本系列文章的目的是从一个没有任何经验的新手的角度(其实就是我自己)，一步步尝试将160个CrackMe全部破解，如果可以，通过任何方式写出一个类似于注册机的东西。
其中，文章中按照如下逻辑编排（解决如下问题）：
1、使用什么环境和工具
2、程序分析
3、思路分析和破解流程
4、注册机的探索
1、工具和环境：
WinXP SP3 + 52Pojie六周年纪念版OD + PEID + 汇编金手指。
160个CrackMe的打包文件。
下载地址： http://pan.baidu.com/s/1xUWOY 密码: jbnq
注：
1、Win7系统对于模块和程序开启了随机初始地址的功能，会给分析带来很大的负担，所以不建议使用Win7进行分析。
2、以上工具都是在52PoJie论坛下的原版程序，NOD32不报毒，个人承诺绝对不会进行任何和木马病毒相关内容。
2、程序分析：
想要破解一个程序，必须先了解这个程序。所以，在破解过程中，对最初程序的分析很重要，他可以帮助我们理解作者的目的和意图，特别是对于注册码的处理细节，从而方便我们反向跟踪和推导。
打开CHM文件，将第一个文件 Acid burn.exe 保存下来，新建一个01的文件夹，将exe放到这里，同时将以后的分析文件也存放这里。打开Acid burn.exe，随意输入和点击，熟悉程序流程。
我们发现，这个软件分为了两个部分，一个是Serial/Name，需要输入用户名和注册码才能通过，另外一个Serial只需要输入一个注册码一类的东西。我们随意选一个开始，比如，先进行第一个。
我们随意输入一个用户名和序列号（伪码）：
伪码：
Name:112233
Serial:44556677
点击Check it Baby! 它会弹出一个对话框提示： Sorry， The Serial is incorrect !
再换几个随意试试，发现就这一种情况。
OK，出现了对话框这就很好办，说明作者在校验注册码之后发现如果错误了就直接弹窗，我们只要找到弹出对话框的地方，向上跟踪，就可以找出判断是否正确的地方了，jmp或者Nop就算爆破了。
3、具体步骤如下：
我们随意输入一个用户名和序列号（伪码）：
Name:112233
Serial:44556677
点击Check it Baby! 它会弹出一个对话框提示： Sorry， The Serial is incorrect !
此时不要点击确定按钮，返回OD暂停(F12),点击堆栈-K小图标(Ctrl+K) ,如下图：
这里有两个MessageBox的地址，第一个地址为77D5082F这个地址明显太大,不在模块的领空，不是的。第二个地址为0042A1AE，和00400100地址非常接近，十有八九就是它了。
右键 show call, 在Call上面设置断点。
查看附近代码：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 |
|
发现，没有跳转语句，逻辑很简单，在之上几行处就有retn，在头部push ebp下断，重新点击Check it baby 按钮，在右下角堆栈处找到最近一条Return语句：
0012F974 0042FB37 RETURN to Acid_bur.0042FB37 from Acid_bur.0042A170
右键 Follow in Disassm..(反汇编跟随)，这里直接连接了一个跳转，代码如下：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 |
|
看到和提示框一样的文本，是不是感到很亲切？OK，我们大概浏览下代码，最近部分有两个可疑跳转JNZ 和JMP, JNZ会通过它上面的call
004039FC
判断我们的伪码是否正确，判断的结果存在EAX中，如果EAX不等于就跳转到错误提示信息框那里。我们的目的是无论伪码是否正确都通过验证，所以最简单的
办法就是将jnz这句使用NOP填充，我们尝试一下：选择JNZ这句，右键Binary->Fill with
NOPS.回到原始程序，再次点击Check it baby!
