一个kegenMe的简要分析与kegen

renwoxiao

一：去掉烦人的音乐
这个kegenme比较吵，
Ctrl+N，看看调用了那些与音乐相关的函数
winmm.waveOutClose
winmm.waveOutGetPosition
winmm.waveOutOpen
winmm.waveOutPrepareHeader
winmm.waveOutReset
winmm.waveOutUnprepareHeader
winmm.waveOutWrite
显示，从函数的名称可以看出waveOutOpen是音乐的开启函数
在它上面右键->在每个参考上设置断点，F9运行
来到：

1. 
   
2. 00403FAA   $- FF25 9C504000 jmp dword ptr ds:[<&winmm.waveOutOpen>]            ;  WINMM.waveOutOpen
   

复制代码

Alt+F9
来到：

1. 
   
2. 00040192F      E8 76260000   call <jmp.&winmm.waveOutOpen>
   
3. 00401934  |.  85C0          test eax,eax
   
4. 把call <jmp.&winmm.waveOutOpen> nop掉，保存，然后启动改后的程序，世界清静了 ^_^
   

复制代码

****************************************************************************
二：unlock key分析
现在开干正事：
0040123D   cmp eax,6   ;  注册名的长度必须大于6
这个KeyGenme的unlock Key和active Key都只跟用户名的前6位有关

1. 
   
2. 00401359  push eax                                   ; eax为用户名的第一位，即name[0]
   
3. 0040135A  xor eax,dword ptr ds:[edx*4+406000]        ; dword ptr ds:[edx*4+406000] 是根据edx的值到一张固定的表table1中取取值，把值取出来后eax异或
   
4. 00401361  push eax                               
   
5. 00401362  and eax,0FFFF                              ;取出eax的后16位
   
6. 00401367  mov ebx,eax
   
7. 00401369  pop eax
   
8. 0040136A  and eax,FFFF0000                             ;取出eax的前16位
   
9. 0040136F  imul eax,ebx                                     ;eax的前16位与后16相乘
   
10. 00401372  xor eax,ebx                                     ;上面相乘的结果和eax的后16位相加
    
11. 00401374  mov dword ptr ds:[edi],eax                 ; 把上面的结果放入一张空表table2[0]中(table2为一个二维表)
    
12. 00401376  add edi,4
    
13. 00401379  add edx,4
    
14. 0040137C  pop eax
    
15. 0040137D  loopd short 1.00401359                     ;根据ecx来判断循环是否要继续（共循环6次）
    

复制代码

1. 
   
2. 00401380   push edi
   
3. 00401381   call 0040152B               ;这是一个算法call
   

复制代码

进入这个call后来到：

1. 
   
2. 0040153F  mov al,byte ptr ds:[esi]       把表table2[0]中的数据取出来（00401374处存入的数据）
   
3. 00401541  cmp al,0
   
4. 00401543  je short 1.0040155D           判断al是否为0，如果为0就跳出循环 相当于一个break；         
   
5. 00401545  div bx                        al的值对bx=2求余
   
6. 00401548  or dx,dx           
   
7. 0040154B  jnz short 1.0040155A          判断余数是否为0，如果为0就进行下一次循环 相当于continue
   
8. 0040154D  inc ecx
   
9. 0040154E  inc esi
   
10. 0040154F  push ecx
    
11. 00401550  push dword ptr ss:[ebp+8]                        
    
12. 00401553  call 1.00401562                ;这是一个算法call
    
13. 00401558  jmp short 1.0040153F
    
14. 0040155A  inc esi
    
15. 0040155B  jmp short 1.0040153F
    

复制代码

进入call 00401562后来到

1. 
   
2. 0040156E  mov al,byte ptr ds:[esi]   ;把表table2[0]中的数据取出来给al
   
3. 00401570  xor al,10                  ;al与16作异或
   
4. 00401572  mov byte ptr ds:[esi],al   ;把异或后的结果存入表table2[0]中
   
5. 00401574  inc esi
   
6. 00401575  loopd short 1.0040156E     ;循环
   

复制代码

后面有5处是上面的重复
只不过eax不再是name[0],而分别是name[1],name[2],name[3],name[4],name[5]
上面的table2[0]表分别换成table2[1]，table2[2]，table2[3]，table2[4]，table2[5]
004013DD  push eax
0040141D  push eax
0040145D  push eax
0040149D  push eax
004014DD  push eax

上面的程序用c++实现就是：

1. 
   
