适合新手的160个creakme（二）

先跑一下，然后找出关键字符串

关键字符串是You Get Wrong和Try Again，不过IDA好像识别不出来这个字符串，在Ollydbg中右键Search For，寻找所有字符串，可以找到这些字符串，好像是unicode码，可能IDA没有办法识别

然后定位到代码

.text:004025E5                 push    offset aYouGetWrong ; "You Get Wrong"

然后定位到调用代码，这里的跳转如果被忽略那么就可以直接跳转到正确结果

.text:0040258B                 jz      short loc_4025E5

直接在Ollydbg中改写这个地方的指令，右键binary->edit，将这两个指令改成nop

然后就ok了

上面的修改说明了关键判断确实是在这里

看看这部分的代码

.text: loc_402510:                             ; CODE XREF: .text:004024FC↑j
.text:                 mov     eax, [ebp-18h]　　　　；指向UNICODE "Type In Your Serial"
.text:                 mov     ecx, [ebp-1Ch]　　　　；指向UNICODE "1658111"

.text:                 mov     edi, ds:__vbaStrCat
.text:0040251C                 push    eax
.text:0040251D                 push    offset aAka     ; "AKA-"　
.text:                 push    ecx
.text:                 call    edi ; __vbaStrCat　　；应该是VBA里面的字符串拼接函数，参数都是通过栈来传递的，返回值为AKA-1658111
.text:                 mov     ebx, ds:__vbaStrMove
.text:0040252B                 mov     edx, eax　　
.text:0040252D                 lea     ecx, [ebp-20h]
.text:                 call    ebx ; __vbaStrMove
.text:                 push    eax
.text:                 call    ds:__vbaStrCmp　　；比较函数，比较的是"AKA-1658111"和序列号字符串
.text:                 mov     esi, eax　　　　　　；返回值为1，赋值给esi
.text:0040253B                 lea     edx, [ebp-20h]
.text:0040253E                 neg     esi　　　　　　　　　　；求补运算，这里esi等于全f
.text:                 lea     eax, [ebp-18h]
.text:                 push    edx
.text:                 sbb     esi, esi
.text:                 lea     ecx, [ebp-1Ch]
.text:                 push    eax
.text:0040254A                 inc     esi　　　　　　　　　　；加1变为0
.text:0040254B                 push    ecx
.text:0040254C                 push
.text:0040254E                 neg     esi　　　　　　　　　　；求补还是0
.text:                 call    ds:__vbaFreeStrList
.text:                 add     esp, 10h
.text:                 lea     edx, [ebp-28h]
.text:0040255C                 lea     eax, [ebp-24h]
.text:0040255F                 push    edx
.text:                 push    eax
.text:                 push
.text:                 call    ds:__vbaFreeObjList
.text:                 add     esp, 0Ch
.text:0040256C                 mov     ecx, 80020004h
.text:                 mov     eax, 0Ah
.text:                 mov     [ebp-64h], ecx
.text:                 test    si, si　　　　　　　　；esi为0，test设置了zf标志位
.text:0040257C                 mov     [ebp-6Ch], eax
.text:0040257F                 mov     [ebp-54h], ecx
.text:                 mov     [ebp-5Ch], eax
.text:                 mov     [ebp-44h], ecx
.text:                 mov     [ebp-4Ch], eax
.text:0040258B                 jz      short loc_4025E5　　；所以这里ZF标志位是1，要进行跳转
.text:0040258D                 push    offset aYouGetIt ; "You Get It"
.text:                 push    offset asc_401B9C ; "\r\n"
.text:                 call    edi ; __vbaStrCat
.text:                 mov     edx, eax
.text:0040259B                 lea     ecx, [ebp-18h]
.text:0040259E                 call    ebx ; __vbaStrMove
.text:004025A0                 push    eax
.text:004025A1                 push    offset aKeygenItNow ; "KeyGen It Now"

大致过一遍上面的代码，可以知道只需要序列号等于AKA-1658111就可以让比较函数返回0，然后通过后面的检测，由于AKA是固定字符串，剩下的就是看1658111这个串是怎么来的。

然后再往前找ebp-1ch在哪里被引用了

004023F3这个位置，ebp-1ch被修改为了用户名字符串，接着402415处又将该字符串作为参数调用长度，返回0x11，长度值。00402420处将长度值乘以17CFB，0040242D调用了rtcAnsiValueBstr函数，参数为用户名，返回第一个字符，该函数执行之后，eax值为0x54，T的ascll码，然后加上前面长度值乘以17CFB的结果,位0x194cff，0040243F将这个值作为参数调用了__vbaStrI4函数，这个函数返回之后，eax指向字符串“1658111”，这个字符串就来了，所以这应该是数字转字符串的函数。

所以最后的算法应该是用户名的长度乘以17CFB加上用户名的第一个字符，结果转成10进制，再转成字符串，加上前缀"AKA-"。

最后，可以改最后一个条件的判断码，来实现跳转转移，JE改成JNE，74改75