Bxm做的第一个CrackMe（已补上注册机）

系统 ： Windows xp

程序 ： Bxm_CrackMe1

程序下载地址 ：http://pan.baidu.com/s/1pK0a0xt

要求 ： 分析算法

使用工具 ：OD

可在看雪论坛中查找关于此程序的讨论：传送门

OD载入程序，利用插件查看字串表，双击“破解成功”的字串进入关键算法：

  |.              push    eax                              ; /src
  |.  8D45 D0       lea     eax, dword ptr [ebp-]          ; |
0040240A  |.              push    eax                              ; |dest
0040240B  |.  E8 24EDFFFF   call    <jmp.&MSVCRTD.strcpy>            ; \strcpy
  |.  83C4        add     esp,
  |.  8D4D D0       lea     ecx, dword ptr [ebp-]          ;  取出字串地址
  |.              push    ecx                              ; /s
  |.  E8 1EEDFFFF   call    <jmp.&MSVCRTD.strlen>            ; \strlen
0040241C  |.  83C4        add     esp,
0040241F  |.   E8       mov     dword ptr [ebp-], eax          ;  保存长度
  |.  C745 EC >mov     dword ptr [ebp-],             ;  取出一段内存置零
  |.  EB          jmp     short
0040242B  |>  8B55 EC       /mov     edx, dword ptr [ebp-]
0040242E  |.  83C2        |add     edx,
  |.   EC       |mov     dword ptr [ebp-], edx         ;  循环变量自增
  |>  8B45 EC        mov     eax, dword ptr [ebp-]
  |.  3B45 E8       |cmp     eax, dword ptr [ebp-]         ;  迭代字串完毕则跳转
0040243A  |.  7D          |jge     short 0040244E
0040243C  |.  8B4D EC       |mov     ecx, dword ptr [ebp-]
0040243F  |.  0FBE540D D0   |movsx   edx, byte ptr [ebp+ecx-]      ;  取出字符
  |.  8B45 F8       |mov     eax, dword ptr [ebp-]
  |.  03C2          |add     eax, edx                        ;  累加
  |.   F8       |mov     dword ptr [ebp-], eax          ;  保存结果
0040244C  |.^ EB DD         \jmp     short 0040242B
0040244E  |>  8B4D F8       mov     ecx, dword ptr [ebp-]
  |.  F7D9          neg     ecx                              ;  对结果进行求补运算
  |.  8B55 F8       mov     edx, dword ptr [ebp-]
  |.   E8       add     edx, dword ptr [ebp-]          ;  结果加上用户名字串的长度
  |.  0FAFCA        imul    ecx, edx                         ;  相乘
0040245C  |.  894D F4       mov     dword ptr [ebp-C], ecx           ;  保存结果
0040245F  |.  8B4D FC       mov     ecx, dword ptr [ebp-]
  |.  83C1        add     ecx,
  |.  E8 2AFBFFFF   call    <jmp.&MFC42D.#>
0040246A  |.              push    eax                              ; /src
0040246B  |.  8D45 B8       lea     eax, dword ptr [ebp-]          ; |
0040246E  |.              push    eax                              ; |dest
0040246F  |.  E8 C0ECFFFF   call    <jmp.&MSVCRTD.strcpy>            ; \strcpy
  |.  83C4        add     esp,
  |.  C745 B0 >mov     dword ptr [ebp-],
0040247E  |.  8D4D B8       lea     ecx, dword ptr [ebp-]
  |.              push    ecx                              ; /s
  |.  E8 B3ECFFFF   call    <jmp.&MSVCRTD.strlen>            ; \strlen
  |.  83C4        add     esp,
0040248A  |.  83E8        sub     eax,                            ;  长度-1
0040248D  |.   B4       mov     dword ptr [ebp-4C], eax          ;  保存
  |.  EB          jmp     short 0040249B
  |>  8B55 B4       /mov     edx, dword ptr [ebp-4C]
  |.  83EA        |sub     edx,                           ;  循环变量自减
  |.   B4       |mov     dword ptr [ebp-4C], edx
0040249B  |>  837D B4      cmp     dword ptr [ebp-4C],            ;  迭代完毕则跳转
0040249F  |.  7C          |jl      short 004024C3
004024A1  |.  8B45 B4       |mov     eax, dword ptr [ebp-4C]
004024A4  |.  0FBE4C05 B8   |movsx   ecx, byte ptr [ebp+eax-]      ;  倒序取字符
004024A9  |.  83E9        |sub     ecx,                          ;  转化为十进制
004024AC  |.  0FAF4D B0     |imul    ecx, dword ptr [ebp-]         ;  相乘
004024B0  |.  8B55 F0       |mov     edx, dword ptr [ebp-]
004024B3  |.  03D1          |add     edx, ecx
004024B5  |.   F0       |mov     dword ptr [ebp-], edx         ;  保存累加结果
004024B8  |.  8B45 B0       |mov     eax, dword ptr [ebp-]
004024BB  |.  6BC0 0A       |imul    eax, eax, 0A                    ;  eax * 0A
004024BE  |.   B0       |mov     dword ptr [ebp-], eax         ;  再存回去
004024C1  |.^ EB CF         \jmp     short
004024C3  |>  8B4D F0       mov     ecx, dword ptr [ebp-]          ;  取结果
004024C6  |.  6BC9 FF       imul    ecx, ecx, -                     ;  取相反数
004024C9  |.  894D F0       mov     dword ptr [ebp-], ecx          ;  再存回去
004024CC  |.  837D E8     cmp     dword ptr [ebp-],             ;  用户名长度为0？
004024D0  |.   2F         je      short                    ;  为0则破解失败
004024D2  |.  8B55 F0       mov     edx, dword ptr [ebp-]
004024D5  |.  0FAF55 F0     imul    edx, dword ptr [ebp-]          ;  相反数 * 相反数
004024D9  |.  8B45 F0       mov     eax, dword ptr [ebp-]          ;  取出结果
004024DC  |.  0FAF45 E8     imul    eax, dword ptr [ebp-]          ;  结果乘以用户名长度
004024E0  |.  8B4D F4       mov     ecx, dword ptr [ebp-C]           ;  取F（用户名）
004024E3  |.  03CA          add     ecx, edx                         ;  累加之前的结果
004024E5  |.  03C1          add     eax, ecx
004024E7  |.  85C0          test    eax, eax                         ;  eax为0？
004024E9  |.            jnz     short                    ;  不为0则破解失败
004024EB  |.  6A          push
004024ED  |.      push                             ;  恭喜你
004024F2  |.      push                             ;  破解成功!
004024F7  |.  8B4D FC       mov     ecx, dword ptr [ebp-]
004024FA  |.  E8 71ECFFFF   call    <jmp.&MFC42D.#>
004024FF  |.  EB          jmp     short
  |>  6A          push
  |.      push                             ;  破解失败
  |.      push                             ;  重试?
0040250D  |.  8B4D FC       mov     ecx, dword ptr [ebp-]
  |.  E8 5BECFFFF   call    <jmp.&MFC42D.#>

