水晶排课 3.80 简单分析

Nisy

水晶排课 3.80
软件大小：7704KB
软件类别：国产软件/教育管理  
下载次数：8853
软件授权：免费版 (这里的免费指的是免费下载)
软件语言：简体中文
运行环境：Win9x/Me/NT/2000/XP/2003
更新时间：2007-7-2 9:56:42
华军下载:http://www.onlinedown.net/soft/48706.htm

破解工具: LoadPE IR DiE 野猪
破解声明: 只是感兴趣,无他.

1. 
   
2. ———————————————————————————————
   
3. ———————————————————————————————
   
4. 0059B082 >  60              PUSHAD
   
5. 0059B083    E8 00000000     CALL 水晶排课.0059B088                       ; 这里ESP定律
   
6. ———————————————————————————————
   
7. ———————————————————————————————
   
8. 0059B36B    61              POPAD
   
9. 0059B36C  - FFE0            JMP EAX                                      ; 来到这里 我们F8单步一次
   
10. ———————————————————————————————
    
11. ———————————————————————————————
    
12. 005926E0    60              PUSHAD                                       ; 又看到PUSHAD
    
13. 005926E1    BE 00504F00     MOV ESI,水晶排课.004F5000                    ; 这里继续ESP定律
    
14. 005926E6    8DBE 00C0F0FF   LEA EDI,DWORD PTR DS:[ESI+FFF0C000]
    
15. 005926EC    57              PUSH EDI
    
16. 005926ED    83CD FF         OR EBP,FFFFFFFF
    
17. 005926F0    EB 10           JMP SHORT 水晶排课.00592702
    
18. ———————————————————————————————
    
19. ———————————————————————————————
    
20. 00592850    61              POPAD
    
21. 00592851  - E9 9AE9E6FF     JMP 水晶排课.004011F0                        ; 第二次ESP定律后来到这里  F8单步一次
    
22. ———————————————————————————————
    
23. ———————————————————————————————
    
24. 004011F0    68 BC724000     PUSH 水晶排课.004072BC                       ; 来到OEP 原来是VB程序
    
25. 004011F5    E8 F0FFFFFF     CALL 水晶排课.004011EA                       ; JMP 到 MSVBVM60.ThunRTMain
    
26. ———————————————————————————————
    
27. ———————————————————————————————
    

复制代码

LoadPE Dump， IR修复。 修复后，DiE查看一下，P-CODE编译的，对P-CODE不了解，先注册看看，实在不行在Vbdebug搞它。




运行修复文件，可以运行，那就省去修复了。软件重启动验证，我们随意输入KEY重启看看。VB呢，有个比较函数，如果软件使用了这个函数来比较真假注册码，即便是P-CODE，也是徒劳。因为VB对比数据的时候大多在堆栈中进行，导致了明码比较存在的这个致命伤。

一般OD还不行，那我们就野猪对付。下_vbsStrComp （我初下断点的时候还下了个_vbsStrCmp，但是这个没什么用）。

1. 
   
2. 通过调试，我们发现软件是如何检测被调试的：
   
3. 
   
4. 0012E8B4   6601B0C3  返回到 msvbvm60.6601B0C3 来自 msvbvm60.__vbaStrComp
   
5. 0012E8B8   00000000
   
6. 0012E8BC   0042AA10  UNICODE "explorer.exe"
   
7. 0012E8C0   00151964  UNICODE "avp.exe"
   
8. 0012E8C4   660FD4B0  返回到 msvbvm60.660FD4B0 来自 msvbvm60.6601B0A9
   
9. 0012E8C8   00000000
   
10. 0012E8CC   0042AA10  UNICODE "explorer.exe"
    
11. 0012E8D0   00151964  UNICODE "avp.exe"
    
12. 
    
13. 他会对比我们系统中运行的每一个进程，来判断是否被调试。
    
14. 
    
15. 我们一路F9，直到在堆栈中看到我们的机器码：
    
16. 
    
17. 0012E8B4   6601B0C3  返回到 msvbvm60.6601B0C3 来自 msvbvm60.__vbaStrComp
    
18. 0012E8B8   00000000
    
19. 0012E8BC   0042093C  unpack_.0042093C
    
20. 0012E8C0   00150EB4  UNICODE "L420VACG"
    
21. 0012E8C4   660FD4B0  返回到 msvbvm60.660FD4B0 来自 msvbvm60.6601B0A9
    
22. 0012E8C8   00000000
    
23. 0012E8CC   0042093C  unpack_.0042093C
    
24. 0012E8D0   00150EB4  UNICODE "L420VACG"
    
25. 
    
26. 这个时候F9的速度就要放慢了，大概四五次之后，我们在堆栈中看到连续的两处存放机器码：
    
27. 
    
28. 0012E8B4   6601B0C3  返回到 msvbvm60.6601B0C3 来自 msvbvm60.__vbaStrComp
    
29. 0012E8B8   00000000
    
30. 0012E8BC   00151AC4  UNICODE "L420VACG"
    
31. 0012E8C0   00151B5C  UNICODE "L420VACG"
    
32. 0012E8C4   660FD4B0  返回到 msvbvm60.660FD4B0 来自 msvbvm60.6601B0A9
    
33. 0012E8C8   00000000
    
34. 0012E8CC   00151AC4  UNICODE "L420VACG"
    
35. 0012E8D0   00151B5C  UNICODE "L420VACG"
    
36. 
    
