Microsoft Word - “调戏”反遭“反调戏”—记Visual Toolbar 的破解过程.doc

Size: px

Start display at page:

Download "Microsoft Word - “调戏”反遭“反调戏”—记Visual Toolbar 的破解过程.doc"

淯暨
5 years ago
Views:

1 调戏反遭反调戏记 Visual Toolbar 的破解过程 cntrump 由于要做工具栏, 在网上找到了 Visual Toolbar 这个工具, 看了介绍挺不错的, 下载回来之后发现软件要注册, 但是这是个 04 年的软件, 已经没法向作者购买了, 更重要的原因是俺还在失业中, 吃饭都成问题了, 哪里还有钱注册呀 ~~ 用 PEID 检测是 UPX 的老壳, 直接手脱, 过程不是重点反正能脱壳就行了试着注册了一下, 发现我最喜爱的 MessageBox 注册错误提示, 太好了, 下断 bp MessageBoxA, 中断下来后往上找, 很容易找到一些敏感信息 : A FF push -0x A64900 push unpacked.0049a :A mov eax,dword ptr fs:[0] D 50 push eax E 64: >mov dword ptr fs:[0],esp A5 83EC 10 sub esp,0x10 ; 程序用的是 MFC 所以取值部分比较啰嗦 A8 53 push ebx ; 关键的代码我都用红色标出来了 A9 55 push ebp AA 56 push esi AB 57 push edi AC 8BF1 mov esi,ecx AE 6A 01 push 0x B0 E8 6D1B0900 call <jmp.&mfc42.#cwnd::updatedata_6334> ; 获取输入的值 B5 8D4C24 14 lea ecx,dword ptr ss:[esp+0x14] B9 E call <jmp.&mfc42.#cstring::cstring_540> BE 8D lea eax,dword ptr ss:[esp+0x14] C2 33DB xor ebx,ebx C4 50 push eax C5 8D8E 4C0E0000 lea ecx,dword ptr ds:[esi+0xe4c] CB 895C24 2C mov dword ptr ss:[esp+0x2c],ebx CF E8 AA call <jmp.&mfc42.#cwnd::getwindowtexta_3874> D4 51 push ecx D5 8DBE 900E0000 lea edi,dword ptr ds:[esi+0xe90] DB 8BCC mov ecx,esp DD mov dword ptr ss:[esp+0x20],esp E1 57 push edi E2 E call <jmp.&mfc42.#cstring::cstring_535> E7 51 push ecx E8 8D5424 1C lea edx,dword ptr ss:[esp+0x1c] EC 8BCC mov ecx,esp EE mov dword ptr ss:[esp+0x20],esp F2 52 push edx F3 C mov byte ptr ss:[esp+0x34],0x F8 E8 EF call <jmp.&mfc42.#cstring::cstring_535> FD 8D lea eax,dword ptr ss:[esp+0x18] C24 30 mov byte ptr ss:[esp+0x30],bl; 以上部分是取机器码等信息

2 push eax E8 65A3FFFF call unpacked.00401b70 ; 注册验证部分 B 83C4 0C add esp,0xc E 8B0F mov ecx,dword ptr ds:[edi] C mov byte ptr ss:[esp+0x28],0x B41 F8 mov eax,dword ptr ds:[ecx-0x8] F8 04 cmp eax,0x B 7F 35 jg short unpacked ; 用户名至少 5 位 D 8D4C24 18 lea ecx,dword ptr ss:[esp+0x18] E8 D call <jmp.&mfc42.#cstring::cstring_540> A 68 push 0x D4C24 1C lea ecx,dword ptr ss:[esp+0x1c] C C C 03 mov byte ptr ss:[esp+0x2c],0x E call <jmp.&mfc42.#cstring::loadstringa_4160> B mov edx,dword ptr ss:[esp+0x18] A 53 push ebx B 53 push ebx C 52 push edx D 8BCE mov ecx,esi F E8 D81A0900 call <jmp.&mfc42.#cwnd::messageboxa_4224> C mov byte ptr ss:[esp+0x28],0x D4C24 18 lea ecx,dword ptr ss:[esp+0x18] D E9 CB jmp unpacked d B4C24 10 mov ecx,dword ptr ss:[esp+0x10] B86 940E0000 mov eax,dword ptr ds:[esi+0xe94] C 51 push ecx D 50 push eax E FF call dword ptr ds:[<&msvcrt._mbscmp>] ; MSVCRT._mbscmp ; 真假注册码比较 C4 08 add esp,0x C0 test eax,eax jnz short unpacked e3 ; 关键跳, 跳就失败 B 891D F0164D00 mov dword ptr ds:[0x4d16f0],ebx E8 A01A0900 call <jmp.&mfc42.#afxgetmodulestate_1168> B3F mov edi,dword ptr ds:[edi] B68 04 mov ebp,dword ptr ds:[eax+0x4] B 57 push edi C 68 D4534C00 push unpacked.004c53d4 ; USER C4534C00 push unpacked.004c53c4 ; VisualToolbar BCD mov ecx,ebp E8 831A0900 call <jmp.&mfc42.#cwinapp::writeprofilestringa_6403> D 8B mov edx,dword ptr ss:[esp+0x10]

