Расшифрока алгоритма

Сейчас на форуме: bartolomeo, asfa, _MBK_ (+7 невидимых)

Посл.ответ	Сообщение
Tatarin Ранг: 1.0 (гость) Активность: 0=0 Статус: Участник	Создано: 28 ноября 2011 17:52 · Поправил: Tatarin · Личное сообщение · #1 Здравствуйте дорогие форумчане. Пытаюсь разгадать один алгоритм но что-то никак не пойму как он работает. То ли опыта маловато то ли асм плохо знаю. Вообщем помогите разобраться... Программу я саму взломал и серейник у меня уже есть и даже алгоритм постройки серийника я нашел, вот только не пойму как он работает. А понимать очень хочется! Подскажите хотя бы куда рыть. Вот алгоритм... Code: 005D17A9 \|> 8BC3 /MOV EAX,EBX 005D17AB \|. 48 \|DEC EAX ; Switch (cases 1..4) 005D17AC \|. 83E8 02 \|SUB EAX,2 005D17AF \|. 72 07 \|JB SHORT MPK_Valu.005D17B8 005D17B1 \|. 83E8 02 \|SUB EAX,2 005D17B4 \|. 72 4A \|JB SHORT MPK_Valu.005D1800 005D17B6 \|. EB 1C \|JMP SHORT MPK_Valu.005D17D4 005D17B8 \|> 8D45 B0 \|LEA EAX,DWORD PTR SS:[EBP-50] ; Cases 1,2 of switch 005D17AB 005D17BB \|. 8B55 DC \|MOV EDX,DWORD PTR SS:[EBP-24] 005D17BE \|. 8A541A FF \|MOV DL,BYTE PTR DS:[EDX+EBX-1] 005D17C2 \|. E8 5933E3FF \|CALL MPK_Valu.00404B20 005D17C7 \|. 8B55 B0 \|MOV EDX,DWORD PTR SS:[EBP-50] 005D17CA \|. 8D45 EC \|LEA EAX,DWORD PTR SS:[EBP-14] 005D17CD \|. E8 2E34E3FF \|CALL MPK_Valu.00404C00 005D17D2 \|. EB 2C \|JMP SHORT MPK_Valu.005D1800 005D17D4 \|> 8BC3 \|MOV EAX,EBX ; Default case of switch 005D17AB 005D17D6 \|. 25 01000080 \|AND EAX,80000001 005D17DB \|. 79 05 \|JNS SHORT MPK_Valu.005D17E2 005D17DD \|. 48 \|DEC EAX 005D17DE \|. 83C8 FE \|OR EAX,FFFFFFFE 005D17E1 \|. 40 \|INC EAX 005D17E2 \|> 85C0 \|TEST EAX,EAX 005D17E4 \|. 75 1A \|JNZ SHORT MPK_Valu.005D1800 005D17E6 \|. 8D45 AC \|LEA EAX,DWORD PTR SS:[EBP-54] 005D17E9 \|. 8B55 DC \|MOV EDX,DWORD PTR SS:[EBP-24] 005D17EC \|. 8A541A FF \|MOV DL,BYTE PTR DS:[EDX+EBX-1] 005D17F0 \|. E8 2B33E3FF \|CALL MPK_Valu.00404B20 005D17F5 \|. 8B55 AC \|MOV EDX,DWORD PTR SS:[EBP-54] 005D17F8 \|. 8D45 EC \|LEA EAX,DWORD PTR SS:[EBP-14] 005D17FB \|. E8 0034E3FF \|CALL MPK_Valu.00404C00 005D1800 \|> 43 \|INC EBX ; Cases 3,4 of switch 005D17AB 005D1801 \|. 4E \|DEC ESI 005D1802 \|.^75 A5 \JNZ SHORT MPK_Valu.005D17A9 вот сама программа

Tatarin Ранг: 1.0 (гость) Активность: 0=0 Статус: Участник	Создано: 28 ноября 2011 17:54 · Личное сообщение · #2 Понятно что осуществляется некий цикл с вложенным в нем Switch -> case как в С++ но что именно там происходит....???