2. UINT table1[]={0x77073096,0x706AF48F,0x79DCB8A4,0x7EB17CBD,0x6AB020F2,0x6DDDE4EB,
   
3.                0x646BA8C0,0x63066CD9,0x4C69105E,0x4B04D447,0x42B2986C,0x45DF5C75,
   
4.                0x51DE003A,0x56B3C423,0x5F058808,0x58684C11,0x01DB7106,0x06B6B51F,
   
5.                0x0F00F934,0x086D3D2D,0x1C6C6162,0x1B01A57B,0x12B7E950,0x15DA2D49,
   
6.                0x3AB551CE,0x3DD895D7,0x346ED9FC,0x33031DE5,0x270241AA,0x206F85B3,
   
7.                0x29D9C998,0x2EB40D81,0x9ABFB3B6,0x9DD277AF,0x94643B84,0x9309FF9D};
   
8. UINT table2[7][10]={0};
   
9. for(i=0;i<6;i++)
   
10. {
    
11.    for(j=0;j<6;j++,k++)
    
12.      {
    
13.         temp=name[i]^table1[k];
    
14.         temp1=temp&0x0FFFF;
    
15.         temp2=temp&0x0FFFF0000;
    
16.         temp2=temp1*temp2;
    
17.         temp2=temp2+temp1;
    
18.         table2[i][j]=temp2;
    
19.    }
    
20.         change1((char *)&table2[i][0]);               
    
21.                
    
22. }
    
23. 其中：
    
24. void change1(char* table)
    
25. {
    
26.   int j=1;
    
27.   for(int i=0;i<24;i++)
    
28.   {
    
29.      if(table[i]==0) break;
    
30.      if(table[i]%2!=0) continue;
    
31.      j++;
    
32.      change2(table,j);
    
33.   }
    
34. }
    
35. 等同于算法中的call 0040152B
    
36. 其中：
    
37. void change2(char* table,int n)
    
38. {
    
39.   for (int i=0;i<n;i++)
    
40.     {
    
41.         table[i]^=0x10;
    
42.     }
    
43. }
    
44. 等同于call 00401562
    

复制代码

1. 
   
2. 00401595  inc edx
   
3. 00401596  add esi,10
   
4. 00401599  add eax,dword ptr ds:[esi]                       
   
5. 0040159B  add esi,4                                       
   
6. 0040159E  loopd short 1.00401599    ;
   
7. 把上面的表table2[i]（i=0,1,2,3,4,5）中的值分别累计求和
   
8. 得到sum[i]（i=0,1,2,3,4,5）
   

复制代码

1.                   
   
2. 004015A0  mov ecx,6                                         
   
3. 004015A5  push eax                                          
   
4. 004015A6  mov dword ptr ds:[ebx],eax                        
   
5. 004015A8  add ebx,4                                         
   
6. 004015AB  xor eax,eax                                       
   
7. 004015AD  cmp edx,5                                         
   
8. 004015B0  jnz short 1.00401595                              
   
9. 004015B2  push 1.004068A9                                    
   
10. 004015B7  push 1.0040686D                                   
    
11. 004015BC  call <jmp.&user32.wsprintfA>  ;      
    

复制代码

把 sum（i=0,1,2,3,4,5） 以16进制的形式格式输出
如：name为：f3k0eibj0对应的
sum[0]=0X0B9A93087,sum[1]=0X0AA5CEF63,sum[2]=0X0EBCEC057
sum[3]=0X,sum[2]=0X0F7E943A7,sum[2]=0X44BF762B,sum[2]=0X0CD913F5F
结果就是：CD913F5F44BF762BF7E943A7EBCEC057AA5CEF63B9A93087
这个结果就是我们的unlock Key

1. 
   
2. 00401269  push 1.0040686D                                    ;  ASCII "CD913F5F44BF762BF7E943A7EBCEC057AA5CEF63B9A93087"
   
3. 0040126E  push 1.004066B1                                    ;  ASCII "CD913F5F44BF762BF7E943A7EBCEC057AA5CEF63B9A93087"
   
4. 00401273  call 1.00401634
   
5. 00401278  test eax,eax
   
6. 0040127A  je short 1.004012CF
   

复制代码

把你填入的unlock Key码和真码比较，看是否相等
**********************************************************************************
三 active Key的分析

1. 
   
2. 004012B8  push eax                  
   
3. 004012B9  push edi
   
4. 004012BA  push esi
   
5. 004012BB  call 0040165F   //一个算法call
   
6. 004012C0  add esi,28
   
7. 004012C3  add edi,28
   
8. 004012C6  add eax,2
   
9. 004012C9  loopd short 1.004012B8 //循环5次
   

复制代码

进入上面的call后

1. 
   
2. 00401675  mov ax,word ptr ds:[esi]   //取出上面table2[i]中的值（i=0,1,2,3,4）
   
3. 00401678  mov bx,word ptr ds:[edi]   //取出上面table2[i+1]中的值
   
4. 0040167B  call 00401690                    //一个算法call
   
5. 00401680  add word ptr ds:[edx],ax  //[edx]和ax相加，相加的结果放入表tablek中即[edx]
   
6. 00401683  add esi,2
   
7. 00401686  add edi,2
   
8. 00401689  loopd short 00401675     //循环24次
   

复制代码

进入call 00401690

1. 
   
2. 00401690  cmp ax,bx
   
3. 00401693  jb short 1.00401697
   
4. 00401695  xchg ax,bx //看ax和bx哪个大，大的给bx，小的给ax
   
5. 
   
6. 00401697  sub bx,ax //大数减去小数
   
7. 0040169A  jnz short 1.00401690
   

复制代码

上面用c++实现就是：

1. 
   