3 BCD mov ecx,ebp push edx C0534C00 push unpacked.004c53c0 ; SN C4534C00 push unpacked.004c53c4 ; VisualToolbar E E8 6D1A0900 call <jmp.&mfc42.#cwinapp::writeprofilestringa_6403> 从上面的代码分析可以知道, 程序取得输入的注册码, 用户名和机器码之后, 就会进入一个 call 里面进行运行, 得出来的结果再直接和输入的注册码相比较, 如果一样, 就提示注册成功, 否则失败跟进这个关键 call, 看它都干了些什么关键 call 代码 : 00401B70 6A FF push -0x B F9F4900 push unpacked.00499f3f 00401B77 64:A mov eax,dword ptr fs:[0] 00401B7D 50 push eax 00401B7E 64: >mov dword ptr fs:[0],esp 00401B85 83EC 20 sub esp,0x B88 53 push ebx 00401B89 55 push ebp 00401B8A 56 push esi 00401B8B 33F6 xor esi,esi 00401B8D 57 push edi 00401B8E C mov dword ptr ss:[esp+0x1c],esi 00401B92 8D4C24 20 lea ecx,dword ptr ss:[esp+0x20] 00401B96 C >mov dword ptr ss:[esp+0x38],0x B9E E8 5B call <jmp.&mfc42.#cstring::cstring_540> 00401BA3 8B mov eax,dword ptr ss:[esp+0x48] 00401BA7 C mov byte ptr ss:[esp+0x38],0x BAC C mov byte ptr ss:[esp+0x24],0x BB1 C mov byte ptr ss:[esp+0x25],0x BB6 8B68 F8 mov ebp,dword ptr ds:[eax-0x8] 00401BB9 C mov byte ptr ss:[esp+0x26],0x BBE 83FD 0A cmp ebp,0xa ; 用户名位数和 10 比较 00401BC1 C mov byte ptr ss:[esp+0x27],0x BC6 C mov byte ptr ss:[esp+0x28],0x BCB C C mov byte ptr ss:[esp+0x29],0x6c 00401BD0 C A 54 mov byte ptr ss:[esp+0x2a],0x BD5 C B 42 mov byte ptr ss:[esp+0x2b],0x BDA C C 31 mov byte ptr ss:[esp+0x2c],0x BDF C D 30 mov byte ptr ss:[esp+0x2d],0x BE4 7C 05 jl short unpacked.00401beb ; 如果大于 10 位, 那么就分配 10 字节的空间 00401BE6 BD 0A mov ebp,0xa

