[反汇编练习] 160个CrackMe之026.
本系列文章的目的是从一个没有任何经验的新手的角度(其实就是我自己)，一步步尝试将160个CrackMe全部破解，如果可以，通过任何方式写出一个类似于注册机的东西。
其中，文章中按照如下逻辑编排（解决如下问题）：
1、使用什么环境和工具
2、程序分析
3、思路分析和破解流程
4、注册机的探索
----------------------------------
提醒各位看客: 如果文章中的逻辑看不明白,那你一定是没有亲手操刀!OD中的跳转提示很强大,只要你跟踪了,不用怎么看代码就理解了!
----------------------------------
1、工具和环境：
WinXP SP3 + 52Pojie六周年纪念版OD + PEID + 汇编金手指。
160个CrackMe的打包文件。
下载地址： http://pan.baidu.com/s/1xUWOY 密码: jbnq
注：
1、Win7系统对于模块和程序开启了随机初始地址的功能，会给分析带来很大的负担，所以不建议使用Win7进行分析。
2、以上工具都是在52PoJie论坛下的原版程序，NOD32不报毒，个人承诺绝对不会进行任何和木马病毒相关内容。
2、程序分析：
想要破解一个程序，必须先了解这个程序。所以，在破解过程中，对最初程序的分析很重要，他可以帮助我们理解作者的目的和意图，特别是对于注册码的处理细节，从而方便我们反向跟踪和推导。
和上一节一样，打开CHM，选择第26个Colormaster.exe，保存下来。运行程序，程序界面如下：
点击上面的那个按钮没有任何反应，看来失败没有提示的。
PEID：Microsoft Visual Basic 5.0 / 6.0
3、思路分析和破解流程
没有信息框，我们可以试试查找文本的办法。
1、打开OD，将exe拖到OD窗口中，等程序暂停后，直接点击运行按钮(F9)，不用理会。
2、在OD中反汇编窗口，右键->中文搜索插件->智能搜索，信息如下：
大概地猜猜意思，图中选中的哪一行应该就是正确的。（为什么是它？因为它的第一个单词我认识啊！哈哈哈！）
双击或者右键->Show call进去，我们就返回到了反汇编窗口，附进代码如下：
004036EB /0F84 AB000000 je 0040379C 004036F1 . |8B35 D4104000 mov esi,dword ptr ds:[<&MSVBVM60.__vbaVa>; msvbvm60.__vbaVarDup 004036F7 . |B9 04000280 mov ecx,0x80020004 004036FC . |898D 64FFFFFF mov dword ptr ss:[ebp-0x9C],ecx 00403702 . |B8 0A000000 mov eax,0xA 00403707 . |898D 74FFFFFF mov dword ptr ss:[ebp-0x8C],ecx 0040370D . |BF 08000000 mov edi,0x8 00403712 . |8D95 0CFFFFFF lea edx,dword ptr ss:[ebp-0xF4] 00403718 . |8D8D 7CFFFFFF lea ecx,dword ptr ss:[ebp-0x84] 0040371E . |8985 5CFFFFFF mov dword ptr ss:[ebp-0xA4],eax 00403724 . |8985 6CFFFFFF mov dword ptr ss:[ebp-0x94],eax 0040372A . |C785 14FFFFFF>mov dword ptr ss:[ebp-0xEC],00401F2C ; Colormaster′s Crackme 7.0 00403734 . |89BD 0CFFFFFF mov dword ptr ss:[ebp-0xF4],edi 0040373A . |FFD6 call esi ; <&MSVBVM60.__vbaVarDup> 0040373C . |8D95 1CFFFFFF lea edx,dword ptr ss:[ebp-0xE4] 00403742 . |8D4D 8C lea ecx,dword ptr ss:[ebp-0x74] 00403745 . |C785 24FFFFFF>mov dword ptr ss:[ebp-0xDC],00401F80 ; Gratulation ,du hast es geschafft! 0040374F . |89BD 1CFFFFFF mov dword ptr ss:[ebp-0xE4],edi 00403755 . |FFD6 call esi
哈哈，代码是不是很简单？这段代码的开头je 0040379C 就是我们需要的关键跳转！尝试爆破一下！选中je 0040379C, 右键->Binary->Fill with NOPs。再试试：
4、注册机的探索
注册码比较肯定在关键跳转附近，我们直接分析这段代码就可以了：
代码比较长，捡重要的说明：
