8 B8 00000000    MOV EAX,0
  004196CD 0F94C0       SETE AL
  004196D0 8945 EC       MOV DWORD PTR SS:[EBP-14],EAX
  004196D3 8B5D F0       MOV EBX,DWORD PTR SS:[EBP-10]
  004196D6 85DB          TEST EBX,EBX
  004196D8 74 09          JE SHORT 2.004196E3
  004196DA 53             PUSH EBX
  004196DB E8 6C0B0000    CALL 2.0041A24C
  004196E0 83C4 04       ADD ESP,4
  004196E3 837D EC 00    CMP DWORD PTR SS:[EBP-14],0
  004196E7 0F84 49000000 JE 2.00419736
  004196ED 6A 00          PUSH 0
  004196EF 68 55944000    PUSH 2.00409455                         ; 本机已经认证成功！此注册只限于本机使用！
  004196F4 6A FF          PUSH -1
  004196F6 6A 08          PUSH 8
  004196F8 68 4F100116    PUSH 1601104F
  004196FD 68 4D100152    PUSH 5201104D
  00419702 E8 510B0000    CALL 2.0041A258
  00419707 83C4 18       ADD ESP,18
  0041970A 6A 00          PUSH 0
  0041970C 68 01934000    PUSH 2.00409301                         ; 软件认证成功！可无限时使用该软件！
  00419711 6A FF          PUSH -1
  00419713 6A 08          PUSH 8
  00419715 68 72100116    PUSH 16011072
  0041971A 68 4C000152    PUSH 5201004C
  0041971F E8 340B0000    CALL 2.0041A258
  00419724 83C4 18       ADD ESP,18
  00419727 B8 01000000    MOV EAX,1
  0041972C E9 49000000    JMP 2.0041977A
  00419731 E9 44000000    JMP 2.0041977A
  00419736 6A 00          PUSH 0
  00419738 68 7E944000    PUSH 2.0040947E                         ; 本机认证失败！请检查注册码和认证硬件是否正确！
  0041973D 6A FF          PUSH -1
  0041973F 6A 08          PUSH 8
  00419741 68 4F100116    PUSH 1601104F
  00419746 68 4D100152    PUSH 5201104D
  0041974B E8 080B0000    CALL 2.0041A258
  00419750 83C4 18       ADD ESP,18
  00419753 6A 00          PUSH 0
  00419755 68 29934000    PUSH 2.00409329                         ; 程序未注册，或者注册信息不正确！未注册用户每次只能使用20分钟，程序将自动退出！
  0041975A 6A FF          PUSH -1
  0041975C 6A 08          PUSH 8
  0041975E 68 72100116    PUSH 16011072
  00419763 68 4C000152    PUSH 5201004C
  00419768 E8 EB0A0000    CALL 2.0041A258
  0041976D 83C4 18       ADD ESP,18
  00419770 B8 00000000    MOV EAX,0
  00419775 E9 00000000    JMP 2.0041977A
  0041977A 50             PUSH EAX
  0041977B 8B5D FC       MOV EBX,DWORD PTR SS:[EBP-4]
  0041977E 85DB          TEST EBX,EBX
  00419780 74 09          JE SHORT 2.0041978B
  00419782 53             PUSH EBX
  00419783 E8 C40A0000    CALL 2.0041A24C
  00419788 83C4 04       ADD ESP,4
  0041978B 8B5D F4       MOV EBX,DWORD PTR SS:[EBP-C]
  0041978E 85DB          TEST EBX,EBX
  00419790 74 09          JE SHORT 2.0041979B
  00419792 53             PUSH EBX
  00419793 E8 B40A0000    CALL 2.0041A24C
  00419798 83C4 04       ADD ESP,4
  0041979B 58             POP EAX
  0041979C 8BE5          MOV ESP,EBP
  0041979E 5D             POP EBP
  0041979F C3             RETN

