160个Crackme003之4C大法详解

文章目录

查壳
去Neg
- 方法一 Timer搜索法
- 方法二 4C法
- - Virtual Basic可执行程序结构研究
  - - Virtual Basic程序框架结构
    - TVBHeader结构定义
    - AGUTTable(4C的位置)结构定义
  - 4C法实战
破解序列号
- 第一步
- 第二步
- 第三步
- 第四步
- 验证结果
编写注册机

之前在网上搜索了下关于这个Crackme的分析，好像并没有看到比较详细的分析文章，4C法的原理也没有解释的很清楚。所以就发出来了。

查壳

程序使用VB5.0写的无壳

去Neg

程序打开后会有大概7秒的弹窗

在这7秒内什么都不能干，所以第一件事就是把这个7秒的neg给去掉

方法一 Timer搜索法

首先将内存定位到程序开始处0x401000

搜索Timer，Timer是VB程序默认的定时器变量，

我们找到Timer之后在上面的位置可以看到一个0x1B58，这个是计时器的秒数。也就是十进制的7000,7000毫秒就是7秒。所以第一种去Neg的方法就是将0x1B58改为0x0001

但是此种方法也有一定的局限性，如果程序的作者将计时器的默认名称改掉之后根本无法在内存中搜索到Timer关键字也就无法下手。下面介绍一种通用的解决方法

方法二 4C法

Virtual Basic可执行程序结构研究

对于Visual Basic5/6编译生成的程序，不管自然编译还是伪编译，其程序入口点处的结构都是一样的。来到OEP处：

指针0x4067D4指向的结构就是Virtual Basic程序的VBHeader结构，由此伸展开，整个VB程序的框架就在这了。

Virtual Basic程序框架结构

可能的Virtual Basic程序框架结构如图

TVBHeader结构定义

Signature                array[1..4] of char;        //00H签名，必须为VB5！
Flagl                   WORD；                       //04H.未知标志
LanguageDll             array[1..14] of char;       //06H语言链接库名，通常为”*"或者vb6chsdll
BackLanguageDll         array[1..14] of char;       //14H.后备语言链接库名
RuntimeDLLVersion       WORD；                       //22H运行库版本
Languageld              DWORD：                      //24H语言标识
BackupLanguageID        DWORD；                      //28H，未知标志
aSubMain                DWORD；                      //2CH，不为00000000则指向Sub MainO指针
aProjectlnfo            DWORD                      //30H.指针，指向tProjeclnfo结构
Plag2                   WORD；                      //34H未知标志
Flag3                   WORD；                      //36H.未知标志
Flag4                   DWORD；                     //38H未知标志
ThreadSpace             DWORD；                     //3CH.线程空间
Flag5                   DWORD；                     //14H未知标志
ResCount                WORD；                      //44H.数量，表示form与cls文件个数
ImportCount             WORD；                      //46H.数量，引用的ocx、dll文件个数
Flag6                   BYTE：                     //48H未知，可能代表运行时程序所占内存大小
Flag7                   BYTE；                     //49H未知，可能与程序启动时花费时间有关
Flag8                   WORD；                     //4AH.未知
AGUTTable               DWORD;                   //4CH.指针，指向Form GuI描述表
AExdCompTrble           DWORD;                    //50H指针，指向“引入的ocx、dll文件描述表
Aproicclpescrinion      DWORD;                   //54H，指针；指向tProjectDescriptionTable的指针
OProjectExename         DWORD                    //58H.偏移，Offset ProjectExename
OProjectTitle           DWORD；                   //5CH，偏移，Offset Projectitle
OHelpFile               DWORD；                   //60H.偏移，Ofset Helpile
OProjectName            DWORD.                   //64H.偏移，Offset ProjectName

AGUTTable(4C的位置)结构定义

Signature                DWORD                   //00H.必须是50000000
FomID                   TGUID                   //04，可能是以GUID方式命名的formID
Index                   BYTE                    //24H 窗体的序号
Flag1                   BYTE                    //28H 第一个窗体的启动标志，可能是90 也可能是10
AGUIDescriptionTable    DWORD                   //48H指针指向以“FFCC…“开始的FormGUI表
Flag3                   Dword                   //4CH.意义不明

以AfKayAs.2.Exe为例说明：

其对应每个字节的含义如下表

offset	含义
00H	VB5!
04H
06H	语言链接库名
14H
22H	04代表msvbvm50.dll版本
24H	语言标识
28H
2CH	00000000表示非由sub_main启动
30H	指向ProjectInfo结构
34H
36H
38H
3CH
40H
44H	只有2个FROM
46H	引用的OCX DLL文件个数为0
48H
49H
4AH
4CH	Ptr 0040126C
50H	若没有引入的ocx,dll文件，此指针无效
54H	指向tProjectDescriptionTable的指针
58H	ProjectExename
5CH	ProjectTitle
60H	HelpFile
64H	ProjectName

4C法实战

在程序载入到入口点之后的第一个push也就是VBHeader的位置，数据窗口跟随。

然后在数据窗口输入刚才的地址+4C，找到form GUI描述表的指针

数据窗口跟随DWORD

接着会来到一块有规律的数据区域，每一个小块的数据是每一个窗体的信息，其中00和01是窗体的序号而10是第一个窗体的启动标志。

所以我们只要把第一个窗体数据块的00改成10 然后把第二个窗体的数据块的10改成00，或者将窗体的序号调换。即可去除neg。

破解序列号

这个程序和002那个程序一模一样无非是换了套浮点算法而已就算你看不懂浮点指令也可以通过单步跟踪观察FPU栈的数值猜测到序列号

首先输入一个错误的用户名和序列号

下面是验证步骤

第一步

还是和002一样获取用户名长度然后根据得到的结果算出来一个值我这里这个结果为622287

第二步

第二步首先将刚才计算的结果转为浮点数放入到FPU栈然后将结果加上2.0 得到622289。逆向这个程序你并不需要看懂每一条浮点指令，只需要单步跟踪然后时时观察FPU栈的情况。

第三步

还是将刚才的结果转为浮点数并入栈然后将622289乘以一个值再减去一个值最后得到结果ST0=1866865

第四步

将刚才的结果1866865减去一个值得到结果1866880 到此校验就结束了

验证结果

编写注册机

接下来使用Keymake编写注册机，设置如下

接着运行注册机出现了正确的序列号，至于为什么会出现两次，这个我也不知道，这个软件我用的并不熟。哈哈就这样吧。

需要udd文件和分析文档的可以到我的Github下载：https://github.com/TonyChen56/160-Crackme