00402CAC . FF15 34104000 call dword ptr ds:[<&MSVBVM60.__vbaHresu>; msvbvm60.__vbaHresultCheckObj 00402CB2 > 8B55 D8 mov edx,dword ptr ss:[ebp-0x28] 00402CB5 . 52 push edx ; // edx="bbdxf",目的是校验字符串长度大于5 00402CB6 . FF15 10104000 call dword ptr ds:[<&MSVBVM60.__vbaLenBs>; msvbvm60.__vbaLenBstr 00402CBC . 33C9 xor ecx,ecx 00402CBE . 83F8 04 cmp eax,0x4 00402CC1 . 0F9EC1 setle cl 00402CC4 . F7D9 neg ecx 00402CC6 . 66:898D DCFEF>mov word ptr ss:[ebp-0x124],cx 00402CCD . 8D4D D8 lea ecx,dword ptr ss:[ebp-0x28] 00402CD0 . FF15 F0104000 call dword ptr ds:[<&MSVBVM60.__vbaFreeS>; msvbvm60.__vbaFreeStr 00402CD6 . 8D4D B8 lea ecx,dword ptr ss:[ebp-0x48] 00402CD9 . FF15 F4104000 call dword ptr ds:[<&MSVBVM60.__vbaFreeO>; msvbvm60.__vbaFreeObj 00402CDF . 66:399D DCFEF>cmp word ptr ss:[ebp-0x124],bx 00402CE6 . 0F84 B0000000 je 00402D9C 00402CEC . 8B35 D4104000 mov esi,dword ptr ds:[<&MSVBVM60.__vbaVa>; msvbvm60.__vbaVarDup 00402CF2 . B9 04000280 mov ecx,0x80020004 00402CF7 . 898D 64FFFFFF mov dword ptr ss:[ebp-0x9C],ecx 00402CFD . B8 0A000000 mov eax,0xA 00402D02 . 898D 74FFFFFF mov dword ptr ss:[ebp-0x8C],ecx 00402D08 . BF 08000000 mov edi,0x8 00402D0D . 8D95 0CFFFFFF lea edx,dword ptr ss:[ebp-0xF4] 00402D13 . 8D8D 7CFFFFFF lea ecx,dword ptr ss:[ebp-0x84] 00402D19 . 8985 5CFFFFFF mov dword ptr ss:[ebp-0xA4],eax 00402D1F . 8985 6CFFFFFF mov dword ptr ss:[ebp-0x94],eax 00402D25 . C785 14FFFFFF>mov dword ptr ss:[ebp-0xEC],00401F2C ; Colormaster′s Crackme 7.0 00402D2F . 89BD 0CFFFFFF mov dword ptr ss:[ebp-0xF4],edi 00402D35 . FFD6 call esi ; <&MSVBVM60.__vbaVarDup> 00402D37 . 8D95 1CFFFFFF lea edx,dword ptr ss:[ebp-0xE4] 00402D3D . 8D4D 8C lea ecx,dword ptr ss:[ebp-0x74] 00402D40 . C785 24FFFFFF>mov dword ptr ss:[ebp-0xDC],00401ED4 ; Der Name muss mindestens 5 Chars haben 00402D4A . 89BD 1CFFFFFF mov dword ptr ss:[ebp-0xE4],edi 00402D50 . FFD6 call esi 00402D52 . 8D95 5CFFFFFF lea edx,dword ptr ss:[ebp-0xA4] 00402D58 . 8D85 6CFFFFFF lea eax,dword ptr ss:[ebp-0x94] 00402D5E . 52 push edx 00402D5F . 8D8D 7CFFFFFF lea ecx,dword ptr ss:[ebp-0x84] 00402D65 . 50 push eax 00402D66 . 51 push ecx 00402D67 . 8D55 8C lea edx,dword ptr ss:[ebp-0x74] 00402D6A . 6A 40 push 0x40 00402D6C . 52 push edx 00402D6D . FF15 48104000 call dword ptr ds:[<&MSVBVM60.#595>] ; msvbvm60.rtcMsgBox