  来到0041970C 这里，向上面找找到段首004194DA，下F2断点

  004194DA 55             PUSH EBP
  004194DB 8BEC          MOV EBP,ESP
  004194DD 81EC 18000000 SUB ESP,18
  004194E3 C745 FC 0000000>MOV DWORD PTR SS:[EBP-4],0
  004194EA C745 F8 0000000>MOV DWORD PTR SS:[EBP-8],0
  004194F1 C745 F4 0000000>MOV DWORD PTR SS:[EBP-C],0
  004194F8 6A FF          PUSH -1
  004194FA 6A 13          PUSH 13
  004194FC 68 50100116    PUSH 16011050
  00419501 68 4D100152    PUSH 5201104D
  00419506 E8 590D0000    CALL 2.0041A264
  0041950B 83C4 10       ADD ESP,10
  0041950E 68 01030080    PUSH 80000301
  00419513 6A 00          PUSH 0
  00419515 50             PUSH EAX
  00419516 68 0E000100    PUSH 1000E
  0041951B 68 50100116    PUSH 16011050
  00419520 68 4D100152    PUSH 5201104D
  00419525 68 02000000    PUSH 2
  0041952A BB BC030000    MOV EBX,3BC
  0041952F E8 2A0D0000    CALL 2.0041A25E
  00419534 83C4 1C       ADD ESP,1C
  00419537 8945 EC       MOV DWORD PTR SS:[EBP-14],EAX
  0041953A 68 04000080    PUSH 80000004
  0041953F 6A 00          PUSH 0
  00419541 8B45 EC       MOV EAX,DWORD PTR SS:[EBP-14]
  00419544 85C0          TEST EAX,EAX
  00419546 75 05          JNZ SHORT 2.0041954D
  00419548 B8 EB914000    MOV EAX,2.004091EB
  0041954D 50             PUSH EAX
  0041954E 68 01000000    PUSH 1
  00419553 BB 68010000    MOV EBX,168
  00419558 E8 010D0000    CALL 2.0041A25E
  0041955D 83C4 10       ADD ESP,10
  00419560 8945 E8       MOV DWORD PTR SS:[EBP-18],EAX
  00419563 8B5D EC       MOV EBX,DWORD PTR SS:[EBP-14]
  00419566 85DB          TEST EBX,EBX
  00419568 74 09          JE SHORT 2.00419573
  0041956A 53             PUSH EBX
  0041956B E8 DC0C0000    CALL 2.0041A24C
  00419570 83C4 04       ADD ESP,4
  00419573 8B45 E8       MOV EAX,DWORD PTR SS:[EBP-18]
  00419576 50             PUSH EAX
  00419577 8B5D FC       MOV EBX,DWORD PTR SS:[EBP-4]
  0041957A 85DB          TEST EBX,EBX
  0041957C 74 09          JE SHORT 2.00419587
  0041957E 53             PUSH EBX
  0041957F E8 C80C0000    CALL 2.0041A24C
  00419584 83C4 04       ADD ESP,4
  00419587 58             POP EAX
  00419588 8945 FC       MOV DWORD PTR SS:[EBP-4],EAX
  0041958B 68 EB914000    PUSH 2.004091EB
  00419590 FF75 FC       PUSH DWORD PTR SS:[EBP-4]
  00419593 E8 4FC9FFFF    CALL 2.00415EE7
  00419598 83C4 08       ADD ESP,8
  0041959B 83F8 00       CMP EAX,0
  0041959E 0F85 1F000000 JNZ 2.004195C3
  004195A4 B8 A1934000    MOV EAX,2.004093A1                      ; 54ds
  004195A9 50             PUSH EAX
  004195AA 8B5D FC       MOV EBX,DWORD PTR SS:[EBP-4]
  004195AD 85DB          TEST EBX,EBX
  004195AF 74 09          JE SHORT 2.004195BA
  004195B1 53             PUSH EBX
  004195B2 E8 950C0000    CALL 2.0041A24C
  004195B7 83C4 04       ADD ESP,4
  004195BA 58             POP EAX
  004195BB 8945 FC       MOV DWORD PTR SS:[EBP-4],EAX
  004195BE E9 00000000    JMP 2.004195C3
  004195C3 33C9          XOR ECX,ECX
