AIGC标识 [AI] 星韵全能抽奖Luckydraw.exe v4.5 许可验证逻辑分析

[AI] Luckydraw.exe v4.5 许可验证逻辑分析

分析工具: IDA Pro 9.3
分析对象: Luckydraw.exe (Delphi 编译，VMProtect SDK 集成但未处理)
分析日期: 2026-07-25

目录

1. 二进制概览与安全分析

属性 值
文件名 Luckydraw.exe
编译器 Delphi/Pascal
架构 32位 (x86)
函数总数 22690
段数 6
入口点 0x6B744C

1.1 段布局

段名 起始地址 结束地址 说明
CODE 0x401000 0x6B8000 主代码段
DATA 0x6B8000 0x6BF000 已初始化数据
BSS 0x6BF000 0x6C2000 未初始化数据

1.2 VMProtect 保护分析

结论：VMProtect 保护完全无效。

程序链接了 VMProtectSDK32.dll（导入表第 22 个模块），代码中调用了 VMProtectBegin/VMProtectBeginUltra/VMProtectEnd 标记函数，但未使用 VMProtect 工具对编译后的二进制进行后续处理（mutation/virtualization）。

证据:

  • VMProtect SDK 的标记函数经 thunk (如 0x6027BC jmp ds:VMProtectBeginUltra) 调用，IAT 入口 0x6C3B04 在静态分析中为 NULL
  • 被标记的函数（LicenseVerify、LoadConfig、GetHSnum、BitBtn1Click 等）全部可直接反编译和反汇编，代码未被虚拟化或变异
  • 字符串 "VMProtectSDK32.dll"、"VMProtectBegin"、"VMProtectBeginUltra"、"VMProtectEnd" 无代码 xref（仅存在于数据段 0x6C5C72-0x6C5CAE）

被标记的函数（SDK 调用点，但保护无效）:

标记名 函数 地址
"GetPublicParam1" LicenseVerify_68DA3C 0x68DA3C
"ReadParam" LoadConfig_6906F4 0x6906F4
"GetHSnum" GetHSnum_602E14 0x602E14
"GetFormatSerOrd" sub_602E54 0x602E54

1.3 安全机制分析

无网络校验: 导入表全量扫描未发现任何网络通信 API（WinINet/WinHTTP/Winsock/URLDownload）。唯一 URL http://www.xyunsoft.com/buy.html 由购买按钮 ShellExecuteA 打开，非网络验证。加载的外部 DLL: uxtheme.dll、bass.dll、mtxex.dll（COM/MTS for WMI）、version.dll、gdiplus.dll、Setupapi.dll、hid.dll、VMProtectSDK32.dll，无网络通信库。

无反调试: 无 IsDebuggerPresent/CheckRemoteDebuggerPresent/NtQueryInformationProcess。

无时间炸弹: GetLocalTime 无直接代码 xref，未用于日期检查。

无完整性校验: 无 CRC/Checksum 导入，无自校验逻辑。VirtualProtect 未用于代码段修改。

1.4 暗桩（功能限制）

追踪 g_RegisteredFlagPtr_6BDEA8（指向 g_RegisteredFlag_6C16C0）的所有引用，发现 2 处暗桩。注册成功后（*g_RegisteredFlagPtr != 0）自动解除。

暗桩1: 用户记录数限制

属性 值
函数 TfrmListDataEdit.qrUsersBeforeInsert（0x6715F9）
触发条件 未注册且用户记录数 ≥ 30
限制行为 发送消息 0x400/wParam=15，调用 Abort() 阻止插入

暗桩2: 定时器消息触发

属性 值
函数 sub_6A3CC8（0x6A3CC8，0x539 字节）
暗桩位置 0x6A41AE
触发条件 未注册且 *(byte*)(obj+0x74) != 1
限制行为 调用 TMH1_PostMsg(*off_6BDB6C, 0xBh) 发送消息 11

