首页
论坛
课程
招聘
雪    币: 215
活跃值: 活跃值 (10)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝

[原创]X-posure序列号破解

2005-8-15 10:35 23566

[原创]X-posure序列号破解

2005-8-15 10:35
23566
小弟处女作,请多关照!以小弟首篇破文祝老婆生日快乐!

Hamber(hitetoshi@163.com)
软件:X-posure(骨密度计量学)
主页:http://www.pronosco.com/
说明:Pronosco X-posure  System 是多年来骨密度计量学中研究和发展的顶点。
工具:SoftICE,W32DASM
平台:Windows 2000
纯属技术交流,请勿随意散步或用于商业用途。
该软件安装后有Xposure.exe和Settings.exe两个重要文件。Xposure.exe为主程序文件,如果没有输入序列号,则在运行时会弹出对话框告知序列号错误。Settings.exe用来输入和验证序列号。

运行Settings.exe,在Serial中输入1234567890,SoftICE例行手续,不再介绍,断下后走到这里:

:004060BB 8BF1                    mov esi, ecx
:004060BD 8B842480000000          mov eax, dword ptr [esp+00000080]        //序列号串长
:004060C4 C744247000000000        mov [esp+70], 00000000
:004060CC 83F80F                  cmp eax, 0000000F
:004060CF 0F84E4000000            je 004061B9        //不跳则MessageBox

看来序列号必须为15个字符。重新输入123456789098765,再走到:
:00406E0E 8B442410                mov eax, dword ptr [esp+10]        //第1个字符
:00406E12 64892500000000          mov dword ptr fs:[00000000], esp
:00406E19 81EC9C000000            sub esp, 0000009C
:00406E1F 53                      push ebx
:00406E20 56                      push esi
:00406E21 57                      push edi
:00406E22 8BF1                    mov esi, ecx
:00406E24 50                      push eax
:00406E25 E8660E0000              call 00407C90        //关键

:00406E31 8B9424BA000000          mov edx, dword ptr [esp+000000BA]//第3个字符

:00406E3D E84E0E0000              call 00407C90

:00406E49 8B9424BB000000          mov edx, dword ptr [esp+000000BB]//第4个字符

:00406E55 E8360E0000              call 00407C90

:00406E61 8B9424BC000000          mov edx, dword ptr [esp+000000BC]//第5个字符

:00406E6D E81E0E0000              call 00407C90

:00406E79 8B9424BD000000          mov edx, dword ptr [esp+000000BD]//第6个字符

:00406E85 E8060E0000              call 00407C90
:00406E8A 8B8C24D8000000          mov ecx, dword ptr [esp+000000D8]
:00406E91 8B1DFC344100            mov ebx, dword ptr [MSVCRT!isdigit]
:00406E97 33FF                    xor edi, edi
:00406E99 8901                    mov dword ptr [ecx], eax
:00406E9B 0FBE943CBF000000        movsx edx, byte ptr [esp+edi+000000BF]//第8个字符
:00406EA3 52                      push edx
:00406EA4 FFD3                    call ebx        //是否为数字
:00406EA6 83C404                  add esp, 00000004
:00406EA9 85C0                    test eax, eax
:00406EAB 0F8434010000            je 00406FE5
:00406EB1 47                      inc edi
:00406EB2 83FF06                  cmp edi, 00000006
:00406EB5 7CE4                    jl 00406E9B        //重复6次,即依次检查第8到第13个字符
:00406EB7 8D9424BF000000          lea edx, dword ptr [esp+000000BF]
:00406EBE 52                      push edx
:00406EBF FF1500354100            Call dword ptr [MSVCRT!atoi]        //将第8-13个字符转换为数字
:00406EC5 8B8C24E0000000          mov ecx, dword ptr [esp+000000E0]
:00406ECC 8B9424CA000000          mov edx, dword ptr [esp+000000CA]
:00406ED3 83C404                  add esp, 00000004
:00406ED6 8901                    mov dword ptr [ecx], eax        //保存转换的结果

