Eagle的破文：(重写)FlashGet1.65的算号器

Eagle

Eagle的破文：(重写)FlashGet1.65的算号器

再次声明：本破文曾发表于www.chinadfcg.com
声明：上次写完1.60A的算号器，LeNgHost告诉我，FlashGet会在一段时间后验证第四段KEY，所以现在针对最新的FlashGet重写了算号破文。谢谢大家的支持。其实，这个算号器算出来的号还不是正版的。只能用一段时间，因为最后的几段的算法我没有时间去找了。

【破解作者】 Eagle
【作者邮箱】 eagle_twenty@163.com
【使用工具】 OllyDbg1.09
【破解平台】 WinXP
【软件名称】 FlashGet1.65
【加壳方式】 无壳
【破解声明】
3 M# A# Z5 n' X* ?--------------------------------------------------------------------------------
【破解内容】

+ p7 r( V# b2 T/ ^8 s9 ~) G; w
/ b2 T$ b+ |- h; v/ i8 C# r安装FlashGet1.60A并运行，输入完注册码的时候，它会提示重新启动软件来检测是否注册成功，同时用RegMoniter监视到FlashGet1.60A写入注册表项RegPass, RegName等。用PEID侦壳：无。
: J. e8 S- K, W' [' i" }
1.用OD加载FlashGet1.60A，查找参考字符串，在涉及RegPass的地方下断，运行
2.程序第一次即中断在此，从上下文来看，这段代码有大量的跳转，有很大可能是注册码验证代码
, q1 S& A) b) m2 T0041DCE6  |. 68 98E55200    PUSH flashget.0052E598                   ;  ASCII "RegPass"
0041DCEB  |. 8D4C24 1C      LEA ECX,DWORD PTR SS:[ESP+1C]
0041DCEF  |. 68 A0C15200    PUSH flashget.0052C1A0                   ;  ASCII "General"
0041DCF4  |. 51             PUSH ECX
0041DCF5  |. 8BCD           MOV ECX,EBP
;这个CALL将从注册表中读入注册码
0041DCF7  |. E8 54C70C00    CALL flashget.004EA450

2 i# S; b, S9 H; W: b% g
分析下面一段代码，可以发现每个条件跳转都跳向flashget.0041DE7B，可以那儿就是验证失败后的跳转方向
0 {, e" b; D& j1 i* t……
0041DD27  |. 0F84 4E010000  JE flashget.0041DE7B
……
0041DD35  |. 0F84 40010000  JE flashget.0041DE7B
4 ]% r' w8 _8 g0 A7 s. g- n……
0041DD4F  |. 0F8E 26010000  JLE flashget.0041DE7B
……
" R1 H8 s: e& X: A0 t0041DD63  |. 0F8C 12010000  JL flashget.0041DE7B
# M- p9 p) C2 Q4 W, v……
0 Y4 m' K8 d) \7 Y* R  l  S7 J! R0041DD77  |. 0F8C FE000000  JL flashget.0041DE7B
……
;下面这个CALL是计算KEY的长度的，要求的KEY的长度为0x2C，也就是44位
- Y' s/ F: h! {4 m# c0041DD86  |. E8 F4200B00    CALL flashget.004CFE7F
0041DD8B  |. 8B55 00        MOV EDX,DWORD PTR SS:[EBP]
  j2 \  Q, X2 M0 i5 x0 N9 }0041DD8E  |. 8B42 F8        MOV EAX,DWORD PTR DS:[EDX-8]
" L# R3 ]3 I) z% a* h0041DD91  |. 83F8 2C        CMP EAX,2C
0041DD94  |. 0F85 E1000000  JNZ flashget.0041DE7B