  004195C5 8D45 F8       LEA EAX,DWORD PTR SS:[EBP-8]
  004195C8 8BD8          MOV EBX,EAX
  004195CA 41             INC ECX
  004195CB 51             PUSH ECX
  004195CC 53             PUSH EBX
  004195CD 890B          MOV DWORD PTR DS:[EBX],ECX
  004195CF 83F9 04       CMP ECX,4
  004195D2 0F8F 91000000 JG 2.00419669
  004195D8 68 A6934000    PUSH 2.004093A6                         ; zwbktx
  004195DD FF75 FC       PUSH DWORD PTR SS:[EBP-4]
  004195E0 68 AD934000    PUSH 2.004093AD                         ; tacdqc
  004195E5 B9 03000000    MOV ECX,3
  004195EA E8 2AD7FFFF    CALL 2.00416D19
  004195EF 83C4 0C       ADD ESP,0C
  004195F2 8945 F0       MOV DWORD PTR SS:[EBP-10],EAX
  004195F5 68 04000080    PUSH 80000004
  004195FA 6A 00          PUSH 0
  004195FC 8B45 F0       MOV EAX,DWORD PTR SS:[EBP-10]
  004195FF 85C0          TEST EAX,EAX
  00419601 75 05          JNZ SHORT 2.00419608
  00419603 B8 EB914000    MOV EAX,2.004091EB
  00419608 50             PUSH EAX
  00419609 68 01000000    PUSH 1
  0041960E BB 98010000    MOV EBX,198
  00419613 E8 460C0000    CALL 2.0041A25E
  00419618 83C4 10       ADD ESP,10
  0041961B 8945 EC       MOV DWORD PTR SS:[EBP-14],EAX
  0041961E 8B5D F0       MOV EBX,DWORD PTR SS:[EBP-10]
  00419621 85DB          TEST EBX,EBX
  00419623 74 09          JE SHORT 2.0041962E
  00419625 53             PUSH EBX
  00419626 E8 210C0000    CALL 2.0041A24C
  0041962B 83C4 04       ADD ESP,4
  0041962E 8D45 EC       LEA EAX,DWORD PTR SS:[EBP-14]
  00419631 50             PUSH EAX
  00419632 E8 4BECFFFF    CALL 2.00418282
  00419637 8945 E8       MOV DWORD PTR SS:[EBP-18],EAX
  0041963A 8B5D EC       MOV EBX,DWORD PTR SS:[EBP-14]
  0041963D 85DB          TEST EBX,EBX
  0041963F 74 09          JE SHORT 2.0041964A
  00419641 53             PUSH EBX
  00419642 E8 050C0000    CALL 2.0041A24C
  00419647 83C4 04       ADD ESP,4
  0041964A 8B45 E8       MOV EAX,DWORD PTR SS:[EBP-18]
  0041964D 50             PUSH EAX
  0041964E 8B5D FC       MOV EBX,DWORD PTR SS:[EBP-4]
  00419651 85DB          TEST EBX,EBX
  00419653 74 09          JE SHORT 2.0041965E
  00419655 53             PUSH EBX
  00419656 E8 F10B0000    CALL 2.0041A24C
  0041965B 83C4 04       ADD ESP,4
  0041965E 58             POP EAX
  0041965F 8945 FC       MOV DWORD PTR SS:[EBP-4],EAX
  00419662 5B             POP EBX
  00419663 59             POP ECX
  00419664  ^ E9 61FFFFFF    JMP 2.004195CA
  00419669 83C4 08       ADD ESP,8
  0041966C 8B45 FC       MOV EAX,DWORD PTR SS:[EBP-4]
  0041966F 85C0          TEST EAX,EAX
  00419671 74 15          JE SHORT 2.00419688
  00419673 50             PUSH EAX
  00419674 8BD8          MOV EBX,EAX
  00419676 E8 33D6FFFF    CALL 2.00416CAE
  0041967B 40             INC EAX
  0041967C 50             PUSH EAX
  0041967D E8 D00B0000    CALL 2.0041A252
  00419682 59             POP ECX
  00419683 5E             POP ESI
