【文章标题】: Flash ScreenSaver Builder v4.7 算法分析
【文章作者】: Suyana
【作者邮箱】: Suyasha@163.com
【作者QQ号】: 517949855(请注明来自看雪论坛)
【软件名称】: Flash ScreenSaver Builder v4.7
【加壳方式】: 无壳
【编写语言】: Microsoft Visual C++ 6.0
【使用工具】: OD
【软件介绍】: 把Flash动画转换成屏保程序，除此之外，它也可以将图像、文本、各种音频视频文件组合起来制作成屏保程序。
【作者声明】: 我只是一只小菜鸟，失误之处难免，敬望诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
用OD载入，运行注册，输入注册码
下断点：GetWindowTextA (VC++编译的程序基本都是这条) ，点ok，中断在：
004AB0D3 call [<&USER32.GetWindowTextA>]
运行到返回，来到：
0043B784 mov edi, [esp+C]
0043B788 lea eax, [esi+60]
0043B78B push eax ; /Arg3
0043B78C push 3E8 ; |Arg2 = 000003E8
0043B791 push edi ; |Arg1
0043B792 call 004AB0A4 ; \得到用户名
0043B797 add esi, 64
0043B79A push esi ; /Arg3
0043B79B push 3E9 ; |Arg2 = 000003E9
0043B7A0 push edi ; |Arg1
0043B7A1 call 004AB0A4 ; \得到注册码
0043B7A6 pop edi ; 00166C08
0043B7A7 pop esi
0043B7A8 retn 4
运行到返回，来到：
0049ABE5 mov ecx, esi
0049ABE7 call [eax+84] ;得到用户名和注册码(怎么VC++编译出的代码都这样)
0049ABED mov dword ptr [ebp+8], 1 ;返回到这里
0049ABF4 jmp short 0049AC1D
0049AC1D：
这里没做什么事，直接返回到：
0043B889 call 0049AB98
0043B88E test eax, eax ;返回到这里
0043B890 je 0043BA7C
0043B896 fld dword ptr [4EA6BC]
0043B89C sub esp, 8
0043B89F fstp qword ptr [esp]
0043B8A2 push ecx
0043B8A3 mov ecx, esp
0043B8A5 mov [esp+20], esp
0043B8A9 push 84EF
0043B8AE call 0049CE49
0043B8B3 push 3
0043B8B5 lea ecx, [esp+2C]
0043B8B9 call 00476340
0043B8BE mov eax, [esi+60]
0043B8C1 mov dword ptr [esp+4C], 0
0043B8C9 mov ecx, [eax-8]
0043B8CC test ecx, ecx
0043B8CE je 0043B9E7
0043B8D4 mov eax, [esi+64] ; 注册码
0043B8D7 lea ecx, [esp+1C]
0043B8DB push eax ; 注册码做参数
0043B8DC call 00476940 ; 计算注册码(严格上说是比较)
0043B8E1 test al, al
0043B8E3 je 0043B9E7 ; al=0，则注册失败
进入0043B8DC call 00476940：
00476940 /$ 53 push ebx
00476941 |. 8B5C24 08 mov ebx, [esp+8]
00476945 |. 55 push ebp
00476946 |. 56 push esi
00476947 |. 57 push edi
00476948 |. 8BE9 mov ebp, ecx
0047694A |. 53 push ebx ; /String
0047694B |. FF15 50544C00 call [<&KERNEL32.lstrlenA>] ; \lstrlenA
00476951 |. 83F8 11 cmp eax, 11 ; 注册码要17位
00476954 |. 0F85 DA000000 jnz 00476A34
0047695A |. 8A03 mov al, [ebx] ; 注册码第n位
0047695C |. 33FF xor edi, edi
0047695E |. 84C0 test al, al ; 是否为0
00476960 |. 8BF3 mov esi, ebx
00476962 |. 74 44 je short 004769A8
00476964 |> 8A06 /mov al, [esi] ; 注册码第n位
00476966 |. 3C 2D |cmp al, 2D ; 为'-' tiao
00476968 |. 74 2C |je short 00476996
0047696A |. 0FBEC0 |movsx eax, al
0047696D |. 50 |push eax
0047696E |. E8 47D00000 |call 004839BA
00476973 |. 83C4 04 |add esp, 4
00476976 |. 85C0 |test eax, eax
00476978 |. 8A06 |mov al, [esi]
0047697A |. 74 0A |je short 00476986
0047697C |. 3C 30 |cmp al, 30
0047697E |. 7C 0E |jl short 0047698E ; <=30 跳
00476980 |. 3C 39 |cmp al, 39
00476982 |. 7E 1C |jle short 004769A0 ; <= 39,跳
00476984 |. EB 08 |jmp short 0047698E
00476986 |> 3C 41 |cmp al, 41
00476988 |. 7C 04 |jl short 0047698E
0047698A |. 3C 46 |cmp al, 46
0047698C |. 7E 12 |jle short 004769A0
0047698E |> 3C 2D |cmp al, 2D
00476990 |. 0F85 9E000000 |jnz 00476A34
00476996 |> 47 |inc edi
00476997 |. 83FF 02 |cmp edi, 2
0047699A |. 0F8F 94000000 |jg 00476A34 ; 超过2个'-'就注册失败
004769A0 |> 8A46 01 |mov al, [esi+1]
004769A3 |. 46 |inc esi
004769A4 |. 84C0 |test al, al
004769A6 |.^ 75 BC \jnz short 00476964
004769A8 |> 6A 2D push 2D
...下面还有一些函数，是拿注册码去做运算的，但最后好像都没用到，就不贴出来了...
