Reglo v3.5a 注册算法详析 【软件名称】: Reglo v3.5a 【下载地址】: Http://www.basta.com/ 【软件简介】: Reglo 是一款屏幕测量工具,其实就是一把尺子,有多种单位可以选择,用于测量图片或其它. 【软件限制】: 如果没有注册,则只有 30 天的试用期. 【破解声明】: 我是搞软件的,知道一款软件的开发,需要付出很多很多,所以如果大家有点钱的话,还是多支持支持软件的作者,这样人家才有干劲呀.其实,这款软件对我没什么用,只是好奇它的注册算法而已,如果大家有兴趣,不妨在看完了这篇注册算法分析后,用 Reglo 的姊妹软件试试,看它们的注册算法是什么.它的姊妹软件包括: AppToService v4.0 一个 Windows 控制台,可以让你把常规程序或服务器,运行做 Windows 服务. Buzof v4.0 一款让你可以消除烦人的系统消息的工具,比如,删除文件时,系统总会提示是否真的要删除等信息. Deletor v4.2 一款可以按照你的要求,进行删除的工具.例如,删除满足一定大小/时间/属性等条件的文件夹等等. Filo v4.2 修改文件或文件夹属性的工具. Splitty v4.0 文件分割合并工具. ZMover v7.2 桌面布局管理软件,可以让你指定程序窗口位置/大小/层次等. 【破解工具】: PEID v0.94,OllyDBG v1.10 【破文作者】: WSLVIC 电邮:Crk4u@163.com 【破解时间】: 二〇一一年七月二日 【破解过程】: ——————————————————————————————————————————— 不必多说,首先是查查壳,用 PEID 一看,原来是 Microsoft Visual C++ 7.0,也好,省的脱壳了.然后当然是用 OD 载入,载入后停在这里: 00416197 > $ 6A 60 PUSH 60 00416199 . 68 F0284300 PUSH Reglo2.004328F0 0041619E . E8 451A0000 CALL Reglo2.00417BE8 004161A3 . BF 94000000 MOV EDI,94 004161A8 . 8BC7 MOV EAX,EDI 004161AA . E8 C10E0000 CALL Reglo2.00417070 004161AF . 8965 E8 MOV DWORD PTR SS:[EBP-18],ESP 004161B2 . 8BF4 MOV ESI,ESP 004161B4 . 893E MOV DWORD PTR DS:[ESI],EDI 004161B6 . 56 PUSH ESI ; /pVersionInformation 004161B7 . FF15 A8014300 CALL DWORD PTR DS:[<&KERNEL32.GetVersion>; \GetVersionExA ...... 典型的 VC 入口呀,不急下断点,先看看注册窗口是什么样的,按 F9 运行,在标尺上点击右键选择 "&About Reglo...",在弹出窗口中选择 "&Purchasing Information...",终于出现了,原来注册码分两部分,每部分都 8 位,总长度是 16,也就是十六进制的 0x10,好了先看看能不能输入中文(呵呵,习惯了),输入 "瑶淼"---原来可以输入中文,当然也可以输入英文字母和数字,胡乱输一通,比如 "11111111-22222222" 点击 "Ok",弹出对话框 "The password you have entered is incorrect."---现在当然不能注册,不过记下了这串 E 文,点击 "确定" 回到 OD 中,用 OD 自带的字符串搜索功能搜索 "所有参考文本字符串",很快就搜索完毕了,可惜上面那串 E 文,连影子都没有,再用 OD 插件 "超级字串参考" 和 "中文搜索引擎",也没找到,晕,只好下对话框断点了,试试 MessageBoxA 吧,在命令条中输入 "bpx messageboxa",然后点击 F9 运行,输入注册码 "11111111-22222222",点击 "确定",呵呵,运气不错,被 OD 断了下来,断点停在: 0042B8C7 |. FF15 9C034300 CALL DWORD PTR DS:[<&USER32.MessageBoxA>>; \MessageBoxA (1) 不管它,向上看,直到该段代码的开始处, 0042B7FB /> /55 PUSH EBP (2) 点击该行,这时,OD 显示 "跳转来自 0042B924",一看,竟然是这段代码的最后一行 0042B924 \.^\E9 D2FEFFFF JMP Reglo2.0042B7FB (3) 于是想到应该是从其它某处调用到 (1) 之后的某个地方,再执行到 (3),然后再跳转到 (2),仔细观察代码,发现 (1) 之后的 0042B904 处 0042B904 |. C2 0C00 RETN 0C 非常可疑,其下一行为 0042B907 |$ 55 PUSH EBP 在该行点击,OD 显示 "本地调用来自 00401698,00406C15,00425097,0042B96A,0042C086,0042C163",到底从这里的哪个调用来的呢,不忙,先在该处按 F2,下一个断点,按 F9 运行程序,胡乱输入 "1111111122222222" 点击 "确定",发现 OD 已经断在了该处,在 OD 工具栏中点击图标 "K" --- 调用堆栈,发现 OD 显示 "函数过程 Reglo.0042B907,调用来自 Reglo.0042B96A",于是在 OD 信息窗口的 "本地调用来自 00401698,00406C15,00425097,0042B96A...",上点右键选择 "转到 Call 来自 0042B96A",于是 OD 立刻来到了 