2. 加密算法与密钥

2.1 DES - 标准实现

验证方法: 提取并对比置换表（通过反编译各置换函数确认表地址）

置换表 地址 标准值 验证结果
IP (初始置换) unk_6B9900 标准 IP 表 匹配
FP (最终置换) unk_6B9940 标准 FP 表 匹配
E 扩展 unk_6B9980 标准 E 表 匹配
P 置换 unk_6B9A40 标准 P 表 匹配
S1-S8 盒 byte_6B9A60 标准 S 盒 匹配（8×64=512 字节）
PC-1 unk_6B9C60 标准 PC-1 表 匹配（56 字节）
PC-2 unk_6B9C98 标准 PC-2 表 匹配（48 字节）
循环左移次数 unk_6B9CC8 [1,1,2,2,2,2,2,2,1,2,2,2,2,2,2,1] 匹配

DES-ECB 模式: 密钥取前 8 字节（不足补 0x00），明文按 8 字节对齐补 0x00，无 IV，直接 ECB 模式。

DES 输出格式: 大写 hex。Delphi 的 Format('%x') 经 sub_40A932 的 & 0xDF 掩码 + CvtInt 的 add dl,7 产生大写 A-F。

2.2 MD5 - 标准实现

IV 常量验证: 0x67452301, 0xEFCDAB89, 0x98BADCFE, 0x10325476（全部匹配）。

2.3 TEA - 用于 HID 设备通信

Delta = 0x9E3779B9（DATA 段 0x6BD3F0），32 轮标准 TEA。仅用于 Path 0 HID dongle 挑战值格式化，不用于注册码生成。

2.4 DES 密钥清单

密钥字符串 前 8 字节 使用函数 用途
"D8C25B0A" D8C25B0A DecryptStoredHash_68D9F0, LoadConfig_6906F4 加密/解密存储的注册码
"SD56345SD5A" SD56345S RegistDecrypt_6035C8 解密注册对话框参数名和 System.ini 键名
"DFG46GHGH" DFG46GHG DecryptConfig_6903D4 解密 INI 键名、消息文本
"X56GBHT8Y77" X56GBHT8 BitBtn1Click (失败消息) 解密注册失败消息
"3F8E50" 3F8E50\0\0 sub_602804 解密 WMI 查询字符串
"F8FKGOD8G34MS6J2DF" F8FKGOD8 GetHSnum1_602FF0 DES 加密 WMI 硬件信息（keygen 步骤1）
"B7B5J34ADHERTR4FG" B7B5J34A GetHSnum2_603028 DES 加密硬件序列号变体2
"L2JDF6W4JSDF3DSE5" L2JDF6W4 GetHSnum3_603060 DES 加密硬件序列号变体3
"JDF8J4GSD6FEODS7DX" JDF8J4GS SelectKeyAndEncrypt_6030E8 DES 加密（输入长度16时）
"AS46X53NXFG5D03RGN" AS46X53N SelectKeyAndEncrypt_6030E8 DES 加密（输入末尾为Q时，keygen 主路径）
"DF8545N545ZS6HFSVB" DF8545N5 SelectKeyAndEncrypt_6030E8 DES 加密（其他情况）
"F78B3DF0852A6DE765F19" F78B3DF0 CheckHIDDevice_68DCA8 DES 解密 HID 通信数据
"D9F7T6D3S08V2LFD7SXC8M" D9F7T6D3 TIniFileEx (sub_4C4958) 逐行加密 config.ini/luckydraw.ini/System.ini

3. 许可信息存储与 INI 解析

3.1 INI 文件对象映射

InitINIFiles_693564 在程序启动时创建 4 个 TIniFileEx 对象：

全局变量 文件 路径前缀 用途
dword_6C1660 luckydraw.ini 程序目录 系统配置 + 注册码主存储
g_INIFileObj_6C165C config.ini 程序目录 通用配置（主题/显示/字体等）
dword_6C1658 prizes.cfg 程序目录 奖品配置
dword_6C1664 System.ini 程序目录+Data\ 注册码冗余存储

INI 对象指针映射（xref 确认）:

指针变量 存储的值 指向的 INI 文件
gvar_006BDF18 &dword_6C1660 luckydraw.ini（间接）
g_INIFileObjPtr_6BDBDC &dword_6C1664 System.ini（间接）

3.2 许可信息存储位置

结论：许可信息冗余存储在两个 INI 文件中，不在注册表中，不在 Luckydata.mdb 中。

  1. 主存储 - luckydraw.ini（通过 gvar_006BDF18 → dword_6C1660）:

