• 标 题:修改指针法破解VB程序-Fast PC Linker-III (8千字)
  • 作 者:囚童
  • 时 间:2001-6-29 21:31:35
  • 链 接:http://bbs.pediy.com

修改指针法破解VB程序
Fast PC Linker-III

作者: 囚童
课题: 解除Fast PC Linker-III传送量限制,清NAG
背景: VB3.0编程
下载:    
工具: TRW2000
   Ultra Edit 32
   FC

Fast PC Linker-III支持基于不同平台(Windows 3.1, 95, 98 和 NT4 WorkStation)的两台PC
之间通过串并口进行高速文件传送.支持全目录和全盘复制.支持长文件名.也支持网络设备及
光驱.Fast PC Linker-III具有自动搜索和优化配置I/O口的功能,又十分小巧,一张软盘就可以
带走.对于那些没有光驱的老式机器和笔记本机,想安装运行大一点的程序有了它可就方便多了.
特别在它之前,由于NT不支持直接电缆连接,从办公室向家里传送MP3之类的大文件,要是其中一
台机不能上网,那可就惨了.有了Fast PC Linker-III,找一台笔记本机,在打印电缆上装一个转
换接头(有关转换接头另文介绍),两下搞定.

Fast PC Linker-III试用版采用传送量限制,试用完规定的传送量(大约25x300MB),程序就停止
工作.倘若正在传送一个大硬盘,刚传了一半就死翘翘,确实让人恼火.

由于必须支持Windows 3.1,Fast PC Linker-III选择VB3.0编程.大家知道,VB程序的特点是既难
跟又难改,这就给破解带来相当的难度.


下面给出用修改指针法破解VB程序的例子,供参考.

将C:\WINDOWS\WIN.INI以1.INI为名做一个备份.
安装Fast PC Linker-III,将安装后的WIN.INI以2.INI为名再做一个备份.
在C:\WINDOWS\COMMAND目录下找到fc.exe,在DOS提示符下键入:

fc 1.ini 2.ini > comp.txt

fc将对安装前后的两个ini文件进行比较,并把比较结果存入comp.txt中.
打开comp.txt,可以看到:

Comparing files 1.INI and 2.ini
****** 1.INI


****** 2.ini

[Disk Safety Info]   ┐
Protection FL3= 25    > FastPCL安装后向WIN.INI中加入的两行
            ┘
******

新加入的两行即试用版赋予用户的初始传送量,其最大值为25节,每节大约300MB.当这一数值用
尽时,即使重新安装,也不能恢复.


启动TRW2000,点OK,TRW2000在屏幕右下角生成一个小图标.右击这个图标,选TRmewTCB.

双击Fast PC Linker-III图标,TRW截获这一新线程.

WIN.INI是WINDOWS启动时调入内存常驻的.
下指令:    S 30:0 LFFFFFFFF 3D 32 35    ;=25
TRW给出:  9B0B6

下指令:    BPM 30:9B0B6+1 R
按F5,程序被TRW截获.
下指令:    BD*  ;清中断.

按F5数次,程序来到:

014F:5A96 CLD   
014F:5A97 PUSH DS
014F:5A98 PUSH ES
014F:5A99 POP  DS
014F:5A9A MOV  SI,DI
014F:5A9C LES  DI,[BP+06]
014F:5A9F MOV  AX,CX
014F:5AA1 REP     MOVSB      ;光标停在这里
014F:5AA3 MOV  BYTE [ES:DI],00
014F:5AA7 POP  DS

下指令:    D DS:SI-1
TRW给出:
00CF:25D7 32 35 0D 0A 0D 0A 0D 0A-0D 0A 00 00 00 00 00 00 25..............

此时若连续下指令: BPM ES:DI-1,通过88C0、96E5可以跟踪这个"25"一直来到:

1B2F:0B43 LODSB 
1B2F:0B44 CMP BYTE [0FB9],00 ;光标停在这里
1B2F:0B49 JZ  0B5B
1B2F:0B4B CMP AL,20
1B2F:0B4D JZ  0B3D
1B2F:0B4F CMP AL,09
1B2F:0B51 JZ  0B3D

下指令:    D DS:SI-1
TRW给出:
0F1F:779A 32 35 00 FF 9C 00 C0 77-A8 91 47 35 04 00 2A 00 25.?纖☉G5..*.