4 00401BEB 55 push ebp ; 否则根据用户名位数分配内存 00401BEC E8 1F call <jmp.&mfc42.#operator new_823> 00401BF1 83C4 04 add esp,0x BF4 8D4C24 14 lea ecx,dword ptr ss:[esp+0x14] 00401BF8 8BF8 mov edi,eax 00401BFA E8 FF call <jmp.&mfc42.#cstring::cstring_540> 00401BFF D00 push unpacked.004d C04 8D4C24 14 lea ecx,dword ptr ss:[esp+0x14] 00401C08 C C 04 mov byte ptr ss:[esp+0x3c],0x C0D E8 F call <jmp.&mfc42.#cstring::cstring_537> 00401C12 3BEE cmp ebp,esi 00401C14 C mov byte ptr ss:[esp+0x38],0x C19 7E 53 jle short unpacked.00401c6e 00401C1B 8D lea eax,dword ptr ss:[esp+0x24] 00401C1F 2BC7 sub eax,edi 00401C mov dword ptr ss:[esp+0x18],eax 00401C25 EB 04 jmp short unpacked.00401c2b 00401C27 8B mov eax,dword ptr ss:[esp+0x18] 00401C2B 8B4C24 48 mov ecx,dword ptr ss:[esp+0x48] ; esp+0x48 是用户名 00401C2F 8A140E mov dl,byte ptr ds:[esi+ecx] ; 逐位取用户名, 存入 dl 00401C32 8B4C24 44 mov ecx,dword ptr ss:[esp+0x44] ; esp+0x44 是机器码 00401C36 8A1C0E mov bl,byte ptr ds:[esi+ecx]; 逐位取机器码, 存入 bl 00401C39 8D0C3E lea ecx,dword ptr ds:[esi+edi] 00401C3C 8A0408 mov al,byte ptr ds:[eax+ecx] ; al 指向隐藏的字符串 "VisualTB10" 00401C3F 32C3 xor al,bl 00401C41 32C2 xor al,dl 00401C43 0FBED0 movsx edx,al ; 用户名与机器码逐位异或, 结果保存到 edx 中 00401C mov byte ptr ds:[ecx],al 00401C48 52 push edx 00401C49 8D lea eax,dword ptr ss:[esp+0x18] 00401C4D C00 push unpacked.004c5034 ; %d 00401C52 50 push eax 00401C53 E8 A call <jmp.&mfc42.#cstring::format_2818> ; 得到的值转化为字符串形式 00401C58 83C4 0C add esp,0xc 00401C5B 8D4C24 14 lea ecx,dword ptr ss:[esp+0x14] 00401C5F 51 push ecx 00401C60 8D4C24 14 lea ecx,dword ptr ss:[esp+0x14] 00401C64 E8 9B call <jmp.&mfc42.#cstring::operator+=_939> ; 把字符串连接起来 00401C69 46 inc esi 00401C6A 3BF5 cmp esi,ebp ; 循环次数是用户名的位数

5 00401C6C ^ 7C B9 jl short unpacked.00401c C6E 57 push edi 00401C6F E8 6C call <jmp.&mfc42.#operator delete_825> 00401C74 8B mov esi,dword ptr ss:[esp+0x44] 00401C78 83C4 04 add esp,0x C7B 8D lea edx,dword ptr ss:[esp+0x10] 00401C7F 8BCE mov ecx,esi 00401C81 52 push edx 00401C82 E call <jmp.&mfc42.#cstring::cstring_535> 00401C87 BB mov ebx,0x C8C 895C24 1C mov dword ptr ss:[esp+0x1c],ebx 00401C90 8D4C24 10 lea ecx,dword ptr ss:[esp+0x10] 00401C94 C mov byte ptr ss:[esp+0x38],0x C99 E call <jmp.&mfc42.#cstring::~cstring_800> 00401C9E 8D4C24 14 lea ecx,dword ptr ss:[esp+0x14] 00401CA2 C mov byte ptr ss:[esp+0x38],0x CA7 E8 3A call <jmp.&mfc42.#cstring::~cstring_800> 00401CAC 8D4C24 20 lea ecx,dword ptr ss:[esp+0x20] 00401CB0 C mov byte ptr ss:[esp+0x38],0x CB5 E8 2C call <jmp.&mfc42.#cstring::~cstring_800> 00401CBA 8D4C24 44 lea ecx,dword ptr ss:[esp+0x44] 00401CBE 885C24 38 mov byte ptr ss:[esp+0x38],bl 00401CC2 E8 1F call <jmp.&mfc42.#cstring::~cstring_800> 00401CC7 8D4C24 48 lea ecx,dword ptr ss:[esp+0x48] 00401CCB C mov byte ptr ss:[esp+0x38],0x CD0 E call <jmp.&mfc42.#cstring::~cstring_800> 00401CD5 8B4C24 30 mov ecx,dword ptr ss:[esp+0x30] 00401CD9 8BC6 mov eax,esi 00401CDB 5F pop edi 00401CDC 5E pop esi 00401CDD 5D pop ebp 00401CDE 5B pop ebx 00401CDF 64:890D >mov dword ptr fs:[0],ecx 00401CE6 83C4 2C add esp,0x2c 00401CE9 C3 retn 注册过程很简单, 就是机器码逐位异或用户名, 用户名如果长度大于 10, 那么只取前 10 位进行计算对应的 WTL 实现代码如下 : DoDataExchange(DDX_SAVE); // 从控件中取值 TCHAR szflag[] = _T("VisualTB10"); TCHAR *p = szflag; m_strsn = _T(""); // m_strsn 保存生成的注册码 CString cstemp;