0042B96A 所在的代码段,在该段的段头: 0042B929 /$ B8 6DED4200 MOV EAX,Reglo.0042ED6D 上点击,发现 OD 显示 "本地调用来自 004018F9, 00401F57, 0040777D, 00407CB3, 0040887B, 0040A7CC, 0040B31A, 0040B464, 00412AC9, 00412AE0, 004250B4, 004286E2, 0042875A, 0042BF9A",晕,又是一堆,咋办呢,还是老办法,F2 断点→F9 运行→输入注册码→点击 "确定",OD 断在了 0042B929,在点击图标 "K",OD 显示 "函数过程 Reglo.0042B929,调用来自 Reglo.0040B464",再次转到 0040B464 所在的代码段,该段的段头为: 0040B350 /$ 64:A1 0000000>MOV EAX,DWORD PTR FS:[0] 下断点,运行到该行,F8 单步到 0040B3AC |. E8 519A0100 CALL Reglo.00424E02 处时,注册窗口弹出,呵呵,该行是调用注册窗口的.继续 F8,直到 0040B3BA |. 8B8424 D80000>MOV EAX,DWORD PTR SS:[ESP+D8] 这时在 OD 信息窗口中看到了已经输入的注册码. 哈哈,万里长征终于走到了第一站! 这点很重要,这是进行下一步调试的关键,于是整理一下,删除除了 0040B3BA 处以外的所有其它断点.注册码分析就要开始了.在 0040B3BA 下方看到一个 Call 0040B3DA |. E8 A17B0000 CALL Reglo.00412F80 F7 跟进去一看,果真是进行注册码测试,好,先下个断点.然后按 Ctrl+F2 重新载入,输入注册码时输入 "1111111122222222",OD 断在了 0040B3DA,F7 跟进,便来到了下方, ┌──────────────────────────────────────────────┐ │00412F80 PUSH EBX │ │00412F81 PUSH EBP │ │00412F82 MOV EBX,EAX ; EBX=输入的注册码 │ │00412F84 PUSH ESI │ │00412F85 XOR EBP,EBP │ │00412F87 TEST EBX,EBX │ │00412F89 PUSH EDI │ │00412F8A JE Reglo.004130C7 ; 一跳就死 │ │00412F90 LEA EDX,DWORD PTR DS:[EAX+1] ; EDX=第二个字符的地址 │ │00412F93 /MOV CL,BYTE PTR DS:[EAX] ; CL=第一个字符 │ │00412F95 |INC EAX ; 下一个 │ │00412F96 |TEST CL,CL ; 测试 CL,是否为全零 │ │00412F98 \JNZ SHORT Reglo.00412F93 ; 循环测试 CL 是否为 00 │ │00412F9A SUB EAX,EDX ; EAX=尾字符的地址,EDX=第二个字符的地址 │ │00412F9C CMP EAX,10 ; 比较字符串长度是否为 16 │ │00412F9F JNZ Reglo.004130C7 ; 不等就跳,一跳就完 │ │00412FA5 MOV ESI,EAX ; ESI 指向尾字符 │ └──────────────────────────────────────────────┘ 这段代码没什么难度,就是测试下输入的注册码的长度,及每个字符是否为 00,之后则来到, ┌──────────────────────────────────────────────┐ │00412FA7 /MOVSX EAX,BYTE PTR DS:[ESI+EBX-1] │ │00412FAC |DEC ESI │ │00412FAD |PUSH EAX │ ┌──────────────────────────────────────────────┐ │00412FAE |CALL Reglo.00415ACF ; 判断是否是数字 (4)│ └──────────────────────────────────────────────┘ │00412FB3 |ADD ESP,4 │ │00412FB6 |TEST EAX,EAX │ │00412FB8 |JE Reglo.004130C7 ; 这里一跳就完蛋 │ │00412FBE |TEST ESI,ESI │ │00412FC0 \JNZ SHORT Reglo.00412FA7 │ └──────────────────────────────────────────────┘ 这是一段循环,中间有个 Call,其过程是逐字读入注册码的每一位,然后用 Call 进行测试,看来是关键测试了,F7 步入,OD 转到这里, ┌──────────────────────────────────────────────┐ │00415ACF PUSH EBP │ │00415AD0 MOV EBP,ESP │ │00415AD2 PUSH ECX │ │00415AD3 PUSH EBX │ │00415AD4 MOV EBX,DWORD PTR SS:[EBP+8] ; 地址移动8位 │ │00415AD7 CMP EBX,0FF ; 判定是否是 ASCII 字符 │ │00415ADD /JBE SHORT Reglo.00415B49 ; 小于等于 255 时,这里一定跳,否则必死 │ └──────────────────────────────────────────────┘ 这段的关键是上面的最后两句,0FF 是 255,EBX 中是当前位置注册码的 ASCII 值(别忘了这段是在循环中),所以这两句是测试,如果当前位置注册码的 ASCII 值 <= 255 时,发生跳转,由 255 可知,要求输入字符是 "基本拉丁字符集" 和 "增补拉丁字符集 1" 中的字符,由于当前输入的测试注册码是 "1111111122222222",故满足要求,不过你可以试试输入注册码 "！