SRS Audio Sandbox破解纪实
最近挺忙的，本来需要各种为前路做准备，无奈自己天生属于低血压型的人，偏偏就是提不起劲儿来干正事儿，却把大好的一天光阴全交代到SRS的分析工作上了。虽然说这多少算不务正业，不过由于本人有着严重的软件新版本强迫症，故这算是给自己的一个开脱理由吧。
这款软件的破解工作展开比较容易，没有加壳，直接上工具分析之。首先请出OllyDBG来，通过查找字符串引用和查找API MessageBox引用的老法子，很容易就定位了大概的关键代码位置。
找到关键位置后，顺手又记录了一下函数调用栈，然后打开了神器IDA。用IDA载入后，跳转到之前找到的关键代码RVA处，着手分析。说起来，我自己喜欢将动态和静态调试方法结合起来用，不如果不愿意太费神分析汇编代码，有时候直接看运行时结果便是最直观和省时的。载入后发觉之前判断的关键点实际上是CWinApp::ShowAppMessageBox函数，继续沿着刚才记录的函数运行时调用栈往上找，依次顺藤摸瓜：AfxMessageBox--->Sub44D240，这才到了SRS程序的代码领空，于是正是着手分析。（IDA这个静态分析功能实在是强大，它可以根据二进制代码特征判断出其是否是库函数代码。这大大节省了我的时间，应为对这类代码我只需要看SDK文档就行了，而不需要去分析其实际的代码行为）
进一步根据线索判断（Sub44D240里包含了SendMessage、AfxMessageBox、GetWindowText等函数，足以说明该函数的关键作用），我锁定在了Sub44D240函数的Sub4430F0调用上，继续追踪到Sub442FF0上，继而是Sub44B9E0过程，最终到了Sub44BC30过程上。在该过程中，我同时追踪到了用户输入的ProductID以及Serial Number等信息，这进一步是我确认了我的判断。
该过程具体代码如下：
Sub44BC30代码
1 .text:0044BC30 2 .text:0044BC30 ; =============== S U B R O U T I N E ======================================= 3 .text:0044BC30 4 .text:0044BC30 ; Attributes: bp-based frame 5 .text:0044BC30 6 .text:0044BC30 check_PID_SN proc near ; CODE XREF: realCheckSN+182p 7 .text:0044BC30 8 .text:0044BC30 productId_segs_temp= dword ptr -14h 9 .text:0044BC30 new_ProdectID = dword ptr -10h 10 .text:0044BC30 sn_lowerDWord = dword ptr -4 11 .text:0044BC30 SN = dword ptr 8 12 .text:0044BC30 13 .text:0044BC30 push ebp 14 .text:0044BC31 mov ebp, esp 15 .text:0044BC33 and esp, 0FFFFFFF8h 16 .text:0044BC36 sub esp, 14h 17 .text:0044BC39 push ebx 18 .text:0044BC3A push esi 19 .text:0044BC3B push edi 20 .text:0044BC3C push 14h ; unsigned int 21 .text:0044BC3E mov ebx, eax ; ebx指向ProductID首位置 22 .text:0044BC40 call j_??2@YAPAXI@Z ; operator new(uint) 23 .text:0044BC45 mov esi, eax 24 .text:0044BC47 lea eax, [esi+6] 25 .text:0044BC4A push eax 26 .text:0044BC4B mov eax, [ebp+SN] 27 .text:0044BC4E lea ecx, [esi+4] 28 .text:0044BC51 push ecx 29 .text:0044BC52 lea edx, [esi+2] 30 .text:0044BC55 push edx 31 .text:0044BC56 push esi ; 新申请的14h的空间 32 .text:0044BC57 push offset a4x4x4x4x ; "%4x-%4x-%4x-%4x" 33 .text:0044BC5C push eax ; SN首地址 34 .text:0044BC5D call String2Integer ; 将字符串SN转换为数组，比如 35 .text:0044BC5D ; “E6E9-24CB-2968-09BC”变为 36 .text:0044BC5D ; E9 E6 ... 