6 if (m_strmcode.isempty() m_strusername.isempty() (m_strusername.getlength() < 5)) return 0; int nlen = m_strusername.getlength(); TCHAR *pstrnamebuffer = new TCHAR[nLen<10?nLen+1:10]; TCHAR *pstrmcodebuffer = new TCHAR[m_strMCode.GetLength()+1]; lstrcpy(pstrnamebuffer, m_strusername.getbuffer(m_strusername.getlength())); lstrcpy(pstrmcodebuffer, m_strmcode.getbuffer(m_strmcode.getlength())); for (int i = 0; i < (nlen<10?nlen:10); i++) { cstemp.format(_t("%d"), p[i] ^ pstrmcodebuffer[i] ^ pstrnamebuffer[i]); m_strsn += cstemp; } DoDataExchange(DDX_LOAD); // 显示到控件中注册机就是这么简单, 编译运行, 把生成的注册码填到程序中, 程序已经提示注册成功了, 要重启程序才能生效, 可以重启程序之后发现, 程序竟然还是未注册版本! 哎呀呀, 被程序戏弄了既然程序要重启验证, 那么验证注册码的地方肯定在程序初始化的部分进行, 如果验证成功, 那么程序就会把标题栏的未注册信息去掉, 好了, 带着这个猜想, 下断 bp SetWindowTextA 运行后程序断下来了, 看来猜想是正确的, 往上找到关键部分 : 0041BC54 BB mov ebx,0x1 0041BC59 68 C4534C00 push unpacked.004c53c4 ; VisualToolbar BC5E 8BCE mov ecx,esi 0041BC60 891D F0164D00 mov dword ptr ds:[0x4d16f0],ebx 0041BC66 E8 57DC0700 call <jmp.&mfc42.#cwinapp::setregistrykey_6117> 0041BC6B 8D lea eax,dword ptr ss:[esp+0x8] 0041BC6F 50 push eax 0041BC70 E8 EB5DFEFF call unpacked.00401a60 ; 生成机器码 0041BC75 83C4 04 add esp,0x4 0041BC78 68 D4534C00 push unpacked.004c53d4 ; USER 0041BC7D 68 D4534C00 push unpacked.004c53d4 ; USER 0041BC82 8D4C24 14 lea ecx,dword ptr ss:[esp+0x14] 0041BC86 68 C4534C00 push unpacked.004c53c4 ; VisualToolbar10