111111122222222",这时 Reglo 会弹出对话框 "Please enter no more than 8 characters." 注册就失败了.然后跳转到 00415B49 处,注意,中间有段代码 00415ADF-00415B47 是处理当字符的 ASCII>255 时,进行的操作,我没跟过去,如果谁有兴趣不妨看看 Reglo 在这段干了什么.跳转到了这里, ┌──────────────────────────────────────────────┐ │00415B49 \PUSH EBX │ │00415B4A CALL Reglo.00419636 ; 判断是否是数字:否,则跳出. │ │00415B4F POP ECX │ │00415B50 POP EBX │ │00415B51 LEAVE │ │00415B52 RETN │ └──────────────────────────────────────────────┘ 又是一个 Call! 烦哪,还得跟进去,来到, ┌──────────────────────────────────────────────┐ │00419636 /$ CALL Reglo.00419174 ; 别管,给 EAX 一个地址 │ │0041963B |. MOV EAX,DWORD PTR DS:[EAX+64] │ │0041963E |. CMP EAX,DWORD PTR DS:[43FF84] ; Reglo.0043FF30 │ │00419644 |. JE SHORT Reglo.0041964B ; 必跳 │ │00419646 |. CALL Reglo.0041911B │ │0041964B |> CMP DWORD PTR DS:[EAX+28],1 │ │0041964F |. JLE SHORT Reglo.00419661 ; 必跳 │ │00419651 |. PUSH 4 │ │00419653 |. PUSH DWORD PTR SS:[ESP+8] │ │00419657 |. PUSH EAX │ │00419658 |. CALL Reglo.004198A3 │ │0041965D |. ADD ESP,0C │ │00419660 |. RETN │ │00419661 |> MOV EAX,DWORD PTR DS:[EAX+48] ; UNICODE " ((((( │ │00419664 |. MOV ECX,DWORD PTR SS:[ESP+4] │ │00419668 |. MOVZX EAX,BYTE PTR DS:[EAX+ECX*2] ; 若 ECX 为 0-9 的数字,则 EAX=84 │ │0041966C |. AND EAX,4 ; EAX=84 And 4=4 │ │0041966F \. RETN │ └──────────────────────────────────────────────┘ 怎么又是一堆 Call!而且第一句就是一个 Call,F7 进入,发现一堆系统调用,包括 GetLastError/TlsGetValue/TlsSetValue/GetCurrentThreadID/SetLastError 等等,它们是干什么的呢?为什么这么做?到现在也没搞清楚,不过至少知道这个 Call 改变了 EAX,也就是给 EAX 了一个新地址,在这个 Call 后的两句,可以看到它是在进行地址比较,不管它了,来到 00419644 处,这里一定要跳,之后来到 0041964B,与 1 进行比较,之后到了 0041964F 处跳转至 00419661,关键来了,这句给了 EAX 一个 UniCode 字符串,这是干啥用的?先不急,看看它的下一句,在 OD 的信息窗口看到了 SS:[ESP+4] 中放置的其实就是当前位置注册码的 ASCII 值,并赋给了 ECX,ok,再下一句看到了 DS:[EAX+ECX*2],这又是干什么呢,分析看看:当前 EAX 是一个指向 UniCode 的地址,ECX 是 ASCII 值,所以EAX+ECX*2 必是一个地址,运行到该句 OD 显示 "DS:[00432AC6]=84",在其上点击右键,选择 "数据窗口中跟随地址",发现数据窗口中是这样一串数据 "84 00 84 00 84 00 84 00..."---共 10 组 "84 00",于是终于明白了这段到底是在干什么,也就是说从该段的第一个 Call 给了 EAX 一个地址,通过这个地址加上一定的偏移量,指向一些特定地址,例如 00419661 处,EAX=DS:[EAX+48],如果当前位置的字符是 0-9 (ASCII 的 30-39),那么从 DS:[EAX+48] 开始,偏移 30*2 至 39*2,都将得到 84 这个值,也就是上面的 10 组 "84 00",那么为什么是 84 呢,从 0041966C 处,可看出 84 与 4 进行 "与" 操作,EAX 将等于 4,不等于 0,换句话说 EAX 就是一个 flag,当 EAX 非零时,说明匹配成功,当前字符是 0-9 的数字,否则 EAX=0 说明匹配失败.其实在 UltraEdit 中也可找到这两个字符串,其中, UNICODE " ((((( H" 在实偏移 31C62H 处 "84 00 84 00 84 00 84 00 84 00 84 00 84 00..." 