004769DB mov esi, eax
004769DD push 6 ; /n = 6
004769DF push ebx ; |String2
004769E0 push esi ; |String1
004769E1 call [<&KERNEL32.lstrcpynA>] ; \lstrcpynA，复制注册码第一段
004769E7 mov edx, [esp+14]
004769EB add edx, 3
004769EE push edx ; /StringToAdd
004769EF push esi ; |ConcatString
004769F0 call [<&KERNEL32.lstrcatA>] ; \lstrcatA，加上注册码第三段的后3位
004769F6 lea eax, [esp+14]
004769FA push 10
004769FC inc edi
004769FD push eax
004769FE push edi
004769FF call 004838A3 ; 第二段注册码转成数字
00476A04 push 10
00476A06 mov edi, eax ; eax=转换后的数字
00476A08 imul edi, [ebp+8] ; [ebp+8]=[0012e8b4]=5c，定值
00476A0C push 0
00476A0E push esi ; 第一段注册码+第三段注册码的后3位
00476A0F call 004838A3 ; 转成数字
00476A14 mov ebx, [ebp+10] ; 25da8a35，定值
00476A17 push esi
00476A18 add eax, ebx ; 加上25da8a35
00476A1A imul eax, [ebp+C] ; 35，定值
00476A1E cmp edi, eax
00476A20 sete bl ; 不等则 bl=0
00476A23 call 0049C002
00476A28 add esp, 1C
00476A2B mov al, bl ; al=bl
00476A2D pop edi
--------------------------------------------------------------------------------
注册码算法：
第二段注册码转成数字*5c = ((第一段注册码+第三段注册码的后3位)转成数字+25da8a35)*35
我用第二段注册码算出第一段注册码+第三段注册码的后3位：公式：
第二段注册码转成数字*5c/35-25da8a35，但在除以35h时一定要整除，所以偶直接用35
例如：第二段注册码:35，则注册码为：
(35*5c)/35-25da8a35=DA257627=第一段注册码+第三段注册码的后3位。
第三段注册码的前2位随便填就可以了，得出的注册码。
DA257-00035-77627
注册码保存在：HKEY_LOCAL_MACHINE\SOFTWARE\XemiComputers\FSSBuilder\Registration\4.70
------------------------------------------
附件：注册机(MASM32)，这个注册机的模板是我自己写的，有兴趣的可以找我拿源代码(MASM32)
下面是计算注册码的函数：(用35h的倍数来算)
GetSN proc uses ecx hWnd
local szBuffer[30]:byte,szKey1[6]:byte,szKey3[6]:byte
add key2,35h
mov eax,key2
push 5ch
pop ecx
imul ecx
push 35h
pop ecx
idiv ecx
sub eax,25da8a35h
invoke wsprintf,addr szBuffer,addr szFmtS,eax
invoke lstrcpyn,addr szKey1,addr szBuffer,6
lea eax,szBuffer
add eax,5
invoke lstrcpy,addr szKey3,eax
invoke wsprintf,addr szBuffer,addr szFmt,addr szKey1,key2,addr szKey3
invoke SetDlgItemText,hWnd,1001,addr szBuffer ;显示注册码
ret
_GetSN endp
代码写得不好，请指教。有更好算法的欢迎指出。
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!
------------------------------------------------------------------
文章写于2007-08-18