  00419684 8BF8          MOV EDI,EAX
  00419686 F3:A4          REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[>
  00419688 50             PUSH EAX
  00419689 8B5D F4       MOV EBX,DWORD PTR SS:[EBP-C]
  0041968C 85DB          TEST EBX,EBX
  0041968E 74 09          JE SHORT 2.00419699
  00419690 53             PUSH EBX
  00419691 E8 B60B0000    CALL 2.0041A24C
  00419696 83C4 04       ADD ESP,4
  00419699 58             POP EAX
  0041969A 8945 F4       MOV DWORD PTR SS:[EBP-C],EAX
  0041969D 6A FF          PUSH -1
  0041969F 6A 08          PUSH 8
  004196A1 68 54100116    PUSH 16011054
  004196A6 68 4D100152    PUSH 5201104D
  004196AB E8 B40B0000    CALL 2.0041A264
  004196B0 83C4 10       ADD ESP,10
  004196B3 8945 F0       MOV DWORD PTR SS:[EBP-10],EAX
  004196B6 8B45 F4       MOV EAX,DWORD PTR SS:[EBP-C]
  004196B9 50             PUSH EAX
  004196BA FF75 F0       PUSH DWORD PTR SS:[EBP-10]
  004196BD E8 25C8FFFF    CALL 2.00415EE7
  004196C2 83C4 08       ADD ESP,8
  004196C5 83F8 00       CMP EAX,0
  004196C8 B8 00000000    MOV EAX,0
  004196CD 0F94C0       SETE AL
  004196D0 8945 EC       MOV DWORD PTR SS:[EBP-14],EAX
  004196D3 8B5D F0       MOV EBX,DWORD PTR SS:[EBP-10]
  004196D6 85DB          TEST EBX,EBX
  004196D8 74 09          JE SHORT 2.004196E3
  004196DA 53             PUSH EBX
  004196DB E8 6C0B0000    CALL 2.0041A24C
  004196E0 83C4 04       ADD ESP,4
  004196E3 837D EC 00    CMP DWORD PTR SS:[EBP-14],0
  004196E7 0F84 49000000 JE 2.00419736
  004196ED 6A 00          PUSH 0
  004196EF 68 55944000    PUSH 2.00409455                         ; 本机已经认证成功！此注册只限于本机使用！
  004196F4 6A FF          PUSH -1
  004196F6 6A 08          PUSH 8
  004196F8 68 4F100116    PUSH 1601104F
  004196FD 68 4D100152    PUSH 5201104D
  00419702 E8 510B0000    CALL 2.0041A258
  00419707 83C4 18       ADD ESP,18
  0041970A 6A 00          PUSH 0
  0041970C 68 01934000    PUSH 2.00409301                         ; 软件认证成功！可无限时使用该软件！
  00419711 6A FF          PUSH -1
  00419713 6A 08          PUSH 8
  00419715 68 72100116    PUSH 16011072
  0041971A 68 4C000152    PUSH 5201004C
  0041971F E8 340B0000    CALL 2.0041A258
  00419724 83C4 18       ADD ESP,18
  00419727 B8 01000000    MOV EAX,1
  0041972C E9 49000000    JMP 2.0041977A
  00419731 E9 44000000    JMP 2.0041977A
  00419736 6A 00          PUSH 0
  00419738 68 7E944000    PUSH 2.0040947E                         ; 本机认证失败！请检查注册码和认证硬件是否正确！
  0041973D 6A FF          PUSH -1
  0041973F 6A 08          PUSH 8
  00419741 68 4F100116    PUSH 1601104F
  00419746 68 4D100152    PUSH 5201104D
  0041974B E8 080B0000    CALL 2.0041A258
  00419750 83C4 18       ADD ESP,18
  00419753 6A 00          PUSH 0
  00419755 68 29934000    PUSH 2.00409329                         ; 程序未注册，或者注册信息不正确！未注册用户每次只能使用20分钟，程序将自动退出！
  0041975A 6A FF          PUSH -1
  0041975C 6A 08          PUSH 8
  0041975E 68 72100116    PUSH 16011072

