首页
论坛
专栏
课程

[原创]还原精灵2003密码的算法分析

2005-2-21 08:28 5235

[原创]还原精灵2003密码的算法分析

2005-2-21 08:28
5235
【破解作者】 jsliyangsj
【作者邮箱】 sjcrack@yahoo.com.cn
【使用工具】 peid OllyDbg1.10
【破解平台】 Winxp
【软件名称】 还原精灵2003版的“设置密码”算法分析
还原精灵2003版的“设置密码”算法分析(不是注册码)
还原精灵5.5版本,是明码比较,在内存中能找到密码的!
还原精灵2003版不是明码比较了,所以在内存中不能直接找到密码了!!!
开始我们的寻找之路:
首先有OD的附加功能附加还原精灵2003版的进程!
F9以后,右击还原精灵,“设置”只要换一个选项,确定,就出来输入密码对话框
随便输入,出现错误信息,暂停,用堆栈中的返回,一步一步来到关键点:
004082E7   .  52            PUSH EDX                                 ; /Arg1
004082E8   .  E8 F3FEFFFF   CALL HDDGMon.004081E0            算法,于比较的地方了
004082ED   .  85C0          TEST EAX,EAX
004082EF   .  75 7B         JNZ SHORT HDDGMon.0040836C
…………………………………………………………………………………………………………………………
…………………………………………………………………………………………………………………………
进入004082E8   .  E8 F3FEFFFF   CALL HDDGMon.004081E0
…………………………………………………………………………………………………………………………
004081E0  /$  83EC 64       SUB ESP,64
004081E3  |.  33C0          XOR EAX,EAX
004081E5  |.  53            PUSH EBX
004081E6  |.  56            PUSH ESI
004081E7  |.  8BD9          MOV EBX,ECX
004081E9  |.  57            PUSH EDI
004081EA  |.  B9 19000000   MOV ECX,19
004081EF  |.  8D7C24 0C     LEA EDI,DWORD PTR SS:[ESP+C]
004081F3  |.  F3:AB         REP STOS DWORD PTR ES:[EDI]
004081F5  |.  8B4C24 74     MOV ECX,DWORD PTR SS:[ESP+74]
004081F9  |.  8B01          MOV EAX,DWORD PTR DS:[ECX]
004081FB  |.  8B40 F8       MOV EAX,DWORD PTR DS:[EAX-8]
004081FE  |.  40            INC EAX
004081FF  |.  50            PUSH EAX
00408200  |.  E8 D7400000   CALL <JMP.&MFC42.#2915>
00408205  |.  8BF8          MOV EDI,EAX
00408207  |.  83C9 FF       OR ECX,FFFFFFFF
0040820A  |.  33C0          XOR EAX,EAX
0040820C  |.  8D5424 0C     LEA EDX,DWORD PTR SS:[ESP+C]
00408210  |.  F2:AE         REPNE SCAS BYTE PTR ES:[EDI]
00408212  |.  F7D1          NOT ECX
00408214  |.  2BF9          SUB EDI,ECX
00408216  |.  8BC1          MOV EAX,ECX
00408218  |.  8BF7          MOV ESI,EDI
0040821A  |.  8BFA          MOV EDI,EDX
0040821C  |.  8D5424 0C     LEA EDX,DWORD PTR SS:[ESP+C]
00408220  |.  C1E9 02       SHR ECX,2
00408223  |.  F3:A5         REP MOVS DWORD PTR ES:[EDI],DWORD PTR DS>
00408225  |.  8BC8          MOV ECX,EAX
00408227  |.  83E1 03       AND ECX,3
0040822A  |.  F3:A4         REP MOVS BYTE PTR ES:[EDI],BYTE PTR DS:[>
0040822C  |.  8D4C24 0C     LEA ECX,DWORD PTR SS:[ESP+C]
00408230  |.  51            PUSH ECX
00408231  |.  52            PUSH EDX
00408232  |.  E8 D9A2FFFF   CALL HDDGMon.00402510                    ;  处理输入码
00408237  |.  83C4 08       ADD ESP,8
0040823A  |.  8D73 64       LEA ESI,DWORD PTR DS:[EBX+64]
0040823D  |.  8D4424 0C     LEA EAX,DWORD PTR SS:[ESP+C]
00408241  |>  8A10          /MOV DL,BYTE PTR DS:[EAX]                ;  下面一个循环就是比较了
00408243  |.  8A1E          |MOV BL,BYTE PTR DS:[ESI]
00408245  |.  8ACA          |MOV CL,DL
00408247  |.  3AD3          |CMP DL,BL
00408249  |.  75 2E         |JNZ SHORT HDDGMon.00408279
0040824B  |.  84C9          |TEST CL,CL
0040824D  |.  74 16         |JE SHORT HDDGMon.00408265
0040824F  |.  8A50 01       |MOV DL,BYTE PTR DS:[EAX+1]
00408252  |.  8A5E 01       |MOV BL,BYTE PTR DS:[ESI+1]
00408255  |.  8ACA          |MOV CL,DL
00408257  |.  3AD3          |CMP DL,BL
00408259  |.  75 1E         |JNZ SHORT HDDGMon.00408279
0040825B  |.  83C0 02       |ADD EAX,2
0040825E  |.  83C6 02       |ADD ESI,2
00408261  |.  84C9          |TEST CL,CL
00408263  |.^ 75 DC         \JNZ SHORT HDDGMon.00408241
00408265  |>  33C0          XOR EAX,EAX
00408267  |.  33C9          XOR ECX,ECX
00408269  |.  85C0          TEST EAX,EAX
0040826B  |.  0F94C1        SETE CL
0040826E  |.  5F            POP EDI
0040826F  |.  5E            POP ESI
00408270  |.  8BC1          MOV EAX,ECX
00408272  |.  5B            POP EBX
00408273  |.  83C4 64       ADD ESP,64
00408276  |.  C2 0400       RETN 4
00408279  |>  1BC0          SBB EAX,EAX
0040827B  |.  5F            POP EDI
0040827C  |.  83D8 FF       SBB EAX,-1
0040827F  |.  33C9          XOR ECX,ECX
00408281  |.  85C0          TEST EAX,EAX
00408283  |.  0F94C1        SETE CL
00408286  |.  5E            POP ESI
00408287  |.  8BC1          MOV EAX,ECX
00408289  |.  5B            POP EBX
0040828A  |.  83C4 64       ADD ESP,64
0040828D  \.  C2 0400       RETN 4
…………………………………………………………………………………………………………………………