37. 这个时候我们F9一次，就可以在堆栈中找到真码了：
    
38. 
    
39. 0012E8B4   6601B0C3  返回到 msvbvm60.6601B0C3 来自 msvbvm60.__vbaStrComp
    
40. 0012E8B8   00000000
    
41. 0012E8BC   00151F04  UNICODE "F195F0C76DF012EEB1F828D209CC2CE6"
    
42. 0012E8C0   00151E84  UNICODE "F195F0C76DF012EEB1F828D209CC2CE6"
    
43. 0012E8C4   660FD4B0  返回到 msvbvm60.660FD4B0 来自 msvbvm60.6601B0A9
    
44. 0012E8C8   00000000
    
45. 0012E8CC   00151F04  UNICODE "F195F0C76DF012EEB1F828D209CC2CE6"
    
46. 0012E8D0   00151E84  UNICODE "F195F0C76DF012EEB1F828D209CC2CE6"
    
47. 0012E8D4   00000000
    
48. 0012E8D8   004F0000  unpack_.004F0000
    
49. 0012E8DC   0014E750
    
50. 0012E8E0   00151AC4  UNICODE "519DC0E27C"
    
51. 0012E8E4   0012FAEC
    
52. 0012E8E8   00000000
    
53. 0012E8EC   00000000
    
54. 0012E8F0   00151B04  UNICODE "519DC0E27C"
    
55. 0012E8F4   00000000
    
56. 0012E8F8   00530008  unpack_.00530008
    
57. 0012E8FC   00000008
    
58. 0012E900   00151964  UNICODE "0E27C"
    
59. 0012E904   00151A84  UNICODE "519DC"
    
60. 0012E908   00000008
    
61. 0012E90C   00000000
    
62. 0012E910   00151E1C  UNICODE "519DCEBFACA3B79E937C67D72CD0E27C"
    
63. 0012E914   00000000
    
64. 0012E918   00000000
    
65. 0012E91C   00000000
    
66. 0012E920   00000000
    
67. 0012E924   00000000
    
68. 0012E928   00000000
    
69. 0012E92C   00000000
    
70. 0012E930   00000000
    
71. 0012E934   00151F04  UNICODE "F195F0C76DF012EEB1F828D209CC2CE6"
    
72. 0012E938   00140000
    
73. 0012E93C   004FD140  unpack_.004FD140
    
74. 0012E940   00151A5C  UNICODE "L420VACG"
    
75. 0012E944   00000000
    
76. 0012E948   00151E84  UNICODE "F195F0C76DF012EEB1F828D209CC2CE6"
    
77. 0012E94C   00151AC4  UNICODE "519DC0E27C"
    
78. 0012E950   00151B04  UNICODE "519DC0E27C"
    
79. 0012E954   00151A5C  UNICODE "L420VACG"
    
80. 
    
81. 我们看这里：“519DC0E27C”就是真码：
    
82. 
    
83. 而真码是如何进行计算呢？我们看一下这里就可以明白：
    
84. 
    
85. 0012E900   00151964  UNICODE "0E27C"
    
86. 0012E904   00151A84  UNICODE "519DC"
    
87. 0012E908   00000008
    
88. 0012E90C   00000000
    
89. 0012E910   00151E1C  UNICODE "519DCEBFACA3B79E937C67D72CD0E27C"
    
90. 
    
91. 计算某个数值的MD5，取该数值MD5的前5位和后5位，连接后即是真码，也是就说真码是10位。
    
92. 
    
93. 我们来检测一下机器码的MD5：
    
94. JQM：L420VACG
    
95. MD5: A4077FF2497477C6CDCF01F769B97BFC
    
96. 
    
97. 看来这里用的不是常规的MD5，从32位这个数值来看，可以大致来推出是MD的运算，我们用KANAL查看一下，确实是MD5。
    
98. 
    
99. 那就有两种可能，一是把四个常数替换了，还有一个就是先对机器码做了一个运算，然后MD5。第二种可能性更大些。明码比较，由于本人P-CODE不熟悉，所以分析就到此为止了,有兴趣的朋友自己跟一下吧。
    

复制代码

总结下:

软件作者有了一定的加密意识，双壳+反调试+P-CODE编译。但总体来看，作者对解密了解不多。想要提高加密， 还要从了解解密入手。

xuhw

不错,分析的头头是道.是MD5的加密运用.

dyszcgl

解说得很透彻啊,呵呵

yys5161

破解工具: LoadPE IR DiE 野猪
哪位知道,以上这个是几个破解软件呀 .

tbs1956

解说得透彻,分析的头头是道.辛苦了.

飘渺峰

貌似分析的很透彻，菜鸟我羡慕死了~~

foxzf

水晶排课 3.80 在网上绝种了。。。不知道那位朋友有的话可以共享一下子三。/:014

foxzf

郁闷了。头一次调试看到上边的东西了。。。。第二次开始后，一调试程序就结束了。。。不知道怎么回事。。

phoenixkiller

开始学习算法了，希望从此走向新生

dreamz

讲解的很明白,学习一下:)