本系列文章的目的是从一个没有任何经验的新手的角度(其实就是我自己)，一步步尝试将160个CrackMe全部破解，如果可以，通过任何方式写出一个类似于注册机的东西。

其中，文章中按照如下逻辑编排（解决如下问题）：

1、使用什么环境和工具

2、程序分析

3、思路分析和破解流程

4、注册机的探索

1、工具和环境：

WinXP SP3 + 52Pojie六周年纪念版OD + PEID + 汇编金手指。

160个CrackMe的打包文件。

下载地址： http://pan.baidu.com/s/1xUWOY  密码: jbnq

注：

1、Win7系统对于模块和程序开启了随机初始地址的功能，会给分析带来很大的负担，所以不建议使用Win7进行分析。

2、以上工具都是在52PoJie论坛下的原版程序，NOD32不报毒，个人承诺绝对不会进行任何和木马病毒相关内容。

2、程序分析：

想要破解一个程序，必须先了解这个程序。所以，在破解过程中，对最初程序的分析很重要，他可以帮助我们理解作者的目的和意图，特别是对于注册码的处理细节，从而方便我们反向跟踪和推导。

和上一节一样，打开CHM，选择第二个Afkayas，保存下来。运行程序，崩溃，缺少msvbvm50.dll，程序无法运行。没办法，上网上搜索一个，放到程序同一级目录，再次运行，OK。程序界面如下：

这是一个标准的Name/Serial注册码方式，二话不说，来个伪码测试：

Name: 111222    Serial: 3334444

点击OK，弹出了一个错误对话框，You Get Wrong,Try again!

3、思路分析和破解流程：

首先，按照经验，有对话框提示的程序可以通过堆栈查找调用的位置。方法如下：输入伪码，点击OK，弹出错误对话框，此时不要关闭这个对话框，切换到OD，点击暂停程序，然后Ctrl+K到堆栈视图，如下：

到了这里基本蒙圈了，竟然不是一般的C/C++代码，看看后面的Called from大部分来自msvbvm50，user32,根据名称百度一下，发现是使用VB的模块写的。再查看红色部分，发现表面上和对话框相关的只有msvbvm50.rtcmsgbox和user32.MessageBoxIndirectA，最主要的是msvbvm50.rtcMsgBox的调用来自AfKayas_.0040261C,所以我们基本可以断定rtcMsgBox是Vb中弹出对话框相关的东西，不要犹豫，选中它，右键->show call。

将代码稍微向上查看，发现最近的地方就有“Try again”和“You get wrong”的提示，我们基本就可以断定就是这里了。继续向上，看看判断的逻辑部分在哪里：

很简单吧？直接在”You get it ”的旁边就有一个JE跳转，在OD查看发现如果跳转实现就提示错误，不实现就提示正确，爆破开始啦！选中je那一行，右键->Binary->Fill with NOPs. 这时在程序里随意输入试试，哈哈，爆破成功！

4、注册机探索：

由于我们在跳转附近没有发现任何类注册码的东西，所以，我们需要将这里块的内容F8跟踪一下，大概地看看那些地方可能和注册码相关。我们向上查找，在这段程序的开头(即找到最近的那个retn,下面开头一般是push ebp等)下断点：

00402310   > \55            push ebp  // 程序段头

单步F8跟踪，将重要信息添加注释，特别是和Name/Serial相关的东西，分析后代码如下：

其实代码很简单，经过一遍跟踪，基本都出来了，重点分析部分如下：

首先，eax为Name的地址，经过__vbaLenBstr计算的长度赋值给edi,然后edi=edi*0x17CFB,接着edi=edi+edx,而edx为Name字符串第一个字符Ansi的值，最后进过__vbaStrI4将edi的整数值转换为十进制字符串585235。

然后向下跟踪和字符串585235相关的东西：

这段代码中将585235通过__vbaStrCat与”AKA-”连接到一起组成字符串”AKA-585235”,然后通过__vbaStrCmp函数与我们的Serial比较结果，最后返回值放到eax中，通过返回值确定是否正确。将这里的分析与上一块合到一起，很容易就可以得出最终的注册码。

小结一下：先取出注册码的长度len, 然后取出注册码第一个字符的ANSI值cName, 让后计算len*0x17CFB+cName,将计算的值转换为10进制文本，前面加上”AKA-”组成最后的注册码。

C/CPP代码如下：