7 0041BC8B 51 push ecx 0041BC8C 8BCE mov ecx,esi 0041BC8E C78424 CC480000>mov dword ptr ss:[esp+0x48cc],0x0 0041BC99 E8 1EDC0700 call <jmp.&mfc42.#cwinapp::getprofilestringa_3522> 0041BC9E 68 DC5A4C00 push unpacked.004c5adc ; Password 0041BCA3 68 C0534C00 push unpacked.004c53c0 ; SN 0041BCA8 8D lea edx,dword ptr ss:[esp+0x20] 0041BCAC 68 C4534C00 push unpacked.004c53c4 ; VisualToolbar BCB1 52 push edx 0041BCB2 8BCE mov ecx,esi 0041BCB4 889C24 CC mov byte ptr ss:[esp+0x48cc],bl 0041BCBB E8 FCDB0700 call <jmp.&mfc42.#cwinapp::getprofilestringa_3522> 0041BCC0 51 push ecx 0041BCC1 8D lea eax,dword ptr ss:[esp+0x10] 0041BCC5 8BCC mov ecx,esp 0041BCC mov dword ptr ss:[esp+0x20],esp 0041BCCB 50 push eax 0041BCCC C68424 C >mov byte ptr ss:[esp+0x48c4],0x2 0041BCD4 E8 13D30700 call <jmp.&mfc42.#cstring::cstring_535> 0041BCD9 51 push ecx 0041BCDA 8D lea edx,dword ptr ss:[esp+0x10] 0041BCDE 8BCC mov ecx,esp 0041BCE C mov dword ptr ss:[esp+0x1c],esp 0041BCE4 52 push edx 0041BCE5 C68424 C >mov byte ptr ss:[esp+0x48c8],0x3 0041BCED E8 FAD20700 call <jmp.&mfc42.#cstring::cstring_535> 0041BCF2 8D lea eax,dword ptr ss:[esp+0x18] 0041BCF6 C68424 C >mov byte ptr ss:[esp+0x48c4],0x2 0041BCFE 50 push eax 0041BCFF E8 6C5EFEFF call unpacked.00401b70 ; 注册验证的部份, 在前面已经分析过了 0041BD04 8B4C24 24 mov ecx,dword ptr ss:[esp+0x24] 0041BD08 8B5424 1C mov edx,dword ptr ss:[esp+0x1c] 0041BD0C 51 push ecx 0041BD0D 52 push edx 0041BD0E C68424 D >mov byte ptr ss:[esp+0x48d0],0x4 0041BD16 FF call dword ptr ds:[<&msvcrt._mbscmp>] ; MSVCRT._mbscmp ; 真假码比较部分 0041BD1C 83C4 14 add esp,0x BD1F 85C0 test eax,eax 0041BD jnz short unpacked.0041bd2a; 关键跳

8 在注册成功的时候, 程序已经把注册信息保存到注册表中了, 程序会在初始化的时候对注册信息进行验证最可疑的地方是 0041BC70 处的 call 跟进行看它做了什么 : 00401A60 6A FF push -0x A62 68 EF9E4900 push unpacked.00499eef 00401A67 64:A mov eax,dword ptr fs:[0] 00401A6D 50 push eax 00401A6E 64: >mov dword ptr fs:[0],esp 00401A75 83EC 10 sub esp,0x A78 56 push esi 00401A79 57 push edi 00401A7A C >mov dword ptr ss:[esp+0x14],0x A82 E8 A9FFFFFF call unpacked.00401a30 ; 取 C 盘序列号并简单处理 00401A87 8BF8 mov edi,eax 00401A89 B8 8F588B4F mov eax,0x4f8b588f ; 64 位乘法, 结果保存形式为 EDX:EAX 00401A8E F7E7 mul edi ; edi 的值不变 00401A90 8BF7 mov esi,edi 00401A92 8D4C24 0C lea ecx,dword ptr ss:[esp+0xc] 00401A96 2BF2 sub esi,edx ; edx 是高 32 位 00401A98 D1EE shr esi, A9A 03F2 add esi,edx 00401A9C C1EE 10 shr esi,0x A9F E8 5A call <jmp.&mfc42.#cstring::cstring_540> 00401AA4 56 push esi 00401AA5 8D lea eax,dword ptr ss:[esp+0x10] 00401AA C00 push unpacked.004c5034 ; %d 00401AAE 50 push eax 00401AAF C C 01000>mov dword ptr ss:[esp+0x2c],0x AB7 E8 3C call <jmp.&mfc42.#cstring::format_2818> ; 格式化为字符串 00401ABC 8D04B6 lea eax,dword ptr ds:[esi+esi*4] ; 等价于 eax=esi* ABF 83C4 0C add esp,0xc 00401AC2 8D0480 lea eax,dword ptr ds:[eax+eax*4] ; eax=eax* AC5 8D0480 lea eax,dword ptr ds:[eax+eax*4] ; eax=eax* AC8 8D0480 lea eax,dword ptr ds:[eax+eax*4] ; eax=eax* ACB 8D0C80 lea ecx,dword ptr ds:[eax+eax*4] ; ecx=eax* ACE C1E1 05 shl ecx,0x AD1 2BF9 sub edi,ecx ; edi 的值还是上面的 00401AD3 8D4C24 08 lea ecx,dword ptr ss:[esp+0x8] 00401AD7 E call <jmp.&mfc42.#cstring::cstring_540> 00401ADC 57 push edi 00401ADD 8D5424 0C lea edx,dword ptr ss:[esp+0xc] 00401AE C00 push unpacked.004c5034 ; %d

