精华公布栏

发信人: Reinhard.bbs@bbs.sjtu.edu.cn (摘星的人), 信区: cnhacker
标  题: DOS下软件解浅谈 (三) -- Alex 整理(转寄)
发信站: 饮水思源站 (Fri Apr 25 20:09:44 1997)
转信站: Lilac!ustcnews!ustcnews!sjtunews!sjtubbs
出  处: bbs.sjtu.edu.cn

发信人: kevin@SMTH (老人与海), 信区: Hacker
标  题: DOS下软件解浅谈 (三)
发信站: 水木清华  (Sun Nov 12 19:42:53 1995)
转信站: SMTH

                              0========================0
                              |  DOS下软件解浅谈  (三) |
                              +========================+
| 清华大学计算机科学与技术系  何开川
| EMAIL：hyj-dmp@mail.tsinghua.edu.cn

六  破解实例∶
        光说不练，是很难提高解密水平的，下面就让我们通过一些简单的例子
来理解文中讲述的方法和思路。

【解拆实例一】∶破COMBAT(魔鬼训练营)之PASSWORD
         (1)环境描述∶
         COMBAT为一早期PC机上动作游戏，由menu.exe,  damn.exe组成主
干，其运行过程是先运行menu.exe让你输入密码，若输入正确则开始游戏，否
则退出。
        (2)破解思路∶
         在输入密码时直接用CTRL+D断入，首先确认是断在了程序menu.exe
的内存区里，然后从当前DS所含段址开始搜索断入SOFT-ICE前已输入的密
码(我输入的是father,但注意，我并未按回车),如∶ father，找到了一处地址A。
可推知，menu.exe将来判断密码时必要读取地址A处的若干字节。于是在地址
A设内存断点(bpm A)，继续运行，按回车后断点被激活、进入SOFT-ICE。接
下去跟踪，发现有一段程序对A处所存之字符串进行归简运算和一些判断，可
猜想此段程序之后要进入"关键点"了。果然，跟出了这一子程后发现如下代码∶
                xxxx:c59        cmp     byte ptr [bp-13],0
                xxxx:c5d        jnz     c7b
                xxxx:c5f                call    95c              ;掉入此支路则显示"Incorrect ...."
                                call    1e7d
                                call    87a
                xxxx:c7b        cmp     byte ptr [bp-13],0
                xxxx:c7f        jnz     c84
                xxxx:c81        jmp     984                                     ；向前跳，不妙！
                xxxx:c84        mov     sp,bp
                                pop     bp                                      ；摆好了正常退出的架式，有希望
                                pop     di
                                pop     si
                                ret
        经分析，发现只有当c59和c7b两处判断均"不等"时，才会正确进入游戏，
于是，把c5d处指令改为 jmp       c84即可。

【解拆实例二】∶破"欢乐麻将"之PASSWORD
        (1)环境描述∶
                一上来连考三道题目(麻将知识) ，回答在A-Z之间选(用光标键控制方
向，用<ENTER>选取)，三道答错则退到DOS。
        (2)破解思路∶
                前面提到过GAME BUSTER在解密时也可派上用场，就让我们拿这个例
子作为说明吧。
                a.)用GAME BUSTER跟踪光标键控制的"白框"的位置(这对游戏高手们
来说应该不难吧)
                b)分析得到两个地址，一个是刷新前坐标，一个是刷新后的坐标，皆用
BPM锁之(设读、写断点)。
                c)X<enter>退到游戏后会连续跳出几次断点，因此时尚为按<ENTER>，
故不予理睬，直至按下<ENTER>选中某一字母时，开始关注断点。
                d)容易发现弹出某次"读"断点后，程序将该地址内容(即我们所选的答案)
与AX比较，等则跳，实际总是不等，因为我们输入的答案不对，故将该条件转
移改为无条件跳入正确支路即可。

【解拆实例三】∶破GODS(魔法战神)之PASSWORD
        (1)环境描述∶
        进入后用键盘输入密码(<ENTER>表示输入完成)，正确则进入主画面，
否则退出。
        (2)破解思路∶
   　法一∶(中途拦截)
                用BPINT 16监视键盘服务例程，掉入INT 16 后，发现该例程为游
戏自己写的键盘服务程序，跟出该例程，找到其处理按键的多路分支，顺着处理
ASCII码13的一路跟进去(想想看，为什么? 提示一下，１３Ｈ是＂回车＂的
ASCII码) ，可看到一条CMP指令比较密码是否正确，改之即可。

        (2)法二∶(迂回前行法)
                考虑到GODS.exe只是一个很短的"子进程"，被主进程调用(另一
EXE程序)，用来判断密码，若正确则以某种返回码返回主进程，否则退到DOS。.
因而我们是不是可以绕一个圈子，兜过GOD.EXE的密码判断部分、直接返回主
进程(带回正确的返回码)来达到解密目的呢? 答案是肯定的。我们只需在
GODS.EXE的某处(必须在检查密码的代码之前)插入指令∶
                                MOV     AX，4C00
                                INT             21H
强行返回主进程即可。连断点都不用设，简单吧?