reversecode Ранг: 1053.6 (!!!!), 1078thx Активность: 1.06↘0.81 Статус: Участник	Создано: 28 ноября 2011 18:11 · Поправил: reversecode · Личное сообщение · #3 нажмите F5 в hexrays что значит показать куда копать - ? разобрать за все все и показать в исходном коде или перевести в алго? тогда я пас, дурная трата времени
Tyra Ранг: 78.7 (постоянный), 43thx Активность: 0.07↘0 Статус: Участник	Создано: 28 ноября 2011 18:25 · Поправил: Tyra · Личное сообщение · #4 Это имелось ввиду ? Code: v9 = sub_404BF8(v23, v24, v25); if ( v9 > 0 ) { v10 = 1; do { if ( (unsigned int)(v10 - 1) < 2 ) { v11 = v35; LOBYTE(v11) = (_BYTE )(v35 + v10 - 1); unknown_libname_83(v8, v11); System::__linkproc___LStrCat(v8, v27); } else { if ( (unsigned int)(v10 - 3) >= 2 && !(v10 % 2) ) { v12 = v35; LOBYTE(v12) = (_BYTE )(v35 + v10 - 1); unknown_libname_83(v8, v12); System::__linkproc___LStrCat(v8, v26); } } ++v10; --v9; } while ( v9 ); }
Tatarin Ранг: 1.0 (гость) Активность: 0=0 Статус: Участник	Создано: 28 ноября 2011 18:29 · Личное сообщение · #5 Tyra пишет: Это имелось ввиду ? Это с Hex-Rays???
Tyra Ранг: 78.7 (постоянный), 43thx Активность: 0.07↘0 Статус: Участник	Создано: 28 ноября 2011 18:35 · Личное сообщение · #6 Tatarin пишет: Это с Hex-Rays??? Да ! Кусок Предоставленный Вами.
Tatarin Ранг: 1.0 (гость) Активность: 0=0 Статус: Участник	Создано: 28 ноября 2011 18:39 · Личное сообщение · #7 Понятно! Спасибо попробую разобраться!
PE_Kill Ранг: 793.4 (! !), 568thx Активность: 0.74↘0 Статус: Участник Шаман	Создано: 28 ноября 2011 18:42 · Личное сообщение · #8 Это лишь маленький кусок процедуры, которая начинается с адреса 005D15D8 ----- Yann Tiersen best and do not fuck
Tyra Ранг: 78.7 (постоянный), 43thx Активность: 0.07↘0 Статус: Участник	Создано: 28 ноября 2011 18:43 · Личное сообщение · #9 PE_Kill пишет: Это лишь маленький кусок процедуры Так я Так и Написал. Только Тот Код который просили. Code: int __usercall sub_5D15D8<eax>(int a1<eax>) { int v1; // ecx@1 int v2; // ecx@4 int v3; // ecx@6 int v4; // ebx@7 int v5; // ecx@9 int v6; // esi@9 signed int v7; // ebx@10 int v8; // ecx@23 int v9; // esi@23 signed int v10; // ebx@24 int v11; // edx@28 int v12; // edx@30 int v13; // edx@32 int v14; // edx@32 int v15; // eax@32 int v16; // ecx@32 int v17; // edx@32 int v18; // eax@32 int v19; // ecx@32 int v20; // edx@32 int (v21)(); // ecx@32 unsigned int* v23; // [sp-Ch] [bp-6Ch]@1 int (v24)(); // [sp-8h] [bp-68h]@1 int* (v25)(); // [sp-4h] [bp-64h]@1 int* v26; // [sp+Ch] [bp-54h]@1 int v27; // [sp+10h] [bp-50h]@1 int v28; // [sp+14h] [bp-4Ch]@1 int v29; // [sp+18h] [bp-48h]@1 int v30; // [sp+1Ch] [bp-44h]@1 int v31; // [sp+20h] [bp-40h]@1 char v32; // [sp+26h] [bp-3Ah]@2 char v33; // [sp+3Ah] [bp-26h]@3 char v34; // [sp+3Bh] [bp-25h]@18 int v35; // [sp+3Ch] [bp-24h]@1 int v36; // [sp+40h] [bp-20h]@32 int v37; // [sp+44h] [bp-1Ch]@32 int v38; // [sp+4Ch] [bp-14h]@1 int v39; // [sp+50h] [bp-10h]@32 int v40; // [sp+54h] [bp-Ch]@32 int v41; // [sp+5Ch] [bp-4h]@1 int v42; // [sp+60h] [bp+0h]@1 v26 = 0; v27 = 0; v28 = 0; v29 = 0; v30 = 0; v31 = 0; v38 = 0; v35 = 0; v41 = a1; v25 = (int ()())&v42; v24 = loc_5D18D9; v23 = __readfsdword(0); __writefsdword(0, (unsigned int)&v23); System::__linkproc___LStrClr(v23); if ( !