在实偏移 31CC2H 处 谁有兴趣的话,不妨算算它们之间的偏移是否是 0x30*2 - 0x39*2 至此,万里长征第二步算完成了,可是只是知道注册码由数字组成,却不知道形成规则是什么,怎么办,只好一路返回,回到 00412FB3 处,此处仍在循环中,在 00412FC2 处按 F4,运行到该行, ┌──────────────────────────────────────────────┐ │00412FC2 MOVSX EDI,BYTE PTR DS:[EBX+F] ; EDI=末字符 │ │00412FC6 SUB EDI,30 │ │00412FC9 MOV EAX,EDI ; EAX=末字符的数值 │ │00412FCB IMUL EAX,EDI ; EAX=末位数的平方 │ │00412FCE CDQ ; CDQ 双字扩展成四字 │ │00412FCF MOV ECX,0A │ │00412FD4 IDIV ECX ; 末位数的平方(EAX)除 10,商放 EAX,余放 EDX │ │00412FD6 MOV AL,BYTE PTR DS:[EDI+EBX] ; AL=第 EDI+1 个字符 │ │00412FD9 ADD DL,30 ; 加 30 │ │00412FDC CMP AL,DL ; │ │00412FDE JNZ Reglo.004130C7 ; 一跳就完 │ └──────────────────────────────────────────────┘ 这段代码的关键是: AL 是注册码的第 EDI+1(EDI=末字符的数值) 个字符,而 DL 是注册码的最后一个字符的平方,除以 10,所得的余数,由 CMP Al,DL 及其下一行的 JNZ Reglo.004130C7 可知,注册码的最后一位的数值 i,决定着注册码第 i+1 位的值必须为最后一位的数值的平方除 10 所得的余数,即: 最后一位数 i 第 i+1 位数 模型 i=0 第 1(i+1) 位 为 0(0^2 Mod 10) 0xxxxxxx xxxxxxx0 i=1 第 2(i+1) 位 为 1(1^2 Mod 10) x1xxxxxx xxxxxxx1 i=2 第 3(i+1) 位 为 4(2^2 Mod 10) xx4xxxxx xxxxxxx2 i=3 第 4(i+1) 位 为 9(3^2 Mod 10) xxx9xxxx xxxxxxx3 i=4 第 5(i+1) 位 为 6(4^2 Mod 10) xxxx6xxx xxxxxxx4 i=5 第 6(i+1) 位 为 5(5^2 Mod 10) xxxxx5xx xxxxxxx5 i=6 第 7(i+1) 位 为 6(6^2 Mod 10) xxxxxx6x xxxxxxx6 i=7 第 8(i+1) 位 为 9(7^2 Mod 10) xxxxxxx9 xxxxxxx7 i=8 第 9(i+1) 位 为 4(8^2 Mod 10) xxxxxxxx 4xxxxxx8 i=9 第 10(i+1) 位 为 1(9^2 Mod 10) xxxxxxxx x1xxxxx9 由于输入的测试注册码 "1111111122222222" 不满足这个要求,在 00412FDE 处,就跳走了.不妨把测试注册码改为 "1141111122222222",Ctrl+F2 重新运行,终于第一个坎 00412FDE 过了,然后代码来到, ┌──────────────────────────────────────────────┐ │00412FE4 |.LEA EAX,DWORD PTR DS:[EDI+1] ; EAX=末字符数值+1 │ │00412FE7 |.CMP EAX,0F │ │00412FEA |.JL SHORT Reglo.00412FEF ; 必跳 │ │00412FEC |.SUB EAX,0F │ │00412FEF |>MOVSX ECX,BYTE PTR DS:[EAX+EBX] ; ECX=第 末字符数值+2 个数字 │ │00412FF3 |.LEA ESI,DWORD PTR DS:[ECX-30] ; ESI=第 末字符数值+2 个数字的数值 │ │00412FF6 |.CMP ESI,1 ; 第 末字符数值+2 位数字必须大于等于 1│ │00412FF9 |.JGE SHORT Reglo.00413000 ; 必跳 │ └──────────────────────────────────────────────┘ 测试注册码 "1141111122222222" 的末位为 "2",故第 4(2+2) 个数字必须大于等于 1,测试注册码已满足要求,呵呵,继续啊,第二个坎 00412FF9 过了.继续来到这里, ┌──────────────────────────────────────────────┐ │00413000 |>XOR ECX,ECX │ │00413002 |.CMP ESI,1 │ │00413005 |.SETG CL ; 根据标志寄存器,大于 1 时,置 CL=1 │ │00413008 |>MOV EDX,DWORD PTR SS:[ESP+14] │ │0041300C |.INC EAX ; EAX=末字符数值+2 │ │0041300D |.CMP EAX,0F │ │00413010 |.MOV DWORD PTR DS:[EDX],ECX ; DS:[0012F3C0]=00000000 │ │00413012 |.JL SHORT Reglo.00413017 │ │00413014 |.SUB EAX,0F │ │00413017 |>MOV ECX,EAX ; ECX=末字符数值+2 │ │00413019 |.ADD EAX,3 ; EAX=末字符数值+5 │ │0041301C |.CMP EAX,0F │ │0041301F |.JL SHORT Reglo.00413024 │ │00413021 |.SUB EAX,0F │ │00413024 |>MOVSX