9 00401AE6 52 push edx 00401AE7 C C 02 mov byte ptr ss:[esp+0x2c],0x AEC E call <jmp.&mfc42.#cstring::format_2818> ; 格式化字符串 00401AF1 83C4 0C add esp,0xc 00401AF4 8D lea eax,dword ptr ss:[esp+0x8] 00401AF8 8D4C24 0C lea ecx,dword ptr ss:[esp+0xc] 00401AFC 8D lea edx,dword ptr ss:[esp+0x10] 00401B00 50 push eax 00401B01 51 push ecx 00401B02 52 push edx 00401B03 E8 EA call <jmp.&mfc42.#operator+_922> ; 把上面的两个字符串连接起来, 得到机器码 00401B08 8B mov esi,dword ptr ss:[esp+0x28] 00401B0C 8D lea eax,dword ptr ss:[esp+0x10] 00401B10 50 push eax 00401B11 8BCE mov ecx,esi 00401B13 C mov byte ptr ss:[esp+0x24],0x B18 E8 CF call <jmp.&mfc42.#cstring::cstring_535> 00401B1D C >mov dword ptr ss:[esp+0x14],0x B25 8D4C24 10 lea ecx,dword ptr ss:[esp+0x10] 00401B29 C mov byte ptr ss:[esp+0x20],0x B2E E8 B call <jmp.&mfc42.#cstring::~cstring_800> 00401B33 8D4C24 08 lea ecx,dword ptr ss:[esp+0x8] 00401B37 C mov byte ptr ss:[esp+0x20],0x B3C E8 A call <jmp.&mfc42.#cstring::~cstring_800> 00401B41 8D4C24 0C lea ecx,dword ptr ss:[esp+0xc] 00401B45 C mov byte ptr ss:[esp+0x20],0x B4A E call <jmp.&mfc42.#cstring::~cstring_800> 00401B4F 8B4C24 18 mov ecx,dword ptr ss:[esp+0x18] 00401B53 8BC6 mov eax,esi 00401B55 5F pop edi 00401B56 5E pop esi 00401B57 64:890D >mov dword ptr fs:[0],ecx 00401B5E 83C4 1C add esp,0x1c 00401B61 C3 retn 从上面的分析可以知道, 这个 call 的作用就是生成一个机器码相应的 WTL 代码如下 : CString csm1, csm2; DWORD dwvsn, dwedi; GetVolumeInformation(_T("C:\\"), NULL, 0xC, &dwvsn, NULL, NULL, NULL, 0xA); dwedi = dwvsn ^= 0x ; //edi