    • LoadConfig_6906F4（0x6912C0）从 [%System%].BaseParameter 读取注册码明文
    • DES_Encrypt(reg_code, "D8C25B0A") → 存入 g_StoredRegCode_6C16B0
    • BitBtn1Click_603C98（0x603F09-0x603F2E）写入：两次 RegistDecrypt 解密得到 "%System%" 和 "BaseParameter"，通过 WriteString(Self, Section, Key, Value) 写入

  2. 冗余存储 - System.ini（通过 g_INIFileObjPtr_6BDBDC → dword_6C1664）:

    • BitBtn1Click_603C98（0x603D29-0x60406C）: 16 次 WriteString，键名经 RegistDecrypt 解密硬编码 hex 密文得到，值均为用户输入的注册码
    • ReadSystemIni_60362C（从 LoadConfig 0x6911B0 调用）: 读取 16 个键到 g_SysIniRegArray_6BDA14[16]，任一非空则 g_SysIniRegFlag_6C14C4 = 1

  3. UAC 虚拟化: 程序安装在 Program Files 时，INI 文件写入会被重定向到 %LOCALAPPDATA%\VirtualStore\Program Files (x86)\<安装目录>\。目标主机原始路径: C:\Users\test\AppData\Local\VirtualStore\Program Files (x86)\星韵全能抽奖\

注册表分析: 导入表中 RegQueryValueExA 仅被 Delphi RTL 使用（FpuMaskInit/区域设置），TRegistry 类存在于 RTTI 但应用代码未实例化，无厂商注册表路径。

Luckydata.mdb 分析: 抽奖数据数据库（从 Templated.mdb 复制创建），与注册验证无关。

3.3 LoadConfig 加载流程

LoadConfig_6906F4:
  1. 从 luckydraw.ini 读取注册码（主存储）:
     DecryptConfig_6903D4("118FEDE2ECFDED6EE952D35DA3FD7165", "DFG46GHGH") → "BaseParameter"
     luckydraw.ini.ReadString("%System%", "BaseParameter") → 注册码明文
     DES_Encrypt_4C2878(reg_code, "D8C25B0A") → g_StoredRegCode_6C16B0
  2. 调用 ReadSystemIni_60362C (0x6911B0): 从 System.ini 读取 16 个键（冗余存储）
     任一非空则 g_SysIniRegFlag_6C14C4 = 1

3.4 加密 INI 文件结构

config.ini、luckydraw.ini、System.ini 均采用逐行 DES-ECB 加密：

  • 密钥: "D9F7T6D3S08V2LFD7SXC8M"（取前 8 字节 D9F7T6D3，位于 0x4C49A5）
  • 解密函数: TIniFileEx（sub_4C4958），逐行调用 DES_HexDecrypt_4C2D78 解密后交给 TMemIniFile.SetStrings 解析
  • 填充: 每行明文按 8 字节对齐，尾部补 0x00
  • 编码: 解密后为 GBK 编码的 INI 文本（Delphi 默认 ANSI 编码）
文件 行数 节 与注册的关系
config.ini 100 [%General%](94键) + [%System%](4键) 无关（仅配置）
luckydraw.ini 12 [%System%](11键，含 BaseParameter) 注册码主存储
System.ini 14 [%System%](13键，值均为注册码) 注册码冗余存储
prizes.cfg - - 无关（仅配置）

luckydraw.ini 解密后内容:

[%System%]
BaseParameter=<注册码>              ; 注册码（明文，注册后写入）
UserPassword=                       ; 用户密码
AdminPassword=                      ; 管理员密码
LoginAuthenticate=0                 ; 登录认证
ExitAuthenticate=0                  ; 退出认证
AutoLockEnabled=0                   ; 自动锁定
NewTaskAuthenticate=0               ; 新建任务认证
UserListAuthenticate=0              ; 用户列表认证
LockWaitTime=0:10:00                ; 锁定等待时间
SoundVolume=1                       ; 音量
SoundEffect=0100000000...           ; 音效配置