ESI,BYTE PTR DS:[ECX+EBX] ; ESI=第 末字符数值+3 个数的 ASCII 值 │ │00413028 |.MOV ECX,EAX ; ECX=末字符数值+5 │ │0041302A |.ADD EAX,3 ; EAX=末字符数值+8 │ │0041302D |.SUB ESI,30 ; ESI=第 末字符数值+3 个数的数值 │ │00413030 |.CMP EAX,0F │ │00413033 |.JL SHORT Reglo.00413038 │ │00413035 |.SUB EAX,0F │ │00413038 |>MOVSX ECX,BYTE PTR DS:[ECX+EBX] ; ECX=第 末字符数值+6 个数的 ASCII 值 │ │0041303C |.SUB ECX,30 ; ECX=第 末字符数值+6 个数的数值 │ │0041303F |.MOV EDX,EAX │ │;EDX=末字符数值+8(末字符数值+8<15 时)或末字符数值+8-15(末字符数值+8>=15 时) │ │00413041 |.IMUL ECX,ECX,64 ; ECX=(第 末字符数值+6 个数的数值)*64 │ │00413044 |.ADD EAX,3 ; EAX=末字符数值+11 │ │00413047 |.CMP EAX,0F │ │0041304A |.JL SHORT Reglo.0041304F │ │0041304C |.SUB EAX,0F │ │0041304F |>MOVSX EDX,BYTE PTR DS:[EDX+EBX] │ │;EDX=第{末字符数值+9(末字符数值+8<15)或末字符数值+8-14(末字符数值+8>=15)}个数字的ASCII值 │ │00413053 |.MOVSX EAX,BYTE PTR DS:[EAX+EBX] │ │;EAX=第{末字符数值+12(末字符数值+11<15)或末字符数值+11-14(末字符数值+11>=15)}个数字的ASCII值│ │00413057 |.SUB EDX,30 │ │;@EDX=第{末字符数值+9(末字符数值+8<15)或末字符数值+8-14(末字符数值+8>=15)}个数字的数值 │ │0041305A |.ADD ECX,EAX ; ECX=ECX+EAX │ │0041305C |.LEA EDX,DWORD PTR DS:[EDX+EDX*4] ; EDX=@EDX*5 │ │0041305F |.LEA ECX,DWORD PTR DS:[ECX+EDX*2-30]; ECX=ECX+@EDX*A-30 │ │00413063 |.CMP ECX,7 ; ECX=ECX+@EDX*A-30=7(@EDX 是 0-9 的数字) │ │00413066 |.JNZ SHORT Reglo.004130C7 ; 这里一跳就完蛋了 │ └──────────────────────────────────────────────┘ 这段代码比较复杂,注释写的老长,目的是方便修改测试注册码,否则,注册无法继续下去.其关键是 00413063 处,要求 ECX+@EDX*A-30=7,这里: ECX=(第 末字符数值+6 个数的数值)*64+第{末字符数值+12(末字符数值+11<15)或末字符数值+11-14(末字符数值+11>=15)}个数字的 ASCII 值. @EDX 是 0-9 中的某个数字. 对当前的测试注册码 "1141111122222222" 而言,第 8(2+6) 个数是 "1",1*64=64;第 14(2+12) 个数是 "2",其 ASCII=32,所以 ECX=1*64+32=96. 同时 @EDX=第 11(2+9) 个数是 "2",故 ECX+@EDX*A-30=96+2*A-30=7A 不等于 7,故无法继续,如何修改测试注册码呢,观察 ECX,@EDX 可知,ECX>=30,@EDX>=0,故若 ECX+@EDX*A-30=7,则 ECX+@EDX*A=37,就必有 @EDX*A<=7,所以 @EDX=0,ECX=37,换句话说, 1.@EDX=0,意味着: 第{末字符数值+9(末字符数值+8<15)或末字符数值+8-14(末字符数值+8>=15)}个数字的数值必为 0. 2.ECX=37,意味着: 第 末字符数值+6 个数的数值必为 0, 第{末字符数值+12(末字符数值+11<15)或末字符数值+11-14(末字符数值+11>=15)}个数字的数值必为 7. 由此可以看出,末位数对整个注册码具有标志性作用,我们不妨试着修改一下,对于 "1141111122222222" 而言,末位数为 "2",因为 2+8<15,故第 11(2+9) 位数为 0.又从 "第 末字符数值+6 个数的数值必为 0" 可知,第 8 位数为 0,因为 2+11<15,故 第 14(2+12) 位数必为 7.测试注册码可改为 "1141111022022722" 整理一下当末位数为 0-9 时的注册模型,如下: 最后一位数 i 模型 i=0 0xxxx0xx 0xx7xxx0 i=1 x1xxxx0x x0xx7xx1 i=2 xx4xxxx0 xx0xx7x2 i=3 xxx9xxxx 0xx0xx73 i=4 7xxx6xxx x0xx0xx4 i=5 x7xxx5xx xx0xx0x5 i=6 xx7xxx6x xxx0xx06 i=7 0xx7xxx9 xxxx0xx7 i=8 x0xx7xxx 4xxxx0x8 i=9 xx0xx7xx x1xxxx09 继续吧,还有不少工作要做,越过第三个坎 00413066,我们来到这里, ┌──────────────────────────────────────────────┐ │00413068 |.XOR EAX,EAX │ │0041306A |.MOV ECX,10 │ │0041306F |.NOP │ │00413070 |>/MOVSX EDX,BYTE PTR DS:[ECX+EBX-1];EDX=第 ECX 个数字 │ │00413075 |.