从上面可以看出,第8到第13个字符必须为数字,00407C90这个位置也比较关键,跟进去看下:
:00407C90 6AFF                    push FFFFFFFF
:00407C92 68421E4100              push 00411E42
:00407C97 64A100000000            mov eax, dword ptr fs:[00000000]
:00407C9D 50                      push eax
:00407C9E 64892500000000          mov dword ptr fs:[00000000], esp
:00407CA5 83EC4C                  sub esp, 0000004C
:00407CA8 8A44245C                mov al, byte ptr [esp+5C]        //当前字符
:00407CAC 53                      push ebx
:00407CAD 88442460                mov byte ptr [esp+60], al        //当前字符
:00407CB1 33DB                    xor ebx, ebx
:00407CB3 0FBEC0                  movsx eax, al
:00407CB6 50                      push eax
:00407CB7 885C2465                mov byte ptr [esp+65], bl
:00407CBB FF15FC344100            Call dword ptr [MSVCRT!isdigit]        //是否为数字
:00407CC1 83C404                  add esp, 00000004
:00407CC4 85C0                    test eax, eax
:00407CC6 7420                    je 00407CE8                                //跳则MessageBox
:00407CC8 8D4C2460                lea ecx, dword ptr [esp+60]        //当前字符
:00407CCC 51                      push ecx
:00407CCD FF1500354100            Call dword ptr [MSVCRT!atoi]                //转为数字
:00407CD3 8B4C2454                mov ecx, dword ptr [esp+54]
:00407CD7 83C404                  add esp, 00000004
:00407CDA 64890D00000000          mov dword ptr fs:[00000000], ecx
:00407CE1 5B                      pop ebx
:00407CE2 83C458                  add esp, 00000058
:00407CE5 C20400                  ret 0004

由此可见,第1,3,4,5,6个字符必须为数字。再来到这里:
:00406EE9 8A8C24B9000000          mov cl, byte ptr [esp+000000B9]        //第2个字符
:00406EF0 B02D                    mov al, 2D                //’-‘
:00406EF2 3AC8                    cmp cl, al
:00406EF4 0F8488010000            je 00407082                //不跳则MessageBox
…|
:00407082 388424BE000000          cmp byte ptr [esp+000000BE], al        //第7个字符
:00407089 0F84EB000000            je 0040717A        //不跳则MessageBox

:0040717A 388424C5000000          cmp byte ptr [esp+000000C5], al        //第14个字符
:00407181 0F84EE000000            je 00407275                //不跳则MessageBox

根据上面的分析,可以得出序列号的完整形式:A-BCDE-FGHIJK-L,其中的A-L必须全部为10进制数字。在Seril中输入1-2345-678987-6,继续,来到这里:
:00407290 64A100000000            mov eax, dword ptr fs:[00000000]
:00407296 8B542404                mov edx, dword ptr [esp+04]        //A(这里A即代表数字1,下同)
:0040729A 6AFF                    push FFFFFFFF
:0040729C 68321D4100              push 00411D32
:004072A1 50                      push eax
:004072A2 8B442414                mov eax, dword ptr [esp+14]        //B
:004072A6 64892500000000          mov dword ptr fs:[00000000], esp
:004072AD 83EC4C                  sub esp, 0000004C
:004072B0 03D0                    add edx, eax                //A+B
:004072B2 8B442464                mov eax, dword ptr [esp+64]        //C
:004072B6 53                      push ebx
:004072B7 8B5C2470                mov ebx, dword ptr [esp+70]        //E
:004072BB 55                      push ebp
:004072BC 8B6C2470                mov ebp, dword ptr [esp+70]        //D
:004072C0 03D0                    add edx, eax                //A+B+C
:004072C2 57                      push edi
:004072C3 8B7C247C                mov edi, dword ptr [esp+7C]        //FGHIJK(678987)
:004072C7 03D5                    add edx, ebp                //A+B+C+D
:004072C9 03D3                    add edx, ebx                //A+B+C+D+E
:004072CB 03D7                    add edx, edi                //A+B+C+D+E+FGHIJK
:004072CD 52                      push edx
:004072CE E87D090000              call 00407C50        //关键
:004072D3 39842480000000          cmp dword ptr [esp+00000080], eax与L比较
:004072DA 0F84BD000000            je 0040739D        //不跳则MessageBox

