一个简单的CM分析

 

 

这个CM没有难点，值得学习的地方就是它将用到的API函数动态解密，这样可以使Cracker无法直接在API上下断，核心算法作者写得很弱，可能只是为了练习加密API函数。

 

以下是解密相应的API函数：

004016D3   .  68 84404000   PUSH 破解我.00404084

004016D8   .  50            PUSH EAX

004016D9   .  E8 02020000   CALL 破解我.004018E0                        ;  解密kernel32.dll

004016DE   .  8B3D 04304000 MOV EDI,DWORD PTR DS:[<&KERNEL32.GetModu>;  kernel32.GetModuleHandleA

004016E4   .  83C4 08       ADD ESP,8

004016E7   .  8D4C24 0C     LEA ECX,DWORD PTR SS:[ESP+C]

004016EB   .  51            PUSH ECX                                 ; /pModule

004016EC   .  FFD7          CALL EDI                                 ; /GetModuleHandleA

004016EE   .  8D5424 0C     LEA EDX,DWORD PTR SS:[ESP+C]

004016F2   .  68 94404000   PUSH 破解我.00404094

004016F7   .  52            PUSH EDX

004016F8   .  A3 38424000   MOV DWORD PTR DS:[404238],EAX

004016FD   .  E8 DE010000   CALL 破解我.004018E0                        ;  解密user32.dll

00401702   .  83C4 08       ADD ESP,8

00401705   .  8D4424 0C     LEA EAX,DWORD PTR SS:[ESP+C]

00401709   .  50            PUSH EAX

0040170A   .  FFD7          CALL EDI                                 ;  kernel32.GetModuleHandleA

0040170C   .  8D4C24 0C     LEA ECX,DWORD PTR SS:[ESP+C]

00401710   .  68 A0404000   PUSH 破解我.004040A0                        ;  ASCII "eGVrPMAcFFPGQQ"

00401715   .  51            PUSH ECX

00401716   .  A3 34424000   MOV DWORD PTR DS:[404234],EAX

0040171B   .  E8 C0010000   CALL 破解我.004018E0                        ;  GetProcAddress

00401720   .  A1 38424000   MOV EAX,DWORD PTR DS:[404238]

 

00401770   $  E8 5BFCFFFF   CALL 破解我.004013D0               ;  解密GetWindowTextA

00401775   .  E8 96FDFFFF   CALL 破解我.00401510                ;  解密GetProcAddress

0040177A   .  E8 E1FDFFFF   CALL 破解我.00401560                ;  解密MessageBoxA

0040177F   .  E8 ECFCFFFF   CALL 破解我.00401470                ;  解密GetDlgItemTextA"

00401784   .  E8 97FCFFFF   CALL 破解我.00401420                 ;  解密WriteProcessMemory"

 

004014C0   > /83EC 14       SUB ESP,14

004014C3   . |8D4424 00     LEA EAX,DWORD PTR SS:[ESP]

004014C7   . |68 C0404000   PUSH 破解我.004040C0                ;  ASCII "mRGLrPMAGQQ"

004014CC   . |50            PUSH EAX

004014CD   . |E8 0E040000   CALL 破解我.004018E0                        ;  解密OpenProcess

004014D2   . |8B15 38424000 MOV EDX,DWORD PTR DS:[404238]            ;  kernel32.7C800000

004014D8   . |8D4C24 08     LEA ECX,DWORD PTR SS:[ESP+8]

 

 

以下是Serial的算法：

00401186   .  33C0          XOR EAX,EAX

00401188   .  8A0D 44424000 MOV CL,BYTE PTR DS:[404244]

0040118E   .  33C0          XOR EAX,EAX

00401190   .  84C9          TEST CL,CL

00401192   .  A3 00424000   MOV DWORD PTR DS:[404200],EAX

00401197      74 15         JE SHORT 破解我.004011AE

00401199   >  8A88 45424000 MOV CL,BYTE PTR DS:[EAX+404245]

0040119F   .  40            INC EAX

004011A0   .  84C9          TEST CL,CL

004011A2   .^ 75 F5         JNZ SHORT 破解我.00401199                   ;  获取输入字串长度

004011A4   .  83F8 0A       CMP EAX,0A                               ;  长度必须为10

004011A7   .  A3 00424000   MOV DWORD PTR DS:[404200],EAX

004011AC      74 41         JE SHORT 破解我.004011EF                    ;  长度不为10则执行下面的失败语句

004011AE   >  68 54404000   PUSH 破解我.00404054

004011B3   .  68 0C424000   PUSH 破解我.0040420C                        ;  ASCII "GetCurrentProcessId"