3.5 System.ini 键名分析与乱码成因

目标主机样本（已注册，注册码 C21B73A082CC63B5），解密后 [%System%] 节包含 13 个键，所有键值均为注册码。

13 个键名由 BitBtn1Click_603C98 通过 RegistDecrypt_6035C8（DES 密钥 SD56345S，IDA Pro 反编译 0x6035C8 确认）解密硬编码 hex 密文得到。BitBtn1Click 写入 16 次（含 3 次重复键），最终文件中 13 个唯一键。

IDA Pro 验证结果（反编译 BitBtn1Click_603C98 0x603C98 + Python DES 解密验证）:

序号 密文 hex (硬编码于 BitBtn1Click) 解密后原始字节 GBK 解码 ASCII 解码 类型
1 01BDAE9142052057EB7124E010F8F102 34 33 36 35 36 34 36 35 37 36 37 36 37 36 37 436564657676767 ✓ 436564657676767 ✓ ASCII
2 53289C3E8F57884475ECC954E2204DCF 34 35 34 35 36 34 36 35 37 36 37 36 454564657676 ✓ 454564657676 ✓ ASCII
3 998FFBA278B67705F23CB24713F047AA 35 36 34 36 35 36 35 36 36 564656566 ✓ 564656566 ✓ ASCII
4 23E28E9D1F6A1882CACC2058E322EB70 35 37 36 37 37 36 37 36 37 576776767 ✓ 576776767 ✓ ASCII
5 7B8E2A1D5A776EDA10DC71C22A6EF719 89 16 1c 53 97 59 9e 72 06 86 14 6b d8 98 92 cb 失败 失败 非文本
6 9536F33CAF6707B8E2A1D5A776EDA10D 6d 3f f6 1c c9 6f a1 4f 50 5b 10 55 d6 f5 46 2c 失败 失败 非文本
7 04A41BAD4149A4BC15708F7089503CAF 57 df b4 b3 40 35 b6 91 20 50 66 d0 94 be 2c 96 失败 失败 非文本
8 E2A1D5A776EDA10DC71C22A6EF719E89 50 5b 10 55 d6 f5 46 2c 00 e8 33 bc 0f e4 92 58 失败 失败 非文本
9 FCA2D77D6AE26EBE04630875AF930E38 0f c8 b4 08 8a 08 31 4f c2 9b 34 01 d7 68 bd 4e 失败 失败 非文本
10 18F6732AAC88C03A4D045AA749B0E8F0 ca 54 bc 8f 96 a8 11 db c2 a7 6f e4 3c 99 66 84 失败 失败 非文本
11 D5D5D1C67723C20983103D9EA894523A b7 bf b9 dc be d6 34 35 66 67 68 房管局45fgh ✓ 失败 GBK
12 BE04630875AF9FCA2D77D6AE26E30E38 63 76 62 66 79 75 79 75 37 75 37 cvbfyuyu7u7 ✓ cvbfyuyu7u7 ✓ ASCII
13 4D045AA749B18F6732AAC88C03A0E8F0 64 66 67 72 74 37 37 37 36 37 dfgrt77767 ✓ dfgrt77767 ✓ ASCII

乱码成因: 序号 5-10 的键名是 DES 解密后的 16 字节原始数据，既不是有效 GBK 编码，也不是有效 ASCII 编码。这些字节序列是开发者故意使用的随机字节，作为 INI 键名写入文件时 Delphi 按原始字节处理，读取时用相同字节匹配。keygen.py 解析时 GBK 解码失败后回退到 latin-1，因此显示为扩展字符（乱码）。这不影响 INI 解析的正确性。

编码说明:

  • GBK 优先: keygen.py 优先使用 GBK 解码解密后的字节，失败时回退到 latin-1（保留原始字节）
  • 节名: INI 节名为 "%System%"（带百分号），不是 "System"

4. 许可验证与注册流程

4.1 LicenseVerify - 许可主验证函数

int __fastcall LicenseVerify_68DA3C(int a1, int a2)

LicenseVerify_68DA3C:
  1. v4 = CheckHIDDevice_68DCA8(...)  // 检查 HID dongle (VID=0x3669, PID=0x8762)
  2. if (v4 == 0):  // 无 HID 设备，走软件验证
       尝试 5 条验证路径，任一成功即注册成功
  3. 返回注册标志 → g_RegisteredFlag_6C16C0