37 .text:0044BC62 mov ecx, [esi+4] ; ECX为后半部分SN 38 .text:0044BC65 mov edi, [esi] ; EDI为前半部分SN 39 .text:0044BC67 push esi ; void * 40 .text:0044BC68 mov [esp+40h+sn_lowerDWord], ecx 41 .text:0044BC6C call j__free 42 .text:0044BC71 lea edx, [esp+40h+productId_segs_temp] 43 .text:0044BC75 push edx 44 .text:0044BC76 push offset a4x ; "%4x" 45 .text:0044BC7B push ebx 46 .text:0044BC7C call String2Integer ; 将ProductID第一段转换为Word 47 .text:0044BC81 mov esi, [esp+4Ch+productId_segs_temp] ; esi储存productId_1 48 .text:0044BC85 lea eax, [esp+4Ch+productId_segs_temp] 49 .text:0044BC89 push eax 50 .text:0044BC8A lea ecx, [ebx+0Ah] 51 .text:0044BC8D push offset asc_48C804 ; "%x" 52 .text:0044BC92 push ecx 53 .text:0044BC93 call String2Integer 54 .text:0044BC98 mov edx, [esp+58h+productId_segs_temp] ; EDX储存ProductId_2 55 .text:0044BC9C add esp, 38h 56 .text:0044BC9F xor eax, eax 57 .text:0044BCA1 push eax 58 .text:0044BCA2 push esi 59 .text:0044BCA3 push eax 60 .text:0044BCA4 push edx 61 .text:0044BCA5 call __allmul 62 .text:0044BCAA mov esi, eax ; product_1*product_2乘积的低word放入esi 63 .text:0044BCAC lea eax, [esp+20h+productId_segs_temp] 64 .text:0044BCB0 push eax 65 .text:0044BCB1 lea ecx, [ebx+14h] 66 .text:0044BCB4 push offset asc_48C804 ; "%x" 67 .text:0044BCB9 push ecx 68 .text:0044BCBA mov [esp+2Ch+new_ProdectID+4], edx 69 .text:0044BCBE call String2Integer 70 .text:0044BCC3 mov edx, [esp+2Ch+new_ProdectID+4] 71 .text:0044BCC7 mov eax, [esp+2Ch+productId_segs_temp] ; eax保存productId_3 72 .text:0044BCCB add esp, 0Ch 73 .text:0044BCCE push edx 74 .text:0044BCCF push esi 75 .text:0044BCD0 push 0 76 .text:0044BCD2 push eax 77 .text:0044BCD3 call __allmul 78 .text:0044BCD8 lea ecx, [esp+20h+productId_segs_temp] 79 .text:0044BCDC push ecx 80 .text:0044BCDD push offset asc_48C804 ; "%x" 81 .text:0044BCE2 add ebx, 1Eh 82 .text:0044BCE5 push ebx 83 .text:0044BCE6 mov esi, eax 84 .text:0044BCE8 mov [esp+2Ch+new_ProdectID+4], edx 85 .text:0044BCEC call String2Integer 86 .text:0044BCF1 mov edx, [esp+2Ch+new_ProdectID+4] 87 .text:0044BCF5 mov eax, [esp+2Ch+productId_segs_temp] 88 .text:0044BCF9 add esp, 0Ch 89 .text:0044BCFC push edx 90 .text:0044BCFD push esi 91 .text:0044BCFE push 0 92 .text:0044BD00 push eax 93 .text:0044BD01 call __allmul ; 结果edx高位,eax低位 94 .text:0044BD06 mov esi, edx 95 .text:0044BD08 shr esi, 10h 96 .text:0044BD0B mov [esp+20h+new_ProdectID], eax 97 .text:0044BD0F mov [esp+20h+new_ProdectID+4], edx 98 .text:0044BD13 xor ebx, ebx 99 .text:0044BD15 mov cl, 10h 100 .text:0044BD17 call __allshr ; {edx,eax}==new_prodectID >> 10h 101 .text:0044BD1C mov ecx, [esp+20h+new_ProdectID+4] 102 .text:0044BD20 xor