10 DWORD64 dw64number = (DWORD64)dwVSN * 0x4f8b588f; DWORD dwtemp = HIDWORD(dw64Number); dwvsn -= dwtemp; dwvsn >>= 1; dwvsn += dwtemp; dwvsn >>= 0x10; csm1.format(_t("%d"), dwvsn); DWORD dwtemp2 = dwvsn * 5; dwtemp2 *= 5; dwtemp2 *= 5; dwtemp2 *= 5; DWORD dwtemp3 = dwtemp2 *5; dwtemp3 <<= 5; dwedi -= dwtemp3; csm2.format(_t("%d"), dwedi); m_strmcode = csm1 + csm2; // 生成的机器码 DoDataExchange(DDX_LOAD); 既然注册验证部分都是一样的, 为什么验证不了呢, 程序明明已经提示注册成功了呀? 看了猫腻就在这个机器码身上, 编译运行看一下验证用的机器码和在注册界面里显示的机器码有什么不一样 : 验证用的机器码 : 注册界面里显示的机器码 : 看到差别了么? 可恶呀, 在中间插了一个 0 现在明白了, 程序的注册验证流程是这样的, 用户输入用户名, 和序列号如果注册成功, 就提示要重启程序进行验证, 然后程序在重启验证过程中, 用来参与验证的机器码和在注册界面时显示的机器码不一样, 所以即使猜解了注册算法, 做出了注册机, 只能是让程序提示注册成功信息而已, 还要找出程序生成机器码的部份, 用真正的机器码来生成注册码才能真正让程序注册作者应该是根据用户邮寄回来的机器码和用户名来计算真正的注册码返还给用户, 用户在注册的时候, 除了输入用户名和注册码, 还要输入机器码, 这也是为什么机器码那一栏是可以输入的原因了举个例子, 假如我要向作者购买该软件授权, 那么我需要把机器码, 用户名发给作者 : 机器码 : ( 在注册界面显示的 ) 用户名 :cntrump ( 这是我要注册的用户名 ) 作者会回复下列信息 :

11 机器码 : ( 用上面的机器码计算得到, 根据对比发现只是简单的去掉中间的 0) 用户名 :cntrump 序列号 : 我需要把这三项都填上才能成功注册要做出和作者一样的注册机, 还需要把用户机器码 -> 注册机器码这部分分析出来, 根据上面的分析已经知道了注册机器码的生成过程, 通过和在注册界面上显示的机器码对比可以发现, 用户机器码去掉中间的 0 就等于注册机器码了相应的 WTL 代码如下 : CString GetRealMachineID(CString csusermachineid) { int nlen = csusermachineid.getlength(); CString csm1 = csusermachineid.left(nlen/2); // 取前半部分 CString csm2 = csusermachineid.right(nlen/2); // 取后半部分 return csm1+csm2; // 前后两部分结合就是注册机器码 } 有了这些信息, 就能写出和作者一模一样的注册机了, 核心代码如下 (WTL): DoDataExchange(DDX_SAVE); // 和上面生成注册码不同的地方就是多了下面这 2 句代码 CString cstmpmcode = m_strmcode; // 用中间变量保存用户机器码 m_strmcode = GetRealMachineID(csTmpMCode); // 计算得到注册机器码 TCHAR szflag[] = _T("VisualTB10"); TCHAR *p = szflag; m_strsn = _T(""); CString cstemp; if (m_strmcode.isempty() m_strusername.isempty() (m_strusername.getlength() < 5)) return 0; int nlen = m_strusername.getlength(); TCHAR *pstrnamebuffer = new TCHAR[nLen<10?nLen+1:10]; TCHAR *pstrmcodebuffer = new TCHAR[m_strMCode.GetLength()+1]; lstrcpy(pstrnamebuffer, m_strusername.getbuffer(m_strusername.getlength())); lstrcpy(pstrmcodebuffer, m_strmcode.getbuffer(m_strmcode.getlength())); for (int i = 0; i < (nlen<10?nlen:10); i++) { cstemp.format(_t("%d"), p[i] ^ pstrmcodebuffer[i] ^ pstrnamebuffer[i]); m_strsn += cstemp;

12 } DoDataExchange(DDX_LOAD); // 把最终结果显示到界面顺便说一下, 代码虽然使用 WTL, 但是也能换成 MFC 的代码, 只需要把 DoDataExchange 换成 UpdateData,DDX_LOAD 换成 FALSE,DDX_SAVE 换成 TRUE, 就可以了

Visualize CMap

Visualize CMap 0001 0020 0002 0021 0003 0022 0004 0023 0005 0024 0006 0025 0007 0026 0008 0027 0009 0028 000A 0029 000B 002A 000C 002B 000D 002C 000E 002D 000F 002E 0010 002F 0011 0030 0012 0031 0013 0032 0014 0033 0015