打击盗版从分析盗版做起

[苦逼热狗]

自从看完大熊猫同志写的<展开拥护正版，打击盗版的活动，人人都要少问多做。>一贴以后，我彻夜难眠阿，盗版是需要打击的，为了国家的繁荣富强人民的幸福，我们要打击盗版，支持正版
顾抄起键盘写下这篇分析文章，个头小，不过物美价廉阿，看完后各位一定会对盗版有一个比较好的理解的，打击他们

从-=I.C.E.=-小组的Reverse Engineering Challenge中抄来一个例子

官方：http://www.icefortress.com/guests/thekeep/challenges.html
例子：http://www.icefortress.com/guests/challenges/reveng/1a2b3c.zip

解压缩以后，上google找了几个打击盗版必须的程序，OllyDbg啦或者W32Dasm，因为我用的美利坚合众国出品的XP嘛

先运行程序，填上我的名字,BloodHound,随便写个Serial，然后点Register。
它返回

[图1]

抄下关键字眼Wrong serial-name combination，嗯嗯，有用

然后运行找到的OllyDbg 1.09d
Open level1.exe
在查找这个关键句子

[图2]

双击它，带我们到了反编译以后的代码地址

看到左边有个大[了吗，这说明那是一段我们需要重点分析的代码
在[的最开始的那个55双击一下或者按F2，设置Break point.也就是开始检验Serial代码是否正确的开始
然后按F9。开始运行程序

填完Name和Serial点Register时候

进程被Break了

[图3]

BloodHound和whatever被带入程序开始验证了

嗯嗯，那些可爱的，啊不是可恨的盗版商们，开始了他们万恶的行为了

一路F8[Step over]过去，看到了另外一个[，嗯嗯，右下的值开始变了，并且一直在这个[里头走来走去，我们叫他loop吧，或者叫他算法段，也可以di

0044CC56 |> 8D55 F0 /LEA EDX,DWORD PTR SS:[EBP-10]
0044CC59 |. 8B45 FC |MOV EAX,DWORD PTR SS:[EBP-4]
0044CC5C |. 0FB64430 FF |MOVZX EAX,BYTE PTR DS:[EAX+ESI-1]
0044CC61 |. E8 EAABFBFF |CALL level1.00407850
0044CC66 |. 8B55 F0 |MOV EDX,DWORD PTR SS:[EBP-10]
0044CC69 |. 8D45 F4 |LEA EAX,DWORD PTR SS:[EBP-C]
0044CC6C |. E8 536EFBFF |CALL level1.00403AC4
0044CC71 |. 46 |INC ESI
0044CC72 |. 4B |DEC EBX
0044CC73 |.^75 E1 \JNZ SHORT level1.0044CC56

一直到走完上面这个[以后，嗯嗯
终于右下的值不变了
0044CC75 |> 8B45 F4 MOV EAX,DWORD PTR SS:[EBP-C]
多按几下F8，我们就会安全的走到
0044CC87 |. B8 D0CC4400 MOV EAX,level1.0044CCD0 ; ASCII "Wrong serial-name combination"
的怀抱
靠他们真可恶阿，就这样，把正版厂商的辛苦都给作废了
可气啊可气啊
0012F67C 009551F8 ASCII "6610811111110072111117110100"

6610811111110072111117110100就是BloodHound对应的注册码了

再自己单独运行程序，填上BloodHound和6610811111110072111117110100这个程序就被搞定了，哎，心潮澎湃啊，为什么会这样呢，盗版是多么可怕啊，我们要打击盗版

 

[苦逼热狗]

[图1]

 

[苦逼热狗]

[图2]

 

[苦逼热狗]

[图3]

 

[苦逼热狗]

[4]

 

[大熊猫]

好贴。

 

[TTSONIC]

那是汇编吗？看不懂

 

[Kent以东首帅哥]

先查altavista,没有再用debugger, 免得重新发明轮子.

 

[无业游民]

弓虽 贝占！ 丁页！
欢迎多多切磋，狠狠分析盗版！

 

[Kent以东首帅哥]

但现在的城里人经常要上网站校验,那就难办一些.

 

[SpetsNaz]

好复杂啊.....
以后还是买盗版好. 自己盗太麻烦了

 

[charman]

高手，就是高~~~~~~~~`