4.2 五条验证路径

路径 输入来源 算法 用途
1 空字符串 "" MD5("") == MD5(DES_Decrypt(stored_reg, "D8C25B0A")) 空注册码检查（未注册初始状态）
2 *g_StoredHash2Ptr_6BD6A0 SelectKeyAndEncrypt(hash2) → MD5 → compare 缓存的 GetHSnum1(0)（CPUID+WMI 混合）
3 *g_StoredHash3Ptr_6BDFE0 SelectKeyAndEncrypt(hash3) → MD5 → compare 缓存的 GetHSnum2(0)（17字符变体2）
4 *g_StoredHash4Ptr_6BDC34 SelectKeyAndEncrypt(hash4) → MD5 → compare 缓存的 GetHSnum3(0)（17字符末尾带Q，keygen 主对应路径）
5 GetHSnum1(1) SelectKeyAndEncrypt(GetHSnum1(1)) → MD5 → compare 实时获取 WMI 硬件指纹（16字符，无Q）

重要: 程序显示给用户的"序列号"是 GetHSnum3 的输出（17 字符，末尾带 "Q"），如 82C6-DF23-5FC7-98AAQ。用户将此序列号输入 keygen，keygen 调用 SelectKeyAndEncrypt(serial) 生成注册码，对应路径4。

4.3 路径4详细流程（keygen 主对应路径）

所有路径在 MD5 之前均执行 LStrCopy(result, 1, 8) 截取前 8 字符，即验证只比较注册码前 8 字符的 MD5。

// LicenseVerify_68DA3C 路径4 (0x68DB6A - 0x68DBCF)
SelectKeyAndEncrypt_6030E8(*g_StoredHash4Ptr_6BDC34, &v22);  // cached GetHSnum3
v23 = LStrCopy(v22, 1, 8);        // 截取前 8 字符 (0x68DB7E: mov ecx,8; mov edx,1)
MD5_Hash_68D904(v23, v33);        // MD5(v23) → expected hash
DecryptStoredHash_68D9F0(&v20);   // DES_Decrypt(*g_StoredRegCodePtr, "D8C25B0A") = 用户注册码
v21 = LStrCopy(v20, 1, 8);        // 截取前 8 字符
MD5_Hash_68D904(v21, v30);        // MD5(v21) → actual hash
v4 = Compare16Bytes_68D978(v30, v33);  // 比较16字节MD5
if (v4) goto OK;                   // 匹配则注册成功

4.4 消息调度 (TMessageHandler_WndProc)

// 0x68F2B4 TMessageHandler_WndProc_68F2B4
if (*a2 == 1024) {  // WM_USER + 0
  switch (a2[1]) {
    case 1:  // 触发许可证验证
      *g_RegisteredFlag_6C16C0 = LicenseVerify_68DA3C(...);
      break;
    case 2:  // 缓存硬件哈希到全局变量
      GetHSnum1_602FF0(0, &v11); LStrAsg(&g_StoredHash2_6C16B4, v11);
      GetHSnum2_603028(0, &v10); LStrAsg(&g_StoredHash3_6C16B8, v10);
      GetHSnum3_603060(0, &v9);  LStrAsg(&g_StoredHash4_6C16BC, v9);
      break;
  }
}

4.5 注册流程 (BitBtn1Click_603C98)

BitBtn1Click:
  1. user_input = TCustomMaskEdit.GetText(Edit2)
  2. if (LStrPos("O", user_input) > 0):  // 失败路径
       DES_HexDecrypt("4370828F...", "X56GBHT8Y77") → error_msg
       ShowMessageBox(error_msg, 48)
     else:                                 // 成功路径
       // 写入 System.ini (16 次, 通过 g_INIFileObjPtr_6BDBDC)
       for each hex_string in [硬编码列表]:
         key_name = RegistDecrypt_6035C8(hex_string)  // DES解密得到键名
         WriteString(System.ini, "%System%", key_name, user_input)
       // 写入 luckydraw.ini (1 次, 通过 gvar_006BDF18)
       key_name = RegistDecrypt("306FCF...") → "BaseParameter"
       section = RegistDecrypt("0D6661...") → "%System%"
       WriteString(luckydraw.ini, "%System%", "BaseParameter", user_input)
       // 保存文件并显示成功消息