edx, edx 103 .text:0044BD22 push 1 104 .text:0044BD24 and eax, 0FFFF0000h 105 .text:0044BD29 push edx 106 .text:0044BD2A add esi, eax 107 .text:0044BD2C adc ebx, edx 108 .text:0044BD2E mov edx, [esp+28h+new_ProdectID] 109 .text:0044BD32 push ecx 110 .text:0044BD33 push edx 111 .text:0044BD34 call __allmul ; eax=0, edx为new_productID的低位 112 .text:0044BD39 push 0 113 .text:0044BD3B add esi, eax 114 .text:0044BD3D push 8475h 115 .text:0044BD42 adc ebx, edx 116 .text:0044BD44 push ebx 117 .text:0044BD45 push esi 118 .text:0044BD46 call __alldiv ; {edx,eax} == {edx,esi} / 0x8475 119 .text:0044BD4B push 0 120 .text:0044BD4D push 0AE6000h 121 .text:0044BD52 push edx 122 .text:0044BD53 push eax 123 .text:0044BD54 call __allmul 124 .text:0044BD59 add eax, 91F2884Dh 125 .text:0044BD5E adc edx, 2DCh 126 .text:0044BD64 mov cl, 0Ah 127 .text:0044BD66 call __allshr 128 .text:0044BD6B push 0 129 .text:0044BD6D push 2046h 130 .text:0044BD72 push edx 131 .text:0044BD73 push eax 132 .text:0044BD74 call __allmul 133 .text:0044BD79 mov ecx, 0FFFFFFFEh 134 .text:0044BD7E sub ecx, eax 135 .text:0044BD80 mov eax, 0FFFFFFFFh 136 .text:0044BD85 sbb eax, edx 137 .text:0044BD87 mov edx, [esp+20h+sn_lowerDWord] 138 .text:0044BD8B shld edx, edi, 1 139 .text:0044BD8F add edi, edi 140 .text:0044BD91 cmp edi, ecx 141 .text:0044BD93 jnz short loc_44BDA5 142 .text:0044BD95 cmp edx, eax 143 .text:0044BD97 jnz short loc_44BDA5 144 .text:0044BD99 mov eax, 1 145 .text:0044BD9E pop edi 146 .text:0044BD9F pop esi 147 .text:0044BDA0 pop ebx 148 .text:0044BDA1 mov esp, ebp 149 .text:0044BDA3 pop ebp 150 .text:0044BDA4 retn 151 .text:0044BDA5 ; --------------------------------------------------------------------------- 152 .text:0044BDA5 153 .text:0044BDA5 loc_44BDA5: ; CODE XREF: check_PID_SN+163j 154 .text:0044BDA5 ; check_PID_SN+167j 155 .text:0044BDA5 pop edi 156 .text:0044BDA6 pop esi 157 .text:0044BDA7 xor eax, eax 158 .text:0044BDA9 pop ebx 159 .text:0044BDAA mov esp, ebp 160 .text:0044BDAC pop ebp 161 .text:0044BDAD retn 162 .text:0044BDAD check_PID_SN endp
基本思路
通过分析，我了解到，其算法大概思路如下：首先，注册流程有效输入为Serial Number和Product ID，Registration No实际上没有参与注册的验证计算过程。SRS通过系统各种信息生成Product ID，然后用户需要提供与Product ID匹配的Serial Number方能注册。当然，Serial Number是需要你拿美刀换的。
简而言之，SRS将Product ID作fp变换，得到一个64bit长的整数，并将用户输入的序列号做fs变换同样得到一个64bit长整数。为了使注册成功，需要满足：
fp(gen()) = fs(SerialNumber) 成立 (1)
这其中，gen()的算法我们不需要管，因为其结果在界面Product ID框中已经显示了。我们需要找到fp和fs的实现算法，并顺利推出fs-1的实现。从而：