如果有耐心继续跟踪,将会发现程序将ASCII码"25"转换为16进制码H19后,又将16进制码转换为
80Bit的浮点数,自76A2送入浮点系统进行繁杂的浮点运算,然后来到:

372F:0F67 SUB  SP,BYTE +02
372F:0F6A MOV  BX,SP
372F:0F6C NOP   
372F:0F6D FISTP WORD [SS:BX]    ;关键!
372F:0F70 INT  3D
372F:0F72 LODSW 
372F:0F74 JMP  AX

利用F6D处的指令FISTP,将预放在浮点堆栈内的80Bit运算结果,恢复成16进制码H19压入当前堆
栈内.接着通过F74处的跳转指令,来到:

3DC7:2D55 LODSW 
3DC7:2D57 XCHG AX,BX
3DC7:2D58 MOV  BX,[BX]
3DC7:2D5A MOV  DS,[SS:1CFA]
3DC7:2D5F POP  WORD [BX]    ;关键!
3DC7:2D61 MOV  DS,[SS:1CF2]
3DC7:2D66 LODSW 
3DC7:2D68 JMP  AX

利用2D5F处的弹出指令,将16进制码H19从栈顶弹出到变量寄存器中.

下指令:    ? BX
TRW给出:
DEC = 32106
HEX = 7D6A

试着用E命令修改DS:7D6A.
置入0,程序在后面的运行中将弹出程序失效的提示窗口;置入H63(D99),试用版传输量将大大提
升.

但是,上面提到的全部数据传输和处理过程都是在vbrun300.dll中完成的,无法将f6d处改写为例
如MOV [SS:BX],H63 这样的指令.

分析上面给出的F67和2D55两节指令,可以看出VB代码结构的明显特征:指针ES:SI指向一个混合
装有指令入口和数据的指针列表,节首的装载指令通过指针列表下载数据;节尾的装载指令通过
指针列表下载新的指令入口.这样就将事先按死顺序编好在VB运行库里的指令代码和用户数据通
过指针列表盘活了.

把上面的过程整理一下,如下表:

节序    ①    ②    ③       ④
指令指针  6080   6084   6086      6088
指令入口  3234   76A2   F67      2D55
数据指针  6082   -     -       -
数据内容  0380   -     -       -
功能    传送数据 浮点处理    浮点栈>当前栈 当前栈>变量寄存器

如果能舍去浮点处理,将数据如H63(D99)在节①处直接压入当前堆栈内,在节④处从栈顶弹出到
变量寄存器中,试用版传输量将提高到可以认为是没有限制了.

在当前指令代码段中找了一下,有下面3节大约可用:


1C2F:2A86 LODSW 
1C2F:2A88 XCHG AX,BX
1C2F:2A89 MOV  BX,[BX]
1C2F:2A8B MOV  DS,[SS:1CFA]
1C2F:2A90 PUSH WORD [BX]
1C2F:2A92 MOV  DS,[SS:1CF2]
1C2F:2A97 LODSW 
1C2F:2A99 JMP  AX


1C2F:2B50 LODSW 
1C2F:2B52 XCHG AX,BX
1C2F:2B53 PUSH WORD [BX]
1C2F:2B55 LODSW 
1C2F:2B57 JMP  AX


1C2F:3834 LODSW 
1C2F:3836 PUSH AX
1C2F:3837 LODSW 
1C2F:3839 JMP  AX

试选⑶,做一个新的指针方案:

节序   ①      ②   ③   ④
指令指针 6080     6084  6086  6088
指令入口 3834     3837  3837  2D55
数据指针 6082     -    -    -
数据内容 0063     -    -    -
功能   数据>当前栈 空运转 空运转 当前栈>变量寄存器

选定TRW的TRnewTCB,重新激活FastPCL,TRW截获它.

下指令:    BPM 30:9B0B7 R
按F5,程序被TRW截获.
下指令:    BD*  ;清中断.
按F12三次,F10六次,来到:

342F:650E PUSH AX  ;光标停在这里
342F:650F CMP  CL,FF
342F:6512 JZ  6515
342F:6514 PUSH CX
342F:6515 OR  SI,SI
342F:6517 JZ  651D
342F:6519 LODSW 
342F:651B JMP  AX

可以看到TRW反汇编窗口下面的横线中央标有VBRUN300(xx)+xxx,指出当前模块名是vbrun300,
括号中是子模块序号,加号后是在模块中的偏移量.
这就是VB3的指针控制域.所谓VB难追,也是指在这个域里.