|DEC ECX │ │00413076 |.|IMUL EDX,ECX │ │00413079 |.|ADD EAX,EDX ;@EAX=Sum{(数字的 ACSII 值)*(其所在位置-1)} │ │0041307B |.|TEST ECX,ECX │ │0041307D |.\JNZ SHORT Reglo.00413070 │ │0041307F |.LEA EDX,DWORD PTR DS:[EDI+E] ;EDI=末位数的数值 │ │00413082 |.CMP EDX,0F ;EDX=14(末位数为 0 时) │ │00413085 |.JL SHORT Reglo.0041308A ;必跳 │ │00413087 |.SUB EDX,0F │ │0041308A |>MOVSX ECX,BYTE PTR DS:[EDX+EBX] ;EDX=末位数的数值+14-15(末位数不为 0 时) │ │;@ECX=第 15 个数的 ASCII(当末位数为 0 时)或第 末位数数值 位数的 ASCII 值(当末位数不为 0 时) │ │0041308E |.IMUL ECX,EDX ;ECX=@ECX*EDX │ │00413091 |.SUB EAX,ECX ;EAX=@EAX-ECX │ │00413093 |.DEC EDX │ │00413094 |.JNS SHORT Reglo.00413099 ;结果为正就跳(SF=0) │ │00413096 |.ADD EDX,0F │ │00413099 |>MOV CL,BYTE PTR DS:[EDX+EBX] │ │;@CL=第 14 个数的 ASCII(当末位数为 0 时)或第 末位数数值-1 位数的 ASCII 值(当末位数不为 0 时)│ │0041309C |.MOVSX EDI,CL ; │ │0041309F |.IMUL EDI,EDX ; │ │004130A2 |.SUB EAX,EDI ;EAX=@EAX-@ECX*EDX-@CL*EDI │ │004130A4 |.CDQ │ │004130A5 |.MOV EDI,0A ;EDI=除数 10 │ │004130AA |.IDIV EDI │ │004130AC |.ADD DL,30 ;DL=余数的 ASCII 值 │ │004130AF |.CMP DL,CL ;CL=第 14 个数或第 末位数数值-1 位数的 ASCII │ │004130B1 |.JNZ SHORT Reglo.004130C7 ;一跳就死 │ └──────────────────────────────────────────────┘ 一进来,就看见一个循环,不过这个循环倒也简单,就是从尾到头,将每个数字的 ASCII 值与其(所在位置-1)相乘,并累加起来送给 EAX,也就是说:@EAX=n1*0+n2*1+n3*2+n4*3+n5*4+...+n13*12+n14*13+n15*14+n16*15,循环完毕后,来到了 0041307F,觉得有点奇怪,因为在这段代码附近,没看到 EDI 是何时赋值的,仔细找了好一段代码才发现,上次 EDI 是在 00412FC6 处赋值的,其值是末位数的数值,对当前测试注册码 "1141111022022722" 而言,它就是 "2".这段代码的关键是 004130AF,它事实上是要求: 当末位数为 0 时, 设置被除数 EAX=@EAX-n15*14-n14*13 设置第 14 位数的数值为 EAX/10 的余数 当末位数为 1 时, 设置被除数 EAX=@EAX-n1*0-n15*14=@EAX-n15*14 设置第 15 位数的数值为 EAX/10 的余数 当末位数为 2 时, 设置被除数 EAX=@EAX-n2*1-n1*0=@EAX-n2*1 设置第 1 位数的数值为 EAX/10 的余数 当末位数不为 0,1,2 时, 设置被除数 EAX=@EAX-ni*(i-1)-n(i-1)*(i-2) 设置第 i-1 位数的数值为 EAX/10 的余数,(其中,i=末位数数值) 先在的问题是如何修改测试注册码,算出 EAX,再求余,显然不是一个好办法,解决方法是在 4130AF 处下一个断点,看 OD 信息窗口中的 DL,是什么数字,再退出 Reglo,修改指定位置的数字为 DL 中的值.例如,当前测试注册码,末位数是 "2",故需要修改第 1 位数为 DL 中的值 7,修改后,测试注册码变为 "7141111022022722",试试,呵呵,又过一关呐!如此以来,第四个坎也过了.之后,来到这里, ┌──────────────────────────────────────────────┐ │004130B3 PUSH ESI │ │004130B4 PUSH 10 │ ┌──────────────────────────────────────────────┐ │004130B6 CALL Reglo.00412ED0 (5)│ └──────────────────────────────────────────────┘ │004130BB ADD ESP,8 │ │004130BE TEST EAX,EAX │ │004130C0 MOV EAX,1 │ │004130C5 JNZ SHORT Reglo.004130C9 │ │004130C7 MOV EAX,EBP │ │004130C9 POP EDI │ │004130CA POP ESI │ │004130CB POP EBP │ │004130CC POP EBX │ │004130CD RETN │ └──────────────────────────────────────────────┘ 这里有个 Call,应该是调用注册成功的对话框吧,哈哈,迫不及待了,按 F9 直接运行!