SerialNumber = fs-1( fp(ProductID) ) (2)
Product ID变换算法描述
我们首先描述fp的实现。fp基本上是由我不知道原理的各种数值变换组成，为了精确表述，我直接用C语言描述：
Product ID变换函数描述
1 __int64 getProductID(char* id){ 2 __int64 temp = 1; 3 DWORD elem; 4 5 for(int i = 0; i < 4; i++){ 6 sscanf(id + (i * 5), "%x", &elem); 7 temp *= elem; 8 } 9 10 //高地位变换 11 DWORD lowerDWord = temp; 12 DWORD upperDWord = temp >> 0x20; 13 WORD lower = upperDWord; 14 WORD upper = upperDWord >> 0x10; 15 upperDWord = lower; 16 upperDWord <<= 0x10; 17 upperDWord |= upper; 18 19 temp = lowerDWord; 20 temp <<= 0x20; 21 temp |= upperDWord; 22 23 24 temp /= 0x8475; 25 temp *= 0xAE6000; 26 temp += 0x2DC91F2884D; 27 temp >>= 0xA; 28 temp *= 0x2046; 29 temp = 0xfffffffffffffffe - temp; 30 31 return temp; 32 }
Serial Number变换算法描述
接下来描述fs函数的实现。我们称变换后的Product ID为TransPID，并且LowerDW和HighDW表示一个64bit整数的低双字和高双字，shld表示对应汇编指令的函数,TransSerialNumberHighDW和TransSerialNumberLowDW分别表示变换后的序列号高双字和低双字。则有：
TransSerialNumberHighDW(SerialNumber) = shld(UpperDW(SerialNumber), LowerDW(SerialNumber), 1)； （3）
TransSerialNumberLowDW(SerialNumber) = LowerDW(SerialNumber) + LowerDW(SerialNumber)； （4）
fs(SerialNumber) = TransSerialNumberHighDW<< 32 | TransSerialNumberLowDW； （5）
Serial Number逆向变换算法描述
了解了fs的实现，我们接下来需要着手研究实现fs-1的思路。由于fs高双字和低双字分别由不同的方式变换的（3）、（4），所以我们需要分别求出SerialNumber的高低双字。得到Serial Number的低双字很简单，由（4）可知，我们只要将LowerDW(fp(ProductID))除以2就行。但需注意的是，整个双字值域中，LowerDW(fp(ProductID)) / 2 + (2<<31)同样能满足条件（由于溢出导致的相等），这点很重要！
再来考虑高位的算法。我们需要把HighDW(fp(ProductID))往右移一位，这是左边补入的一位可以任意。这时需要注意，考虑到shld性质，有以下两种情况：
①如果HighDW(fp(ProductID))最低位是1则需要LowerDW(SerialNumber)的最高位为1
②如果HighDW(fp(ProductID))最低位是0则需要LowerDW(SerialNumber)的最高位为0
考虑到LowerDW(fp(ProductID)) / 2和LowerDW(fp(ProductID)) / 2 + (2<<31)均可满足条件，若是情况①则选取后者，因为此时可保证LowerDW(SerialNumber)的最高位为1。同理，若是情况②则需选择前者。
该算法的C语言描述如下：
SerialNumber逆变换算法
1 void getSerialNumber(__int64 productId, char* buffer){ 2 DWORD upper = productId >> 0x20; 3 DWORD lower = productId; 4 assert((lower & 1) == 0); //lower = snLower + snLower因此lower必须为偶数 5 6 7 8 DWORD snUpper = upper >> 1; 9 10 DWORD snLower =0; 11 if((upper & 1) == 1){ 12 snLower = lower / 2; 13 snLower += (1<<31); 14 }else{ 15 snLower = lower / 2; 16 } 17 18 DWORDLONG sn = snUpper; 19 sn <<= 0x20; 20 sn |= snLower; 21 22 WORD *p = (WORD*)&sn; 23 sprintf(buffer, "%04x-%04x-%04x-%04x", p[0], p[1], p[2], p[3]); 24 }
小结
IDA很强大，Crack很费时间，收获的免费SRS使用权和投入的大量时间不成正比。结论：以后还是尽量少搞Crack吧。