2. for(i=0;i<5;i++)
   
3. {
   
4.     gettable((WORD *)table2[i],(WORD *)table2[i+1],i);
   
5.     if(i==3) scpy(table2[6],(UINT*)tablek);
   
6. }
   
7. 其中：
   
8. void gettable(WORD* table1,WORD* table2,int index)
   
9. {
   
10.    int i=0;
    
11.    int temp=0;
    
12.    for (i=0;i<0x18;i++)
    
13.    {
    
14.       temp+=sub(table1[i],table2[i]);
    
15.    }
    
16.    tablek[index]=temp;
    
17. }
    
18. 
    
19. 相当于call 0040165F
    
20. 其中：
    
21. int sub(int a,int b)
    
22. {
    
23.    int max=a>b?a:b;
    
24.    int min=a<b?a:b;
    
25.    int temp=0;
    
26.    for(;;)
    
27.    {
    
28.      max=max-min;
    
29.      if(max<min)
    
30.         {
    
31.            temp=max;
    
32.            max=min;
    
33.            min=temp;
    
34.         }
    
35.    if(min==0)        break;
    
36. 
    
37.   }
    
38.   return max;
    
39. }
    
40. 相当于：call 00401690
    

复制代码

1. 
   
2. 004016C4  xor eax,7D079EB1
   
3. 004016C9  mov edx,4ADFA541
   
4. 004016CE  xor eax,edx
   
5. 004016D0  sub eax,3F4D1
   
6. 004016D5  imul eax,eax,33
   
7. 004016D8  loopd short 1.004016C4                           
   
8. 004016DA  cmp eax,CE337A1C
   
9. 004016DF  jnz short 1.004016EA
   

复制代码

//注册码的长度必须为48位,可以写一个小程序穷举出来

1. 
   
2. int main(int argc, char* argv[])
   
3. {
   
4.    int i=0;
   
5.    int j=0;
   
6.    unsigned int temp=0;
   
7.    for(i=1;;i++)
   
8.      {
   
9.         temp=i;
   
10.         for(j=0;j<6;j++)
    
11.         {
    
12.           temp^=0x7D079EB1;
    
13.           temp^=0x4ADFA541;
    
14.           temp-=0x3F4D1;
    
15.           temp=(temp*0x33)&0xFFFFFFFF;
    
16.      }
    
17.    if(temp==0x0CE337A1C) break;
    
18.    }
    
19.    printf("这个数是：%d",i);
    
20.    return 0;
    
21. }
    

复制代码

1. 
   
2. 00401723   mov bl,byte ptr ds:[edi]                     
   
3. 00401725   cmp bl,30
   
4. 00401728   jb short 1.00401733     
   
5. 0040172A   cmp bl,39
   
6. 0040172D   ja short 1.00401733
   
7. 0040172F   jmp short 1.00401746
   
8. 00401731   jmp short 1.00401746
   
9. 00401733   cmp bl,41
   
10. 00401736   jb short 1.00401741
    
11. 00401738   cmp bl,5A
    
12. 0040173B   ja short 1.00401741
    
13. 0040173D   jmp short 1.00401746
    
14. 0040173F   jmp short 1.00401746
    
15. 00401741   jmp 1.00401827
    
16. // active Key的每一位只能是数字或大写字母
    

复制代码

1. 
   
2. 00401746  mov al,byte ptr ds:[esi]               
   
3. 00401748  call 00401690
   
4. //unl key的i位和active Key的i位作一运算，这个运算就是前面提到的int sub(int a,int b)
   

复制代码

1. 
   
2. 00401752   mov dx,word ptr ds:[ebx]        ；取出[ebx]中的值给dx，就相当于在talbleK中取值
   
3. 00401755   xor dx,word ptr ds:[ebx+4]      ;异或运算
   
4. 00401759   add dx,word ptr ds:[ebx+8]      ;加法运算
   
5. 0040175D   sub dx,word ptr ds:[ebx+B]      ;减法运算
   
6. 00401761   imul eax,edx                    ;乘法运算
   
7. 00401764   xor edx,edx
   
8. 00401766   push eax                                          
   
9. 00401767   call 1.004016F3                 //对eax的值开方取整
   

复制代码

1. 
   
2. 004017F1   div cx    上面的eax对cx求余
   
3. 004017F4   or dx,dx
   
4. 004017F7   pop ecx
   
5. 
   
6. 0040180F   jnz 00401602上面求余的结果必须为0
   

复制代码

大功告成
给一组：
Unlock key：    ADBA3DEB9CDDA6071EC143A7C75DFEEF38CBDF4B631D20AF
User name：     r668o6y8
Activation key：010011001010001001001100000001001200101011000100
********************************************
注：原程序和keygen的源码在附近里面
这个程序的用户名有限制是我后来才知道的，所以我的keygen有点问题，有时候点产生，不出来信息
多点几次就可以了

dh0807

“无字天书”高深  /:L

chadd

看一下这个软件的声音

yanhuohua999

我OD一载入就异常啊！！！直接退出不知道怎么回事！

火凤凰

真够详细的，要慢慢看

kostlzp

写得很详细，学习了！

mrhz

不懂，不懂还不懂啊

keyule

谢谢 :loveliness: :loveliness:

as3852711

出来冒个泡先！/:good /:good /:good