下指令:    E ES:6080 34 38 63 00 37 38 37 38
按F5.
修改成功.FastPCL右上角的试用版窗口显示剩余传输量为99节.左上角是定购信息窗.

这么大的传输量对于一般用户来讲可以说已经没有什么限制了,故可以进一步尝试将试用版窗
口和定购信息窗去掉.

选定TRW的TRnewTCB,重新激活FastPCL,TRW截获它.

下指令:    BPX ACCESSRESOURCE
按F5十七次,按F12两次,F10一直来到:

3FEF:010D CALL 063C
3FEF:0112 MOV  SI,AX    ;光标停在这里
3FEF:0114 OR  SI,AX
3FEF:0116 JZ  0120
3FEF:0118 MOV  AX,SI
3FEF:011A POP  SI
3FEF:011B POP  DI
3FEF:011C LEAVE 
3FEF:011D RET  0A
3FEF:0120 LEA  AX,[BP-04]
3FEF:0123 PUSH SS
3FEF:0124 PUSH AX
3FEF:0125 MOV  ES,[1F3A]
3FEF:0129 LEA  BX,[DI+19]
3FEF:012C PUSH WORD [ES:BX]
3FEF:012F CALL 0482     ;按F8跟进去
3FEF:0134 MOV  SI,AX

下指令:    BD*  ;清中断.

接着一直按F10,来到:

1BD7:0493 CALL 07C0  ;按F8跟进去
1BD7:0498 MOV  SI,AX
1BD7:049A OR  SI,AX
1BD7:049C JZ  04A6
1BD7:049E MOV  AX,SI
1BD7:04A0 POP  SI
1BD7:04A1 POP  DI
1BD7:04A2 LEAVE 
1BD7:04A3 RETF 06

接着一直按F10,来到:

35C7:08F8 CALL `KERNEL!_LREAD`
35C7:08FD MOV  [BP-06],AX   ;光标停在这里
35C7:0900 CMP  AX,FFFF
35C7:0903 JNZ  0908
35C7:0905 JMP  09A8
35C7:0908 MOV  ES,[1F42]

下指令:    DW ES:26A
获得段地址①.

下指令:    DB 段地址①:B19
数据窗口显示:

35AF:0B19 04 00 00 00 00 05 2D 00-DE 03 9E 07 85 02 12 07 ......-.???..
35AF:0B29 00 14 02 1E FF FF 00 03-65 00 00 80 0A 12 00 00 ......e......
35AF:0B39 01 FF 00 22 41 6C 73 6F-20 4C 6F 67 20 4E 65 74 .."Also Log Net

这是定购窗口的VB显示参数,包括窗口位置、字体、字体尺寸、前景、背景、效果等.
在它的前面是将要显示的字串.

下指令:    DB 段地址①:CB8
数据窗口显示:

35AF:0CB8 03 00 00 FF 00 04 FF FF-FF 00 05 BB 17 DE 03 EA .......???
35AF:0CC8 06 85 02 0C 0D 4D 53 20-53 61 6E 73 20 53 65 72 .?..MS Sans Ser

这是试用版窗口的VB显示参数.

下指令:    E 段地址①:B21 0 0 0 0 A 0
下指令:    E 段地址①:CBE 0 0 0 0 5 2D 0 0 0 0 0 A 0

按F5.
修改成功.两个窗口均被清除.

使用Ultra Edit 32,按下面的方法做最后的修改:

34 32 80 03 A2 76 67 0F 55
-- 38 63 00 37 38 37 38 --

17 DE 03 EA 06 85 02 OC
-- 00 00 00 00 0A 00 --

00 DE 03 9E 07 85 02 12
-- 00 00 00 00 0A 00 --

试运行.哇,成功!
VB是可以修改的!

忙了半天,只是为了说明VB是可以修改的.
其实按下面的方法修改,只要修改一处,效果是一样的:

34 32 80 03 A2 76 67 0F 55
-- 38 FF FF 37 38 37 38 --

俨然一个正版.

倘若只是想用一用软件,或想偷个懒,或者缺少工具,只要用Notepad打开Win.ini,在Protection
FL3= 25一行的前面加上一个分号";",然后存盘,就万事大吉了.