HexEdit 3.0爆破+部份分析

HexEdit ，这个是旧版的软件，初次运行能在菜单找到一些加密算法了，可能作者的加密知识比较多啦。一开始跟了下，想看看算法，可惜功力不够，CALL有点多，也不知道加密算法，只好爆它吧。

输入注册码，字符串定位到提示，然後找到函数头部，来到这里：

004D69F0 . 6A FF PUSH -0x1 ; 按钮事件

004D69F2 . 68 08C55000 PUSH HexEdit.0050C508 ; 赴=S; SE 处理程序安装

//........

004D6A10 . C74424 18 000>MOV DWORD PTR SS:[ESP+0x18], 0x0

004D6A18 . E8 D7660200 CALL <JMP.&MFC42.#CWnd::UpdateData_6334>

调用UPDATEDATA来获得输入框内容。接着：

004D6A1D . 8B46 64 MOV EAX, DWORD PTR DS:[ESI+0x64] ; 这里应该是判断按下OK按钮

004D6A20 . 85C0 TEST EAX, EAX

004D6A22 . 0F85 8E000000 JNZ HexEdit.004D6AB6
//这里会跳走

来到这里，这里有个CALL会算出明码，但是并不是真正的真码：

004D6AB6 > \8B2D 6CF45000 MOV EBP, DWORD PTR DS:[<&MSVCRT._strnicmp>] ; msvcrt._strnicmp

004D6ABC . 33DB XOR EBX, EBX

004D6ABE > 8B46 60 MOV EAX, DWORD PTR DS:[ESI+0x60] ; 用户名

004D6AC1 . BF 06000000 MOV EDI, 0x6

004D6AC6 . 6A 00 PUSH 0x0

004D6AC8 . 53 PUSH EBX

004D6AC9 . 57 PUSH EDI

004D6ACA . 50 PUSH EAX

004D6ACB . 8D5424 34 LEA EDX, DWORD PTR SS:[ESP+0x34]

004D6ACF . 6A 00 PUSH 0x0

004D6AD1 . 52 PUSH EDX

004D6AD2 . E8 F9670000 CALL HexEdit.004DD2D0 ; 可能是部份真码,ASCII "GVK V9P 947 EE3Y"),算码CALL

004D6AD7 . 8B00 MOV EAX, DWORD PTR DS:[EAX]

004D6AD9 . 8B4E 68 MOV ECX, DWORD PTR DS:[ESI+0x68] ; 假码

004D6ADC . 6A 0B PUSH 0xB ; 前11位比较

004D6AE0 C74424 54 00000>MOV DWORD PTR SS:[ESP+0x54], 0x0

004D6AE8 FFD5 CALL NEAR EBP ; 调用字串比较stricmp

004D6AEA 83C4 24 ADD ESP, 0x24

004D6AED 85C0 TEST EAX, EAX

004D6AEF 74 7E JE SHORT HexEdit.004D6B6F ; 默认不跳

这里我将JE改成JMP直接跳到下面了，不改应该没什麽影响

//...................

由於上面的JE跳到这里，所以这个提示不会出现了:

004D6B8E 81FB 00010000 CMP EBX, 0x100

004D6B94 ^ 0F8C 24FFFFFF JL HexEdit.004D6ABE

004D6B9A EB 08 JMP SHORT HexEdit.004D6BA4

004D6B9C 81FB 00010000 CMP EBX, 0x100

004D6BA2 7C 24 JL SHORT HexEdit.004D6BC8

004D6BA4 6A 00 PUSH 0x0

004D6BA6 6A 00 PUSH 0x0

004D6BA8 68 54F75400 PUSH HexEdit.0054F754 ; The activation code is incorrect.\nPlease make sure you entered your name\nand/or the activation code correctly.

004D6BC8 8B0D 687B5100 MOV ECX, DWORD PTR DS:[0x517B68] ; 存了用户名长度

004D6BCE 83FF 0E CMP EDI, 0xE

004D6BD1 75 4F JNZ SHORT HexEdit.004D6C22

由於我输的用户名没有超过14个字符，因此这里是必跳的，接着：

004D6C22 8BC3 MOV EAX, EBX

004D6C24 49 DEC ECX

004D6C25 D1F8 SAR EAX, 1

004D6C27 3BC1 CMP EAX, ECX

004D6C29 7D 13 JGE SHORT HexEdit.004D6C3E ; 默认没跳

004D6C2B 6A 00 PUSH 0x0

004D6C2D 6A 00 PUSH 0x0

004D6C2F 68 C8F55400 PUSH HexEdit.0054F5C8 ; The activation code is for an older version.\nYou need to upgrade your licence or install the\ncorrect (earlier) licensed version of the software.

这里JGE一定要改为JMP了

接着这些连着用户名和KEY的内容会被加密并写到注册表：

004D6CA6 E8 D54D0000 CALL HexEdit.004DBA80 ; 注册表中写入一些信息

004D6CAB 8B56 60 MOV EDX, DWORD PTR DS:[ESI+0x60]

004D6CAE 8BCF MOV ECX, EDI

虽然注册成功，但是这边关於，还是会得到说授权是前个版本，因此再搜索earlier这个字符串，找到相关的地方：

因此在那些算码CALL里程序启动时并没有调用。

先来看看关於这里：

0045D600 6A FF PUSH -0x1 ; 关於

0045D602 68 555D5000 PUSH HexEdit.00505D55

0045D607 64:A1 00000000 MOV EAX, DWORD PTR FS:[0]

0045D60D 50 PUSH EAX

0045D60E 64:8925 0000000>MOV DWORD PTR FS:[0], ESP

0045D615 81EC FC010000 SUB ESP, 0x1FC

0045D61B 56 PUSH ESI

0045D61C 8BF1 MOV ESI, ECX

//.......................