什么也没弹出来,但仔细一看原来关于对话框中的两行字符 "THIS SOFTWARE IS NOT REGISTERED" 以及 "Expiration date:08/01/11" 不见了,呵呵,真的注册成功了!测试注册码 "7141111022022722" 真的是注册码! 高兴归高兴,可是别得意忘形,凡事都要留个心眼.其实在写这篇破文之前,我用的测试注册码不是 "1111111122222222" 而是 "0100000000070200",这个注册码和 "7141111022022722" 一样可以通过以上所有的坎,可是当你用它来注册的时候,会让 Reglo 爆掉!不信你试试!为什么呢?---其实原因很简单,还有暗桩!在那里?当然不能放过上面的那个 Call (5) 了,F7 步入,到了这里, ┌──────────────────────────────────────────────┐ │00412ED0 /$SUB ESP,8 ; 指向注册码 │ │00412ED3 |.TEST EBX,EBX │ │00412ED5 |.JNZ SHORT Reglo.00412EDD ; 这里必跳 │ │00412ED7 |.XOR EAX,EAX │ │00412ED9 |.ADD ESP,8 │ │00412EDC |.RETN │ │00412EDD |>CMP DWORD PTR SS:[ESP+C],-1 ; -1 是在堆栈中设定的某种标志 │ │00412EE2 |.JNZ SHORT Reglo.00412EFD ; 必跳 │ │00412EE4 |.MOV EAX,EBX │ │00412EE6 |.LEA EDX,DWORD PTR DS:[EAX+1] │ │00412EE9 |.LEA ESP,DWORD PTR SS:[ESP] │ │00412EF0 |>/MOV CL,BYTE PTR DS:[EAX] │ │00412EF2 |.|INC EAX │ │00412EF3 |.|TEST CL,CL │ │00412EF5 |.\JNZ SHORT Reglo.00412EF0 │ │00412EF7 |.SUB EAX,EDX │ │00412EF9 |.MOV DWORD PTR SS:[ESP+C],EAX │ │00412EFD |>MOV EAX,DWORD PTR SS:[ESP+C] │ │00412F01 |.PUSH EBP │ │00412F02 |.PUSH ESI │ │00412F03 |.PUSH EDI │ │00412F04 |.XOR EBP,EBP │ │00412F06 |.XOR ESI,ESI │ │00412F08 |.XOR EDI,EDI │ │00412F0A |.TEST EAX,EAX │ │00412F0C |.MOV DWORD PTR SS:[ESP+C],2 ; 12F38C 设置标志 2 │ │00412F14 |.MOV DWORD PTR SS:[ESP+10],1 ; 12F390 设置标志 1 │ │00412F1C |.JLE SHORT Reglo.00412F76 ; 一跳就死 │ │00412F1E |.MOV EDI,EDI ; EDI=0 │ │00412F20 |>/MOVSX EAX,BYTE PTR DS:[EDI+EBX] ; 读入注册码第 EDI+1 位 │ │00412F24 |.|PUSH EAX │ │00412F25 |.|CALL Reglo.00415ACF ; 判断是否为 0-9 的数字 │ │00412F2A |.|ADD ESP,4 │ │00412F2D |.|TEST EAX,EAX ; 是,则 EAX=4,否,则 EAX=0 │ │00412F2F |.|JE SHORT Reglo.00412F52 ; 若不是数字,就跳过本次循环 │ │00412F31 |.|MOVSX ECX,BYTE PTR DS:[EDI+EBX] ; 读入注册码第 EDI+1 位 │ │00412F35 |.|MOV EAX,DWORD PTR SS:[ESP+ESI*4+C] ; EAX=2(ESI=0 时)或EAX=1(ESI=1 时) │ │00412F39 |.|SUB ECX,30 ; ECX=注册码第 EDI+1 位的数值 │ │00412F3C |.|IMUL EAX,ECX │ │; 奇数位用 2 乘以当前位置数字的数值,偶数位用 1 乘以当前位置数字的数值 │ │00412F3F |.|CMP EAX,0A │ │00412F42 |.|JL SHORT Reglo.00412F47 │ │00412F44 |.|SUB EAX,9 ; 如果 EAX>=10,则 EAX=EAX-9 │ │00412F47 |>|XOR EDX,EDX ; EBP=Sum(EAX) │ │00412F49 |.|ADD EBP,EAX │ │00412F4B |.|TEST ESI,ESI │ │00412F4D |.|SETE DL ; 若 ZF=1,则 DL 置 1 │ │00412F50 |.|MOV ESI,EDX ; ESI=0(奇数位) 或 1(偶数位) │ │00412F52 |>|MOV EAX,DWORD PTR SS:[ESP+18] ; EAX=10h=16d │ │00412F56 |.|INC EDI │ │00412F57 |.|CMP EDI,EAX │ │00412F59 |.