【文章标题】: 有点数学的易解软体
【文章作者】: P_O_K_E_R
【作者邮箱】: p_o_k_e_r@sohu.com
【软件名称】: Chesses V1.01
【下载地址】: http://chinesecheckers.vegard2.no/chesses_execute.exe
【保护方式】: 序列号
【编写语言】: C++
【使用工具】: OllyICE
【操作平台】: WinXP
【软件介绍】: 黑白连珠跳中国际象棋五合一
【作者声明】: 只是感兴趣，没有其他目的。失误之处敬请诸位大侠赐教!
--------------------------------------------------------------------------------
【详细过程】
很快定位于：
00417FE0 |. FF15 0CB34100 call dword ptr [<&USER32.GetWindowTextA>]
往外跳几下就看到：
0040305F . E8 C5130100 call 00414429
00403064 . 8B47 60 mov eax, dword ptr [edi+60]
00403067 . 50 push eax
00403068 . E8 F3110000 call 00404260
0040306D . 83C4 04 add esp, 4
00403070 . 85C0 test eax, eax
00403072 . 0F84 90000000 je 00403108 ;爆点
注册判断位置很明显：
00404260 /$ 83EC 50 sub esp, 50
00404263 |. 83C9 FF or ecx, FFFFFFFF
00404266 |. 33C0 xor eax, eax
00404268 |. 8D5424 00 lea edx, dword ptr [esp]
0040426C |. 56 push esi
0040426D |. 57 push edi
0040426E |. 8B7C24 5C mov edi, dword ptr [esp+5C]
堆栈 ss:[0012C8A0]=003F72F8, (ASCII "12345678")
00404272 |. F2:AE repne scas byte ptr es:[edi]
00404274 |. F7D1 not ecx
00404276 |. 2BF9 sub edi, ecx
00404278 |. 8BC1 mov eax, ecx
0040427A |. 8BF7 mov esi, edi
0040427C |. 8BFA mov edi, edx
0040427E |. C1E9 02 shr ecx, 2
00404281 |. F3:A5 rep movs dword ptr es:[edi], dword ptr [esi]
00404283 |. 8BC8 mov ecx, eax
00404285 |. 33C0 xor eax, eax
00404287 |. 83E1 03 and ecx, 3
0040428A |. F3:A4 rep movs byte ptr es:[edi], byte ptr [esi]
将字符串转到临时位置：003F72F8->0012C84C
0040428C |. 8D7C24 08 lea edi, dword ptr [esp+8]
00404290 |. 83C9 FF or ecx, FFFFFFFF
00404293 |. F2:AE repne scas byte ptr es:[edi]
00404295 |. F7D1 not ecx
00404297 |. 49 dec ecx
00404298 |. 83F9 08 cmp ecx, 8
0040429B |. 74 06 je short 004042A3
要求字符串为八字节长
0040429D |. 5F pop edi
0040429E |. 5E pop esi
0040429F |. 83C4 50 add esp, 50
004042A2 |. C3 retn
004042A3 |> 8D4C24 0C lea ecx, dword ptr [esp+C]
004042A7 |. C64424 10 00 mov byte ptr [esp+10], 0
004042AC |. 51 push ecx
004042AD |. E8 481D0000 call 00405FFA
跟入：
00405FFA /$ FF7424 04 push dword ptr [esp+4]
00405FFE |. E8 6CFFFFFF call 00405F6F
00406003 |. 59 pop ecx
00406004 \. C3 retn
压进的是炼码后半边'5678'。再入：
00405F6F /$ 53 push ebx
00405F70 |. 55 push ebp
00405F71 |. 56 push esi
00405F72 |. 57 push edi
00405F73 |. 8B7C24 14 mov edi, dword ptr [esp+14]
堆栈 ss:[0012C838]=0012C850, (ASCII "5678")
00405F77 |> 833D DC244200 0>/cmp dword ptr [4224DC], 1
数据 ds:[004224DC]=1
00405F7E |. 7E 0F |jle short 00405F8F
00405F80 |. 0FB607 |movzx eax, byte ptr [edi]
00405F83 |. 6A 08 |push 8
00405F85 |. 50 |push eax
00405F86 |. E8 0D360000 |call 00409598
00405F8B |. 59 |pop ecx
00405F8C |. 59 |pop ecx
00405F8D |. EB 0F |jmp short 00405F9E
00405F8F |> 0FB607 |movzx eax, byte ptr [edi]
00405F92 |. 8B0D D0224200 |mov ecx, dword ptr [4222D0] ; chesses.004222DA
00405F98 |. 8A0441 |mov al, byte ptr [ecx+eax*2]
这是比较有意思的地方，查表转换：
比如第一个：
ds:[00422344]=84