由于00407C70这个CALL后有个关键的跳转,跟进去看看,果然有重大发现:
:00407C50 8B4C2404                mov ecx, dword ptr [esp+04]        //得到的和
:00407C54 56                      push esi
:00407C55 33F6                    xor esi, esi
:00407C57 85C9                    test ecx, ecx
:00407C59 7E20                    jle 00407C7B        //为0则MessageBox
:00407C5B B867666666              mov eax, 66666667
:00407C60 F7E9                    imul ecx                //乘个0x66666667
:00407C62 C1FA02                  sar edx, 02                //积高为算术右移2位(除个4)
:00407C65 8BC2                    mov eax, edx
:00407C67 C1E81F                  shr eax, 1F                //逻辑右移1F(只要是无符号的数,除这么多,应该为0了吧)
:00407C6A 03D0                    add edx, eax        //右移前与右移后相加
:00407C6C 8D0492                  lea eax, dword ptr [edx+4*edx]        //做个简单的运算
:00407C6F D1E0                    shl eax, 1                //左移1位(乘个2)
:00407C71 2BC8                    sub ecx, eax                //原来的和减去得到的结果
:00407C73 03F1                    add esi, ecx
:00407C75 8BCA                    mov ecx, edx
:00407C77 85D2                    test edx, edx
:00407C79 7FE0                    jg 00407C5B        //直到相减的结果为0
:00407C7B 83FE09                  cmp esi, 00000009
:00407C7E 8BCE                    mov ecx, esi
:00407C80 7FD3                    jg 00407C55        //如果ESI大于9则重来
:00407C82 8BC6                    mov eax, esi        //返回最后的ESI
:00407C84 5E                      pop esi
:00407C85 C20400                  ret 0004

在这里,ESI充当了一个计数器的作用。最后用汉语翻译一下(C语言麻烦):
1:A+B+C+D+E+FGHIJK=M,设一计数器COUNT=0。
2:M*0x66666667,高双字为N。
3:将N算术右移2位(N/4)得P。
4:将P逻辑右移0x1F(应该得0吧)得Q。
5:P+Q=R。
6:R*4+R=S。
7:S逻辑左移1位(S*2)得T。
8:M-T=U;计数器COUNT+=U。
9:M=R,若R不为0,则转到第2步。
10:若COUNT>9,则COUNT=0并转到第2步。
最后根据前面分析的要求,COUNT必须等于L。

用这段代码算个合适的序列号出来,还是MessageBox,继续往下:

:0040646F E84C0F0000              call 004073C0        //这个CALL过不去

进去004073C0看看:
:004073C0 64A100000000            mov eax, dword ptr fs:[00000000]
:004073C6 6AFF                    push FFFFFFFF
:004073C8 68181E4100              push 00411E18
:004073CD 50                      push eax
:004073CE 8B442410                mov eax, dword ptr [esp+10]        //A
:004073D2 64892500000000          mov dword ptr fs:[00000000], esp
:004073D9 81EC80010000            sub esp, 00000180
:004073DF 53                      push ebx
:004073E0 56                      push esi
:004073E1 BE02000000              mov esi, 00000002
:004073E6 57                      push edi
:004073E7 2BC6                    sub eax, esi
:004073E9 0F84A3000000            je 00407492                //不跳则MessageBox(A必须为2)

:00407499 893520A14100            mov dword ptr [0041A120], esi        //C
:0040749F 85C0                    test eax, eax
:004074A1 0F8EBD060000            jle 00407B64        //跳则MessageBox(C不为0)
:004074A7 3BC6                    cmp eax, esi
:004074A9 0F8FB5060000            jg 00407B64        //跳则MessageBox(C必须小于等于2)
:004074AF A328A14100              mov dword ptr [0041A128], eax
:004074B4 8B8424A0010000          mov eax, dword ptr [esp+000001A0]                //B
:004074BB 85C0                    test eax, eax       
:004074BD 0F8EFE050000            jle 00407AC1        //跳则MessageBox(B不为0)
:004074C3 3BC6                    cmp eax, esi
:004074C5 0F8FF6050000            jg 00407AC1        //跳则MessageBox(B必须小于等于2)
:004074CB A324A14100              mov dword ptr [0041A124], eax
:004074D0 8B8424A8010000          mov eax, dword ptr [esp+000001A8]        //D
:004074D7 48                      dec eax
:004074D8 0F84E8020000            je 004077C6
:004074DE 48                      dec eax
:004074DF 0F8412020000            je 004076F7
:004074E5 48                      dec eax
:004074E6 0F8403010000            je 004075EF
…                                                                        //后面是MessageBox之路,因此D必须小于等于3且大于0。

先看D为1的情况:
:004077C6 E865CEFFFF              call 00404630
:004077CB 84C0                    test al, al
:004077CD 0F85A3000000            jne 00407876
…                                                                //下面是MessageBox之路
                                                                       