…………………………………………………………………………………………………………………………
进入00408232  |.  E8 D9A2FFFF   CALL HDDGMon.00402510                    ;  处理输入码
…………………………………………………………………………………………………………………………
00402510  /$  56            PUSH ESI
00402511  |.  8B7424 0C     MOV ESI,DWORD PTR SS:[ESP+C]
00402515  |.  57            PUSH EDI
00402516  |.  8BFE          MOV EDI,ESI
00402518  |.  83C9 FF       OR ECX,FFFFFFFF
0040251B  |.  33C0          XOR EAX,EAX
0040251D  |.  F2:AE         REPNE SCAS BYTE PTR ES:[EDI]
0040251F  |.  F7D1          NOT ECX
00402521  |.  49            DEC ECX
00402522  |.  85C9          TEST ECX,ECX
00402524  |.  7E 22         JLE SHORT HDDGMon.00402548
00402526  |.  8B7C24 0C     MOV EDI,DWORD PTR SS:[ESP+C]
0040252A  |.  53            PUSH EBX
0040252B  |.  8BD7          MOV EDX,EDI
0040252D  |.  2BF7          SUB ESI,EDI
0040252F  |.  8BD9          MOV EBX,ECX
00402531  |>  8A0416        /MOV AL,BYTE PTR DS:[ESI+EDX]
00402534  |.  3C 64         |CMP AL,64                            判断输入的字符等不等于64
00402536  |.  74 02         |JE SHORT HDDGMon.0040253A
00402538  |.  04 9C         |ADD AL,9C                           若不等于64输入的各个字符加上9C
0040253A  |>  8802          |MOV BYTE PTR DS:[EDX],AL            存储
0040253C  |.  42            |INC EDX
0040253D  |.  4B            |DEC EBX
0040253E  |.^ 75 F1         \JNZ SHORT HDDGMon.00402531
00402540  |.  C60439 00     MOV BYTE PTR DS:[ECX+EDI],0
00402544  |.  5B            POP EBX
00402545  |.  5F            POP EDI
00402546  |.  5E            POP ESI
00402547  |.  C3            RETN
00402548  |>  8B4424 0C     MOV EAX,DWORD PTR SS:[ESP+C]
0040254C  |.  5F            POP EDI
0040254D  |.  5E            POP ESI
0040254E  |.  C60401 00     MOV BYTE PTR DS:[ECX+EAX],0
00402552  \.  C3            RETN
…………………………………………………………………………………………………………………………
过程是这样的,输入的各个字符如果不等于64的话就简单+9C了,如果等于64,不加9C,直接存储,
因为9C+64=100,字符变成00了,
…………………………………………………………………………………………………………………………
我们来找找真正的密码在哪:
00408241  |>  8A10          /MOV DL,BYTE PTR DS:[EAX]                ;  下面一个循环就是比较了
00408243  |.  8A1E          |MOV BL,BYTE PTR DS:[ESI]
00408245  |.  8ACA          |MOV CL,DL
00408247  |.  3AD3          |CMP DL,BL
00408249  |.  75 2E         |JNZ SHORT HDDGMon.00408279
0040824B  |.  84C9          |TEST CL,CL
0040824D  |.  74 16         |JE SHORT HDDGMon.00408265
0040824F  |.  8A50 01       |MOV DL,BYTE PTR DS:[EAX+1]
00408252  |.  8A5E 01       |MOV BL,BYTE PTR DS:[ESI+1]
00408255  |.  8ACA          |MOV CL,DL
00408257  |.  3AD3          |CMP DL,BL
00408259  |.  75 1E         |JNZ SHORT HDDGMon.00408279
0040825B  |.  83C0 02       |ADD EAX,2
0040825E  |.  83C6 02       |ADD ESI,2
00408261  |.  84C9          |TEST CL,CL
00408263  |.^ 75 DC         \JNZ SHORT HDDGMon.00408241
…………………………………………………………………………………………………………………………
其中EAX中放的就是刚才算好的我输入码,而ESI中放的就是真正的密码地址了,
0012F390  CD CE CF D0 D1 D2 D3 D4   
我们只要把每个如CD-9C=31就是字符1,这样就可以了,注意,64就不能减去9C,因为它没有加9C。
上面就是12345678
完成。

[公告][征集寄语] 看雪20周年年会 | 感恩有你,一路同行

最新回复 (2)
gz8595 2005-2-28 19:13
2
0
我看来看过都不明
ocsdno 2005-2-28 23:48
3
0
pubwin的密码也是如此,加密以后去对比,我自己跳过进入它的管理界面,然后用一个星号查看器得到管理密码,免费上机阿~~~~

最近公司网络换ISP,不能上网,所以上班就跑到网吧来玩~~~~
游客
登录 | 注册 方可回帖
返回