0045D71E 8B86 0C060000 MOV EAX, DWORD PTR DS:[ESI+0x60C]

0045D724 83F8 01 CMP EAX, 0x1

0045D727 75 0A JNZ SHORT HexEdit.0045D733

0045D729 68 A4635400 PUSH HexEdit.005463A4 ; Your trial period has expired. Click the link below to register.

0045D72E E9 8F000000 JMP HexEdit.0045D7C2

0045D733 83F8 02 CMP EAX, 0x2

0045D736 75 1E JNZ SHORT HexEdit.0045D756

0045D738 8B96 10060000 MOV EDX, DWORD PTR DS:[ESI+0x610]

0045D73E 8D8424 00020000 LEA EAX, DWORD PTR SS:[ESP+0x200]

0045D745 52 PUSH EDX

0045D746 68 60635400 PUSH HexEdit.00546360 ; Your trial expires in %ld days. Click the link below to register.

0045D74B 50 PUSH EAX

0045D74C E8 A9F90900 CALL <JMP.&MFC42.#CString::Format_2818>

0045D751 83C4 0C ADD ESP, 0xC

0045D754 EB 78 JMP SHORT HexEdit.0045D7CE

0045D756 83F8 03 CMP EAX, 0x3

0045D759 75 07 JNZ SHORT HexEdit.0045D762

0045D75B 68 28635400 PUSH HexEdit.00546328 ; Temporary licence. Click the link below to register.

0045D760 EB 60 JMP SHORT HexEdit.0045D7C2

0045D762 83F8 04 CMP EAX, 0x4

0045D765 75 17 JNZ SHORT HexEdit.0045D77E

0045D767 8D8C24 00020000 LEA ECX, DWORD PTR SS:[ESP+0x200]

0045D76E 68 E4625400 PUSH HexEdit.005462E4 ; Your licence is for an earlier version. Click the link to register.

0045D773 51 PUSH ECX

0045D774 E8 81F90900 CALL <JMP.&MFC42.#CString::Format_2818>

0045D779 83C4 08 ADD ESP, 0x8

0045D77C EB 50 JMP SHORT HexEdit.0045D7CE

0045D77E 83F8 05 CMP EAX, 0x5

0045D781 75 17 JNZ SHORT HexEdit.0045D79A

0045D783 8D9424 00020000 LEA EDX, DWORD PTR SS:[ESP+0x200]

0045D78A 68 A0625400 PUSH HexEdit.005462A0 ; Your licence is for an earlier version. Click the link to upgrade.

0045D78F 52 PUSH EDX

0045D790 E8 65F90900 CALL <JMP.&MFC42.#CString::Format_2818>

0045D795 83C4 08 ADD ESP, 0x8

0045D798 EB 34 JMP SHORT HexEdit.0045D7CE

0045D79A 83F8 06 CMP EAX, 0x6

0045D79D 75 1E JNZ SHORT HexEdit.0045D7BD

0045D79F 8B86 14060000 MOV EAX, DWORD PTR DS:[ESI+0x614]

0045D7A5 8D8C24 00020000 LEA ECX, DWORD PTR SS:[ESP+0x200]

0045D7AC 50 PUSH EAX

0045D7AD 68 84625400 PUSH HexEdit.00546284 ; Registered for use by: %s.

0045D7B2 51 PUSH ECX

0045D7B3 E8 42F90900 CALL <JMP.&MFC42.#CString::Format_2818>

0045D7B8 83C4 0C ADD ESP, 0xC

0045D7BB EB 11 JMP SHORT HexEdit.0045D7CE

0045D7BD 68 4C625400 PUSH HexEdit.0054624C ; Unregistered copy. Click the link below to register.

看到这里的提示就很明显了，读取[esi+60c]这里的一个值，通过这个值来判断版本，通过分析，为6的才是已注册的版本.

再往上找，0045D6B2 83BE 0C060000 0>CMP DWORD PTR DS:[ESI+0x60C], 0x3 ; 这里是证书类型

0045D6B9 7E 63 JLE SHORT HexEdit.0045D71E

0045D6BB 83BE 18060000 0>CMP DWORD PTR DS:[ESI+0x618], 0x2

0045D6C2 7E 5A JLE SHORT HexEdit.0045D71E

判断由上面开始，於是找到这个地址00550A44

这里下一个硬件写入断点，看什麽时候重启程序时写入的，於是ctrl+f2,F9，断在：

00454E17 E8 C4720800 CALL HexEdit.004DC0E0 ; 从注册表里读出KEY计算并返回版本号

00454E1C 83F8 06 CMP EAX, 0x6

这里是关建了，进CALL 004dc0e0看看:

关键的地方：

004DC529 /7D 0C JGE SHORT HexEdit.004DC537

004DC52B |C785 0C060000 0>MOV DWORD PTR SS:[EBP+0x60C], 0x4 ; 写入版本号

这里会将版本号赋4，即未注册或不合法的，这里将上面一句JGE 用NOP填充，然後改

004DC52B 改成MOV [EBP+60C]，6，保存所有修改，成功爆了。