[反汇编练习] 160个CrackMe之015

[反汇编练习] 160个CrackMe之015.

本系列文章的目的是从一个没有任何经验的新手的角度(其实就是我自己)，一步步尝试将160个CrackMe全部破解，如果可以，通过任何方式写出一个类似于注册机的东西。

其中，文章中按照如下逻辑编排（解决如下问题）：

1、使用什么环境和工具

2、程序分析

3、思路分析和破解流程

4、注册机的探索

----------------------------------

提醒各位看客: 如果文章中的逻辑看不明白,那你一定是没有亲手操刀!OD中的跳转提示很强大,只要你跟踪了,不用怎么看代码就理解了!

----------------------------------

1、工具和环境：

WinXP SP3 + 52Pojie六周年纪念版OD + PEID + 汇编金手指。

160个CrackMe的打包文件。

下载地址： http://pan.baidu.com/s/1xUWOY 密码: jbnq

注：

1、Win7系统对于模块和程序开启了随机初始地址的功能，会给分析带来很大的负担，所以不建议使用Win7进行分析。

2、以上工具都是在52PoJie论坛下的原版程序，NOD32不报毒，个人承诺绝对不会进行任何和木马病毒相关内容。

2、程序分析：

想要破解一个程序，必须先了解这个程序。所以，在破解过程中，对最初程序的分析很重要，他可以帮助我们理解作者的目的和意图，特别是对于注册码的处理细节，从而方便我们反向跟踪和推导。

和上一节一样，打开CHM，选择第15个blaster99.exe，保存下来。运行程序，程序界面如下：

一看到这种鸟语我就郁闷！但是，信息框我很喜欢！哈哈，你懂得！

PEID查看：Microsoft Visual Basic 5.0 / 6.0

 

3、思路分析和破解流程

思路就不说了，和之前的大部分都一样。步骤：

1、打开OD，将exe拖进去，F9运行。

2、在Exe中输入伪码123123,点击Registrieren，弹出错误信息框。

3、回到OD，点击暂停按钮(Ctrl+F2)，再点击K图标(Ctrl+K)，这时可以看到堆栈信息。

4、根据经验选中最后一个，右键->Show call，返回到了反汇编窗口。

00402A5A   .  0F84 E7000000 je 00402B47
00402A60   .  8D95 74FFFFFF lea edx,dword ptr ss:[ebp-0x8C]
00402A66   .  8D4D AC       lea ecx,dword ptr ss:[ebp-0x54]
00402A69   .  C785 7CFFFFFF>mov dword ptr ss:[ebp-0x84],00401E70     ;  UNICODE "Error ! Das Passwort ist falsch !"
00402A73   .  C785 74FFFFFF>mov dword ptr ss:[ebp-0x8C],0x8
00402A7D   .  E8 AAE6FFFF   call <jmp.&MSVBVM50.__vbaVarCopy>
00402A82   .  8D95 74FFFFFF lea edx,dword ptr ss:[ebp-0x8C]
00402A88   .  8D4D DC       lea ecx,dword ptr ss:[ebp-0x24]
00402A8B   .  C785 7CFFFFFF>mov dword ptr ss:[ebp-0x84],0x10
00402A95   .  899D 74FFFFFF mov dword ptr ss:[ebp-0x8C],ebx
00402A9B   .  E8 86E6FFFF   call <jmp.&MSVBVM50.__vbaVarMove>
00402AA0   .  8D95 74FFFFFF lea edx,dword ptr ss:[ebp-0x8C]
00402AA6   .  8D4D CC       lea ecx,dword ptr ss:[ebp-0x34]
00402AA9   .  C785 7CFFFFFF>mov dword ptr ss:[ebp-0x84],00401EB8     ;  UNICODE "PASSWORT FALSCH !"
00402AB3   .  C785 74FFFFFF>mov dword ptr ss:[ebp-0x8C],0x8
00402ABD   .  E8 6AE6FFFF   call <jmp.&MSVBVM50.__vbaVarCopy>
00402AC2   .  8D45 84       lea eax,dword ptr ss:[ebp-0x7C]
00402AC5   .  897D 8C       mov dword ptr ss:[ebp-0x74],edi
00402AC8   .  50            push eax
00402AC9   .  8D45 94       lea eax,dword ptr ss:[ebp-0x6C]
00402ACC   .  50            push eax
00402ACD   .  8D45 CC       lea eax,dword ptr ss:[ebp-0x34]
00402AD0   .  50            push eax
00402AD1   .  8D45 DC       lea eax,dword ptr ss:[ebp-0x24]
00402AD4   .  50            push eax
00402AD5   .  8975 84       mov dword ptr ss:[ebp-0x7C],esi
00402AD8   .  897D 9C       mov dword ptr ss:[ebp-0x64],edi
00402ADB   .  8975 94       mov dword ptr ss:[ebp-0x6C],esi
00402ADE   .  E8 37E6FFFF   call <jmp.&MSVBVM50.__vbaI4Var>
00402AE3   .  50            push eax
00402AE4   .  8D45 AC       lea eax,dword ptr ss:[ebp-0x54]
00402AE7   .  50            push eax
00402AE8   .  E8 33E6FFFF   call <jmp.&MSVBVM50.#595>

5、向上浏览代码，发现两个字符串，虽然看不懂，但是应该是一个提示成功，一个提示失败的。

6、继续向上查看je、jg、jmp等跳转，但是发现没有一个跳转用来区分正确和错误的。

7、向上跟踪VB的API看看它在干什么？

00402A22   .  E8 17E7FFFF   call <jmp.&MSVBVM50.__vbaHresultCheckObj>
00402A27   >  FF75 A8       push dword ptr ss:[ebp-0x58]             ;  "123123123"
00402A2A   .  68 DC1D4000   push 00401DDC                            ;  UNICODE "2G83G35Hs2"
00402A2F   .  E8 16E7FFFF   call <jmp.&MSVBVM50.__vbaStrCmp>         ;  // 注册码比较
00402A34   .  F7D8          neg eax
00402A36   .  1BC0          sbb eax,eax
00402A38   .  8D4D A8       lea ecx,dword ptr ss:[ebp-0x58]
00402A3B   .  F7D8          neg eax
00402A3D   .  F7D8          neg eax
00402A3F   .  8985 48FFFFFF mov dword ptr ss:[ebp-0xB8],eax
00402A45   .  E8 EEE6FFFF   call <jmp.&MSVBVM50.__vbaFreeStr>
00402A4A   .  8D4D A4       lea ecx,dword ptr ss:[ebp-0x5C]
00402A4D   .  E8 E0E6FFFF   call <jmp.&MSVBVM50.__vbaFreeObj>
00402A52   .  66:83BD 48FFF>cmp word ptr ss:[ebp-0xB8],0x0
00402A5A   .  0F84 E7000000 je 00402B47

很容易地发现了一个文本比较函数 __vbaStrCmp ，对它下断点，发现了比较的字符串，"2G83G35Hs2" 很可疑，我们试试！

哈哈，成功了！

 

4、注册机的探索

 

注册码是固定的："2G83G35Hs2"，不需要继续跟踪啦！哈哈！

 

BY  笨笨D幸福