【解拆实例四】破"图象截取软件”(GET。。。) 之密钥盘检查∶
(1) 环境描述∶
                该软件有INSTALL.EXE安装，若不是原版盘则安装过程无法进行，程
序亦无法正确解包。
(2) 破解思路∶
        此例意在说明解密并不只限于游戏软件，事实上真正意义上的软件解密
往往是破解密钥盘一类的"高级PASSWORD"。
        既然要读盘，不妨拦一下INT   13。果然在其读钥盘时断了下来，我
们发现其对INT 13的调用发生在一个子程里，该子程返回后有下列语句∶
                 CALL 读盘子程
                 OR             AX,AX
                 JZ             某分支
                xxxx:   显示"非原版盘......"

                你该知道下面怎么做了吧?

【解拆实例五】破SOURCER  5.04序列号∶
(1) 环境描述∶
        软件第一次在新机器上运行时需输入正确的序列号，以后再在同一台机
器上可直接运行，若拷到新机器上运行则仍需输入序列号。
(2) 破解思路∶
        既然是从键盘输入序列号，自然想到在INT 16上设断点，断入 INT 16
的调用处后可在附近找到 CMP  AL，0D (检测最近输入的字符是不是回车符)
语句，跟入此分支可看到序列号比较部分，密码形式为类似于S123456-ABCD
比较分3段进行，只需动态地让三段比较的结果由不等变为"相等" ，(若理解了
前面的例子，这应不难吧)，即可将该软件在此机上"注册"，以后只要不换机器
就可直接运行。
        然而，这样解密尚不"彻底"，若能改成在任何机器上都不需注册就能直
接运行才好。让我们比较一下已"注册"和未"注册"的SR..EXE，发现两者的最后
三个字节不同，且这三个字节的格式正是BIOS日期的"年、月、日"。可猜想软
件运行开始时把当前ROM的日期和上次注册成功后存储的ROM日期做比较，
若相同则直接进入程序，若不同则要求用户输入"序列号"从新注册。于是从新跟
踪程序，用BPM在程序最后三个字节对应的内存地址处设断点，断入后发现程
序果然从ROM中取出日期同程序最后三个字节进行比较，相同时直接运行，那
么我们把此处比较改为"恒等"即可。
        此例说明解密的过程有时难以"一次到位"，通过换一个角度对已解软件
进行"二次分析"，可能会有新的发现。

七、深一步的探讨∶
                用本文所述方法可解大多数DOS下软件，特别是GAME软件，但还远
非全部.。有些软件用了动态解码技术，或经过了"压缩"处理，使得用SOFT-ICE
跟出来解法后仍无法对其代码做出"静态"的修改，这时就要编写TSR解密程序
来动态解密；有些游戏用DOS 4GW等保护模式的DOS-EXTENDER接口写成，
无法用SOFT-ICE之类的面对实模式的调试器来跟踪；有些专业级的加密软件采
取了多种反跟踪手段来防止动态分析.......对所有这些解密技术的讨论已超出了
本文的范围。不过，我相信，只要大家多动脑筋并且乐于实践，那么彻底掌握
DOS下的软件解密技术亦非难事。

八后记：
     原来看BBS的时候，发现很多解密方面的文章都是台湾的高手们POST的，在感叹
人家水平不凡的同时，也在想我们大陆不也有很多高手嘛，为什么我们的HACKER版总
有点冷清呢？想必是我们INTERNET连的晚，BBS也才刚刚建立起来嘛，总有一个过程不
是，我就先带个头，把这篇投校刊(《清华电脑》)的稿子POST上来了，
     在下不是什么高手啦，只是想借此文帮助想解密的朋友介绍一下基本思路，同时
也是对自己的一些经验的小小的总结，希望对您有所帮助。若您发现文中的任何错误
或有任何意见都欢迎给我EMAIL啦，我也特别希望喜欢琢磨加解密的朋友们能够多多交流，
这样大家才能共同提高嘛！

====================================================================
||   声明：本文仅供BBS转载，未经作者允许，请勿用于其它目的�    �  ||
====================================================================


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
  \ |  /            *** Soft Art Is the True Art***
  ( ~~~
  | @ @\           Kevin (老人与海) ////  Email:hyj-dmp@mail.tsinghua.edu.cn
   \ - |                 ~.~.~.~.~.~     =:||O>
    ====                           ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

--

                                                    沉默的人
                                                 Reinhard Young

※ 来源:·饮水思源站 bbs.sjtu.edu.cn·[FROM: 202.96.212.29]