RegistDecrypt_6035C8(a1, hex, &output) 使用硬编码密钥 "SD56345SD5A"（IDA Pro 0x6035F2 确认），第 4 个参数（用户输入）未被使用。用户输入的注册码通过 WriteString 的 Value 参数（栈上传参）写入 INI。

4.6 硬件指纹获取

GetHSnum_602E14 - 硬件信息分发器:

int __fastcall GetHSnum_602E14(char a1, void *a2)
{
  if (a1 == 0) return GetCPP2_602CF4(a2);  // CPUID 路径
  if (a1 == 1) return GetWIST_602864(a2);  // WMI 路径
}

GetWIST_602864 - WMI 硬件信息获取（解密后的 WMI 调用参数，密钥 "3F8E50"）:

locator = CreateOleObject("WbemScripting.SWbemLocator");
server = locator.ConnectServer("root\cimv2");
items = server.ExecQuery(
    'Select * from Win32_DiskDrive '
    'where (InterfaceType="IDE" or InterfaceType="SCSI") '
    'and MediaType like "Fixed%hard%disk%"'
);
signature = items.Item(1).Properties_.Item("Signature").Value;

GetHSnum1/2/3 - 硬件序列号变体:

// GetHSnum1_602FF0(a1): key="F8FKGOD8G34MS6J2DF", 返回16字符
// GetHSnum2_603028(a1): key="B7B5J34ADHERTR4FG", 返回17字符
// GetHSnum3_603060(a1): key="L2JDF6W4JSDF3DSE5", 返回17字符(末尾追加"Q")

// sub_602E54 内部逻辑:
if (a1)  // a1=1 → WMI
  hw_info = GetHSnum(1);  // WMI
  encrypted = DES_EncryptHex(hw_info, key);
  result = Copy(encrypted, 1, 16);  // 前 16 字符
else     // a1=0 → CPUID+WMI 混合
  cpuid_hash = Copy(DES_EncryptHex(GetHSnum(0), key), 1, 16);
  wmi_hash = Copy(DES_EncryptHex(GetHSnum(1), key), 1, 16);
  if (cpuid_hash && len(wmi_hash) >= 8)
    result = cpuid_hash + Copy(cpuid_hash, 1, 8) + Copy(wmi_hash, 1, 8);  // 32字符
  else if (!cpuid_hash) result = wmi_hash;
  else result = cpuid_hash;

程序显示的序列号 = GetHSnum3(0) = cpuid_hash[:8] + wmi_hash[:8] + 'Q'（17字符）

4.7 SelectKeyAndEncrypt_6030E8 - 密钥选择加密（keygen 核心）

// 密钥选择 (反汇编 0x60311F-0x603174):
if (LStrLen(input) == 16)
  key = "JDF8J4GSD6FEODS7DX";          // 16字符输入
else if (Copy(input, 17, 1) == "Q")   // 第17字符(末尾)为 Q
  key = "AS46X53NXFG5D03RGN";          // 17字符末尾Q (GetHSnum3, keygen 主路径)
else
  key = "DF8545N545ZS6HFSVB";          // 其他

encrypted = DES_EncryptHex(input_as_bytes, key);  // 输入字符串的 ASCII 字节
result = Copy(encrypted, 8, 16);  // Delphi 1-based: s[7:23] (0-based)

DES 输入: 输入字符串本身的 ASCII 字节，不是 hex 解码。如 "82C6DF235FC798AAQ" → 17 字节 ASCII → 填充到 24 字节 → DES 加密。

5. Keygen 算法

5.1 算法推导

验证条件（路径4）: MD5(DES_Decrypt(stored_reg, "D8C25B0A")) == MD5(SelectKeyAndEncrypt(*g_StoredHash4Ptr))

其中:
  *g_StoredHash4Ptr = 缓存的 GetHSnum3(0) 输出 = 程序显示的序列号（17字符，末尾Q）
  stored_reg = DES_Encrypt(INI["%System%"]["BaseParameter"], "D8C25B0A")
  INI["%System%"]["BaseParameter"] = 用户输入的注册码

验证只比较前8字符的MD5，但 SelectKeyAndEncrypt 输出16字符，注册码也是16字符，因此:
  用户输入的注册码 = SelectKeyAndEncrypt(serial)

