爆破unabexcm5fl（已补上注册机）

系统 ： Windows xp

程序 ： unabexcm5fl

程序下载地址 ：http://pan.baidu.com/s/1pJYaNUV

要求 ： 爆破

使用工具 ：OD

可在“PEDIY CrackMe 2007”中查找关于此程序的破文，标题为“菜鸟必看的破解文章(2)-追出软件注册码”。

看上去是个很小的程序所以直接OD载入，对GetDlgItemTextA下断并运行程序，返回用户领空后的汇编指令如下：

0040106C  |> \6A          push                                   ; /Count = 25 (37.)
0040106E  |.      push                             ; |Buffer = unabexcm.00402324
  |.  6A          push                                   ; |ControlID = 68 (104.)
  |.  FF75        push    dword ptr [ebp+]                ; |hWnd
  |.  E8 F4000000   call    <jmp.&USER32.GetDlgItemTextA>    ; \GetDlgItemTextA
0040107D  |.  6A          push                                    ; /pFileSystemNameSize = NULL
0040107F  |.  6A          push                                    ; |pFileSystemNameBuffer = NULL
  |.   C8204000   push    004020C8                         ; |pFileSystemFlags = unabexcm.004020C8
  |.      push                             ; |pMaxFilenameLength = unabexcm.00402190
0040108B  |.      push                             ; |pVolumeSerialNumber = unabexcm.00402194
  |.  6A          push                                   ; |MaxVolumeNameSize = 32 (50.)
  |.   5C224000   push    0040225C                         ; |VolumeNameBuffer = unabexcm.0040225C
  |.  6A          push                                    ; |RootPathName = NULL
  |.  E8 B5000000   call    <jmp.&KERNEL32.GetVolumeInformat>; \GetVolumeInformationA
0040109E  |.   F3234000   push    004023F3                         ; /StringToAdd = "4562-ABEX"
004010A3  |.   5C224000   push    0040225C                         ; |ConcatString = "曙?
004010A8  |.  E8    call    <jmp.&KERNEL32.lstrcatA>         ; \lstrcatA
004010AD  |.  B2          mov     dl,                             ;  ↑↑GetVolumeInformation获取磁盘信息
004010AF  |>   5C224000>/add     dword ptr [40225C],            ;  存放卷标的内存每个字节+1
004010B6  |.   5D224000>|add     dword ptr [40225D],
004010BD  |.   5E224000>|add     dword ptr [40225E],
004010C4  |.   5F224000>|add     dword ptr [40225F],
004010CB  |.  FECA          |dec     dl                              ;  循环两次
004010CD  |.^  E0         \jnz     short 004010AF                  ;  ↓‘L2C-5781’+累加处理之后的卷标名就是序列号啦。
004010CF  |.   FD234000   push    004023FD                         ; /StringToAdd = "L2C-5781"
004010D4  |.      push                             ; |ConcatString = "L2C-5781曙?
004010D9  |.  E8    call    <jmp.&KERNEL32.lstrcatA>         ; \lstrcatA
004010DE  |.   5C224000   push    0040225C                         ; /StringToAdd = "曙?
004010E3  |.      push                             ; |ConcatString = "L2C-5781曙?
004010E8  |.  E8    call    <jmp.&KERNEL32.lstrcatA>         ; \lstrcatA
004010ED  |.      push                             ; /String2 = "fewagweag"
004010F2  |.      push                             ; |String1 = "L2C-5781曙?
004010F7  |.  E8    call    <jmp.&KERNEL32.lstrcmpiA>        ; \lstrcmpiA
004010FC  |.  83F8        cmp     eax,
004010FF  |.            je      short
  |.  6A          push                                    ; /Style = MB_OK|MB_APPLMODAL
  |.      push                             ; |Title = "Error!"
  |.   3B244000   push    0040243B                         ; |Text = "The serial you entered is not correct!"
0040110D  |.  FF75        push    dword ptr [ebp+]                ; |hOwner
  |.  E8    call    <jmp.&USER32.MessageBoxA>        ; \MessageBoxA
  |.  EB          jmp     short 0040112D
  |>  6A          push                                    ; /Style = MB_OK|MB_APPLMODAL
  |.      push                             ; |Title = "Well Done!"
0040111E  |.      push                             ; |Text = "Yep, you entered a correct serial!"
  |.  FF75        push    dword ptr [ebp+]                ; |hOwner
  |.  E8    call    <jmp.&USER32.MessageBoxA>        ; \MessageBoxA
0040112B  |.  EB          jmp     short 0040112D
0040112D  |$  6A          push                                    ; /Result = 0
0040112F  |.  FF75        push    dword ptr [ebp+]                ; |hWnd
  |.  E8    call    <jmp.&USER32.EndDialog>          ; \EndDialog
  |.  C9            leave
  \.  C2        retn    

这里有个陌生的函数调用，其定义如下：

BOOL WINAPI GetVolumeInformation(
    _In_opt_   LPCTSTR lpRootPathName,
    _Out_opt_  LPTSTR lpVolumeNameBuffer,
    _In_       DWORD nVolumeNameSize,
    _Out_opt_  LPDWORD lpVolumeSerialNumber,
    _Out_opt_  LPDWORD lpMaximumComponentLength,
    _Out_opt_  LPDWORD lpFileSystemFlags,
    _Out_opt_  LPTSTR lpFileSystemNameBuffer,
    _In_       DWORD nFileSystemNameSize
);

这里主要就是获取程序所在磁盘的信息，比如本次在D盘下运行，就获取了卷标“软件”这个字串，再对字串做一些操作然后连接一个固定字串就是正确的序列号了。

这里，我们直接将4010FF处的指令修改为JNE，然后选择保存，这样爆破就完成了：

-------------------------------------------------------------------------------------------------------------------

后记：之前存放程序的盘卷标名是中文，所以该cm连接字符时出了问题，这次写出了注册机也是专门把卷标名“软件”改成了“SoftWarre”配合。

算法很简单，所以直接用c写一个无界面的注册机：

#include   <windows.h>
#include   <stdio.h> 

int main(int argc,char **argv)
{
    DWORD   VolumeSerialNumber;
    char   VolumeName[];
    GetVolumeInformation( NULL,VolumeName,,&VolumeSerialNumber,NULL,NULL,NULL,); 

    printf( "本程序所在盘的卷标：%s\n ",VolumeName);
    VolumeName[] += ;
    VolumeName[] += ;
    VolumeName[] += ;
    VolumeName[] += ;

    printf( "经过累加之后的卷标：%s\n ",VolumeName); 

    char* Prefix = "L2C-5781";
    char* Suffix = "4562-ABEX";
    printf( "生成的序列号：%s%s%s\n ",Prefix,VolumeName,Suffix); 

    getchar();

    return   ;
} 

运行效果：