;下面是验证注册码的类型的，fgc-和fgf-两种KEY的验证算法是一的，
  X" n: k  ~1 t6 B;但用来对KEY进行解密的密钥是不一样的，我们可以看到密钥类型的标志是存入DWORD PTR SS:[ESP+10]
;这次破解我们用的是fgf-的类型的密钥
0041DD9A  |. 68 B0E55200    PUSH flashget.0052E5B0                   ;  ASCII "fgc-"
0041DD9F  |. 8BCD           MOV ECX,EBP
0041DDA1  |. E8 401D0B00    CALL flashget.004CFAE6
, @7 ^" Q3 X5 M  m- F8 Z0041DDA6  |. 85C0           TEST EAX,EAX
0 v& V- u, c( M, J. a# |, B0041DDA8  |. 75 06          JNZ SHORT flashget.0041DDB0
0041DDAA  |. 895C24 10      MOV DWORD PTR SS:[ESP+10],EBX
8 q5 R7 l$ ]- R0041DDAE  |. EB 18          JMP SHORT flashget.0041DDC8
0041DDB0  |> 68 A8E55200    PUSH flashget.0052E5A8                   ;  ASCII "fgf-"
: s5 m2 }( l) ]+ @# B7 Y0041DDB5  |. 8BCD           MOV ECX,EBP
0041DDB7  |. E8 2A1D0B00    CALL flashget.004CFAE6
0041DDBC  |. 85C0           TEST EAX,EAX
: o1 h  @7 \) I7 s- f' S0041DDBE  |. 0F85 B7000000  JNZ flashget.0041DE7B
. D3 P7 ]6 y+ `0041DDC4  |. 894424 10      MOV DWORD PTR SS:[ESP+10],EAX

+ ^; K7 E- ]0 ?$ O8 u9 s0 H
;下面是对KEY的验证算法
6 Z9 Q; b: ?9 X0041DDC8  |> 6A 2C          PUSH 2C
' x- M1 k3 g( d  x" ^7 b0041DDCA  |. 8BCD           MOV ECX,EBP
0041DDCC  |. E8 7A680B00    CALL flashget.004D464B
0041DDD1  |. 8BF8           MOV EDI,EAX
0041DDD3  |. 33C9           XOR ECX,ECX
4 _% w  U, q  e: r3 h1 V. V2 V3 ~0041DDD5  |. 83C7 04        ADD EDI,4
0041DDD8  |. 33F6           XOR ESI,ESI

4 |* z' }2 u1 \
分析下面一个循环，我们把每一段KEY的四们定义成ABCD，则有
0041DDDA  |> 8B07           /MOV EAX,DWORD PTR DS:[EDI]
0041DDDC  |. 8BD6           |MOV EDX,ESI
* y# ^, F6 [# m7 s0041DDDE  |. 83C7 04        |ADD EDI,4
: ~* t6 {9 s# \: V* ?) a7 W0041DDE1  |. 83EA 00        |SUB EDX,0                               ;  Switch (cases 0..2)
6 O; c9 l6 l+ u$ n0041DDE4  |. 894424 1C      |MOV DWORD PTR SS:[ESP+1C],EAX
0041DDE8  |. 74 26          |JE SHORT flashget.0041DE10
0041DDEA  |. 4A             |DEC EDX
0 L& L* t: w" I; e3 B/ ]0041DDEB  |. 74 17          |JE SHORT flashget.0041DE04
% h! |, ]1 h1 @* p9 C0041DDED  |. 4A             |DEC EDX
0041DDEE  |. 75 38          |JNZ SHORT flashget.0041DE28
- m0 z0 |& ~' c2 h# Z- x
8 h9 W8 D1 ^" z" r0 v0041DDF0  |. 0FBE4C24 1E    |MOVSX ECX,BYTE PTR SS:[ESP+1E]          ;  Case 2 of switch 0041DDE1
0041DDF5  |. 0FBED4         |MOVSX EDX,AH
; G9 q9 i  ~5 R* d7 `0041DDF8  |. 0FAFCA         |IMUL ECX,EDX
0041DDFB  |. 0FBE5424 1F    |MOVSX EDX,BYTE PTR SS:[ESP+1F]
0041DE00  |. 03CA           |ADD ECX,EDX
/ H3 J: e* ]$ S: {! ^0 l6 |; T, z0041DE02  |. EB 1F          |JMP SHORT flashget.0041DE23
;ECX = B * C + D
/ f7 h, ]1 y, [

' Q* Q9 |9 G% B0041DE04  |> 0FBE4C24 1E    |MOVSX ECX,BYTE PTR SS:[ESP+1E]          ;  Case 1 of switch 0041DDE1
0041DE09  |. 0FBED4         |MOVSX EDX,AH
7 s: {. H5 I5 Q8 D& l0041DE0C  |. 23CA           |AND ECX,EDX
0041DE0E  |. EB 0B          |JMP SHORT flashget.0041DE1B
;ECX = C AND B