5.2 完整算法

输入: 程序显示的序列号（如 "82C6-DF23-5FC7-98AAQ"）
输出: 16 字符注册码

Step 1: 清理序列号（去掉连字符和空白，转大写）
  serial = "82C6DF235FC798AAQ"  // 17 字符

Step 2: SelectKeyAndEncrypt(serial)
  len(serial) == 17, 末尾字符 == "Q" → key = "AS46X53NXFG5D03RGN"
  serial_bytes = serial.encode('latin-1')  // 17 字节 ASCII
  encrypted = DES_EncryptHex(serial_bytes, "AS46X53NXFG5D03RGN")
  registration_code = encrypted[7:23]  // Copy(s, 8, 16) → s[7:23]

5.3 测试用例

序列号 注册码 来源
82C6-DF23-5FC7-98AAQ C21B73A082CC63B5 目标主机实际运行

验证示例（路径4）:

DES_EncryptHex('82C6DF235FC798AAQ', 'AS46X53NXFG5D03RGN')
= FDA20BAC21B73A082CC63B55815DA7E66C73838708BFF41C
Copy(s, 8, 16) = s[7:23] = C21B73A082CC63B5

stored = DES_Encrypt('C21B73A082CC63B5', 'D8C25B0A') = F1F72D61EF25D30CE04A601BB927A107
user_input = DES_Decrypt(stored, 'D8C25B0A') = 'C21B73A082CC63B5'
expected = SelectKeyAndEncrypt('82C6DF235FC798AAQ') = 'C21B73A082CC63B5'
MD5(user_input[:8]) == MD5(expected[:8]) ✓

DES 输出末尾 8 字符 6C73838708BFF41C 是固定值，因为 17 字符序列号填充为 24 字节后最后一个 8 字节块全为 0x00。

5.4 INI 文件注册码一致性验证

目标主机样本（VirtualStore 路径）:

文件 提取的注册码
System.ini (13个键) C21B73A082CC63B5
luckydraw.ini (BaseParameter) C21B73A082CC63B5
keygen(82C6DF235FC798AAQ) C21B73A082CC63B5

三者完全一致，证实算法正确。

5.5 使用方法

# 推荐: 无参数启动，交互式输入序列号（支持带'-'和忽略大小写）
python keygen.py

# 从命令行参数指定序列号
python keygen.py --serial "82C6-DF23-5FC7-98AAQ"

# 解析加密 INI 文件（自动提取注册码）
python keygen.py --ini config.ini
python keygen.py --ini luckydraw.ini
python keygen.py --ini System.ini

# 依赖: pip install pycryptodome

6. 附录: IDA Pro 重命名清单

6.1 加密原语函数

地址 函数名 用途
0x68D7DC MD5_Init_68D7DC 初始化 MD5 上下文
0x68D810 MD5_Update_68D810 更新 MD5 上下文
0x68D890 MD5_Final_68D890 完成 MD5 计算
0x68D0AC MD5_Transform_68D0AC MD5 块变换
0x68D904 MD5_Hash_68D904 计算字符串 MD5
0x68D070 MD5_Store_68D070 存储 MD5 状态
0x4C2448 DES_KeySchedule_4C2448 DES 密钥扩展
0x4C22B8 DES_PC1_Permute_4C22B8 PC-1 置换
0x4C26A0 DES_FeistelRounds_4C26A0 DES 16 轮 Feistel
0x4C2578 DES_FeistelRound_4C2578 DES 单轮 Feistel
0x4C227C DES_SBoxLookup_4C227C DES S 盒查表
0x4C2878 DES_Encrypt_4C2878 DES 加密包装器
0x4C29FC DES_Decrypt_4C29FC DES 解密包装器
0x4C2D78 DES_HexDecrypt_4C2D78 Hex 输入 DES 解密
0x4C2B90 DES_EncryptHex_4C2B90 DES 加密输出 Hex
0x4C2350 DES_PC2_Permute_4C2350 PC-2 置换
0x4C23E8 DES_RotateLeft_4C23E8 循环左移
0x4C216C DES_E_Expand_4C216C E 扩展置换
0x4C21FC DES_P_Permute_4C21FC P 置换
0x4C20E8 DES_FP_Permute_4C20E8 FP 最终置换