算法比较简单，就不一一说明了，直接修改4024E9处的跳转指令就可以完成爆破。

有兴趣的朋友可以尝试写出注册机。

-------------------------------------------------------------------------------------------------------------------

既然算法简单，那就尝试着把注册机写出来吧。该cm采用了二元函数加密，检测F(用户名，密钥)==0来判断是否是正确的注册码。

我们直接打开之前搭建的框架，并修改OnBtnDecrypt函数如下：

void CKengen_TemplateDlg::OnBtnDecrypt()
{
    // TODO: Add your control notification handler code here
    CString str;
    GetDlgItemText( IDC_EDIT_NAME,str );                    //获取用户名字串基本信息。
    int len = str.GetLength();

    if ( len !=  ){                                        //格式控制。
        SetDlgItemText( IDC_EDIT_PASSWORD,str );

        unsigned int sum = ;
        int FUserName;
        for ( int i =  ; i != len ; i++ )
            sum += str[i];
        FUserName = (~sum + ) * (sum + );
/*
        //模拟F(Serial)
        CString Serial = "12345";
        int product = 1;
        int SerialLen = Serial.GetLength() - 1;

        sum = 0;
        for ( ; SerialLen != -1 ; SerialLen-- ){
            sum += (Serial[SerialLen] - 0x30 ) * product;    //把字符串转化成对应的数值
            product *= 10;
        }

        //取相反数
        sum *= -1;
        //X^2+bx+c = 0
        if ( sum * sum + sum * len + FUserName == 0 )
            MessageBox( "注册成功！" );
*/
        int delt = len*len-**FUserName;
        if ( delt <  )                                        //方程是否无根？
        {
            SetDlgItemText( IDC_EDIT_PASSWORD,"方程无解！无法找出注册码！" );
            return ;
        }
        //解方程
        int x = ((double)-len-sqrt(delt))/(double)(*);
        x = -x;

        CString PassWord;
        PassWord.Format( "%d",x );
        SetDlgItemText( IDC_EDIT_PASSWORD,PassWord );
    }
    else
        MessageBox( "用户名格式错误！" );
}

再在OnInitDialog中添加此代码修改标题：SetWindowText(_T("bxm-firstcm_Keygen"));

运行效果：