Word to PDF Converter v3.0 算法分析及注册机

Word to PDF Converter v3.0算法分析及注册机

--------------------------------------------------------------------------------
【详细过程】

1，主程序在C:/Program Files/doc2pdf/DOC2PDF.dll，PEID查壳为ASProtect 1.23 RC1 -> Alexey Solodovnikov
对于ASPR，低版本的用看雪tool提供的脱壳机，高版本的用VOLX大侠的脚本，没有SDK和VM，这壳就比ESP要稍稍等上那么一会

2，新建空白DOC，运行之。看到插件已经加载，点击"SAVE AS PDF"，弹出未注册提示和注册框[第一次还会提示下个什么driver，得按照他的意思去下]

3，OD挂接(一作附加)，弹窗直接API下断，其他的下断方式还有很多种，略过。
堆栈显示：

代码:

0012E370   1001E168  /CALL 到 MessageBoxA 来自 DOC2PDF.1001E162
0012E374   00060850  |hOwner = 00060850 ('Registration',class='#32770',parent=00380062)
0012E378   10031A08  |Text = "Registration failed, please check the code and try again!"
0012E37C   01EB3B08  |Title = "Word to PDF Converter"
0012E380   00000010  /Style = MB_OK|MB_ICONHAND|MB_APPLMODAL

调用堆栈显示[OD上的K按钮]：

代码:

调用堆栈
地址       堆栈       程序过程 / 参数                       调用来自                      结构
0012E370   1001E168   user32.MessageBoxA                    DOC2PDF.1001E162              0012E3C0
0012E374   00060850     hOwner = 00060850 ('Registration',
0012E378   10031A08     Text = "Registration failed, pleas
0012E37C   01EB3B08     Title = "Word to PDF Converter"
0012E380   00000010     Style = MB_OK|MB_ICONHAND|MB_APPLM
0012E388   1000CECC   DOC2PDF.1001E13A                      DOC2PDF.1000CEC7
0012E38C   10031A08     Arg1 = 10031A08 ASCII "Registratio
0012E390   01EB3B08     Arg2 = 01EB3B08 ASCII "Word to PDF
0012E394   00000010     Arg3 = 00000010

跟随地址，来到:

代码:

1000CE5A   .  E8 77020000   CALL 1000D0D6                            ;  关键CALL
1000CE5F   .  85C0          TEST EAX,EAX
1000CE61   .  74 43         JE SHORT 1000CEA6                        ;  注册判断跳转
........
1000CE73   .  6A 40         PUSH 40
1000CE75   .  50            PUSH EAX
1000CE76   .  68 441A0310   PUSH 10031A44                            ;  ASCII "Registration successed, thank for your registration!"
1000CE7B   .  8BCE          MOV ECX,ESI
1000CE7D   .  C745 FC 03000>MOV DWORD PTR SS:[EBP-4],3
1000CE84   .  E8 B1120100   CALL 1001E13A                            ;  调用MessageBoxA
........
1000CEB9   .  68 081A0310   PUSH 10031A08                            ;  ASCII "Registration failed, please check the code and try again!"
1000CEBE   .  8BCE          MOV ECX,ESI
1000CEC0   .  C745 FC 04000>MOV DWORD PTR SS:[EBP-4],4
1000CEC7   .  E8 6E120100   CALL 1001E13A                            ;  调用MessageBoxA

 

跟进关键CALL：

 

代码:

1000D0D6  /$  B8 D84F0210   MOV EAX,10024FD8
........
1000D100  |.  E8 52F5FFFF   CALL 1000C657                            ;  用户名小于2位则加上"AA"，取其前两位。有字母就转为大写，再与"3wefr23rw"组合为新字串。为节省篇幅，就不写跟进过程了- -!
........
1000D127  |.  50            PUSH EAX
1000D128  |.  E8 D5C0FFFF   CALL 10009202                            ;  MD5加密组合字串的32位输出
........
1000D15E  |.  E8 BDD20000   CALL 1001A420                            ;  MD5输出的前16位

........
1000D176  |.  E8 3C250000   CALL 1000F6B7                            ;  比较真假码，局部调用来自 1000880B, 1000D176
1000D17B  |.  59            POP ECX
1000D17C  |.  85C0          TEST EAX,EAX
1000D17E  |.  59            POP ECX
1000D17F  |.  75 03         JNZ SHORT 1000D184                       ;  跳过标志位置1
1000D181  |.  6A 01         PUSH 1
1000D183  |.  5B            POP EBX                                  ;  相当于 MOV EBX,1
1000D184  |>  834D FC FF    OR DWORD PTR SS:[EBP-4],FFFFFFFF
1000D188  |.  8D4D F0       LEA ECX,DWORD PTR SS:[EBP-10]
1000D18B  |.  E8 A3D10000   CALL 1001A333                            ;  CALL A333
1000D190  |.  8B4D F4       MOV ECX,DWORD PTR SS:[EBP-C]
1000D193  |.  8BC3          MOV EAX,EBX                              ;  EBX --> EAX
1000D195  |.  5E            POP ESI
1000D196  |.  5B            POP EBX
1000D197  |.  64:890D 00000>MOV DWORD PTR FS:[0],ECX
1000D19E  |.  C9            LEAVE
1000D19F  /.  C2 0800       RETN 8

 

附：在点SAVE AS PDF按钮会被断下，说明此时会进行判断...：


算法分析：
1，取用户名，不足两位的加"AA"，再取前两位，是字母的话转换成大写
2，和固定字符串"3wefr23rw"组成新字符串
3，标准MD5加密该字符串
4, 取前16位得到注册码


JS注册机源码[简单算法，各位见笑了]：

代码:

<script language="javascript" src="md5.js"></script>
<script language="JavaScript" type="text/javascript">
//No copyright (C) 11/21/2009   ty1921

function getCode(user) {
         var s0="";
         if (user.length<2)
         { user += "AA"; }                       //取用户名，不足两位的加"AA"
          user = user.substring(0,2);            //用户名截取   
          user = user.toUpperCase();             //用户名大写
          user += "3wefr23rw";                   //和固定字符串"3wefr23rw"组成新字符串
          s0 = MD5(user);                        //标准MD5加密
          ty.passwd.value = s0.substring(0,16);  //取前16位，得到注册码   
}
</script>
<form name="ty">
<table align="center">
    <tr>
         <td> user: <input  name="user" /></td>
    </tr>
    <tr>
         <td> code: <input readonly="readonly"  name="passwd" /></td>
    </tr>
    <tr>
         <td> <hr> </td>
    </tr>
    <tr>
         <td align="center"> <input type="button"  value=" get  it  " onclick="javascript:getCode(user.value)" /></td>
    </tr>
         <td align="center">
             <br>
             <font color="#808080" size="2">
                 <a href="http://bbs.chinaPYG.com" style="text-decoration: none">bbs.chinaPYG.com</a>  ty1921^_^
             </font>
        </td>
    </tr>
</table>
</form>

总结：
1，算法很简单，适合我等新手学习，比上一个屏幕保护那软件有很大的差别
2，注册信息保存在HKEY_USERS/S-1-5-21-1343024091-57989841-1417001333-500/Software/Pdf-convert/word2pdf/DataInfo下，如果找不到，请在注册表中直接搜索你输入的用户名或注册码
3，标准的MD5.JS请在网上搜素下载。[因为不能上传附件，(⊙o⊙)]

4，最新下载的V3.0版本算法没有改变，但字符串已经更改，在这里提供两组注册码，一组不行换另外一组：

 

用户名/注册码： ty1921/ef0f2eba70c7a00d

                或： ty1921/1e43681f1ea3a064