系统 ： Windows xp
程序 ： Splish
程序下载地址 ：http://pan.baidu.com/s/1o6SA25k
要求 ： 注册机编写 & 找出硬编码
使用工具 ： OD & IDA
可在“PEDIY CrackMe 2007”中查找关于此程序的破文，标题为“一个简单crackme的详细算法分析(高手莫入)”。
首先我们来查查看硬编码，IDA载入程序，查看字串表找到“Congratulations, you got the hard coded serial”。定位字串调用位置并向上翻找到硬编码：
.text:0040135D loc_40135D: ; CODE XREF: sub_401178+1D9j
.text:0040135D push 20h ; nMaxCount
.text:0040135F push offset String ; lpString
.text:00401364 push hWnd ; hWnd
.text:0040136A call GetWindowTextA
.text:0040136F lea eax, aHardcoded ; "HardCoded"
.text:00401375 lea ebx, String
.text:0040137B
.text:0040137B loc_40137B: ; CODE XREF: sub_401178+212j
.text:0040137B cmp byte ptr [eax], 0
.text:0040137E jz short loc_40138C
很简单的一个硬编码就被我们找到了。
继续查看字串表，看到提示成功的字串“Good job, now keygen it.”,定位调用位置并翻找到关键算法：
004015E4 /$ 55 push ebp
004015E5 |. 8BEC mov ebp, esp
004015E7 |. 6A 20 push 20 ; /Count = 20 (32.)
004015E9 |. 68 42324000 push 00403242 ; |Buffer = Splish.00403242
004015EE |. FF75 0C push dword ptr [ebp+C] ; |hWnd
004015F1 |. E8 34010000 call <jmp.&USER32.GetWindowTextA> ; GetWindowTextA
004015F6 |. 85C0 test eax, eax ; 序列号长度为0？
004015F8 |. 0F84 95000000 je 00401693 ; 是则提示出错
004015FE |. A3 67344000 mov dword ptr [403467], eax
00401603 |. 6A 0B push 0B ; /Count = B (11.)
00401605 |. 68 36324000 push 00403236 ; |Buffer = Splish.00403236
0040160A |. FF75 08 push dword ptr [ebp+8] ; |hWnd
0040160D |. E8 18010000 call <jmp.&USER32.GetWindowTextA> ; GetWindowTextA
00401612 |. 85C0 test eax, eax ; 用户名长度为0？
00401614 |. 74 68 je short 0040167E ; 是则提示出错
00401616 |. A3 63344000 mov dword ptr [403463], eax
0040161B |. 33C9 xor ecx, ecx
0040161D |. 33DB xor ebx, ebx
0040161F |. 33D2 xor edx, edx
00401621 |. 8D35 36324000 lea esi, dword ptr [403236] ; 取用户名
00401627 |. 8D3D 58324000 lea edi, dword ptr [403258] ; 取一段内存
0040162D |. B9 0A000000 mov ecx, 0A
00401632 |> 0FBE041E /movsx eax, byte ptr [esi+ebx] ; 迭代字串
00401636 |. 99 |cdq
00401637 |. F7F9 |idiv ecx ; 除以0A
00401639 |. 33D3 |xor edx, ebx ; 余数 与 循环变量异或
0040163B |. 83C2 02 |add edx, 2 ; +2
0040163E |. 80FA 0A |cmp dl, 0A ; 小于0A则跳转
00401641 |. 7C 03 |jl short 00401646
00401643 |. 80EA 0A |sub dl, 0A
00401646 |> 88141F |mov byte ptr [edi+ebx], dl ; 保存
00401649 |. 43 |inc ebx ; 循环变量自增
0040164A |. 3B1D 63344000 |cmp ebx, dword ptr [403463] ; 迭代完毕？
00401650 |.^ 75 E0 jnz short 00401632
00401652 |. 33C9 xor ecx, ecx
00401654 |. 33DB xor ebx, ebx
00401656 |. 33D2 xor edx, edx
00401658 |. 8D35 42324000 lea esi, dword ptr [403242] ; 取序列号
0040165E |. 8D3D 4D324000 lea edi, dword ptr [40324D] ; 取一段内存
00401664 |. B9 0A000000 mov ecx, 0A
00401669 |> 0FBE041E /movsx eax, byte ptr [esi+ebx] ; 迭代字串
0040166D |. 99 |cdq
0040166E |. F7F9 |idiv ecx ; 除以0A
00401670 |. 88141F |mov byte ptr [edi+ebx], dl ; 保存余数
00401673 |. 43 |inc ebx ; 循环变量自增
00401674 |. 3B1D 67344000 |cmp ebx, dword ptr [403467] ; 迭代完毕？
0040167A |.^ 75 ED jnz short 00401669
0040167C |. EB 2A jmp short 004016A8
0040167E |> 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
00401680 |. 68 0A304000 push 0040300A ; |Title = "Splish, Splash"
00401685 |. 68 A0304000 push 004030A0 ; |Text = "Please enter your name."