首先，校验了Name的长度，必须大于4. 然后，有很长很长一段代码用于进行浮点数计算，但是生成的数值实在无法理解是怎样互相联系的，所以我放弃了。
最后，就进行了注册码的相关处理：
00403648 . /7D 12 jge short 0040365C 0040364A . |68 A0000000 push 0xA0 0040364F . |68 941E4000 push 00401E94 00403654 . |56 push esi 00403655 . |50 push eax 00403656 . |FF15 34104000 call dword ptr ds:[<&MSVBVM60.__vbaHresu>; msvbvm60.__vbaHresultCheckObj 0040365C > 8B45 D8 mov eax,dword ptr ss:[ebp-0x28] 0040365F . 8B4D D4 mov ecx,dword ptr ss:[ebp-0x2C] 00403662 . 8B55 D0 mov edx,dword ptr ss:[ebp-0x30] 00403665 . 50 push eax ; // eax = "123123" 00403666 . 51 push ecx ; // ecx = "52406C2C2CC54463" 00403667 . 52 push edx ; // edx = "bbdxf" 00403668 . FF15 10104000 call dword ptr ds:[<&MSVBVM60.__vbaLenBs>; msvbvm60.__vbaLenBstr 0040366E . 50 push eax ; // eax = 5 0040366F . FF15 08104000 call dword ptr ds:[<&MSVBVM60.__vbaStrI4>; msvbvm60.__vbaStrI4 00403675 . 8B35 DC104000 mov esi,dword ptr ds:[<&MSVBVM60.__vbaSt>; msvbvm60.__vbaStrMove 0040367B . 8BD0 mov edx,eax 0040367D . 8D4D CC lea ecx,dword ptr ss:[ebp-0x34] 00403680 . FFD6 call esi ; <&MSVBVM60.__vbaStrMove> 00403682 . 8B3D 30104000 mov edi,dword ptr ds:[<&MSVBVM60.__vbaSt>; msvbvm60.__vbaStrCat 00403688 . 50 push eax ; // eax = "5", ecx="52406C2C2CC54463" 00403689 . FFD7 call edi ; <&MSVBVM60.__vbaStrCat> 0040368B . 8BD0 mov edx,eax 0040368D . 8D4D C8 lea ecx,dword ptr ss:[ebp-0x38] 00403690 . FFD6 call esi 00403692 . 50 push eax 00403693 . 68 741F4000 push 00401F74 ; -CM 00403698 . FFD7 call edi 0040369A . 8BD0 mov edx,eax 0040369C . 8D4D C4 lea ecx,dword ptr ss:[ebp-0x3C] 0040369F . FFD6 call esi 004036A1 . 50 push eax 004036A2 . FF15 74104000 call dword ptr ds:[<&MSVBVM60.__vbaStrCm>; msvbvm60.__vbaStrCmp
这里，我们发现：注册码比较的文本，在我们点击按钮之前就已经生成好了，String "52406C2C2CC54463"，为了避免这个文本是固定的，我们再次换一个Name跟踪下它的比较文本，发现确实不一样了，说明，比较字符串是在输入Name的时候也已经根据Name的内容动态生成了。
想要在输入Name就完成了比较文本的生成，一般都是用的是Edit控件文本变化事件或者一个Timer定时去读取Name的内容然后生成。
遗憾的是，我尝试寻找这两种事件的地址，终究也没有找到，以下是使用其他VB工具尝试的结果：
首先，他确实有一个Timer，但是根据Timer事件的跟踪内容，发现里面就产生了一个错误，和注册码相关的啥也没有。在按钮按下时，通过遍历Name的每一个字符ANSII值，然后与浮点数432.4以及0x15进行了一些乘法运算，（这在OD里已经跟踪出来了，但是怎么计算也无法匹配跟踪的结果，有点无语），最后将结果转换为整数，最后的两个结果转换为十六进制整数文本，然后开头和结尾加上了一些其他的整数文本，组成了最后的注册码。
PS：VB的代码跟踪起来代价太大，太坑了，但是160个CrackMe中有很多这种程序，无语啊！
BY 笨笨D幸福