al=35 ('5')
表格如下：
004222DA 0020 0020 0020 0020 0020 0020 0020 0020
004222EA 0020 0028 0028 0028 0028 0028 0020 0020
004222FA 0020 0020 0020 0020 0020 0020 0020 0020
0042230A 0020 0020 0020 0020 0020 0020 0020 0020
0042231A 0048 0010 0010 0010 0010 0010 0010 0010
0042232A 0010 0010 0010 0010 0010 0010 0010 0010
0042233A 0084 0084 0084 0084 0084 0084 0084 0084
0042234A 0084 0084 0010 0010 0010 0010 0010 0010
0042235A 0010 0081 0081 0081 0081 0081 0081 0001
0042236A 0001 0001 0001 0001 0001 0001 0001 0001
0042237A 0001 0001 0001 0001 0001 0001 0001 0001
0042238A 0001 0001 0001 0010 0010 0010 0010 0010
0042239A 0010 0082 0082 0082 0082 0082 0082 0002
004223AA 0002 0002 0002 0002 0002 0002 0002 0002
004223BA 0002 0002 0002 0002 0002 0002 0002 0002
004223CA 0002 0002 0002 0010 0010 0010 0010 0020
004223DA 0000 0000 0000 0000 0000 0000 0000 0000
004223EA 0000 0000 0000 0000 0000 0000 0000 0000
表格再下面部分都是零。
00405F9B |. 83E0 08 |and eax, 8
00405F9E |> 85C0 |test eax, eax
00405FA0 |. 74 03 |je short 00405FA5
00405FA2 |. 47 |inc edi
00405FA3 |.^ EB D2 \jmp short 00405F77
00405FA5 |> 0FB637 movzx esi, byte ptr [edi]
00405FA8 |. 47 inc edi
00405FA9 |. 83FE 2D cmp esi, 2D
00405FAC |. 8BEE mov ebp, esi
00405FAE |. 74 05 je short 00405FB5
00405FB0 |. 83FE 2B cmp esi, 2B
00405FB3 |. 75 04 jnz short 00405FB9
00405FB5 |> 0FB637 movzx esi, byte ptr [edi]
00405FB8 |. 47 inc edi
00405FB9 |> 33DB xor ebx, ebx
00405FBB |> 833D DC244200 0>/cmp dword ptr [4224DC], 1
00405FC2 |. 7E 0C |jle short 00405FD0
00405FC4 |. 6A 04 |push 4
00405FC6 |. 56 |push esi
00405FC7 |. E8 CC350000 |call 00409598
00405FCC |. 59 |pop ecx
00405FCD |. 59 |pop ecx
00405FCE |. EB 0B |jmp short 00405FDB
00405FD0 |> A1 D0224200 |mov eax, dword ptr [4222D0]
00405FD5 |. 8A0470 |mov al, byte ptr [eax+esi*2]
00405FD8 |. 83E0 04 |and eax, 4
00405FDB |> 85C0 |test eax, eax
00405FDD |. 74 0D |je short 00405FEC
00405FDF |. 8D049B |lea eax, dword ptr [ebx+ebx*4]
00405FE2 |. 8D5C46 D0 |lea ebx, dword ptr [esi+eax*2-30]
第一次经过寄存器为：
EAX 00000000
ECX 004222DA
EDX 0012C84C ASCII "12345678"
EBX 00000000
ESP 0012C824
EBP 00000035
ESI 00000035
EDI 0012C851 ASCII "678"
EIP 00405FE2 chesses.00405FE2
上面两句合起来是ebx=esi+5*2*ebx-30h......
00405FE6 |. 0FB637 |movzx esi, byte ptr [edi]
00405FE9 |. 47 |inc edi
00405FEA |.^ EB CF \jmp short 00405FBB
00405FEC |> 83FD 2D cmp ebp, 2D
00405FEF |. 8BC3 mov eax, ebx
00405FF1 |. 75 02 jnz short 00405FF5
00405FF3 |. F7D8 neg eax
00405FF5 |> 5F pop edi
00405FF6 |. 5E pop esi
00405FF7 |. 5D pop ebp
00405FF8 |. 5B pop ebx
00405FF9 \. C3 retn
虽然很有意思，但一见乘十便不免偷了懒，跳出看一看。
略略一算，就知是把四个数字字符转成十六进制数，结果为 eax=162Eh=5678.
004042B2 |. 8D5424 0C lea edx, dword ptr [esp+C]
004042B6 |. 8BF0 mov esi, eax
004042B8 |. 52 push edx
压入的是后半部转换结果。
004042B9 |. C64424 14 00 mov byte ptr [esp+14], 0
004042BE |. E8 371D0000 call 00405FFA
同样，将前半部转得eax=04D2h=1234.