  点击运行，然后点系统菜单==》软件注册，输入假的注册码“asdfasdfasdf”段下来啦，断在004194DA，F8单步跟踪，注意堆栈和寄存器窗口。

  到这里 0041952F E8 2A0D0000    CALL 2.0041A25E 在寄存器窗口的EAX上出现了我们的机器码 WD－WMAV2M722775
  继续跟踪，到达这里004195CC，向下看看，发现有循环，也就是说从004195CC开始，开始算注册码当到00419669的时候，
  我们的注册码就全部在堆栈窗口出现了，我们先暂时复制下来，
  0012F6C4 00144680  ASCII "VEFDRFFDVkVGRFJGRkRWa1ZHUkZKR1JrUldhMVpIVWtaS1IxSnJVbGROUmtZd1ZtcEJlRkZzV25GVGF6VlBaV3RzTlZSdWNHcE5WbVJ6V2tWT1ZFMVdTbHBYYkdSRFV6RlNXVnBYUWt0VVdBPT1aV0JLVFg="
  先假定它是我们的注册码！继续向下跟踪，当到004196BD的时候，我们的假注册码和真的注册码同时在寄存器窗口出现了！
  我们继续向下跟踪

  004196D6 85DB          TEST EBX,EBX

  这里开始对比了，EBX如果为0就跳到注册失败！

  004196D8 /74 09          JE SHORT 2.004196E3
  004196DA |53             PUSH EBX
  004196DB |E8 6C0B0000    CALL 2.0041A24C
  004196E0 |83C4 04       ADD ESP,4
  004196E3 \837D EC 00    CMP DWORD PTR SS:[EBP-14],0
  004196E7 0F84 49000000 JE 2.00419736
  004196ED 6A 00          PUSH 0
  004196EF 68 55944000    PUSH 2.00409455                         ; 本机已经认证成功！此注册只限于本机使用！
  004196F4 6A FF          PUSH -1
  004196F6 6A 08          PUSH 8
  004196F8 68 4F100116    PUSH 1601104F
  004196FD 68 4D100152    PUSH 5201104D
  00419702 E8 510B0000    CALL 2.0041A258
  00419707 83C4 18       ADD ESP,18
  0041970A 6A 00          PUSH 0
  0041970C 68 01934000    PUSH 2.00409301                         ; 软件认证成功！可无限时使用该软件！
  00419711 6A FF          PUSH -1
  00419713 6A 08          PUSH 8
  00419715 68 72100116    PUSH 16011072
  0041971A 68 4C000152    PUSH 5201004C
  0041971F E8 340B0000    CALL 2.0041A258
  00419724 83C4 18       ADD ESP,18
  00419727 B8 01000000    MOV EAX,1
  0041972C E9 49000000    JMP 2.0041977A
  00419731 E9 44000000    JMP 2.0041977A
  00419736 6A 00          PUSH 0
  00419738 68 7E944000    PUSH 2.0040947E                         ; 本机认证失败！请检查注册码和认证硬件是否正确！
  0041973D 6A FF          PUSH -1
  0041973F 6A 08          PUSH 8
  00419741 68 4F100116    PUSH 1601104F
  00419746 68 4D100152    PUSH 5201104D
  0041974B E8 080B0000    CALL 2.0041A258
  00419750 83C4 18       ADD ESP,18
  00419753 6A 00          PUSH 0
  00419755 68 29934000    PUSH 2.00409329                         ; 程序未注册，或者注册信息不正确！未注册用户每次只能使用20分钟，程序将自动退出！
  0041975A 6A FF          PUSH -1

  好了，跟到这里我们可以关掉OD，去试试我们刚才得到的注册码是否正确，大家也可以尝试爆破一下哈！

  试了一下，是真的注册码！我们可以可无限时使用该软件了！

--------------------------------------------------------------------------------
【经验总结】
  一个简单的软件，没啥可说的！

--------------------------------------------------------------------------------
【版权声明】: 本文原创于cu629944, 转载请注明作者并保持文章的完整, 谢谢!

                                                   2011年03月30日下午 08:37:22

287166966 · 发表于 2011-3-30 20:46

呵呵！！谢谢支持！

ak2500 · 发表于 2011-3-30 20:40

很详细呵呵支持一下再看

lmj43993839 · 发表于 2011-3-30 20:54

很强大详细学习了

哀而不伤 · 发表于 2011-3-30 21:40

好教程学习了～～

落雪飞花 · 发表于 2011-3-30 21:42

很不错！不过我想向楼主请教几个问题！
在打开的窗口中看到 krnln.fnr和 krnln.fne两个函数库！所以
  可以判定为易语言的程序！双击进入krnln.fne函数库！  为何要选这个函数库？

向下面拉，找到 0040150E  |.  FFD0       CALL EAX，看到  为何要找到这个call  前面还有一个EAX！为何在那里下断！  CALL EAX，在0040150E这里下断，F9运行，段在了这里，F7跟进，F8单步走，到达这里

  100297A6 E8 04F5FFFF    CALL krnln.10028CAF，  F7跟进去，向下面翻，找到JMP EAX，也就是10028CE3，为什么在这里跟进后分析却能找到代码？ F4运行
  到这里，然后F8步过，然后邮件==》分析==》删除模块代码。

joan · 发表于 2011-3-30 22:08

都是高手。。。。

家园春正浓 · 发表于 2011-3-30 23:26

很详细谢楼主的分享呵呵呵

cu629944 · 发表于 2011-3-31 12:51

回复落雪飞花的帖子

krnln.fnr和krnln.fne是易语言的支持库，所以要双击这两个支持库中的任意一个就可以了！而且！只有来到易语言的支持库中才能搜索到有用的字符串，这也是易语言对程序的一种保护吧！
所以我们要顺利的到达支持库中，就需要在0040150E跟进去，至于下断和F4运行是我为了节约时间而已！你也可以慢慢单步跟踪！当到了易语言的支持库中，就自然而然的找到了我们需要的代码了！

落雪飞花 · 发表于 2011-3-31 13:54

回复 cu629944 的帖子

虽然还没明白！不过还是谢谢了

帐号		自动登录	找回密码
密码			注册[Register]

[原创] 过滤王自动输入身份证软件的追注册码的简单分析

免费评分