0041DE10  |> 8A4C24 1E      |MOV CL,BYTE PTR SS:[ESP+1E]             ;  Case 0 of switch 0041DDE1
0041DE14  |. 8AD4           |MOV DL,AH
0041DE16  |. 33CA           |XOR ECX,EDX
/ n7 r0 l& i* u( _  U" m; V0041DE18  |. 83E1 7F        |AND ECX,7F
: f  {- R& O5 H2 T% E2 C;ECX = C XOR B，不要被后面的那个AND ECX,7F迷惑了，它只不过是用来把高位屏蔽的

) n9 ?% w0 W, Y( C( R
0041DE1B  |> 0FBE5424 1F    |MOVSX EDX,BYTE PTR SS:[ESP+1F]
% u$ A4 }& U. v0041DE20  |. 0FAFCA         |IMUL ECX,EDX
7 t- P( O2 j1 \& i; h;ECX = ECX * D
" K6 p; b6 U, s" {$ {$ Q9 Y( ]

: S' R( M" E' Y! G9 S0 y- B4 Z9 x0041DE23  |> 0FBEC0         |MOVSX EAX,AL
0041DE26  |. 03C8           |ADD ECX,EAX
;ECX = ECX + A
;处理后那些跳转，可以得到
;Case 0:ECX = (C XOR B) * D + A
;Case 1:ECX = (C AND B) * D + A
7 o4 p7 G( M7 T: o;Case 2:ECX = B * C + D + A
2 X, @5 }) E7 }, A# F9 S8 v# d) J8 C
" h5 F- \6 ~8 W

" d7 |6 ]! ?* f;下面是用验证密钥来对算得的ECX值进行验证，我们来看它的密钥获取方法
) r7 a# s4 \' b* v;密钥存放在DS:[52C72B]起始的一段空间，为kevinhyx12345，
;如果KEY的第一段为fgf-，运算所用到的密钥是顺序从这个字符串中读取的，
' h  [. q0 A9 O6 ~4 v2 Y;如果KEY的第一段是fgc-，运算所用到的密钥是顺序在Case 2的时候会从DS:[52C72B]中读取，即密钥的第四位: i
9 v0 p: c  C0 y5 @+ W0041DE28  |> 8B4424 10      |MOV EAX,DWORD PTR SS:[ESP+10]           ;  Default case of switch 0041DDE1
0041DE2C  |. 85C0           |TEST EAX,EAX
0041DE2E  |. 74 0C          |JE SHORT flashget.0041DE3C
8 r$ `3 Y" n1 u! V3 o, w9 m0041DE30  |. 0FBE1D 2BC7520>|MOVSX EBX,BYTE PTR DS:[52C72B]
9 \- I; P' ?, b5 G0041DE37  |. 83FE 02        |CMP ESI,2
0041DE3A  |. 74 07          |JE SHORT flashget.0041DE43
1 D6 r8 W! K5 x0041DE3C  |> 0FBE9E 28C7520>|MOVSX EBX,BYTE PTR DS:[ESI+52C728]

;对于运算结果的验证也很简单，只是用密钥的ASC码来除ECX中的值，余数在EDX中。
0041DE43  |> 8BC1           |MOV EAX,ECX
; N$ t# \, T$ F) _1 s& ]3 f0 X0041DE45  |. 33D2           |XOR EDX,EDX
0041DE47  |. F7F3           |DIV EBX



$ v: f& N3 e( Z# o6 x;以上是对指定段的KEY的验证运算，下面是对结果的判断
0041DE49  |. 8BC6           |MOV EAX,ESI
7 j* M9 Z3 \- F& r/ ?3 M% F5 w) _/ n4 W' z0041DE4B  |. 83E8 00        |SUB EAX,0                               ;  Switch (cases 0..2)
/ g& p* h! V4 j6 R' u$ }0041DE4E  |. 74 13          |JE SHORT flashget.0041DE63
* x/ K  L7 i: D: K- [0041DE50  |. 48             |DEC EAX
6 m- w) I7 a& a' ~0041DE51  |. 74 09          |JE SHORT flashget.0041DE5C
) }8 S; A! ]& V0041DE53  |. 48             |DEC EAX
0041DE54  |. 75 11          |JNZ SHORT flashget.0041DE67

