By 小飞 lankerr
废话少说,直入主题，
影子系统激活算法初步
。主程序将输入的激活码发送到驱动中验证，强行修改返回值是不起作用的。
用OD载入PowerMaster.exe，程序用了三种花指令来隐藏对DeviceIoControl调用，其间还有四次异常处理，两次为单步来反调试器，只要去下个StrongOD.dll，即OD的插件就可以躲过检查。外壳程序调用DeviceIoControl时，ControlCode为7C320，InBuff中为输入的注册码，长度为0x1E即30个字符(必须是大写)，不过我们在输入的是如:123456789F-123456789L-123456789Y程序会将中间的’-‘号删除，然后到驱动SnpShot.sys中验证。OD是不能跟踪到系统内核的，要用SoftIce（开始我走了弯路，我用Wdasm来反汇编SnpShot.sys找不到IRP分派，用SoftIce跟踪DeviceIoControl的调用才到SnpShot.sys中，后来学用IDA时，反汇编才看到了IRP分派情况）。
真正进入主题，驱动中怎么验证计算激活码？
分两步
一、 将激活码用‘查表法’求模得到一个串。
二、 将上面的串用一加密算法得出一加密串，然后与一长为0x10的串比较，相等则激活成功。
那么我们先说怎样用‘查表法’得出这个串。
a：如下图，我们输入下图这个串“123456789F123456789L123456789Y”
b：用到的表为
CString GhostKey="D54X379EPJWCYKN1TUFH82VABLSM6QGR"; //查表用到的表,共32个字符
方式为依为返回激活码每个字符在上表中的序数，如1的序数为15，F的序数为21。
C代码：
//=========================================
//
// 查表法返回相应字符的序号
//
//=========================================
int CMy2008Dlg::ScanKeyTable(char T)
{
int i=0;
for(i=0;i<32;i++)
{
if(T == GhostKey.GetAt(i))
return i;
}
return 0;
}
c：将上面返回的值，进行5次循环，求余数，返回‘0’或‘1’，作为下一函数的参数。在这我没用C代码，因为IDIV指令好像没有用C来表示的，还有位移指如rol等也不能C来表示….，函数名之所以叫BB0Mod，是因为在驱动中这个Function地址后三位是BB0
int CMy2008Dlg::BB0Mod(int iii, int sn)
{
__asm
{
cdq
mov eax,iii
mov ecx,8
idiv ecx
mov ecx,edx
mov dl,1
shl dl,cl
mov eax,sn
and dl,al
neg dl
sbb edx,edx
neg edx
mov iii,edx
}
return iii;
}
d：将循环次数对8求余，根据上面的返回值‘1’或‘0’决定是‘与’或是‘或’操作。这里要用到一新字串:
unsigned char XorKey[56]="x00x00x00x00x00x00x00x00x00x00x00x00x00x00x00x00"
"x00x00x00x00x00x00x00x00x00x00x00x00x00x00x00x00";长度不需要这么长的，我测试用多写了。
void CMy2008Dlg::DDEMod(int KeySnMod, int kkk)
{
__asm
{
mov eax,kkk
cdq
push 8
pop ecx
idiv ecx
mov ebx,1
mov ecx,edx
shl bl,cl
lea ecx,XorKey
add eax,ecx
cmp KeySnMod,0
jz AndByte
or [eax],bl
jmp DDEmodReturn
AndByte:
not bl
and [eax],bl
DDEmodReturn:
}
return;
}
查表和以及上面两个函数调用情况如下：
For(int j=0;j<30;j++)
{
:ScanKeyTable(char T);
For(int i=0;i<5;i++)
{
BB0Mod(int iii, int sn);
DDEMod(int KeySnMod, int kkk);
}
}
e：上面执行结束后，情况如下图
}
激活码”123456789F123456789L123456789Y”生成”AF 12 11 78 A1 46 BE 4A E0 85 9A FC 11 81”，这所以后面的计算，是因为下面的操作会将81后面的字符填为0，可能是不纳入计算（事实上好像是只计算0x10长度大小），
电脑资料
《影子系统激活算法初步》(http://meiwen.anslib.com)。速个调用如下：void CMy2008Dlg::OnCalc()
{
UpdateData(TRUE);
CString showMsg;
CString ActiveKey;
ActiveKey=m_Key1+m_Key2+m_Key3;
int KeySn=0;
int KeySnMod=0;
int kkk=0;
CString temp;
for(int j=0;j<30;j++)
{
KeySn = ScanKeyTable(ActiveKey.GetAt(j));
temp.Format("%02d ",KeySn);
showMsg+=temp;
for(int j=0;j<5;j++)
{
// __asm int 3
KeySnMod = BB0Mod(j,KeySn);
DDEMod(KeySnMod,kkk);
kkk++;
temp.Format("%d ",KeySnMod);
showMsg+=temp;
}
temp.Format("",KeySn,KeySnMod);
showMsg+=temp;
}
// showMsg.Format("%s,字串长:%d",ActiveKey,GhostKey.GetLength());
::MessageBox(NULL,showMsg,"显示字符",0x1040);
char showBuff[512];
::wsprintf(showBuff,"%02X %02X %02X %02X %02X %02X %02X %02X-%02X %02X %02X %02X %02X %02X %02X %02X
%02X %02X %02X %02X %02X %02X %02X %02X",
XorKey[0],XorKey[1],
XorKey[2],XorKey[3],
XorKey[4],XorKey[5],
XorKey[6],XorKey[7],
XorKey[8],XorKey[9],
XorKey[10],XorKey[11],
XorKey[12],XorKey[13],
XorKey[14],XorKey[15],
XorKey[16],XorKey[17],
XorKey[18],XorKey[19],
XorKey[20],XorKey[21],
XorKey[22],XorKey[23]);
::MessageBox(NULL,showBuff,"显示Xor字符",0x1040);
}
以上完了成第一步了。到这有一些想法：
一、 影子系统2008在互联网上至今没注册机，全是修改SYS驱动文件达到激活目的，可能是不能做出注册机，或是通用性差。
二、 激活码经过一系列变化，再和指写的内容比较，如不想修改SYS文件，好像只能穷举。用密码工具扫描这个SYS文件时，提示是MD5，经以分析加密函数，发现只是大量的进位乘计算，将结果用于新的计算，进行32循环，看样不是MD5。除非知道用于比较的内存串计算方法，否则还是只能穷举。
三、 ……很多