0040168A |. 6A 00 push 0 ; |hOwner = NULL
0040168C |. E8 B7000000 call <jmp.&USER32.MessageBoxA> ; MessageBoxA
00401691 |. EB 62 jmp short 004016F5
00401693 |> 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
00401695 |. 68 0A304000 push 0040300A ; |Title = "Splish, Splash"
0040169A |. 68 B8304000 push 004030B8 ; |Text = "Please enter your serial number."
0040169F |. 6A 00 push 0 ; |hOwner = NULL
004016A1 |. E8 A2000000 call <jmp.&USER32.MessageBoxA> ; MessageBoxA
004016A6 |. EB 4D jmp short 004016F5
004016A8 |> 8D35 4D324000 lea esi, dword ptr [40324D] ; 取F（序列号）
004016AE |. 8D3D 58324000 lea edi, dword ptr [403258] ; 取F（用户名）
004016B4 |. 33DB xor ebx, ebx
004016B6 |> 3B1D 63344000 /cmp ebx, dword ptr [403463] ; 比较字串
004016BC |. 74 0F |je short 004016CD
004016BE |. 0FBE041F |movsx eax, byte ptr [edi+ebx]
004016C2 |. 0FBE0C1E |movsx ecx, byte ptr [esi+ebx]
004016C6 |. 3BC1 |cmp eax, ecx
004016C8 |. 75 18 |jnz short 004016E2
004016CA |. 43 |inc ebx
004016CB |.^ EB E9 jmp short 004016B6
004016CD |> 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
004016CF |. 68 0A304000 push 0040300A ; |Title = "Splish, Splash"
004016D4 |. 68 42304000 push 00403042 ; |Text = "Good job, now keygen it."
004016D9 |. 6A 00 push 0 ; |hOwner = NULL
004016DB |. E8 68000000 call <jmp.&USER32.MessageBoxA> ; MessageBoxA
004016E0 |. EB 13 jmp short 004016F5
004016E2 |> 6A 00 push 0 ; /Style = MB_OK|MB_APPLMODAL
004016E4 |. 68 0A304000 push 0040300A ; |Title = "Splish, Splash"
004016E9 |. 68 67304000 push 00403067 ; |Text = "Sorry, please try again."
004016EE |. 6A 00 push 0 ; |hOwner = NULL
004016F0 |. E8 53000000 call <jmp.&USER32.MessageBoxA> ; MessageBoxA
004016F5 |> C9 leave
004016F6 . C2 0800 retn 8
以上，算法分析完毕，我们发现它实现的F（序列号）很有意思，根据它我们可以推导出多个序列号。这里，我们将F（用户名）的结果加上50作为算出的序列号。
直接打开http://www.cnblogs.com/ZRBYYXDM/p/5115596.html中搭建的框架，并修改OnBtnDecrypt函数如下：
void CKengen_TemplateDlg::OnBtnDecrypt()
{
// TODO: Add your control notification handler code here
CString str;
GetDlgItemText( IDC_EDIT_NAME,str ); //获取用户名字串基本信息。
int len = str.GetLength();
if ( len != 0 ){ //格式控制。
int i;
int FNameRes[100];
for ( i = 0 ; i != len ; i++ ){
FNameRes[i] = ( ( (str[i]%0xA) ^ i ) + 2 ); //注意运算符的优先级与结合性
if ( FNameRes[i] >= 0xA )
FNameRes[i] -= 0xA;
}
//模拟F（序列号）
/*
CString Serial = "123";
int FSerialRes[100];
for ( i = 0 ; i != Serial.GetLength() ; i++ )
FSerialRes[i] = Serial[i] % 0xA;
*/
CString PassWord = "";
for ( i = 0 ; i != len ; i++ ){
PassWord += ( FNameRes[i] + 50 );
}
SetDlgItemText( IDC_EDIT_PASSWORD,PassWord );
}
else
MessageBox( "用户名格式错误！" );
}
再在OnInitDialog中添加此代码修改标题：
运行效果：