& O$ E7 b+ v# }; T0 q;余数是否为0
0 g. ~8 c; m7 |# {8 h/ O0041DE56  |. 85D2           |TEST EDX,EDX                            ;  Case 2 of switch 0041DE4B
1 d% |" O0 T8 H2 |8 O4 E" b0041DE58  |. 75 18          |JNZ SHORT flashget.0041DE72
0041DE5A  |. EB 0B          |JMP SHORT flashget.0041DE67

& g; [3 C$ B7 w% L' W;余数是否为8
0 o8 D. F5 P* @* y8 i0041DE5C  |> 83FA 08        |CMP EDX,8                               ;  Case 1 of switch 0041DE4B
) J0 d1 F% c2 u  g8 z3 b0041DE5F  |. 75 11          |JNZ SHORT flashget.0041DE72
0 m9 z  q( a) F! G+ k0041DE61  |. EB 04          |JMP SHORT flashget.0041DE67

! j) [# W+ }' H  J8 v;余数是否为0
0041DE63  |> 85D2           |TEST EDX,EDX                            ;  Case 0 of switch 0041DE4B
0041DE65  |. 75 0B          |JNZ SHORT flashget.0041DE72
& r* n9 k5 D3 x- i1 E
( S" A) ~* z" T4 u" y0041DE67  |> 46             |INC ESI                                 ;  Default case of switch 0041DE4B
5 V: M0 {! Y0 N" N% x5 ~5 g* n" M0041DE68  |. 83FE 03        |CMP ESI,3
0041DE6B  |. 7D 23          |JGE SHORT flashget.0041DE90
0041DE6D  |.^E9 68FFFFFF    \JMP flashget.0041DDDA

' B$ C, S( U; z所以这三段的KEY的验证算法是：
Case 0(B XOR C) * D + A) MOD X = 0，这儿X是'k'
Case 1(B AND C) * D + A) MOD X = 0，这儿X是'e'
Case 2B * C + D + A) MOD X = 0，对于fgf-类的KEY，这儿X是'v'；对于fgc-类的KEY，这儿X是'i'
7 L4 \+ y- f! r) C
6 `. {5 _9 F. ?, ULeNgHost告诉我，FlashGet会在一段时间后验证第四段KEY，于是我就在程序正常运行后在那段已经读入内存的KEY上下了内存断点，并在RegPass也下了断点。出去逛完一个下午后……中断成功了……
0042514C  |. 8B48 10        MOV ECX,DWORD PTR DS:[EAX+10]
0042514F  |. 83C0 10        ADD EAX,10
00425152  |. 894C24 08      MOV DWORD PTR SS:[ESP+8],ECX
00425156  |. 6A FF          PUSH -1
7 N# a9 [% S, _! R0 G. C6 T00425158  |. 0FBE4424 0E    MOVSX EAX,BYTE PTR SS:[ESP+E]
: J6 T7 w7 f5 Q! J/ T4 B0042515D  |. 0FBED5         MOVSX EDX,CH
1 Z, h' K9 O- u. M+ q; Y00425160  |. 0BC2           OR EAX,EDX
00425162  |. 0FBE5424 0F    MOVSX EDX,BYTE PTR SS:[ESP+F]
+ N' E# ]9 n+ i1 A& i00425167  |. 0FAFC2         IMUL EAX,EDX
0042516A  |. 0FBEC9         MOVSX ECX,CL
0042516D  |. 03C1           ADD EAX,ECX
+ _- g3 W, s" y4 I+ v;跟踪分析得EAX = (B OR C) * D + A
3 ~' h/ x7 {# I8 F: r  g& v
0042516F  |. 33D2           XOR EDX,EDX
( `# |2 G( a. ~( w0 N9 f
; K5 |/ E+ i1 J9 Z;验证用的密钥直接来自DS:[52C72B]，哈哈，就是'i'
00425171  |. 0FBE0D 2BC7520>MOVSX ECX,BYTE PTR DS:[52C72B]
! B7 `/ t4 r7 D* j+ l$ y00425178  |. F7F1           DIV ECX
8 h2 f" r1 K5 v: M" G) u, U1 W0042517A  |. 8BCE           MOV ECX,ESI
( h4 P  g# d2 m' O  e
6 ]4 v) A0 m) |4 b) u;判断余数是否为0
0042517C  |. 85D2           TEST EDX,EDX
0042517E  |. 74 1E          JE SHORT flashget.0042519E

