一款小工具的算法分析及计算过程

dyjpxc · 发表于 2026-9-19 11:16

本帖最后由 dyjpxc 于 2026-9-21 11:23 编辑

PEID插件查一查：

包含算法：BASE64、DES、MD5

x32dbg，直接定位base64：0049313E

断点：00493134，重新运行，断下。

0019F750：这里显示：网卡地址逗号 00-11-22-33-44-55,

F9继续运行，发现断点命中N次，程序界面没有启动。
先设置断点条件：$breakpointcounter >.300000
命中大于300000次断下，看看命中多少次程序界面启动。

改成2667，即2668次断下，重新运行，断下，看数据。

EAX=000003E8
0019F368是base64加密的输出数据：QkZFQkZCRkYwMDAzMDZDMzAwMDAwMDAwMDAwMDAwMDAAAAAAAAAAAAAAAA.............

base64解密：BFEBFBFF000306C30000000000000000
是CPU序列号：命令：cmd: wmic cpu get processorid
后面是全零填充，输入总长度：3E8

继续F8往下走：

在函数结尾ret处设置断点F9后，内存数据总长度为（0019F368-0019F89F）：538，即1336字节
反推输入长度，1336字节去掉末尾==，==再减单1字节(即单2bit补0000=6bit)，1333字节*6bit+2bit=8000bit/8bit=1000字节，即EAX=000003E8是原始输入数据的长度（待base64加密数据）

函数结尾004932DC：base64加密完成返回处，第一次命中显示网卡地址加密输出：

base64输入输出找完了，下面继续定位DES加密：
CTRL+G：00493E60
断点：00493E5F
旧断点全部禁用

重新运行软件，直接跳出注册界面显示机器码，点击软件注册才断下，说明机器码算法不用DES，注册码用DES加密。
那么机器码最终用MD5加密。
下面定位MD5机密，设置断点，查MD5加密的输入数据是什么

CTRL+G：00578717
断点：00578715，重新运行软件，断下。
老套路，设置断点条件，观察命中次数。

重新运行软件

命中44次就改43，再重新运行软件。

在函数开头断下，条件43，接着往上翻，在ret处设置断点。

19FC88发现机器码,说明MD5已经算完了，继续往上找ret断下
ESI发现熟悉的字符

029EC35C处前面多了DMC
内存往下翻发现：

029ECE80-029ED3BA
长度53B=1339字节，正好对应前面DMC+1336字节

机器码1：DF76-D0EA-1C6F-2DFB（打开软件直接显示，根据网卡地址计算）
机器码2：7A92-70EC-B2D3-7DFD（隐藏：用对应注册码注册才显示，根据CPU序列号计算）
算法流程：
  输入数据：
1、获取网卡MAC，拼接逗号，拼接全零填充(8个bit0)至1000个字符
2、获取CPU序列号，拼接字符0至32字节，拼接全零填充(8个bit0)至1000个字符
  输出数据：base64加密
MD5加密：
  输入数据：base64加密拼接前缀DMC
  输出数据：前16位就是机器码

注册码算法(DES_3DES加密)

base64.zip (32.4 KB, 下载次数: 0)

DES_3DES_MD5加密.zip (559.61 KB, 下载次数: 0)

wubinwg · 发表于 2026-9-21 15:45

很少看到这么纯粹的分析了

ynahdyl · 发表于 2026-9-21 22:21

学习了，分析的详细

帐号		自动登录	找回密码
密码			注册[Register]

[原创] 一款小工具的算法分析及计算过程

免费评分