004011B8   .  E8 23070000   CALL 破解我.004018E0

004011BD   .  83C4 08       ADD ESP,8

004011C0   .  6A 00         PUSH 0

004011C2   .  8D05 0C424000 LEA EAX,DWORD PTR DS:[40420C]

004011C8   .  50            PUSH EAX

004011C9   .  6A 00         PUSH 0

004011CB   .  6A 00         PUSH 0

004011CD   .  6A 04         PUSH 4

004011CF   .  A1 00304000   MOV EAX,DWORD PTR DS:[<&KERNEL32.ExitPro>

004011D4   .  8B0D 34424000 MOV ECX,DWORD PTR DS:[404234]            ;  USER32.77D10000

004011DA   .  83C0 05       ADD EAX,5

004011DD   .  50            PUSH EAX

004011DE   .  68 38404000   PUSH 破解我.00404038                        ;  ASCII "oGQQCEG`MZc"

004011E3   .  51            PUSH ECX

004011E4   .  E8 07080000   CALL 破解我.004019F0

004011E9   .  83C4 0C       ADD ESP,0C

004011EC   .  83C4 14       ADD ESP,14

004011EF   >  0FBE3D 444240>MOVSX EDI,BYTE PTR DS:[404244]           ;  取第1个字符

004011F6   .  81E7 03000080 AND EDI,80000003                         ;  保留SF位与低两位

004011FC   .  79 05         JNS SHORT 破解我.00401203                   ;  SF位为0则跳

004011FE   .  4F            DEC EDI                                  ;  SF位为1，EDI减1

004011FF   .  83CF FC       OR EDI,FFFFFFFC

00401202   .  47            INC EDI                                  ;  EDI加1

00401203   >  B8 01000000   MOV EAX,1

00401208   >  0FBE90 444240>MOVSX EDX,BYTE PTR DS:[EAX+404244]

0040120F   .  81E2 03000080 AND EDX,80000003

00401215   .  79 05         JNS SHORT 破解我.0040121C

00401217   .  4A            DEC EDX

00401218   .  83CA FC       OR EDX,FFFFFFFC

0040121B   .  42            INC EDX

0040121C   >  03FA          ADD EDI,EDX                              ;  对前5个字符的每个字符的低两位进行相加

0040121E   .  40            INC EAX

0040121F   .  83F8 04       CMP EAX,4                                ;  对输入的前5个字符进行操作

00401222   .^ 7E E4         JLE SHORT 破解我.00401208                   ;  小于等于4跳

00401224   .  0FBE05 494240>MOVSX EAX,BYTE PTR DS:[404249]           ;  第5个字符

0040122B   .  99            CDQ

0040122C   .  B9 03000000   MOV ECX,3

00401231   .  893D 08424000 MOV DWORD PTR DS:[404208],EDI            ;  前5个字符和保存起来

00401237   .  F7F9          IDIV ECX                                 ;  第5个字符除以3

00401239   .  B9 06000000   MOV ECX,6

0040123E   .  8BF2          MOV ESI,EDX

00401240   >  0FBE81 444240>MOVSX EAX,BYTE PTR DS:[ECX+404244]

00401247   .  99            CDQ

00401248   .  BB 03000000   MOV EBX,3

0040124D   .  F7FB          IDIV EBX                                 ;  除以3

0040124F   .  03F2          ADD ESI,EDX                              ;  将每次的余数相加，即mod 3

00401251   .  41            INC ECX

00401252   .  83F9 09       CMP ECX,9

00401255   .^ 7E E9         JLE SHORT 破解我.00401240

00401257   .  3BFE          CMP EDI,ESI                              ;  比较前4个字符的和与后6个字符mod 3后的和

00401259   .  890D 00424000 MOV DWORD PTR DS:[404200],ECX            ;  保存字符串长度10

0040125F   .  8935 04424000 MOV DWORD PTR DS:[404204],ESI            ;  保存后6个字符mod 3后的和

00401265      75 43         JNZ SHORT 破解我.004012AA                   ;  不相等就跳到失败处

00401267   .  68 70404000   PUSH 破解我.00404070

0040126C   .  68 0C424000   PUSH 破解我.0040420C                        ;  ASCII "GetCurrentProcessId"

00401271   .  E8 6A060000   CALL 破解我.004018E0                        ;  翻译加密的字符串

 

 

 

KeyGen代码：

#include <windows.h>

#include <stdio.h>

 

 

int Key(char *input)

{

         int i,k[5];

         for(i=0;input[i]!=0;i++)

         {

                   k[i]=input[i]%3;

                   printf("%d",k[i]);

         }

         printf("%s/n",input);

         return 0;

}

 

int main(int argc,char* argv[])

{

         char ch[5];

        

         printf("Input 5 chars:/n");

         scanf("%s",ch);

         printf("The password is:/n");

         Key(ch);

         system("pause");

 

         return 0;

}