这个转换方法很特别，有空一下要看看。
004042C3 |. 6A 61 push 61
004042C5 |. 56 push esi
004042C6 |. 8BF8 mov edi, eax
004042C8 |. E8 230B0000 call 00404DF0
对后半部转换结果的处理，跟入：
00404DF0 /$ 56 push esi
00404DF1 |. 8B7424 0C mov esi, dword ptr [esp+C]
00404DF5 |. 56 push esi
00404DF6 |. E8 C5FFFFFF call 00404DC0
再跟入：
00404DC0 /$ 53 push ebx
00404DC1 |. 56 push esi
00404DC2 |. 57 push edi
00404DC3 |. 8B7C24 10 mov edi, dword ptr [esp+10]
00404DC7 |. 33F6 xor esi, esi
00404DC9 |. 33C9 xor ecx, ecx
00404DCB |> 03CF add ecx, edi
00404DCD |. BB C01E0000 mov ebx, 1EC0
00404DD2 |. 8BC1 mov eax, ecx
00404DD4 |. 46 inc esi
00404DD5 |. 99 cdq
00404DD6 |. F7FB idiv ebx
00404DD8 |. 83FA 01 cmp edx, 1
00404DDB |.^ 75 EE jnz short 00404DCB
00404DDD |. 8BC6 mov eax, esi
00404DDF |. 5F pop edi
00404DE0 |. 5E pop esi
00404DE1 |. 5B pop ebx
00404DE2 \. C3 retn
上面这个函数只是判断61h这个数能不能符合：
存在整数 k 使得 (61h*k)%(1EC0h)=1
看看后面语句处理就发现，好像上面那函数无所谓。
00404DFB |. 83C4 04 add esp, 4
00404DFE |. B8 01000000 mov eax, 1
00404E03 |. 85F6 test esi, esi
00404E05 |. 7E 19 jle short 00404E20
00404E07 |. 8BCE mov ecx, esi
00404E09 |. 8B7424 08 mov esi, dword ptr [esp+8]
00404E0D |. 57 push edi
00404E0E |> 0FAFC6 /imul eax, esi
00404E11 |. 33D2 |xor edx, edx
00404E13 |. BF 731F0000 |mov edi, 1F73
00404E18 |. F7F7 |div edi
00404E1A |. 49 |dec ecx
00404E1B |. 8BC2 |mov eax, edx
00404E1D |.^ 75 EF \jnz short 00404E0E
00404E1F |. 5F pop edi
00404E20 |> 5E pop esi
00404E21 \. C3 retn
这个循环蛮妙的，结果是某数的61h次方除以1F73h的余数。返回：
004042CD |. 33D2 xor edx, edx
004042CF |. B9 64000000 mov ecx, 64 ;就是一百
004042D4 |. F7F1 div ecx
004042D6 |. 83C4 10 add esp, 10
004042D9 |. 83FA 02 cmp edx, 2
004042DC |. 74 08 je short 004042E6
上面是对后半部转换处理结果的要求。
004042DE |. 5F pop edi
004042DF |. 33C0 xor eax, eax
004042E1 |. 5E pop esi
004042E2 |. 83C4 50 add esp, 50
004042E5 |. C3 retn
下面对前半部转换结果的处理：
004042E6 |> 6A 61 push 61
004042E8 |. 57 push edi
004042E9 |. E8 020B0000 call 00404DF0
下面是对前半部转换处理结果的要求：
004042EE |. 33D2 xor edx, edx
004042F0 |. B9 64000000 mov ecx, 64
004042F5 |. F7F1 div ecx
004042F7 |. 83C4 08 add esp, 8
004042FA |. 33C0 xor eax, eax
004042FC |. 5F pop edi
004042FD |. 5E pop esi
004042FE |. 83FA 03 cmp edx, 3
如果两个要求都满足就到达这。
00404301 |. 0F94C0 sete al
00404304 |. 83C4 50 add esp, 50
00404307 \. C3 retn
综上所述，序列号 XY 的要求就是：
((X^97)%8051)%100=3
((Y^97)%8051)%100=2
(0<X,Y<=9999)
解方程便得序列号，好，完成。注册机我已写好在附件中了。
--------------------------------------------------------------------------------
【经验总结】
回顾一下：这些过程中使得一看的是查表进制转换 00405F6F 及似没啥用的那个 00404DC0 。
补充一下：序列号存在 [HKEY_CURRENT_USER\Software\Lzly] ；已使用次数存在 chesses.cfg 。
软件作者是数学系毕业的，所以算法也有了点数学的痕迹，对于我等数学肓也算是一好练习吧。
--------------------------------------------------------------------------------
【版权声明】: 本文原创于看雪技术论坛, 转载请注明作者并保持文章的完整, 谢谢!
20XX年01月02日 1:28:12
- 标 题：分析用了点数学的五棋软件
- 作 者：代子
- 时 间：2011-12-24 12:38:18
- 链 接：http://bbs.pediy.com/showthread.php?t=144647