精华公布栏

发信人: Fei_Hu@bbs.ustc.edu.cn (鱼儿), 信区: cnhacker
标  题: hacker(6)
发信站: 中国科大BBS站 (Tue Oct  6 03:05:15 1998)
转信站: Lilac!ustcnews!ustcbbs

� Area: CRACK.CHINA [加密&解密讨论信区] --------------------------------------
  编号: 243                                          日期: 21 May 97  14:25:18
  来自: Che Ming                                     读取: 是     已回信: 否
    到: All                                          标示:
  提要: Crack 精华 [06/20]
------------------------------------------------------------------------------
>>> 信件 6/20

288A:40FA  处, BPMB 288A:40FA, 然後下 Go 让程式全速执行, 以後只要 Read/Write
到  288A:40FA  系统就会自动中断回到 SOFT-ICE 划面中, 此时就要注意有没有 CMP,
MOVSW 等等的指令, 因为往往程式中会作一些搬移的动作後再作比较, 所以你要特别注
意此段注册码被搬到那里去了,  还好  FileList 只搬了一次, 假设搬到了 288A:4055
所以也设 BPMB 288A:4055, 然後再 Go 看看, 原本的 288A:40FA 马上移作它用了, 所
以把它  Disabled 掉, 然後你会看到 288A:4055 有动作了, 一个 Byte 一个 Byte 的
读出,   和另一段  Address  内的资料作比较,  假设是  288A:4036,  所以赶快看看
288A:4036  内的资料, 没错, 刚好 16 Bytes 就是程式帮我们算出的注册码, "抄" 下
来吧, 下回重新设定时用的上.

当然知道了真正注册码存放的位址, 你也可以 BPMB 设中断点至该 Address, 但要不要
了解其计算的方法就看你罗.

FileList  在用  SOFT-ICE  Trace  时喇叭会 Beep Beep 的叫, 你只要有耐心, 就会
Trace 的出.

本篇只刊出原理, 请 User 自己去 Trace 多学点 Trace 的经验吧.

= 9. Game 的实例破解教学--01 ================================================

西游记外传密码破解教学
----------------------
程式保护是以 PASSWORD 的方式, 你有三次机会输入 PASSWORD, 三次都错
误, 回到 DOS 後你会发觉系统马上就会当掉了.
此保护最 "不人道" 的地方就是要用一片红色的 "压克力" 板子放在手册上
方能看出真正的密码, 这对 "原版" 的使用者而言实在 "不人道", 但对非
法拷贝的盗版者而言跟本就发生不了任何 "保护" 的效用.

底下的范例是我最早发现, 以为就是保护的地方, CS 及 IP 当然不是原来
的位址, 纯脆是为了解说方便 Keyin 进记忆体再反组译出来的, 所以有些
CALL 及 JUMP 的位址不是真正的位址, 但只要了解原理就好.

当用 SOFT-ICE 分析完其读入 Keyboard 的副程式後 (你如果不知道它是如
何作的, 可以拦一下 I/O 60h 的地方, 因为 60h/61h 就是 Keyboard 硬体
I/O 的位址), 程式会执行到 CS:0119h 的地方, 执行完 CALL 副程式後以
AX 的值来判定刚刚输入的密码正确与否, 你会发现如果密码错误, AX 的值
会是 1, 所以 OR AX,AX 的命令执行完後, Zero 的旗标为 0, 因为 OR 1,1
的结果还是 1, 程式会跳到 CS:130h 的地方, 然後将 [BP-0A] 的内容加 1
并判断是否小於或等於 3, 如果小於或等於 3 则跳到 CS:148h 的地方, 然
後程式会在回到输入密码的副程式去, 如果大於 3, 表示你的 "机会" 都用
完了, 而且没有一次输入对密码, 将 [BP-16] 设定为 0, 再跳回主程式段
去, 如果在 CS:121h 处 AX 为 0 代表密码正确, 则 [BP-16] 会设定为 1
再跳回主程式段, 所以刚开始以为不管 CS:11Fh 的 OR AX,AX 执行结果如
何, 都继续执行 CS:123h 的程式, 也就是不管密码比对正确与否,  都将
[BP-16] 设定为 1, 让以後的主程式段以为密码比对正确, 所以 CS:121h
的程式改成 JMP 0123 (75 00) 或 NOP (90 90) 就可以骗过保护了.

事实上有许多的保护程式段,  的确都可以如此 "破解", 但是此套 Game 却
在後来战斗的过程中再度比对密码, 使得敌人一攻击, 就可以击毙孙悟空,
所以此地方并不是真正我们要修改的地方.

3811:00FB 9A3C180000     CALL   0000:183C
3811:0100 83C404         ADD    SP,+04
3811:0103 8946EE         MOV    [BP-12],AX
3811:0106 FF76EE         PUSH   [BP-12]
3811:0109 FF76FA         PUSH   [BP-06]
3811:010C 57             PUSH   DI
3811:010D 8B46FE         MOV    AX,[BP-02]
3811:0110 6BC00A         IMUL   AX,0A
3811:0113 0346FC         ADD    AX,[BP-04]
3811:0116 50             PUSH   AX
3811:0117 90             NOP
3811:0118 0E             PUSH   CS
3811:0119 E8E902         CALL   0405
3811:011C 83C408         ADD    SP,+08
3811:011F 0BC0           OR     AX,AX
3811:0121 750D           JNZ    0130
3811:0123 C746EA0100     MOV    Word Ptr [BP-16],0001
3811:0128 C746F80100     MOV    Word Ptr [BP-08],0001
3811:012D E9AF01         JMP    02DF
3811:0130 33F6           XOR    SI,SI
3811:0132 FF46F6         INC    Word Ptr [BP-0A]
3811:0135 837EF603       CMP    Word Ptr [BP-0A],+03
3811:0139 7E0D           JLE    0148
3811:013B C746EA0000     MOV    Word Ptr [BP-16],0000
3811:0140 C746F80100     MOV    Word Ptr [BP-08],0001
3811:0145 E99701         JMP    02DF
3811:0148 6A07           PUSH   07
3811:014A 1E             PUSH   DS
3811:014B 688217         PUSH   1782
3811:014E 9A29260000     CALL   0000:2629

在 90 网的 COPY-BOARD 区有一种破解法如下所示 :
[同样的 CS 及 IP 都不是原来的值, 和上述的程式段也无关]

在 CS:132h 处程式判断 [BP-08] 是不是 0, 由上一段程式分析中你可以看
到如果有输入了密码, 则 [BP-08] 会设定成 1, 在 90 网有人将 CS:136h
的 JNZ 判断指令改成了 JMP 的指令, 也就是不管有没有输入密码都当作以
经输入了, 然後在 CS:149h 的地方程式判断  [BP-16] 是不是 0, 由前面
的分析我们也知道密码正确, [BP-16] 会设定为 1, 所以此处的 JNZ 指令
也改成 JMP, 当作密码输入正确, 这和前面第一次改的可以说是一样的, 都
以为改成功了, 谁知敌人一攻击就毙命.

3811:0104 9A3A2C0000     CALL   0000:2C3A
3811:0109 83C40A         ADD    SP,+0A

>>> 未完, 待续 ...
-!- 蓝波车明汉化版 v2.30
! Origin: Huachu Information BBS华储资讯站(024-3846411) (6:651/240)

--
※ 来源: 中国科大BBS站 [bbs.ustc.edu.cn]