看看这个00404630
:00404630 B001                    mov al, 01
:00404632 C3                      ret
所以004077CD是肯定会跳的,进去00407876看看:
:00407876 B901000000              mov ecx, 00000001
:0040787B 8B8424AC010000          mov eax, dword ptr [esp+000001AC]        //E
:00407882 890D2CA14100            mov dword ptr [0041A12C], ecx
:00407888 85C0                    test eax, eax
:0040788A 0F8E40010000            jle 004079D0        //跳则MessageBox(E不为0)
:00407890 3BC6                    cmp eax, esi
:00407892 0F8F38010000            jg 004079D0                //跳则MessageBox(E必须小于等于2)
:00407898 A330A14100              mov dword ptr [0041A130], eax
:0040789D 0F85FA000000            jne 0040799D
:004078A3 83F903                  cmp ecx, 00000003
:004078A6 0F85F1000000            jne 0040799D

再看看D为2的情况:
:004076F7 E834CFFFFF              call 00404630
:004076FC 84C0                    test al, al
:004076FE 0F85BB000000            jne 004077BF
在004077BF处:
:004077BF 8BCE                    mov ecx, esi
:004077C1 E9B5000000              jmp 0040787B

来到0040787B:
:0040787B 8B8424AC010000          mov eax, dword ptr [esp+000001AC]        //E
:00407882 890D2CA14100            mov dword ptr [0041A12C], ecx
:00407888 85C0                    test eax, eax
:0040788A 0F8E40010000            jle 004079D0        //跳则MessageBox(E不为0)
:00407890 3BC6                    cmp eax, esi
:00407892 0F8F38010000            jg 004079D0                //跳则MessageBox(E必须小于等于2)
:00407898 A330A14100              mov dword ptr [0041A130], eax
:0040789D 0F85FA000000            jne 0040799D
:004078A3 83F903                  cmp ecx, 00000003
:004078A6 0F85F1000000            jne 0040799D        //不跳则MessageBox

最后看看D为3的情况:
:004075EF E83CD0FFFF              call 00404630
:004075F4 84C0                    test al, al
:004075F6 0F85F1000000            jne 004076ED

来到004076ED:
:004076ED B903000000              mov ecx, 00000003
:004076F2 E984010000              jmp 0040787B
还是来到0040787B,但此时ecx已经为3了,故D不能为3。

到此打完收工,总结一下。序列号的形式如:A-BCDE-FGHIJK-L(所有字母代表10进制数字)。A==2;0<B<=2;0<C<=2;0<D<=2;0<E<=2;最后根据前面讲述的方法计算出L。
一个有效的序列号的例子:2-1212-678987-8

弄到这里,满以为大功告成,输入序列号,运行Xposure.exe,居然弹出MessageBox,说:The X-posure Card was not found. Please check that the X_posure Card is inseted correctly. Contact your distributor if the problem persists. 用暴破法绕过SmartCard的检查,满以为大功告成,居然又弹出MessageBox,说:Please insert a valid card in the reader.
唉,留到以后的作业。

附:新用户注册后要24小时才能发贴,利用这个时间把Xposure.exe也弄出来了,暴破的,没有一点技术含量,不提也罢。
最后发现有意思的,如果序列号的B为2,那么XPosure运行的是Demo版,为1才是正式版。

HWS计划·2020安全精英夏令营来了!我们在华为松山湖欧洲小镇等你

最新回复 (10)
雪    币: 201
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
wdx 活跃值 2005-8-15 16:13
2
0
谢谢。。。。。。
雪    币: 201
活跃值: 活跃值 (10)
能力值: ( LV9,RANK:650 )
在线值:
发帖
回帖
粉丝
hbqjxhw 活跃值 16 2005-8-15 21:46
3
0
非常好,支持
雪    币: 1243
活跃值: 活跃值 (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
dfui 活跃值 2005-8-16 09:44
4
0
写的都强。是不是每个人的汇编功底都深才能看得懂原程式。
雪    币: 151
活跃值: 活跃值 (10)
能力值: ( LV9,RANK:1010 )
在线值:
发帖
回帖
粉丝
liyangsj 活跃值 25 2005-8-17 07:38
5
0
支持支持!
雪    币: 93
活跃值: 活跃值 (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
LiDogEgg 活跃值 2018-4-13 01:34
6
0
绝影大大好
雪    币: 0
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
chashao 活跃值 2018-5-7 13:45
7
0
影头666
雪    币: 0
活跃值: 活跃值 (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
faleqi 活跃值 2020-2-20 16:02
8
0
顶一个
雪    币: 346
活跃值: 活跃值 (119)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
RainFog 活跃值 2020-5-15 20:15
9
0
影总牛逼
雪    币: 0
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
senderc 活跃值 2020-5-24 19:59
10
0
可惜了
雪    币: 201
活跃值: 活跃值 (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
子归 活跃值 2020-5-25 08:41
11
0
骨密度.貌似我们医院也用
游客
登录 | 注册 方可回帖
返回