一个经典的CrackMe说你法分析.doc

一个经典的CrackMe算法分析 ------文/KYO 前天一个朋友说他下了一个crackme，有两个关键地方没有分析出来，就发给我看了看。我跟了几个小时终于弄明白了。感觉他的算法写的挺好的，现写出来给各位参考，希望大家能共同进步。 先打开看一下界面并随便注册一个帐号试试效果，看是否能弹出什么关键字符串。如下图： 原来是看雪学院出的精品啊。添上用户名和密码，点击check没有任何反映，看来不能用查找关键字符的方法分析了。 *************************************************************** 这里插播个广告，黑友们请无视，只是为朋友的网站能被搜索引擎收录，多加点流量。 返利网,淘你喜欢,淘宝返利,淘宝返现购物。 *************************************************************** 接着看一下这个crackme有没有加壳吧。用peid加载如下图： 可以看到没有加壳，所用的编程语言为win32汇编。再使用PEID的插件Krypto ANALyzer查看，这个crackme并没有使用经典的加密算法。这下对我来说是最喜欢的。因为汇编语言分析起来最省力了，我想大部分玩破解的会和我有同样的感觉。 接下来正式进入正题，用OD加载，然后F9运行程序，添写上面的注册名和密码，接着使用万能断点，程序就被断在这里。 从模块-user32可以看到这是系统领空，不是我们来的地方，删除这个断点，然后ALT+F9回到这里。 这里就是程序领空，我里先下个断再说。 *************************************************************** 这里插播个广告，黑友们请无视，只是为朋友的网站能被搜索引擎收录，多加点流量。 返利网,淘你喜欢,淘宝返利,淘宝返现购物。 *************************************************************** 先粗略的看一下程序代码再说，一直往下看，发现需要经过5个验证才能最终走到这里 从上图 GOOD JOB,MAN! 这里可以看到，程序要能顺利走到0040137E,就会注册成功。 那么我现在就慢慢来跟。首先看下面这段，也就是第一个验证。 |. 83F8 04 CMP EAX,4 ;取用户名长度跟4比较，小于4则跳向失败 |. 73 05 JNB SHORT CrackMe_.0040118F 0040118A |. E9 JMP CrackMe_.004013A0 0040118F | A3 8F354000 MOV DWORD PTR DS:[40358F],EAX |. 68 FF000000 PUSH 0FF ; /Count = FF (255.) |. 68 PUSH CrackMe_ ; |Buffer = CrackMe_0040119E |. 68 ED030000 PUSH 3ED ; |ControlID = 3ED (1005.) 004011A3 |. FF75 08 PUSH DWORD PTR SS:[EBP+8] ; |hWnd 004011A6 |. E8 CALL JMP.user32.GetDlgItemTextA ; \GetDlgItemTextA ；得到密码的长度 004011AB |. BA 1B344000 MOV EDX,CrackMe_.0040341B 004011B0 |. 8902 MOV DWORD PTR DS:[EDX],EAX 004011B2 |. E8 49FEFFFF CALL CrackMe_004011B7 |. 8D1D 1B344000 LEA EBX,DWORD PTR DS:[40341B] ；密码的长度放到ebx里面