\JL SHORT Reglo.00412F20 │ │00412F5B |.TEST EBP,EBP │ │00412F5D |.JE SHORT Reglo.00412F76 ; 一跳就死 │ │00412F5F |.MOV EAX,EBP ; 设置被除数 │ │00412F61 |.CDQ │ │00412F62 |.IDIV DWORD PTR SS:[ESP+1C] │ │;第 末字符数值+3 个数的数值作为除数放在堆栈 SS:[12F39C] 中 │ │00412F66 |.TEST EDX,EDX ; 测试余数是否为 0 │ │00412F68 |.JNZ SHORT Reglo.00412F76 ; 一跳就死 │ │00412F6A |.POP EDI │ │00412F6B |.POP ESI │ │00412F6C |.MOV EAX,1 │ │00412F71 |.POP EBP │ │00412F72 |.ADD ESP,8 │ │00412F75 |.RETN │ │00412F76 |>POP EDI │ │00412F77 |.POP ESI │ │00412F78 |.XOR EAX,EAX │ │00412F7A |.POP EBP │ │00412F7B |.ADD ESP,8 │ │00412F7E \.RETN │ └──────────────────────────────────────────────┘ 这段代码比较简单,其主要过程是,在堆栈中设置两个标志 2 和 1,然后逐字读入注册码,奇数位数字*2,偶数位数字*1,当奇数位数字*2 的值大于等于 10 时,对其进行减 9 操作,将各位结果累加到 EBP 中,作为被除数.同时取出 SS:[12F39C] 中的数字作为除数,只要整除成功,就可通过测试.但值得注意的是 00412F62 处,关于除数的选择,由于该处除数位于堆栈 SS:[12F39C] 中,改变该堆栈值的操作是在 004130B3 处的 PUSH ESI 操作,而上一次改变 ESI 是在 0041302D 处,由此可知所谓的除数其实是:第 末字符数值+3 个数的数值.所以测试注册码 "7141111022022722",恰巧其第 5(2+3) 个数是 "1",所以可以整除,而最终注册成功.但对于测试注册码 "0100000000070200" 来说,其第 3(0+3) 个数是 "0",所以 Reglo 发生了除 0 操作,而崩溃了. 至此,第五个坎也过了,软件的注册码算法已基本清晰.可以写总结了,但作为一个软件从业人员,希望提醒大家,Reglo 竟然可以通过非法注册码导致软件崩溃,说明其作者在验证注册码的算法中存在 Bug,也就是除零操作,这是一个软件开发人员应尽量避免的低级错误,希望大家在自己的软件中不要犯同样的毛病. 【破解总结】: ——————————————————————————————————————————— 从 Reglo 的注册算法中,可以明确的感受到,"末位数"的轴心作用,几乎每一步都涉及到末位数的操作,要么用作指定某位为操作位,要么用作固定某位的数值,要么用作判定某条件是否达成,这可能是 Reglo 注册算法的最大特色吧. 对于 Reglo v3.5a 的注册码的形制从现在的观点来看,其模型可描述为: k 注册码模型 k=0 0!#xx0xx 0xx7x?x0 k=1 x1!#xx0x x0xx7x?1 k=2 ?x4!#xx0 xx0xx7x2 k=3 x?x9!#xx 0xx0xx73 k=4 7x?x6!#x x0xx0xx4 k=5 x7x?x5!# xx0xx0x5 k=6 xx7x?x6! #xx0xx06 k=7 0xx7x?x9 !#xx0xx7 k=8 x0xx7x?x 4!#xx0x8 k=9 xx0xx7x? x1!#xx09 说明: k 表示末位数数值, x 表示 0-9 的数字,任选 ! 位的数值必须大于等于 1 ? 位的数值必须等于 EAX 除 10 所得的余数,其中 @EAX=n1*0+n2*1+n3*2+n4*3+n5*4+...+n13*12+n14*13+n15*14+n16*15 (ni 表示注册码第 i 位的数值) 当末位数为 0 时,EAX=@EAX-n15*14-n14*13 当末位数为 1 时,EAX=@EAX-n15*14 当末位数为 2 时,EAX=@EAX-n2*1 当末位数为 3-9 时,EAX=@EAX-ni*(i-1)-n(i-1)*(i-2) # 位的数值不能为 0,且能被 SUM 整除,其中: SUM=2*(n1+n3+n5+n7+n9+n11+n13+n15)-9*y+(n2+n4+n6+n8+n10+n12+n14+n16) (y 表示:大于等于 5 的奇数位的个数) 那么如何快速的得到一个注册码呢? 根据上面的模型,首先选择一个末位数,不妨选 "9" 吧,其注册码模型为 "xx0xx7x? x1!#xx09",对于 x 部分可让它们为 "0",这样注册码变为 "0000070? 01!#0009",对于 # 位的数字来说,当 # = "1" 时,一定可以被整除,故令 #="1",对于 ! 位的数字来说,! 位恰好是第 11 位,该位数字乘以 10(11-1) 一定被 10 整除,故对 ? 位没有影响,所以可以令 ! 位的数字为 1-9 中的任意一个,这样注册码变为 "0000070? 01510009",就剩最后一位了,0 这么多,好办,7*(6-1)+1*(10-1)+5*(11-1)+1*(12-1)+9*(16-1)=35+9+50+11+135=240,240 Mod 10 = 0,故 ? 位为 "0",这样注册码就为 "00000700 01510009".其实上面的 # 位可以不参加运算,原因已经说过,这里写出来只是为了大家看着方便. 当然使用注册机 KeyGen 是最方便的,不过我不想写,有兴趣的朋友可以试试---我本来的目的也不是破解.又抽空看了看 Reglo 的姊妹软件 Deletor,呵呵,注册算法很相近呀,不过把注册失败的对话框弹出方式变为了 MessageBoxW,注册码也变为了 UniCode,新手们可以用它的姊妹软件进行练手,是成长的不错选择. 哎,终于完了!神马都是浮云!