我的第三篇破文（一知半解）

wzwgp

【破文标题】我的第三篇破文（一知半解）
【破文作者】wzwgp
【作者邮箱】[email protected]
【破解工具】Ollydbg　PEiD　W32dsm
【破解平台】ＷｉｎＸＰ
【软件名称】SuperCleaner 2.89
【软件大小】409KB
【原版下载】http://www.onlinedown.net/soft/6433.htm
【开 发 商】http://www.southbaypc.com/
【保护方式】用户名＋序列号（３０天试用期）
【加入时间】2006-2-5 10:40:39
【下载次数】6555
【软件语言】英文
【软件类别】国外软件/免费版（华军上面是这么说的）/卸载工具
【运行环境】Win9x/Me/NT/2000/XP
软件详细信息
  是帮助用户清洗他们的计算机硬盘内不必要的文件的程序。它能扫描你的系统让你选择不再需要的文件进行删除。并能备份文件已避免你误删除有用的文件，此备份功能将不必要的文件扔进再循环箱，这样可以让你再必要的时候恢复信息。

【破解过程】

用PEiD查壳，无壳。Microsoft Visual C++ 7.0

用W32dsm的串式参考未找到注册成功信息，再ＯＤ载入，查找　所有参考文本字串，也未找到注册成功信息（可能是我水平低）。

输入用户名：wzwgp 序列号:12345678
下断bp MessageBoxA 断下后，未跟出名堂（可能是我水平低）。
重新下断　bp GetDlgItemTextA  来到：

77D6AC06 >  8BFF            MOV EDI,EDI  （f2取消断点）          ; USER32.GetDlgItemTextA
77D6AC08    55              PUSH EBP
77D6AC09    8BEC            MOV EBP,ESP
77D6AC0B    FF75 0C         PUSH DWORD PTR SS:[EBP+C]
77D6AC0E    FF75 08         PUSH DWORD PTR SS:[EBP+8]
77D6AC11    E8 8EA6FBFF     CALL USER32.GetDlgItem
77D6AC16    85C0            TEST EAX,EAX
77D6AC18    74 0E           JE SHORT USER32.77D6AC28
77D6AC1A    FF75 14         PUSH DWORD PTR SS:[EBP+14]
77D6AC1D    FF75 10         PUSH DWORD PTR SS:[EBP+10]
77D6AC20    50              PUSH EAX
77D6AC21    E8 084CFDFF     CALL USER32.GetWindowTextA
77D6AC26    EB 0E           JMP SHORT USER32.77D6AC36
77D6AC28    837D 14 00      CMP DWORD PTR SS:[EBP+14],0
77D6AC2C    74 06           JE SHORT USER32.77D6AC34
77D6AC2E    8B45 10         MOV EAX,DWORD PTR SS:[EBP+10]
77D6AC31    C600 00         MOV BYTE PTR DS:[EAX],0
77D6AC34    33C0            XOR EAX,EAX
77D6AC36    5D              POP EBP
77D6AC37    C2 1000         RET 10　　（f4、f7来到下面）

0042353D   .  68 00010000   PUSH 100                                 ; /Count = 100 (256.)
00423542   .  8D5424 0C     LEA EDX,DWORD PTR SS:[ESP+C]             ; |
00423546   .  52            PUSH EDX                                 ; |Buffer
00423547   .  68 F3030000   PUSH 3F3                                 ; |ControlID = 3F3 (1011.)
0042354C   .  56            PUSH ESI                                 ; |hWnd
0042354D   .  FFD7          CALL EDI                                 ; \GetDlgItemTextA
0042354F   .  E8 FCDAFFFF   CALL SuperCle.00421050
00423554   .  85C0          TEST EAX,EAX
00423556   .  75 78         JNZ SHORT SuperCle.004235D0
00423558   .  8D4424 08     LEA EAX,DWORD PTR SS:[ESP+8]
0042355C   .  50            PUSH EAX                                 ; /Arg2
0042355D   .  8D8C24 0C0100>LEA ECX,DWORD PTR SS:[ESP+10C]           ; |
00423564   .  51            PUSH ECX                                 ; |Arg1
00423565   .  E8 A6FDFFFF   CALL SuperCle.00423310                   ; \SuperCle.00423310

关键CALL  f7　跟进　来到

00423310  /$  55            PUSH EBP
00423311  |.  8BEC          MOV EBP,ESP
00423313  |.  83E4 F8       AND ESP,FFFFFFF8
00423316  |.  81EC 04010000 SUB ESP,104
0042331C  |.  53            PUSH EBX
0042331D  |.  8B5D 08       MOV EBX,DWORD PTR SS:[EBP+8]
00423320  |.  56            PUSH ESI
00423321  |.  57            PUSH EDI
00423322  |.  53            PUSH EBX                                 ; /Arg1
00423323  |.  E8 E8EDFFFF   CALL SuperCle.00422110                   ; \SuperCle.00422110
00423328  |.  83C4 04       ADD ESP,4
0042332B  |.  85C0          TEST EAX,EAX
0042332D  |.  74 09         JE SHORT SuperCle.00423338
0042332F  |.  33C0          XOR EAX,EAX
00423331  |.  5F            POP EDI
00423332  |.  5E            POP ESI
00423333  |.  5B            POP EBX
00423334  |.  8BE5          MOV ESP,EBP
00423336  |.  5D            POP EBP
00423337  |.  C3            RET
00423338  |>  33C0          XOR EAX,EAX
0042333A  |.  C64424 10 00  MOV BYTE PTR SS:[ESP+10],0
0042333F  |.  B9 3F000000   MOV ECX,3F
00423344  |.  8D7C24 11     LEA EDI,DWORD PTR SS:[ESP+11]
00423348  |.  F3:AB         REP STOSD
0042334A  |.  66:AB         STOSW
0042334C  |.  AA            STOSB
0042334D  |.  8D4424 10     LEA EAX,DWORD PTR SS:[ESP+10]
00423351  |.  50            PUSH EAX
00423352  |.  53            PUSH EBX
00423353  |.  33F6          XOR ESI,ESI
00423355  |.  E8 26E9FFFF   CALL SuperCle.00421C80
0042335A  |.  8B55 0C       MOV EDX,DWORD PTR SS:[EBP+C]

走到此处：

寄存器窗口显示
EAX 0012E448 ASCII "765-29900-635-8050"
ECX 7C839001 kernel32.7C839001
EDX 00000005
EBX 0012E660 ASCII "wzwgp"
ESP 0012E430
EBP 0012E548
ESI 00000000
EDI 0012E548
EIP 0042335A SuperCle.0042335A
堆栈窗口显示
0012E430   0012E660  ASCII "wzwgp"
0012E434   0012E448  ASCII "765-29900-635-8050"
0012E438   77D6AC06  USER32.GetDlgItemTextA

用户名：wzwgp
注册码：765-29900-635-8050

总结：不会分析算法，只能凭运气找注册码，有点小进步是对关键call有些一知半解，跟进后别有洞天。
该软件注册成功后的注册信息写入注册表（瑞星没有监测到，没试过专门的注册表工具），删除该软件后注册信息删不掉（要手工删），重新安装不用再输用户名、注册码。　　　　

cxx17

XUEXI  XUEXI

野猫III

祝贺的说。。。