精华公布栏

发信人: Fei_Hu@bbs.ustc.edu.cn (鱼儿), 信区: cnhacker
标  题: hacker(16)
发信站: 中国科大BBS站 (Tue Oct  6 03:07:45 1998)
转信站: Lilac!ustcnews!ustcbbs

� Area: CRACK.CHINA [加密&解密讨论信区] --------------------------------------
  编号: 253                                          日期: 21 May 97  14:25:28
  来自: Che Ming                                     读取: 是     已回信: 否
    到: All                                          标示:
  提要: Crack 精华 [16/20]
------------------------------------------------------------------------------
>>> 信件 16/20

     >读出 FPE4G.DAT 把其中'部份程式码段'与此 Key-Word 作相减运算编码
     >再读出硬碟资料,运算後作 Key-Word 为'程式码後半段'编码
     >最後Copy进硬碟

   2.其 FPE4G.COM 解码方式:
     >由硬碟资料经运算得 Key-Word 与程式码作相加解码
     >第一阶段解出前 2Bytes 为 90 90 表程式正确
     >第二阶段,执行相同解码段,Key-Word再与程式码作相加解码,解出'程式码後半段'
     >解出前 2Bytes 不为 90 90 ,跳至'程式码後半段'

   3.破解对策为 1) CD_INST.EXE中跳过乱数取值  ,保持其原值0,
                                 跳过读硬碟资料,保持其原值0,
                   则 Key-Word 为0,原程式码相当於未编码(减0=不减)

                2) FPE4G.COM中使第一阶段解码之 Key-Word 为0,
                   第二阶段 Key-Word 照常读硬碟资料作 Key-Word 解码

                   PS:因此段程式码需空间,故覆盖检查DOS版本之程式段
                      其检查原因为DOS4.x前INT25h用法有差异,
                      但现在还在用DOS4.x前版本的,应该找不到了吧! :)

* 程式码说明:

   1) CD_INST.EXE

     XXXX:0F8A  B0 06   MOV   AL,06        -             ---> 改为 JMP 1066
     XXXX:0F8C  E6 43   OUT   43,AL         |
         :0F8E   ...    IN    AL,40         | 此为密码随机取值!
         :0F90          MOV   [166D],AL     |
         :0F93          MOV   AL,40         |
         :0F95          MOV   [166C],AL    -
         :0F98          MOV   BX,000A
         :0F9B          PUSH  BX
         :0F9C          CALL  108A    <-- 第一次读硬碟资料之副程式进入点!
         :
         :                      ;运算 X 值
         :
         :0FBC          CALL  108A    <-- 第二次读硬碟资料之副程式进入点!
         :
         :                      ;运算 Y 值
         :
         :0FED          CALL  108A    <-- 第三次读硬碟资料之副程式进入点!
         :
         :                      ;运算 Page 值
         :
         :1017          PUSH Word Ptr [1348]      <-- Y
         :101B          PUSH Word Ptr [134A]      <-- X
         :101F          PUSH Word Ptr [1346]      <-- Page
         :
         :
         :1057          CALL 20C2       ;要求使用者输入密码
         :
         :
         :1063          MOV [00AA],AX       <--  Key-Word 存放处
         :1066          CALL 20D2       ;问 TARGET-Path           <-- 跳至此
         :
         :106E          CALL 070F       ;开始编码,Copy

   2) FPE4G.COM

         :4BE8          MOV  [4BC3],CS
         :4BEC          MOV  AH,30       --                --  覆盖改成:
         :              INT  21            | 检查DOS版本     |
         :              CMP  AL,04         |                 | XOR  AX,AX
         :              JNB  4C04        --                  | CMP  [34D4],AX
         :              MOV  AL,02       --                  | JZ   4C04
         :              MOV  CX,0001       |                 | MOV  [34D4],AX
         :              XOR  DX,DX         |                 | JMP  4C2D
         :              MOV  BX,0103       | DOS4.x前版本处理|
         :              INT  25            |                 |
         :              POPF               |                 | DS:[34D4] 为
         :              JMP  4C18        --                -- KeyWord 存放处
         ;              RET
         :4C04          MOV  AL,02
         :              XOR  DX,DX
         :               :
         :               :
         :4C15          INT  25                  --
         :4C17          POPF                       |
         :4C18          MOV  CX,0004               |
         :              XOR  BX,BX                 |
         :              MOV  SI,[BX+4BC5]          |   读硬碟资料+运算
         :              MOV  AX,[SI+0103]          |   求出 Key-Word
         :              ADD  [34D4],AX             |
         :              INC  BX                    |
         :              INC  BX                    |
         :              LOOP 4C1D                --
         :2C2D          CALL  4BAB                 ; 解码副程式进入点
         :              POPA
         :              POP  ES
         :              CMP  Word Ptr [4E46],9090  ; 判断解出程式正确否
         :              JNE  4C54

   3) FPE95.COM

>>> 未完, 待续 ...
-!- 蓝波车明汉化版 v2.30
! Origin: Huachu Information BBS华储资讯站(024-3846411) (6:651/240)

--
※ 来源: 中国科大BBS站 [bbs.ustc.edu.cn]