所以这一段的算法是((B OR C) * D + A) MOD X = 0，这儿X是'i'


  e/ \; W3 B6 G1 j9 c' P只要KEY能符合这四个条件就可以了。我用VB做出了对应的算号器代码：
    Randomize
    Dim intEbx As Integer
7 H: \! H- D+ i; m    Dim i As Integer, j As Integer, k As Integer, intChar As Integer
    Dim strCode As String
   
% o  a9 a! q" I, z/ A$ t5 m" t    If fgf Then
* ]. k4 W/ b' z- J# |        strCode = "fgf-"
4 ^, A& g1 b( K: [6 A        intEbx = 118
; |& T3 @/ G* t6 q3 F& S    Else
( R; a3 i0 L' ~' o7 k0 C  e        strCode = "fgc-"
2 k  T2 S4 m" D3 r( o) J        intEbx = 105
    End If
   
    Do
        intChar = 97 + Int(Rnd() * 25)
        For i = 48 To 57
            For j = 48 To 57
                For k = 48 To 57
                    If (((i Xor j) And 127) * k + intChar) Mod 107 = 0 Then
+ q* k9 ?. Y1 Q' d5 H                        strCode = strCode & Chr(intChar) & Chr(i) & Chr(j) & Chr(k)
                        Exit Do
* N+ a( H4 L" Z  Z9 S/ j                    End If
                Next k
& E) z1 E8 Q" Q, f6 V            Next j
  a& g: R4 m: F: z' V        Next i
; e; A) g; M  _" C2 n8 T: p    Loop
   
    Do
        intChar = 97 + Int(Rnd() * 25)
; R6 L7 l# \' `8 A        For i = 48 To 57
            For j = 48 To 57
1 ^8 K$ J' J8 m" |                For k = 48 To 57
                    If ((i And j) * k + intChar) Mod 101 = 8 Then
3 t. ?; C( u4 r1 W7 D                        strCode = strCode & Chr(intChar) & Chr(i) & Chr(j) & Chr(k)
                        Exit Do
                    End If
                Next k
5 g+ L  L% ]& {  J            Next j
        Next i
6 ^% j1 U* s) q; Y1 n) O6 n    Loop
9 P# a, K7 J/ M   
' T* f1 `9 T  [3 \0 i& M    Do
        intChar = 97 + Int(Rnd() * 25)
* M0 ?! t  V# k$ `6 b        For i = 48 To 57
            For j = 48 To 57
& U* x4 ~- ^8 q" Z$ X  X  X3 x$ a                For k = 48 To 57
0 I& o+ j1 i: A, i                    If (i * j + k + intChar) Mod intEbx = 0 Then
                        strCode = strCode & Chr(intChar) & Chr(i) & Chr(j) & Chr(k)
                        Exit Do
                    End If
                Next k
& ]4 G4 P. a( i- u5 M$ Y+ V            Next j
        Next i
    Loop
   
1 t; c* t- p, m, i- n    Do
        intChar = 97 + Int(Rnd() * 25)
! g4 K) @' _5 a: ?        For i = 48 To 57
5 {/ Y" w+ Y" y# b  L+ k            For j = 48 To 57
: k6 ?+ O& b0 s4 {                For k = 48 To 57
                    If ((i Or j) * k + intChar) Mod 105 = 0 Then
$ W: d! ?/ C: ]! c) j# ~9 L% d% C3 G                        strCode = strCode & Chr(intChar) & Chr(i) & Chr(j) & Chr(k)
                        Exit Do
' R, N# p) d6 a* S9 s9 m6 h                    End If
                Next k
            Next j
7 n- V# I6 m! Z1 W. O6 R        Next i
( F, K1 E7 m7 Y9 o9 k& M    Loop
   
% n, y0 x# `/ a. C3 r! m" X) t5 n
( g) [* {; x, J' a    '后面的24位随机生成。
    For i = 1 To 6
        intChar = 97 + Int(Rnd() * 25)
, m" w; M4 }& H- R        strCode = strCode & Chr(intChar)
! ~2 Y1 ]/ _) N$ d" D, U        For j = 1 To 3
            intChar = 48 + Int(Rnd() * 9)
            strCode = strCode & Chr(intChar)
/ X0 S7 y) w3 F: v" o        Next j
: ?2 x% y5 U! v, t# ?, I: I    Next i


) x! ^! Q8 g3 M7 d7 a+ s  Y5 m最后字符串strCode就是所要求的KEY