6.2 许可相关函数

地址 函数名 用途
0x68DA3C LicenseVerify_68DA3C 许可主验证函数（5 条路径）
0x68D9F0 DecryptStoredHash_68D9F0 DES 解密存储的注册码（key="D8C25B0A"）
0x68D978 Compare16Bytes_68D978 比较 16 字节（MD5 结果比较）
0x68DCA8 CheckHIDDevice_68DCA8 检查 HID 设备（dongle 路径）
0x6035C8 RegistDecrypt_6035C8 注册解密包装器（key="SD56345SD5A"）
0x6030E8 SelectKeyAndEncrypt_6030E8 密钥选择加密（keygen 核心）
0x602FF0 GetHSnum1_602FF0 硬件序列号变体1
0x603028 GetHSnum2_603028 硬件序列号变体2
0x603060 GetHSnum3_603060 硬件序列号变体3（末尾追加"Q"）
0x602E54 sub_602E54 GetHSnum1/2/3 内部实现
0x602E14 GetHSnum_602E14 硬件信息分发器（0=CPUID, 1=WMI）
0x602CF4 GetCPP2_602CF4 CPUID 获取 CPU 序列号
0x602864 GetWIST_602864 WMI 硬件信息（Win32_DiskDrive.Signature）
0x602804 sub_602804 DES 解密 helper（key="3F8E50"）
0x68E1EC TEA_Encrypt_68E1EC TEA 加密（HID 设备通信）
0x68DF0C TEA_EncryptHex_68DF0C TEA 加密输出 Hex
0x689AFC FindHIDDevice_689AFC 查找 HID 设备
0x68B258 HID_ReadWrite_68B258 HID 读写
0x68A9A4 HID_WriteAndRead_68A9A4 HID 写后读
0x6906F4 LoadConfig_6906F4 主配置加载
0x60362C ReadSystemIni_60362C 从 System.ini 读取 16 个键（注册码冗余存储）
0x693564 InitINIFiles_693564 初始化 4 个 TIniFileEx 对象
0x6903D4 DecryptConfig_6903D4 配置解密（key="DFG46GHGH"）
0x603C98 BitBtn1Click_603C98 注册按钮点击处理
0x68F2B4 TMessageHandler_WndProc_68F2B4 消息调度器

6.3 全局变量

原名称 新名称 用途
gvar_006BD61C g_StoredRegCodePtr_6BD61C 存储的加密注册码指针
gvar_006BD6A0 g_StoredHash2Ptr_6BD6A0 硬件哈希2指针（验证路径2）
gvar_006BDFE0 g_StoredHash3Ptr_6BDFE0 硬件哈希3指针（验证路径3）
gvar_006BDC34 g_StoredHash4Ptr_6BDC34 硬件哈希4指针（验证路径4）
gvar_006BDEA8 g_RegisteredFlagPtr_6BDEA8 注册标志指针
gvar_006BDBDC g_INIFileObjPtr_6BDBDC INI 文件对象指针 (System.ini)
gvar_006BDF18 - luckydraw.ini 对象指针（间接）
unk_6C1660 g_LuckydrawINI_6C1660 luckydraw.ini INI 对象
unk_6C1658 g_PrizesCfgINI_6C1658 prizes.cfg INI 对象
dword_6C165C g_INIFileObj_6C165C config.ini INI 对象
unk_6C16B0 g_StoredRegCode_6C16B0 存储的加密注册码（来自 luckydraw.ini）
byte_6C16C0 g_RegisteredFlag_6C16C0 注册标志（0=未注册）
gvar_006BDA14 g_SysIniRegArray_6BDA14 System.ini 读取的 16 个键值数组
byte_6C14C4 g_SysIniRegFlag_6C14C4 System.ini 注册标志
gvar_006BD3F0 g_TEA_Delta_6BD3F0 TEA delta 常量 (0x9E3779B9)

kg

不再提供许可生成脚本，仅提供分析报告

ps

image-20260725171800736

image-20260725171813071

image-20260725171916587

posted @ 2026-07-25 17:31  DirWangK  阅读(67)  评论(0)    收藏  举报