摘要：作者逆向驛站微信公眾號逆向驛站知乎逆向驛站上篇說了具體方法，下篇來發逆向分析過程，看看老夫是如何得到上篇的具體方法的準備環境和工具虛擬機環境專用脫殼器學習層次爆破，但是這個作者聲明了，爆破他是不認可的解密流程，寫注冊機積累程序逆向特點經驗詳

作者：逆向驛站
微信公眾號：逆向驛站
知乎：逆向驛站

CrackMe005,上篇說了具體方法，下篇來發逆向分析過程，看看老夫是如何得到上篇的具體方法的！

準備

【環境和工具】

win7/xp虛擬機環境

CrackMe005（ajj2.zip）

ollydbg

Dededark

peid

UPXEasyGUI.exe(upx專用脫殼器)

【學習層次】

爆破，但是這個CM作者聲明了，爆破他是不認可的

解密流程，寫注冊機

積累Delphi程序逆向特點經驗

詳解視頻

搞清Delphi控件ID在反匯編代碼中的特點，其實邏輯就清晰多了

https://v.qq.com/x/page/x0830...

實戰圖文

一.DedeDark梳理事件、控件信息

二.動態分析

1.根據字符串定位總判斷位置

字符串“注冊了”，“厲害厲害真佩服”入手，定位發現是timer2事件函數，五個判斷不停的判斷，如圖

可以看到判斷跟6個值有關，分別是[ebx+304]、[ebx+308]、[ebx+310]、[ebx+318]、[ebx+314]、[ebx+31C],我們下文所有就對其簡稱做304、308、310、318、314、31C

2.逐個判斷層層分析

我們從簡單往復雜，并結合他們之間內在的邏輯先后順序，去逐個分析，順序分別是31C、304、308、310、314和318，其中最難的是310，方法是常量跟蹤法，即在OD中點擊 查找→所有常量 ，看看都那些地方對這些值有操作

31C

總判斷目標：31C值，不能等于0x3E7

相關事件函數：Button1Click

最終逆向分析結論：Buton1Click事件不能被觸發，否則31C就會被賦值0x3E7,即不能點擊注冊按鈕，這里需要注意click事件和mousedown事件，click必須是一個按下和抬起的全過程，而且鼠標位置都在按鈕控件范圍內，而mousedwon事件按下就是

具體逆向分析過程如下

所有常量查找結果，如下

反匯編代碼如下

呵呵就一行，確實簡單吧

304

總判斷目標：304值，不能等于0xC34

相關事件函數：FormCreat

最終逆向分析結論：FormCreat生成表單的事件函數中，會對一個固定路徑檢查是否有合規內容的合規文件，有則，顯示出隱藏的Edit2控件

具體逆向分析過程如下

所有常量查找結果，如下

反匯編代碼如下

注意：我這里已經把，CrackMe開發者要求的X盤符改為了C盤符，為的是方便

308

總判斷目標：308值，不能等于0x230D

相關事件函數：Button1MouseDown、Panel1DblClick

最終逆向分析結論：308初始值是由FormCreat函數初始化為0x28E,在Button1MouseDown事件中，右鍵一次則308值增加0x3,最終目標是0x29D,因為等于0x29D后，Panel1DblClick事件就可以解禁Edit2控件，則0x29D減去0x28E再除以0x3最后結果等于5，即右鍵點擊注冊按鈕5次，再去雙擊panel1控件沒有圖的地方，就可以解禁Edit2控件

具體逆向分析過程如下

所有常量查找結果，如下

反匯編代碼如下

310 中嵌套 30C，最復雜的地方

總判斷目標：310值，必須等于0xF94

相關事件函數：FormMouseMove、Edit2DblClick

最終逆向分析結論：310的值要想最終被賦值0xF94,必須完成三重判斷，第一個是當控件ID是0xE20時，即是image3"性相近"的時候，FormMouseMove捕捉的XY坐標都足夠大，即右下腳，滿足則310被賦值0x10,第二個是當控件ID是0x2DC時，即image2"性本善"的時候，FormMouseMove捕捉的X坐標足夠小、Y坐標足夠大，第三個是，30C不能等于初始值0x9, 30C被賦值的條件是Edit2中的字符串長度是8位，且第二位是"_"，第6位是"," ，我們寫1_345,78是符合要求的，同時要求用戶名長度是3的整數倍，然后左鍵雙擊Edit2控件，即可給30C賦值，具體賦值結果又跟你的磁盤剩余空間有關。當上面這一系列嵌套判斷都合規后，則完成310賦值0xF94,同時若是用戶名是"ajj"，則顯示隱藏控件ID是0x2FC的Label3,顯示值是30C

具體逆向分析過程如下

310所有常量查找結果，如下

310反匯編代碼如下

發現嵌套30C，那么繼續常量查找30C，如下

30C反匯編代碼如下


這里其實是這個crackme最難的地方了，其實邏輯并不復雜，需要耐性和記錄給理清晰即可

314和318

總判斷目標：314的值等于318的值

相關事件函數：image1~4MouseDown

最終逆向分析結論：其實314的值在上一個流程中已經賦值完畢，314的值取決于30C的值，30C分別是0、1、2、3的時候，314分別是0x41、0x3D、0x34、0xDF，而318的值，則是點擊1~4幅圖片，區分左右鍵，分別自增不同的數值，具體如下方圖片，最終要求318的值等于314的值

具體逆向分析過程如下

所有常量314查找結果，如下

314反匯編代碼如下

318所有常量查找結果，如圖

至此，如下圖timer2所有的總判斷全部過關，所以timer2每次觸發，都將走注冊成功的流程，是不是感覺很刺激，躍躍欲試的，去網盤中下載，去折磨自己的吧

文章中涉及軟件、課件、源碼等均在網盤，為避免網盤鏈接失效，公眾號中回復：網盤

歡迎關注微信公眾號：逆向驛站

相關文章

● CrackMe-005精解（上）

● CrackMe-004精解

● CrackMe-003精解

● CrackMe-002精解

● CrackMe-001精解

本期標簽：dededark|delphi反匯編|crackme|crackme5|crackme05