(unsigned __int8)sub_5D0F80() && !(unsigned __int8)sub_5D1048(v1, &v32) ) { memcpy(&v32, "53763452", 0x14u); v33 = a53763452[20]; } unknown_libname_134(v1, &v31); Sysutils::Trim(v2, &v38); sub_5D1238(v2, &v30); System::__linkproc___LStrLAsg(v2, v30); if ( sub_404BF8(v23, v24, v25) > 8 ) System::__linkproc___LStrSetLength(v2, 8); if ( sub_404BF8(v23, v24, v25) < 8 ) { v4 = sub_404BF8(v23, v24, v25) + 1; if ( v4 <= 8 ) { do { System::__linkproc___LStrCat(v3, &dword_5D1910); ++v4; } while* ( v4 != 9 ); } } Sysutils::UpperCase(v3, &v29); System::__linkproc___LStrLAsg(v5, v29); v6 = sub_404BF8(v23, v24, v25); if ( v6 > 0 ) { v7 = 1; do { Sysutils::IntToStr(v5, &v28); System::__linkproc___LStrCat(v5, v28); ++v7; --v6; } while ( v6 ); } if ( (_BYTE )v35 == 48 ) (_BYTE )j_unknown_libname_88_0() = 49; if ( (_BYTE )(v35 + 1) == 48 ) (_BYTE )(j_unknown_libname_88_0() + 1) = 50; if ( (_BYTE )(v35 + 8) == 48 ) (_BYTE )(j_unknown_libname_88_0() + 8) = 57; if ( (unsigned __int8)sub_5D12BC(v5, &v34) ) { (_BYTE )(j_unknown_libname_88_0() + 9) = 53; } else { if ( v34 ) (_BYTE )(j_unknown_libname_88_0() + 9) = 50; else (_BYTE )(j_unknown_libname_88_0() + 9) = 56; } System::__linkproc___LStrClr(v23); v9 = sub_404BF8(v23, v24, v25); if ( v9 > 0 ) { v10 = 1; do { if ( (unsigned int)(v10 - 1) < 2 ) { v11 = v35; LOBYTE(v11) = (_BYTE )(v35 + v10 - 1); unknown_libname_83(v8, v11); System::__linkproc___LStrCat(v8, v27); } else { if ( (unsigned int)(v10 - 3) >= 2 && !(v10 % 2) ) { v12 = v35; LOBYTE(v12) = (_BYTE )(v35 + v10 - 1); unknown_libname_83(v8, v12); System::__linkproc___LStrCat(v8, v26); } } ++v10; --v9; } while ( v9 ); } v39 = Sysutils::StrToInt64(); v40 = v13; v36 = Sysutils::StrToInt64(); v37 = v14; v15 = System::__linkproc____lldiv(100000000, 0); v16 = v41; (_DWORD )(v41 + 800) = v15; (_DWORD )(v16 + 804) = v17; v18 = System::__linkproc____llmod(100000000, 0); v19 = v41; (_DWORD )(v41 + 808) = v18; (_DWORD )(v19 + 812) = v20; (_QWORD )(v41 + 784) = (_QWORD )(v41 + 800) - 529i64; (_QWORD )(v41 + 792) = (_QWORD )(v41 + 808) - 289i64; v21 = v25; __writefsdword(0, v23); v25 = loc_5D18E0; System::__linkproc___LStrArrayClr(v21, 6); System::__linkproc___LStrClr(v25); return System::__linkproc___LStrClr(v25); } Это Вся процедура ! \| Сообщение посчитали полезным: Tatarin
Tatarin Ранг: 1.0 (гость) Активность: 0=0 Статус: Участник	Создано: 28 ноября 2011 18:51 · Личное сообщение · #10 Ого! И это всё серийник? Неплохо!
Tyra Ранг: 78.7 (постоянный), 43thx Активность: 0.07↘0 Статус: Участник	Создано: 28 ноября 2011 19:41 · Поправил: Tyra · Личное сообщение · #11 Несовсем ! Вы Выбрали Правильный Кусок ! Там Смысл Такой, если я Правильно понял. Пример. x = Перша цифра - 12173022 y = Друга цифра - 48321658 (x + 529) * 100000000 + (y + 289) = 1217355148321947 Далее пихаем в Ваш Алго По первому проходу получаем 12 (т.е. первые 2-е цифры) По второму проходу берем через один начиная с 5-й цифры получаем 518297 ИТОГО : 12518297 Рега сохраняется Тут ! [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ARM_BTI]

Для печати