哈哈，提示Good Job！通过了！
再次比对MessageBox和堆栈(Ctrl+K)窗口最后一个调用，是不是发现什么特殊的地方？对啦！那个CALL就是调用MessageBox的地方，所以，下次我们就不用在MessageBox处下断跟踪了，直接最后一个地址，show call。
4、注册机部分
以上部分是爆破分析，我们看看能否分析出注册机算法。
在原JNZ上面一行CALL下断：点击Ckeck it Baby!按钮，程序断下：
|
1 2 3 |
|
我们发现，EDX存储的是我们的假序列号，EAX看上去像是一个正确的序列号，也有可能是对应的用户名也说不定，我们可疑尝试一下。
现将我们之前修改的代码恢复：选中那两行NOP,右键Undo...
。取消断点。先尝试是否是Name，Name输入EAX的值，下一行继续44556677，结果继续弹错。然后尝试作为序列号,Name为
112233,Serial为CW-4018-CRACKED，再尝试，OK！完全正确！
小结一下：在这个CALL之前程序已经将用户名对应的序列号算出来了，然后和我们输入的Serial通过这个CALL对比，最终给出提示信息。我们要的算法不再这个CALL中。
下一步的思路就是继续在这个CALL之上的CALL下断，分析出产生出这个序列号的CALL。由于CALL的返回值一般都存在EAX中，所以我们可以查看附近的CALL之后EAX的值，从而判断出正确的注册码生成函数。
附近的两个CALL：
|
1 2 3 4 5 6 7 8 9 |
|
分别在CALL之后的那一句下断，点击按钮，F8步过，发现在 附近的CALL 1 处，EAX出现正确的注册码，说明他可能是关键的注册码CALL，下面对它的进行分析：
重新在call 0041AA58 下断，
|
1 2 3 |
|
其中edx和eax都没有特殊信息出现，我们就可以更加断定注册码都是在call中生成的。
这时我们就有两种方案了，一种分析CALL的参数，直接远程调用CALL生成正确的注册码，另一种是分析CALL的内容，根据他的算法自己写一个这个生成流程。这两个无明显的好坏之分，只看用在什么地方了。
按照我的理解，第一种，内存调用适合算法复杂或者更新不频繁的程序，这么做可以节省时间和复杂度。第
二种，适合算法不是特别复杂，或者软件更新频繁的软件，算法的复杂度就不说了，软件无论更新多么频繁，一般注册码算法是不会变的，这样生成的注册机就可以
适用所有的版本，大家都省事。
好了，啰嗦了这么多，开始正式分析：
(由于已经在这里CALL被调用了很多次了，各个寄存器参数很乱，建议从新加载一次程序，方便分析)
进入CALL 0041AA58，代码如下：
(由于这个CALL被很多地方一直调用，所以我们必须每次从上层CALL单步F7跟踪，直到找到正确的CALL)
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 |
|
跟了一大堆，我们发现没有地方可产生注册码，并且所有的CALL都是不断地在被调用，所以，初步判定
注册码不是在这里生成的。但是这么想就与之前的猜测完全推翻了，说明我们的想法有问题，即思路有问题。既然他的码不是及时算出来的，那肯定就是事先算好
的，我们再次回到产生注册码的CALL那里，向上查找，F8单步进行查看。
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 |
|
总结：取第一个字母的ASNI的数字，如112233中第一个字符1对应数字0x31，然后用它乘以0x29，结果再自增一倍(即x2)，将得到的数字转为10进制的字符串，在前加上”CW-”,后加上”-CRACKED”，就组成了用户名对应的注册码。
C/CPP程序：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 |
|
第二个单独Serial
流程同第一个,
但是这个很简单,直接在调用CALL那里向上F8走一遍就基本明白了。
核心代码：
CALL之前的那个JNZ是爆破的关键，直接NOP就OK了。
JNZ之前的那个CALL是进行Serial判断的关键，通过单步跟踪发现他就是一个固定值。
代码如下：
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 |
|
这个没有动态生成的注册码，是一个固定的：Hello Dude!
摘自：http://www.cnblogs.com/bbdxf/p/3777711.html
CrackMe_001